网络安全等级保护测评步骤可分为以下五个核心阶段，依据《GB/T 22239-2019》标准执行：

一、系统定级（10个工作日）

1. 自主定级 ：运营者根据信息系统的重要性、涉密程度等初步确定等级。

2. 专家评审 ：组织3人以上专家组（含2名高级测评师+1名中级职称）进行评审。

3. 备案申请 ：向属地市级以上公安机关网安部门提交《定级报告》《系统拓扑图》等材料完成备案。

二、备案（10工作日）

在系统定级完成后30日内完成备案，确保信息系统的合规性。

三、建设整改（4-12周）

1. 技术整改 ：根据定级要求，强化物理环境（门禁、防火）、网络架构（安全域划分）、主机安全（入侵防护、恶意代码防护）等。

2. 管理整改 ：完善安全管理制度、人员岗位职责、应急响应预案等。

3. 专用设备配置 ：部署堡垒机、数据库审计系统、WAF等安全工具。

四、正式测评（2-3周）

1. 现场验证 ：测评机构6人天驻场检测，覆盖物理、网络、应用等安全要素。

2. 渗透测试 ：重点检测OWASP TOP10漏洞，验证整改效果。

3. 数据分析 ：检查日志留存时长≥6个月，确保合规性。

五、年度复测（每年1次）

对三级及以上信息系统进行年度复测，重点关注新业务系统、架构调整及核心指标复测率≥30%。

说明 ：整个流程需由第三方测评机构独立执行，确保客观公正。整改完成后需提交《测评报告》和《整改建议书》，并接受监管部门审核。