在郑州市中原区经营企业，是否必须进行“安全等级保护测评”？什么情况下需要开展？

原因：不少商户把等级保护理解成“只有政府网站或金融行业才需要”，或者认为企业内部系统不对外开放就不属于保护范围。实际上，企业网站、小程序、APP、会员系统、订单系统、办公网络以及承载重要数据的平台，都可能构成需要定级保护的网络或信息系统。同时，企业作为网络运营者，负有落实网络安全等级保护制度的责任。 解决思路：首先需要确认是否具有独立的网络或信息系统，以及系统是否处理个人信息、敏感业务数据或重要业务数据。一般情况下，一级系统以日常防护和自查为主；二级及以上系统通常需要开展等级定级、备案、建设整改、测评和监督检查，具体要求应以郑州市及中原区公安机关、相关行业主管部门的规定为准。涉及关键信息基础设施的，还可能适用更高等级要求。 案例：某商贸企业认为自己的内部订货系统不对外开放，所以无需做等级保护。后来发现该系统存储了员工身份证信息、供应商合同及大量订单数据，并可通过互联网访问。安全人员按照数据重要性、业务影响和安全责任重新梳理系统边界，最终确定为二级系统，完成定级、备案和测评，并补充了访问控制、日志审计及数据加密措施。 以后如何避免：企业应在系统上线前或发生重大业务、架构、数据变化后，及时开展网络安全等级保护自查，不要只根据系统是否公开来判断是否需要定级。建议将等保工作纳入年度安全计划和项目验收流程。