等级保护 2.0：中国网络安全合规指南

什么是网络安全等级保护2.0？

等级保护2.0（简称“等保2.0”）是中国在网络安全领域的基本制度，由国家市场监督管理总局、国家标准化管理委员会于2019年正式发布，并于2019年12月1日起实施。它是《中华人民共和国网络安全法》框架下的强制性合规标准，用以替代实施逾十年的等级保护1.0体系，旨在适应云计算、移动互联、物联网、工业控制和大数据等新技术新应用场景下的安全需求。等保2.0的核心思想是 “一个中心、三重防护”，即以安全管理中心为核心，构建安全计算环境、安全区域边界、安全通信网络三重防护体系，实现主动防御、精准防护。

为何必须关注等保2.0？

对于在中国境内运营的网络系统，等保2.0属于 法律强制要求，非单纯建议。依据《网络安全法》第二十一条，网络运营者必须按照网络安全等级保护制度的要求，采取保护措施，防止网络受干扰、破坏或未经授权的访问，防止网络数据泄露或被窃取、篡改。未落实等保可能导致行政处罚、暂停业务活动、吊销执照甚至追究刑事责任。对于企业而言，通过等保不仅是合规的底线，也是提升自身安全能力、获得政府及商业伙伴信任的关键路径。

等保2.0与1.0的核心差异

保护对象从“信息系统”扩展为“网络”

等保1.0主要关注传统信息系统，而2.0将保护对象明确扩展至 网络基础设施、云计算平台/系统、大数据平台/应用、物联网、工业控制系统和采用移动互联技术的系统。这意味着各类新型业务平台都必须纳入等保定级与保护范围，不再受限于“信息系统”的狭隘定义。

安全要求结构彻底重构

等保1.0技术要求分为物理安全、网络安全、主机安全、应用安全、数据安全五个层面；管理等要求另设。等保2.0则重新整合为 技术部分 与 管理部分 两大部分，每部分下再细分类别：

• 技术部分（安全通用要求）：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全
• 管理部分（安全通用要求）：安全策略和管理制度、安全管理机构和人员、安全建设管理、安全运维管理

这种划分更贴合实际建设流程，同时为不同级别设置了 安全通用要求 和 安全扩展要求（针对云计算、移动互联、物联网、工业控制系统）。任何系统都必须首先满足所在级别的通用要求，如果使用了特定技术，还需叠加对应扩展要求。

可信验证与主动防御成为必选项

等保2.0引入 可信验证技术 理念，倡导基于可信根对系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在检测到可信性受到破坏后报警，并形成审计记录。尽管在低级别为“可”要求，但在三级及以上部分控制点已变为“应”要求，推动从被动防护走向主动免疫。

安全自查与监管模式变化

等保1.0以监管部门定期检查为主，2.0强调 定级对象的全生命周期管理，要求运营者定期开展自查、安全评估、风险测评，并每年至少进行一次安全测评（三级及以上系统），并将测评报告向公安机关备案。测评机构也必须具备认证资质，遵循严格的测评流程。

定级与备案：迈开等保的第一步

确定定级对象

定级对象通常为具有唯一确定安全责任单位、承载相对独立业务应用的网络系统。例如：一个企业办公网、一个SaaS平台、一套工控系统均可作为独立定级对象。对于云计算平台，需将云平台本身与云上租户系统分开定级。

等级划分标准

网络安全等级从低到高分为五个等级，其中一级到五级受侵害客体和侵害程度递增：

实际工作中，绝大多数商业企业系统定级为二级或三级，二级系统每年至少一次自查，三级系统需每年通过正式测评。

自主定级与专家评审

运营者根据业务重要性、数据敏感度及影响程度自主确定定级，但对于二级及以上系统，必须组织专家评审，确定定级的合理性。三级及以上还需报公安机关备案，并提供定级报告、网络拓扑等重要材料。

三级等保的典型技术要求解析

以覆盖面最广、要求最严格的三级（安全标记保护级）为例，其技术部分关键控制点包括：

物理和环境安全

• 机房设置电子门禁，控制、鉴别和记录进入的人员
• 部署温湿度自动调节及漏水检测
• 关键设备采用UPS供电，并具备冗余能力

网络和通信安全

• 网络区域划分，在安全计算环境与安全区域边界间部署防火墙、WAF等访问控制措施
• 通信完整性、保密性：对重要通信信道采用加密协议（如HTTPS、IPSec VPN）
• 入侵防范：在关键网络节点处（如互联网出口、核心交换区）部署入侵检测/防御系统，及时报警并阻断

设备和计算安全

• 身份鉴别：所有操作系统、数据库、网络设备启用强密码策略，配置登录失败锁定等
• 访问控制：遵循最小权限原则，默认禁止越权访问
• 安全审计：覆盖所有用户的重要操作，审计记录至少保存6个月，并进行定期回顾
• 恶意代码防范：服务器及终端部署防病毒软件，并保持特征库更新

应用和数据安全

• 应用系统自身实现身份鉴别、访问控制，并对SQL注入、跨站脚本等常见攻击进行防范
• 数据完整性：使用校验码或数字签名确保传输和存储中的数据不被篡改
• 数据保密性：对鉴别信息、重要业务数据进行加密存储；通信中采用TLS等加密协议
• 数据备份与恢复：提供本地和异地实时备份功能，并定期演练恢复流程

安全管理中心

• 建立集中的安全管理平台，对安全设备、审计日志、用户权限实行统一管理与监控
• 实现对各防护组件的集中审计、集中分析和集中告警，形成对整体安全态势的感知

云计算扩展要求——混合云必读

如果系统部署在公有云或私有云上，必须额外满足 云计算安全扩展要求，关键点包括：

• 云平台方与租户责任边界清晰：租户需负责云上操作系统、应用、数据的安全，平台方承担物理和虚拟化层安全。双方责任必须在服务协议中明确。
• 虚拟化安全：确保虚拟网络隔离、虚拟防火墙策略有效，防止虚拟机逃逸攻击
• 镜像与快照保护：虚拟机镜像、快照需加密存储，防止数据泄露
• 数据残留清理：退出服务或迁移时，保证存储资源被彻底清零

等保实施的典型路径

1. 系统梳理与差距分析：识别现有安全措施与等保要求条款之间的差距，输出《差距分析报告》
2. 定级备案：确定定级，组织评审，通过公安部门备案
3. 建设整改：依据差距报告，采购或优化安全产品（防火墙、WAF、堡垒机、日志审计、数据库审计、终端安全等），修订管理制度，补齐管理流程
4. 等级测评：聘请具备资质的测评机构进行测评，出具《等级测评报告》
5. 持续运维与年度自查：保持安全有效性，每年按时完成测评或自查，落实持续监控

常见理解误区

• 误区一：“等保只是采购安全设备”：等保2.0要求技术与管理并重，管理制度、人员意识、应急演练同样占比很大，一次性购买设备不等于合规。
• 误区二：“云上系统不需自己做等保”：云平台自身的等保不能覆盖租户系统的责任，云上业务系统仍然需要独立定级和测评。
• 误区三：“定级越低越安全便捷”：故意压低定级可能带来法律风险，一旦发生安全事件，定级不当本身会加重处罚。定级应当如实反映业务受侵害后的影响程度。
• 误区四：“一次测评就万事大吉”：等保2.0强调持续保护，网络结构、应用变更都可能影响测评结论，必须保持动态合规。

结语

网络安全等级保护2.0是国家网络空间安全战略的基石，它以法律为后盾，以标准为导向，推动企业从被动合规转向主动防御。掌握等保2.0框架、精准定级、逐项对标整改并建立长效安全运营体系，既是企业抵御网络威胁的务实之举，也是在华经营不可逾越的红线。建议组织安全团队与专业服务商合作，尽早启动差距分析和定级工作，让合规成为业务稳健发展的护城河。