一、定级、备案、测评是三件事，别混着做
三件事的责任主体、法定期限与交付物各不相同。先看条文，再谈准备。
《中华人民共和国网络安全法》已于 2025 年 10 月 28 日经第十四届全国人民代表大会常务委员会第十八次会议修改，自 2026 年 1 月 1 日起施行。修改后的第二十三条明确国家实行网络安全等级保护制度，要求网络运营者履行制定内部安全管理制度和操作规程、确定网络安全负责人、采取技术措施防范网络攻击、采取监测记录网络运行状态与网络安全事件的技术措施并按照规定留存相关的网络日志不少于六个月、采取数据分类与重要数据备份和加密等措施等义务。这一条的编号在修改前是第二十一条，引用时需要注意差别。
具体操作层面依据的是《信息安全等级保护管理办法》（公通字〔2007〕43号）。其第十五条规定，已运营（运行）或新建的第二级以上信息系统，应当在安全保护等级确定后 30 日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续；第十六条规定第三级以上信息系统办理备案时还需同时提供系统拓扑结构及说明、安全组织机构和管理制度、安全保护设施设计或改建实施方案、信息安全产品清单及其认证与销售许可证明、测评后符合等级保护要求的技术检测评估报告等材料；第十七条规定公安机关应当在收到备案材料之日起 10 个工作日内颁发备案证明，或通知纠正、重新定级。
| 环节 | 责任主体 | 时限要求 | 主要交付物 |
|---|---|---|---|
| 定级 | 运营、使用单位（有主管部门的需其审核批准） | 建设或改造前完成 | 定级报告、主管部门审核意见 |
| 备案 | 运营、使用单位向设区的市级以上公安机关 | 等级确定后 30 日内 | 备案表及第三级以上要求的七类材料 |
| 测评 | 单位委托符合条件的测评机构 | 第三级每年至少一次 | 等级测评报告 |
| 自查 | 运营、使用单位 | 第三级每年至少一次 | 自查记录与整改方案 |
| 反馈整改 | 运营、使用单位 | 按公安机关整改通知 | 整改报告并备案 |
表里最后一行的依据在公通字〔2007〕43号第二十条：公安机关检查发现信息系统安全保护状况不符合有关管理规范和技术标准的，应当发出整改通知，运营、使用单位应当按要求整改，整改完成后将整改报告向公安机关备案。这意味着测评报告出来并不是终点，报告里被评为「不符合」的项必须有整改闭环记录。
二、三级要求覆盖十个层面，财务系统的落点在哪里
《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）2019 年 5 月 10 日发布、2019 年 12 月 1 日实施，代替 GB/T 22239-2008，现行有效。第三级安全要求由五个技术层面的安全通用要求与五个管理层面的要求构成，另有云计算、移动互联、物联网、工业控制系统等安全扩展要求。
十个层面在财务系统里的落点
- 安全物理环境：机房出入控制与防盗窃防破坏，自建机房与托管机房的责任分界要写清
- 安全通信网络：网络区域划分，财务系统与办公网、互联网之间的边界与带宽保障
- 安全区域边界：访问控制与入侵防范，接口调用与远程运维通道是重点
- 安全计算环境：身份鉴别、访问控制、安全审计、数据完整性与保密性、数据备份恢复
- 安全管理中心：集中管控、集中审计，与安全运维管理的分工
- 安全管理制度：制度、机构、人员、建设、运维五类管理要求，制度文件须有发布记录与修订记录
- 安全管理人员：人员录用、离岗、考核与安全意识培训记录
- 安全建设管理：开发、测试、验收各阶段的安全要求与外包开发的管理
- 安全运维管理：变更、备份、日志、漏洞与补丁管理
财务系统与一般业务系统相比，有两个落点是特有的。一是数据的留存期限，规范要求网络日志留存不少于六个月，而会计档案的保管期限以年计，两者不是一套周期，系统在做日志与数据生命周期设计时要把两类期限分开配置。二是记账业务的完整性。《会计软件基本功能和服务规范》（财会〔2024〕12号）第二十一条要求会计软件提供不可逆的记账功能，不得提供对已记账凭证的删除和插入功能，确保对同类已记账凭证的连续编号，不得提供对已记账凭证日期、币种、汇率、金额、科目、操作人等的修改功能。这条在测评中会同时落到「访问控制」与「数据完整性」两项要求上。
《会计信息化工作规范》（财会〔2024〕11号）第四十条进一步明确，单位应当按照国家网络安全等级保护制度，全面落实安全保护管理和技术要求，加强会计信息网络安全风险防范，采取有效措施保障会计信息网络安全，防范病毒木马、恶意软件、黑客攻击或者非法访问等风险。也就是说，等保不是一道额外的行政门槛，而是两部会计信息化规范本身就要求的动作。
三、财务系统最容易不通过的五类问题
以下五类问题在财务系统的测评中反复出现，且大多不是技术难题，而是配置与流程缺口。
| 问题类型 | 典型表现 | 整改方向 |
|---|---|---|
| 身份鉴别强度不足 | 管理员账号共用、口令长期不变、无多因素认证 | 按角色分配独立账号，关键角色启用双因素，建立口令策略 |
| 访问控制粒度粗 | 按菜单授权、越权可查他部门数据、离职账号未及时停用 | 数据级权限与审批岗位绑定，账号生命周期与人事流程联动 |
| 安全审计不完整 | 日志分散在操作系统与数据库，无法按操作人、时间、内容检索 | 启用统一审计，确保日志防篡改且可按三维检索 |
| 备份恢复验证缺失 | 有备份任务但无恢复记录、无异地或离线副本 | 定期恢复演练并留档，明确备份方式、频率、介质与保存期 |
| 运维与变更管理缺记录 | 补丁与配置变更无审批、无回滚方案 | 建立变更审批与回滚记录，远程运维走审批与留痕通道 |
最后一类最容易被低估。很多单位的技术措施其实已经到位，但拿不出记录，于是被判定为「未落实」。等保测评的评价依据是证据，不是能力。因此从项目一开始就要有意识地把每一次配置、每一次演练、每一次培训留成可归档的证据。
《信息安全技术 网络安全等级保护测评要求》（GB/T 28448-2019）与《信息安全技术 网络安全等级保护测评过程指南》（GB/T 28449-2018）分别是测评的判定依据与流程依据，均现行有效；定级环节则依据《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020，2020 年 4 月 28 日发布、2020 年 11 月 1 日实施）。准备阶段提前按这三份标准核对，比测评后返工的代价低得多。
四、密评与等保测评要衔接，不要重复做两遍
财务系统只要使用了密码技术，就绕不开商用密码应用安全性评估。《商用密码管理条例》（国务院令第 760 号，2023 年 4 月 27 日公布、2023 年 7 月 1 日起施行）第三十八条把密码应用设计成一条完整链路：运营者须制定密码应用方案，配备必要的资金与专业人员，做到密码保障系统的规划、建设、运行三个同步，并自行或者委托检测机构开展商用密码应用安全性评估。评估是投入运行的前置条件，投入运行之后还要每年至少评估一次，评估情况报送国家密码管理部门或者所在地省级密码管理部门备案。
「同步规划、同步建设、同步运行」这十二个字是密评最容易踩坑的地方。很多单位在系统建成之后才补密码改造，此时密码应用方案与实际架构已经脱节，评估时需要重新梳理整套密钥体系，工作量远大于从一开始就纳入设计。
更重要的是第四十二条：商用密码应用安全性评估、关键信息基础设施安全检测评估、网络安全等级测评应当加强衔接，避免重复评估、测评。第四十一条同时规定，网络运营者应当按照国家网络安全等级保护制度要求使用商用密码保护网络安全，国家密码管理部门根据网络的安全保护等级，确定商用密码的使用、管理和应用安全性评估要求。准备工作的正确姿势是把两类测评的资料清单一次做全、共用取证，而不是分两次各做一套。
技术依据方面，密码应用的基本要求以《信息安全技术 信息系统密码应用基本要求》（GB/T 39786-2021，2021 年 3 月 9 日发布、2021 年 10 月 1 日实施）为准，该标准在这一领域替代了此前的密码行业标准。涉及测评机构资质条件时，还应当依照公通字〔2007〕43号第二十二条对测评机构的要求进行核对，包括在境内注册成立情况、投资主体、从业年限与人员构成等条件，避免委托不符合规定条件的机构导致报告不被受理。
五、整改工作量怎么估、清单怎么排
整改工作量的估算有规律：技术类整改可以按配置项数量估，管理类整改必须按「制度文件 + 执行记录 + 持续周期」三件套估，后者往往更耗时，因为它需要时间累积才能形成证据。
- 先做差距分析：按十个层面逐项标注符合、部分符合、不符合，不允许留「不确定」
- 把不符合项按依赖关系排序：物理与网络层先于主机与应用层，制度文件先于执行记录
- 补齐制度文件并要求发布记录与修订记录齐全，不要只出文件不留痕
- 技术整改集中在一个变更窗口内完成，避免分散变更带来新的不稳定
- 整改完成后先做一次内部预评，把明显证据缺口补上再申请正式测评
- 恢复演练、日志检索、权限回收这三项务必在申请前留下可出示的记录
评估工作量时还要算上被测系统范围。财务系统往往与资金、报销、发票、档案等系统通过接口互通，如果这些系统按同一等级一并测评，测评的工作量不是线性叠加，而是接口部分会重复梳理。前期把系统边界划清楚，可以省下可观的测评与整改成本。
资料来源：《中华人民共和国网络安全法》（2025 年 10 月 28 日修正，2026 年 1 月 1 日起施行）第二十三条、第二十七条；《信息安全等级保护管理办法》（公通字〔2007〕43号）第十四条至第二十二条；《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）、《信息安全技术 网络安全等级保护测评要求》（GB/T 28448-2019）、《信息安全技术 网络安全等级保护测评过程指南》（GB/T 28449-2018）、《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）；《商用密码管理条例》（国务院令第 760 号）第三十八条、第四十一条、第四十二条；《信息安全技术 信息系统密码应用基本要求》（GB/T 39786-2021）；《会计信息化工作规范》（财会〔2024〕11号）第四十条；《会计软件基本功能和服务规范》（财会〔2024〕12号）第二十一条、第四十二条。