安全等级保护测评需要准备哪些资料，整个流程和周期大概是多久？

客户通常需要准备营业执照或主体证明、系统建设及使用情况、业务流程和网络拓扑、系统资产清单、用户及权限信息、数据类型与数量等级、网络和安全设备配置、制度文档、应急预案、备份记录、漏洞整改记录、历史测评或备案材料等。

常见问题是系统边界不清、资产台账与实际环境不一致、运维人员离职后未注销账号、敏感数据未分类，导致现场核查时反复补充资料。

解决办法是提前开展差距检查，整理“一套系统边界说明、一份综合资产清单、一套安全制度、一批运维记录和证据”。郑州市中原区的测评周期没有一个适用于所有项目的统一法定时长，通常现场测试和报告编制约需2至4周，若涉及较多问题整改、密码改造、边界调整或复测，整体周期可能延长至1至3个月。

案例：某系统因资产清单遗漏了三台云主机和两个测试账号，测评机构在资产核查时无法确认其是否纳入保护范围，商户不得不暂停现场测试并重新梳理边界，最终导致项目延期约两周。

以后可在测评前至少预留两周准备时间，由业务、技术、运维和安全人员共同确认范围，并在正式测评前完成一次模拟核查。