什么是计算机信息系统安全等级保护：
1）请先理解什么是强制标准和推荐标准
强制标准是法律强制的行为，推荐标准是为了从各个角度，即目标、设计、过程、基本共同要求等出发推荐不同系统标准实现强制标准的功能。例如：你可以采用GB/T22239-2019 国内起草的标准，也可以采用GB/T18336标准（参照欧标）。但是这些标准都不许可明显不符合GB17859-1999。作为国家推荐而非强制性标准。用户可以要求检测方根据强制标准要求取消某些不必要的检测内容。而测评公司为了卖产品，肯定是需要你全项检测的。
很多测评单位不了解这一点。意味等保2.0需要从属于GB17859-1999（全球几乎统一的安全架构）的标准体系。
从设计标准GB/T25070-2019，其中每个安全等级设计目标陈述：就是满足GB17859-1999同等级的功能目标。
那么为什么中国的网络测评人员故意喜欢单独拿GB/T22239-2019，和测评标准GB/T28448-2019来说事。这是由于这两个标准没有完整的逻辑架构澄清。是假设网络保护系统设计已经完成。同时标准不需要检查设计方案时的测评方式。（这两个标准有严重的逻辑架构缺陷，因此可以利用来造假），它缺乏了最基本的逻辑架构，如：自主保护级的主、客体分离，建立自主保护能力。系统审计级的安全性资源分离保护。
于是，在中国，第一级，很多工程主体、客体都没有分离，等保一级实际上被废了！，很多设备如：医院、银行、ETC收费等等，这些都是主客体一体机，需要用不同账号安装客户端和服务器的。
第二级系统审计也被网络安全人员废了！，用管理控制区代替了安全区
三级、四级更没有概念了！
真正的网络安全保护系统架构如下：（但是中国几乎所有网安人员都不知道）
中国绝大多数网络安全工程都是无法定级的劣质工程，希望政府别胡乱花钱了！，这种花钱买不安全没有意义！除了鼓励贪污腐败。实际上这些网安专家是清楚的，但是正规安全的网络安全方案不需要象“老三样”一样花很多钱，所以网络安全专家们办公司，故意用造假方式来欺骗挣钱。
整个行业性的欺诈。但愿中国能够象摆脱足球一样，摆脱这种整个行业性的腐败！
