北京 GB/T 22239 信息安全等级保护申请全解：条件、流程和费用

一、申请条件

1. 主体资格：北京市内依法设立的各类机关、企事业单位、社会团体、民办非企业等组织，无论规模大小、所属行业领域，只要运营或处理信息，均有义务依规开展等级保护工作、申请相应评定。像互联网科技企业手握海量用户数据，传统金融机构承载资金交易信息，乃至教育机构保存师生资料，皆是适格主体。
2. 信息系统特性：具备独立业务处理功能、有明确边界与运维责任主体的信息系统，是申请等保评定的基础单元。系统需稳定运行一定周期（常规不少于三个月），积累可供评测的运行数据与安全状态表现，例如政务服务平台日常办理审批业务、电商企业线上交易系统处理订单，方能纳入等保考量范围。
3. 安全基础支撑：从技术层面看，要有基础的网络安全防护设备，如防火墙阻挡外部非法入侵、入侵检测 / 防御系统监测异常流量与攻击；服务器需定期更新补丁、加固系统配置。管理维度上，应制定涵盖人员安全职责、数据分类分级、应急处置预案等系列制度，构建起基本的信息安全管理框架，确保日常运维有章可循、应急响应及时高效。

二、申请流程

1. 系统定级：依据信息系统所承载业务的重要性、涉及数据敏感程度、受破坏后的影响范围与程度等因素，参照 GB/T 22239 标准，自主确定系统安全保护等级，一般分为一至五级，在北京，常见业务系统多集中在二级、三级。定级后编制详细定级报告，阐述系统概况、业务流程、数据分布、定级依据等，提交至上级主管部门（有行业主管时）或属地公安机关网安部门审核，获取定级备案审核意见。
2. 备案准备与提交：按审核通过的定级情况，准备备案材料，涵盖单位基本证照（营业执照、法人身份证等）、信息系统备案表（详细填列系统名称、域名、IP 地址段、网络拓扑等关键信息）、定级报告等，通过 “全国网络安全等级保护备案管理系统”（北京属地对应端口）线上录入，同时向公安机关网安部门提交纸质材料，完成备案登记，领取备案证明，正式开启等保流程。
3. 差距评估与整改：委托具备等保测评资质的专业测评机构，依据 GB/T 22239 对应等级要求，全面检查信息系统在安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心及管理制度等层面的现状，梳理与标准要求的差距点，形成评估报告。单位依此制定整改方案，投入人力、物力、财力资源，逐一落实整改措施，如升级网络设备、完善身份认证机制、强化数据加密存储等，使系统契合标准规范。
4. 测评验收：整改完毕且稳定运行一段时间后，测评机构再次入场，依规范流程开展深度测评，检验整改成效，从技术、管理各项指标综合考量，评定系统是否达到所定等级安全要求。若测评合格，出具测评报告提交公安机关网安部门审核；未合格则需持续整改、复测，直至通过验收，最终获得信息安全等级保护认证。

三、费用情况

1. 测评费用：这是申请等保的主要开支项，北京市场上，二级信息系统测评费用通常在 5 - 8 万元左右，因系统复杂程度、测评机构品牌影响力等因素有所波动；三级信息系统测评因测评项目增多、要求更高，费用大致在 8 - 15 万元区间。部分大型复杂集团企业的多级架构、多功能融合系统，测评成本会依实际评估工作量上浮。
2. 整改费用：整改投入依系统短板状况差异极大。购置基础安全设备如防火墙（入门级约 2 - 5 万元 / 台）、漏洞扫描设备（3 - 8 万元 / 套），完善软件系统安全功能模块（如数据加密插件按授权数收费，几千元到数万元不等），搭建安全管理体系涉及制度梳理、人员培训（单次培训课程费用几千元至上万元）等，整体整改花费少则数万元，多则数十万元，视整改深度广度而定。
3. 咨询费用：部分单位为确保等保流程顺畅、精准把握标准要求，聘请专业安全咨询顾问或机构协助，咨询服务费依服务周期、复杂程度，二级系统项目约 2 - 4 万元，三级系统项目约 4 - 6 万元，为等保申请全程提供专业指引、文档编制审核等增值服务。