我經常在和人探討等級保護時會注意區別等級保護制度和等級保護測評之間的關系。因為，社會上或者說市場上，大家把等級保護測評等同于等級保護的人太多了，所以在這里有必要再做一次區分。

首先，我們要知道等級保護制度是以公安機關為主導的一項國家基本國策，而在1.0時代，我們知道關于等級保護相關政策文件，都是以國信辦、公安部、國家密碼管理、國家保密局四家單位聯合發布?！缎畔踩燃壉Ｗo管理辦法》中也明確了，等級保護涵蓋三個大方向的內容，即公安機關監管的非涉密信息系統、國家保密局監管的涉密信息系統以及國家密碼管理監管的密碼方向。所以，在1.0時代這三者共同組成了我們的1.0時代的等級保護。

而到了2.0時代，《網絡安全法》第二十一條明確了國家實行網絡安全等級保護制度。在歷史沿革中，我們常常用信息安全，經《網絡安全法》確定后“信息安全”屬于上改為“網絡安全”，有歷史原因，但是這二者是同質異名，而網絡安全的范疇更廣了。網絡安全法對該制度的名稱作了調整，改為網絡安全等級保護制度，對其主要內容作了規定。國務院有關部門應當根據本法完善相關配套規定，確保網絡安全等級保護制度落到實處。

回到今天的主題，其實大家接觸密碼評估是近兩年的事情，很多朋友對這個的理解和前幾年對等級保護的理解是一樣的，總認為這事情是突然一聲炸雷一下，蹦出來的事務。其實不然，在《信息安全等級保護管理辦法》是2007年6月22日發布，而國家密碼管理局同年11月27日發布了《信息安全等級保護商用密碼管理辦法》，而這個管理辦法的制定依據是《信息安全等級保護管理辦法》《商用密碼管理條例》，再次以文件的形式明確密碼管理是等級保護的一部分，當然也再次否定所謂做測評就是過等級保護這個誤解。

等級保護工作要求“三同步”，在規劃之初就需要考慮滿足等級保護相關政策和標準要求，大家在落實等級保護過程中，是落實等級保護制度要求，所以在這里需要考慮滿足非涉密系統(以非涉密系統為例)的技術和管理要求，所以需要在規劃之初考慮《信息安全技術 網絡安全等級保護基本要求》《信息安全技術 信息系統密碼應用基本要求》等國家標準，根據要求依據對應的技術標準考慮如何實現對應的要求，在方案里予以明確，依據國家標準進行安全建設。