软件项目找第三方做入网安全评估要准备什么？

入网安全评估（简称“入网安评”）是指由具备资质的第三方机构，对拟接入公共网络的系统、设备或服务进行安全性、合规性检测，验证其是否满足国家或行业标准的过程。法律依据主要是《网络安全法》第二十三条，要求网络关键设备和网络安全专用产品须经安全认证或检测合格后方可销售或提供。

入网安全评估

很多项目临近送测才发现材料不全，来回折腾好几轮。下面把入网安评需要准备的材料按类别梳理清楚。

一、企业资质类

这部分是证明“你是谁”以及“你有资格申请”的基础材料。

营业执照：企业法人营业执照副本复印件，需加盖公章。

法人身份证明：法人代表身份证复印件。

授权委托书：如非法人代表亲自办理，需提供加盖公章的法人授权委托书。

质量管理体系证明：如ISO 9001证书或审核报告。

二、系统技术文档类

这部分是评估机构了解系统架构和安全设计的核心依据。

系统设计文档：包括概要设计、详细设计、数据库设计等。

网络拓扑结构图：清晰展示系统网络架构、分区情况、设备连接关系。

软硬件资产清单：包含服务器、防火墙、交换机等设备清单，以及操作系统、数据库、中间件等基础软件清单。

系统功能说明：描述系统业务功能、用户规模、数据敏感性分类。

系统账号与角色权限清单：列出系统管理员、普通用户等不同角色的账号及权限配置。

三、安全策略与制度文件类

这部分用于评估系统的安全管理水平。

安全策略文件：包括网络安全管理制度、访问控制策略、密码管理策略等。

安全设备部署清单：防火墙、堡垒机、WAF、IDS/IPS等安全设备的部署情况。

数据分类与保护说明：系统处理的数据类型、敏感程度及对应的保护措施。

四、合规证明类

这部分证明系统已经履行的合规义务。

等保备案证明：如系统已完成等级保护定级备案，需提供备案证明。

历史测评报告：过往的等级保护测评报告、安全评估报告等（如适用）。

五、正式申请文件类

入网安全评估申请表：填写单位信息、评估对象、评估目的等内容。

安全测评授权书：单位盖章的委托授权文件，授权第三方机构开展评估。

六、测试样机与环境

测试样机：对于涉及硬件的系统，需准备符合送测要求的样机。

测试环境：需搭建独立于生产环境的测试环境，与生产环境严格隔离。测试环境应尽可能模拟真实生产场景，包括硬件配置、操作系统版本、网络环境等。

七、特别提醒

第一，2026年“一单一库”新政后，入网安评报告的资质逻辑发生了变化。入网安评属于通用安全测评范畴，不在“一单一库”的法定清单范围内，报告上不能盖CMA章。真正需要的是CNAS资质，CNAS遵循ISO/IEC 17025国际标准，不受“一单一库”限制。

一单一库政策

第二，选择评估机构时，必须确认其具备入网安评所需的专项资质。入网安评对测评机构有三项硬性要求：CCRC（信息安全风险评估服务资质，强制性）、CMA（检验检测机构资质认定）、CNAS（实验室认可）。没有CCRC资质的机构无权开展入网安评。

第三，提前准备、逐项核对。建议按以上清单逐项勾选，避免遗漏。材料准备不充分是入网安评被退回的最常见原因。测试环境跟生产环境一定要隔离开，在测试环境里跑安评，别在生产环境上操作。

第四，入网安评的核心是合规，不是“走过场”。高危漏洞不修，系统就不让上线。找一家具备CNAS、CCRC等资质的正规机构，把整改和复测全部兜住，是花钱买省心、买项目能顺利上线的保障。

标签：入网安评、网络安全评估