做企业安全绕不开等保。很多人对等保一知半解：什么是等保？为什么要做？怎么做？今天把等保2.0的所有知识全讲清楚，看完就知道该怎么弄了！

1. 什么是等级保护？

1.1 基本概念

网络安全等级保护（简称"等保"）是我国网络安全的基本制度。简单说：根据信息系统的重要程度，分等级进行保护和监管。

参考文章中多次提到等保合规，这是企业安全建设的重要驱动力。

等保发展历程：

• 等保1.0：2007年出台，主要针对传统信息系统
• 等保2.0：2019年出台，覆盖云、物联网、工业控制、大数据等新场景

1.2 为什么要做等保？

① 法律要求。《网络安全法》明确规定国家实行网络安全等级保护制度，不做就是违法。

② 监管要求。等保是很多行业的硬性要求，不做通不过监管检查。

③ 业务需要。很多招投标项目要求有等保证书，没有就没资格投标。

④ 安全建设。等保是一套成熟的安全框架，照着做能全面提升安全水平。

⑤ 出事了减责。做了等保，万一出安全事件，责任会轻很多。

1.3 等保的五个等级

等级	名称	定义	常见系统
第一级	自主保护级	一般信息系统，破坏后对公民、法人有影响	小型企业官网
第二级	指导保护级	对社会秩序和公共利益造成损害	中型企业业务系统
第三级	监督保护级	对社会秩序和公共利益造成严重损害	金融、医疗、政务系统
第四级	强制保护级	对国家安全造成严重损害	国家级重要系统
第五级	专控保护级	对国家安全造成特别严重损害	国家核心系统

企业最常见的是第二级和第三级。 一般企业做二级，重要行业做三级。

2. 等保2.0的核心要求

2.1 一个中心三重防护

等保2.0的核心理念是"一个中心，三重防护"：

① 安全管理中心：集中管控，统一管理
② 安全通信网络：网络边界和通信安全
③ 安全区域边界：区域之间的访问控制
④ 安全计算环境：主机、应用、数据安全

2.2 技术要求五大类

类别	包含内容	权重
物理安全	机房、设备、环境	~10%
网络安全	网络结构、访问控制、入侵防范	~20%
主机安全	服务器、终端、数据库	~20%
应用安全	应用系统、中间件	~25%
数据安全	数据加密、备份、完整性	~25%

2.3 管理要求五大类

类别	包含内容	权重
安全管理制度	制度、规范、流程	~15%
安全管理机构	部门、岗位、人员	~15%
人员安全管理	招聘、培训、考核、离岗	~15%
系统建设管理	立项、开发、测试、验收	~25%
系统运维管理	监控、巡检、漏洞管理、应急	~30%

3. 等保测评的完整流程

第1步：定级备案
    ↓
第2步：差距分析（安全整改）
    ↓
第3步：建设整改
    ↓
第4步：等级测评
    ↓
第5步：监督检查

3.1 第一步：定级备案

① 确定等级：根据系统重要性确定等保级别（二级或三级）
② 专家评审：邀请专家对定级结果进行评审
③ 主管部门审核：行业主管部门审核
④ 公安机关备案：到属地网安支队备案，拿到备案证明

注意：定级是等保的第一步，也是最关键的一步。定高了成本高，定低了不达标。

3.2 第二步：差距分析

找测评机构或者自己做，对照等保标准一条条检查，找出差距。

差距分析的输出：

• 差距清单（哪些不满足要求）
• 整改建议（怎么改）
• 整改优先级（先改什么后改什么）

3.3 第三步：建设整改

根据差距分析结果，进行安全建设和整改。

整改内容包括：

• 技术整改：买设备、配置策略、加固系统
• 管理整改：建制度、配人员、做培训
• 文档整改：补文档、补记录、补流程

3.4 第四步：等级测评

找有资质的测评机构进行正式测评。

测评内容：

• 单元测评：逐项检查是否符合要求
• 整体测评：从整体上评估安全能力
• 结果判定：得分多少，是否通过

通过标准： 综合得分70分以上，且没有高风险项。

3.5 第五步：监督检查

通过测评后，每年还要：

• 二级系统：每两年测一次
• 三级系统：每年测一次
• 接受公安机关的监督检查

4. 等保三级技术要求要点

三级等保是企业最常见的高等级要求，重点讲一下。

4.1 网络安全要求

① 网络架构

• 划分不同安全区域
• 关键设备冗余部署
• 带宽满足业务高峰需求

② 访问控制

• 防火墙部署在边界
• 粒度到端口级的访问控制
• 默认拒绝，按需开放

③ 入侵防范

• 部署IDS/IPS
• 开启入侵检测规则
• 及时更新规则库

④ 安全审计

• 部署日志审计系统
• 审计记录保存6个月以上
• 审计记录无法被篡改

4.2 主机安全要求

① 身份鉴别

• 登录需要用户名+密码
• 开启登录失败处理（锁定）
• 重要系统双因素认证

② 访问控制

• 严格的权限分配
• 最小权限原则
• 定期权限审计

③ 安全审计

• 开启操作系统审计
• 审计重要操作和安全事件
• 审计记录不可删除

④ 入侵防范

• 安装杀毒软件/EDR
• 开启主机防火墙
• 及时打补丁

4.3 应用安全要求

① 身份鉴别

• 用户名密码登录
• 登录失败处理
• 密码复杂度要求
• 会话超时自动退出

② 访问控制

• 功能级权限控制
• 数据级权限控制
• 防止越权访问

③ 安全审计

• 记录用户操作日志
• 记录安全事件
• 日志保留6个月以上

④ 输入验证

• 防SQL注入
• 防XSS
• 防CSRF
• 输入长度和格式校验

⑤ 软件容错

• 输入错误时有友好提示
• 不能泄露系统敏感信息
• 故障后能恢复

4.4 数据安全要求

① 数据完整性

• 重要数据传输完整性校验
• 重要数据存储完整性校验

② 数据保密性

• 敏感数据传输加密（HTTPS）
• 敏感数据存储加密
• 密码不能明文存储

③ 数据备份恢复

• 重要数据定期备份
• 备份数据异地保存
• 有灾难恢复预案

5. 等保测评常见不通过项

5.1 技术类常见问题

问题	整改方案
没有部署IDS/IPS	购买并部署入侵检测设备
没有日志审计系统	部署日志审计/堡垒机
密码策略不符合要求	设置强密码策略+账号锁定
没有开启审计日志	开启系统和应用审计
补丁更新不及时	建立补丁管理制度
备份不规范	建立定期备份+异地备份
应用存在漏洞	进行渗透测试+漏洞修复
没有HTTPS	部署SSL证书

5.2 管理类常见问题

问题	整改方案
没有安全管理制度	制定全套安全管理制度
没有安全部门/岗位	设立安全岗位，明确职责
没有安全培训	定期开展安全培训并留记录
没有应急预案	制定应急预案并演练
没有漏洞管理流程	建立漏洞管理流程
没有变更管理流程	建立变更管理制度
人员入职/离岗没有安全审查	完善人员安全管理流程

6. 等保费用参考

等保的费用因地区、级别、系统规模而异，大致参考：

项目	二级等保	三级等保
测评费用	3-6万	8-15万
咨询费用	2-5万	5-10万
整改费用（技术）	10-50万	30-100万+
整改费用（管理）	少量	少量
年维护费用	2-5万	5-10万

注意：整改费用差异最大，取决于企业现有基础。基础好的花几万就够，基础差的可能要几十万甚至上百万。

7. 等保常见问题

Q：等保一定要做吗？
A：法律要求做。《网络安全法》第二十一条明确规定国家实行网络安全等级保护制度。

Q：不做等保有什么后果？
A：轻则警告、罚款，重则停业整顿。出了安全事件，责任更重。

Q：等保测评过了就一劳永逸了吗？
A：不是。二级每两年测一次，三级每年测一次。而且平时也要持续维护。

Q：等保通过了是不是就绝对安全了？
A：不是。等保是"基本要求"，不是"绝对安全"。等保通过说明达到了基本安全水平，但不代表不会被黑。

Q：可以自己做等保吗？
A：可以自己做整改，但正式测评必须找有资质的测评机构。

【粉丝福利】 我整理了一份《等保2.0大礼包》，含等保定级指南、差距分析模板、管理制度模板全套、测评检查清单、常见问题解答。免费发给你！大家也可以一起交流等保经验~

等保是企业安全建设的起点，不是终点。通过等保只是达到了基本要求，持续改进才是关键。