导语

2026年，网络安全等级保护2.0（以下简称"等保2.0"）已进入全面实施深化阶段。根据公安部网络安全保卫局最新统计，全国已完成等保备案的信息系统超过180万个，其中第二级系统占比约65%，第三级系统占比约32%。在华南地区，深圳市作为全国信息化建设的前沿城市，已完成等保备案的企业数量位居全国前列，超过3.5万家企业涉及等保合规要求。

然而，合规之路并非坦途。公安部通报显示，2025年全国等保测评一次通过率约为62%，意味着近四成企业在首次测评中未能通过，需要进行整改后复测。整改周期通常为2-6个月，直接影响企业的业务上线、招投标资质、数据合规审查等关键环节。

作为深耕华南地区20余年的IT基础设施与网络安全服务商，华南腾飞科技累计为超过300家企业提供了等保合规咨询服务，覆盖制造业、金融、医疗、教育、政务、电商等多个行业。本文将基于丰富的实战经验，系统梳理等保2.0合规建设的完整流程，从现状评估、差距分析、安全体系建设、技术防护加固、管理制度完善到最终通过测评，为企业提供一份详尽、可操作的实战手册。

一、等保2.0核心要求全面解读

1.1 等保2.0的演进与背景

网络安全等级保护制度始于2007年的等保1.0，当时以《信息安全技术 信息系统安全等级保护基本要求》（GB/T 22239-2008）为核心标准，主要面向传统信息系统。随着云计算、大数据、物联网、移动互联、工业控制等新技术的广泛应用，等保1.0已无法覆盖新型技术场景下的安全需求。

2019年5月，等保2.0系列国家标准正式发布（GB/T 22239-2019、GB/T 28448-2019、GB/T 25070-2019等），于同年12月1日起正式实施。与等保1.0相比，等保2.0实现了三大转变：

• 保护对象扩展：从传统信息系统扩展到云计算平台、大数据系统、物联网、工业控制系统、移动互联系统五类新型对象
• 安全要求升级：从"一个中心、三重防护"升级为"一个中心、三重防护"的增强版，增加了可信验证、安全管理中心等新要求
• 监管方式变化：从"定级、备案、建设整改、等级测评、监督检查"的被动监管，转变为贯穿系统全生命周期的主动安全管理

1.2 等保2.0标准体系

等保2.0标准体系由五项核心国家标准组成：

标准编号	标准名称	核心内容
GB/T 22239-2019	信息安全技术 网络安全等级保护基本要求	规定各等级的安全要求，分为安全通用要求和扩展要求
GB/T 28448-2019	信息安全技术 网络安全等级保护测评要求	规定等级测评的方法、流程和判定规则
GB/T 25070-2019	信息安全技术 网络安全等级保护安全设计技术要求	规定各等级的安全技术设计方案
GB/T 22240-2020	信息安全技术 网络安全等级保护定级指南	规定定级原则、方法和流程
GB/T 38655-2020	信息安全技术 网络安全等级保护测评机构能力要求	规定测评机构的能力要求和管理规范

1.3 等保2.0安全要求框架

等保2.0的安全要求采用"一个中心、三重防护"的架构，具体包括：

安全通用要求（适用于所有系统）：

• 安全物理环境：机房选址、物理访问控制、防火防水防雷、温湿度控制等
• 安全通信网络：网络架构、通信传输安全、可信验证等
• 安全区域边界：边界防护、访问控制、入侵防范、恶意代码防范、安全审计等
• 安全计算环境：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性、数据保密性、数据备份恢复等
• 安全管理中心：系统管理、审计管理、安全管理、集中管控
• 安全管理制度：安全管理制度体系、制定和发布、评审和修订
• 安全管理机构：岗位设置、人员配备、授权和审批、沟通合作、审核和检查
• 安全管理人员：人员录用、离岗、考核、安全意识培训、外部人员访问管理
• 安全建设管理：定级备案、安全方案设计、产品采购、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商选择
• 安全运维管理：环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理

安全扩展要求（针对新型技术场景）：

• 云计算安全扩展要求：基础设施位置、镜像和快照保护、虚拟机安全隔离、云服务商选择等
• 移动互联安全扩展要求：无线接入安全、移动终端管控、移动应用安全等
• 物联网安全扩展要求：感知层设备安全、网关节点安全、数据处理安全等
• 工业控制系统安全扩展要求：工业网络隔离、控制设备安全、数据安全等
• 大数据安全扩展要求：数据采集安全、数据存储安全、数据处理安全、数据交换安全等

1.4 等保二级与三级的差异

企业需要首先明确自身的等保级别。二级和三级的核心差异体现在：

维度	等保二级	等保三级
适用系统	对社会秩序和公共利益造成一般损害的系统	对社会秩序和公共利益造成严重损害或对国家安全造成损害的系统
测评周期	建议每两年一次	每年一次（强制）
控制项数量	约200个控制项	约300个控制项（在二级基础上增加约100个）
身份鉴别	密码复杂度、登录失败处理	+ 双因素认证（两种或以上鉴别技术）
安全审计	审计记录保存≥6个月	+ 审计记录保护（防篡改）、集中审计管理
入侵防范	检测并阻断入侵行为	+ 入侵行为深度分析、APT防护
可信验证	不要求	要求基于可信根对系统引导程序、系统程序等进行可信验证
测评费用	约3-5万元	约6-10万元
建设周期	约2-3个月	约3-6个月

二、等保定级与备案

2.1 定级原则与方法

等保定级是等保合规建设的第一步，也是最关键的一步。定级不准会导致后续所有工作偏离方向——定级过高造成资源浪费，定级过低则存在合规风险。

根据GB/T 22240-2020，定级需要考虑两个要素：

• 受侵害的客体：公民、法人和其他组织的合法权益；社会秩序和公共利益；国家安全
• 侵害程度：一般损害；严重损害；特别严重损害

具体定级矩阵如下：

受侵害客体\侵害程度	一般损害	严重损害	特别严重损害
合法权益	第一级	第二级	第二级
社会秩序和公共利益	第二级	第三级	第四级
国家安全	第三级	第四级	第五级

对于深圳地区的大多数企业而言，涉及的业务系统通常定为二级或三级。判断参考：

• 等保二级典型场景：企业内部OA系统、一般业务系统、非核心数据库、非公开信息服务系统
• 等保三级典型场景：涉及个人敏感信息的系统（如用户账号系统）、支付交易系统、核心业务系统、关键信息基础设施、政务系统、医疗HIS系统

2.2 定级流程

等保定级流程包含以下关键步骤：

1. 确定定级对象：明确需要定级的信息系统或网络，包括边界、功能、数据流等
2. 确定受侵害客体：分析系统遭到破坏后可能侵害的客体
3. 确定侵害程度：评估侵害的严重程度
4. 确定安全保护等级：根据定级矩阵确定最终等级
5. 专家评审：三级系统必须组织专家进行评审论证
6. 主管部门审核：有行业主管部门的，需提交主管部门审核

2.3 备案材料准备

确定安全保护等级后，需向所在地公安机关网安部门提交备案材料。深圳市企业需向深圳市公安局网络安全保卫支队提交：

• 《信息系统安全等级保护备案表》（一式两份）
• 《信息系统安全等级保护定级报告》
• 系统拓扑结构及说明
• 系统安全组织机构和管理制度
• 系统安全保护设施设计实施方案或整改方案
• 系统使用的信息安全产品清单及其认证、销售许可证明
• 上级单位主管部门的审核意见（如有）
• 专家评审意见（三级系统）

备案审核通过后，公安机关将颁发《信息系统安全等级保护备案证明》，这是企业等保合规的重要凭证。

2.4 定级常见误区

在实际操作中，企业常犯以下定级错误：

• 误区一：按系统规模定级。等保级别不由系统规模决定，而是由系统遭到破坏后对客体造成的侵害程度决定。一个小型但涉及大量个人敏感信息的系统可能需要定为三级
• 误区二：所有系统定同一级别。企业内部不同系统应根据各自的影响面分别定级，避免"一刀切"
• 误区三：定级后不再调整。当系统发生重大变更（如业务范围扩展、数据量剧增、架构调整）时，应重新评估安全保护等级
• 误区四：忽视云计算环境下的定级。云上部署的系统需要同时考虑云平台本身和云上系统的定级，二者可能不同

三、现状评估与差距分析

3.1 评估范围与内容

差距分析是等保合规建设的核心环节。华南腾飞科技在项目实施中采用"三维评估法"，从技术、管理、合规三个维度进行全面评估：

技术维度评估：

• 网络安全：网络拓扑结构、区域划分、边界防护设备、访问控制策略、入侵检测/防御系统、安全审计设备、抗DDoS能力
• 主机安全：服务器操作系统加固、数据库安全配置、中间件安全、补丁管理、恶意代码防护
• 应用安全：身份认证机制、访问控制策略、数据加密、日志审计、漏洞修复、代码安全
• 数据安全：数据分类分级、存储加密、传输加密、备份恢复策略、数据销毁机制
• 物理安全：机房环境、物理访问控制、电力保障、消防系统、监控设备

管理维度评估：

• 安全管理制度体系的完整性与有效性
• 安全管理机构的设置与人员配备
• 安全管理人员的录用、培训、考核机制
• 安全建设管理流程的规范性
• 安全运维管理制度的执行情况

合规维度评估：

• 对照GB/T 22239-2019中对应等级的所有安全要求项逐一检查
• 识别不符合项、部分符合项和符合项
• 评估各不符合项的风险等级和整改优先级

3.2 差距分析工具与方法

华南腾飞科技在差距分析中使用以下工具和方法：

工具/方法	用途	输出物
等保合规检查表	逐项对照安全要求，标记符合情况	符合性评估报告
网络拓扑图	分析网络架构合理性和区域隔离情况	网络架构图+改进建议
漏洞扫描	发现系统和应用的安全漏洞	漏洞扫描报告
渗透测试	模拟攻击，验证安全防护有效性	渗透测试报告
配置核查	检查安全设备、服务器、数据库的安全配置	配置核查报告
人员访谈	了解安全管理制度的执行情况	访谈记录+问题清单
文档审查	审查安全管理制度的完整性和可操作性	制度差距分析报告

3.3 差距分析报告

差距分析报告是后续整改工作的行动指南。报告应包含以下核心内容：

• 现状描述：当前系统的安全状况概述
• 差距清单：逐项列出不符合安全要求的控制项
• 风险评估：每个差距项对应的安全风险等级（高/中/低）
• 整改建议：针对每个差距项的具体整改措施
• 优先级排序：按风险等级和整改难度排序
• 预算估算：各项整改所需的软硬件投入和人力成本
• 时间计划：整改工作的里程碑和时间节点

3.4 典型差距分析结果

根据华南腾飞科技对深圳地区企业的统计，首次等保差距分析中常见的不符合项分布如下：

安全要求类别	不符合率	最常见差距项
安全物理环境	约25%	机房物理访问记录不完整、防火设施过期
安全通信网络	约40%	未实现网络区域划分、通信传输未加密
安全区域边界	约55%	边界防护策略不完善、入侵检测未部署
安全计算环境	约60%	双因素认证缺失、安全审计记录不完整
安全管理中心	约70%	未建立统一安全管理平台、日志未集中管理
安全管理制度	约65%	制度体系不完整、未定期评审修订
安全管理机构	约50%	安全岗位设置不明确、人员配备不足
安全管理人员	约55%	安全意识培训不足、外部人员管理不规范
安全建设管理	约60%	安全方案设计缺失、等级测评不规范
安全运维管理	约70%	变更管理流程缺失、应急预案未定期演练

四、技术防护体系建设

4.1 安全物理环境建设

物理安全是等保合规的基础。虽然大多数企业使用云服务或IDC机房，但仍需关注以下要求：

机房选址与布局：

• 机房应避免设置在建筑物的顶层或地下层（防水要求）
• 机房应远离强电磁场、强振动源和强噪声源
• 机房应设置专门区域，与非机房区域物理隔离

物理访问控制：

• 机房出入口应设置电子门禁系统（三级要求）
• 应建立来访人员登记制度，记录来访人员的身份、事由、进出时间
• 关键区域应设置视频监控系统，录像保存时间不少于3个月

防火、防水、防雷：

• 机房应设置火灾自动报警和灭火系统
• 机房应安装水浸检测装置和防水措施
• 机房应设置防雷接地系统和浪涌保护器

电力保障：

• 应设置冗余或并行的电力电缆线路
• 应配置UPS不间断电源系统，保障断电后关键设备持续运行
• 三级系统要求配置备用发电机组或双路市电供电

华南腾飞科技建议：对于使用云服务的企业，应要求云服务商提供机房物理安全合规证明，并在合同中明确物理安全责任边界。

4.2 安全通信网络建设

网络架构设计：

等保2.0要求网络应划分不同的安全区域，并在区域之间实施访问控制。典型的网络架构应包括：

• 互联网接入区：连接互联网的区域，部署防火墙、WAF等边界安全设备
• DMZ区（非军事区）：对外提供服务的区域，如Web服务器、邮件服务器
• 应用服务区：部署业务应用系统的区域
• 数据区：部署数据库和存储系统的区域，安全级别最高
• 管理区：部署网络和安全管理设备的区域
• 终端接入区：员工办公终端接入的区域

深信服方案：深信服下一代防火墙（NGAF）支持虚拟防火墙功能，可在物理防火墙上划分多个虚拟防火墙，分别对应不同安全区域，实现细粒度的区域间访问控制。深信服aCloud超融合平台也内置了虚拟交换机和微隔离功能，适合云环境下的网络安全防护。

通信传输安全：

• 应采用密码技术保证通信过程中数据的完整性（三级要求）
• 应采用密码技术保证通信过程中数据的保密性（三级要求）
• 管理数据和维护数据应通过专用安全通道传输（三级要求）

实现方式：全面启用HTTPS/TLS 1.2+，使用国密算法（SM2/SM3/SM4）或国际标准算法（RSA/AES），部署SSL证书，确保数据传输加密。

可信验证（三级要求）：

三级系统要求"可基于可信根对计算设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警"。实现方式包括：

• 部署可信计算模块（TCM）
• 使用支持可信启动的服务器硬件
• 部署完整性度量框架（IMA）

4.3 安全区域边界建设

边界防护：

• 应在网络边界部署访问控制设备（如防火墙），启用访问控制功能
• 应按用户和系统允许访问的资源配置访问控制规则
• 应对非授权设备私自接入内部网络的行为进行检测和阻断
• 应限制无线网络的使用，对无线网络接入进行严格的身份验证

入侵防范：

• 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为
• 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为
• 应采取技术措施对网络行为进行分析，发现违反安全策略的行为
• 三级系统要求对新型网络攻击行为进行检测和分析

实现方式：部署入侵检测/防御系统（IDS/IPS），如深信服NGAF的入侵防御模块，启用威胁情报更新，配置攻击检测规则。

恶意代码防范：

• 应在关键网络节点处对恶意代码进行检测和清除
• 应维护恶意代码防护机制，及时更新恶意代码库

实现方式：在网络边界部署防病毒网关，终端部署企业级杀毒软件（如深信服EDR），定期更新病毒库。

安全审计：

• 应在网络边界、重要网络节点进行安全审计
• 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息
• 审计记录应受到保护，避免未授权的删除、修改或覆盖
• 三级要求审计记录保存时间不少于6个月

Web应用防护：

对于对外提供Web服务的系统，应在边界部署Web应用防火墙（WAF），防护SQL注入、XSS跨站脚本、命令注入等常见Web攻击。深信服WAF支持智能语义分析引擎，可有效防护0day漏洞攻击。

4.4 安全计算环境建设

身份鉴别：

• 应对登录用户进行身份标识和鉴别，身份标识具有唯一性
• 应设置密码复杂度策略（长度≥8位，包含大小写字母、数字、特殊字符）
• 应配置登录失败处理功能（连续失败次数达到设定值后锁定账户）
• 三级要求：应采用两种或两种以上组合的鉴别技术（双因素认证），如密码+短信验证码、密码+动态令牌、密码+生物识别

实现方式：部署深信服aTrust零信任访问控制系统，实现统一身份认证和双因素认证；或使用LDAP/AD集成实现集中身份管理。

访问控制：

• 应对登录用户分配账户和权限，实现管理权限的最小化分配
• 应重命名或删除默认账户，修改默认口令
• 应严格限制默认账户的访问权限
• 三级要求：应由授权主体配置访问控制策略，并严格限制默认账户的访问权限

安全审计：

• 应启用安全审计功能，覆盖每个用户、对重要安全事件和重要安全行为进行审计
• 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功等
• 审计记录应受到保护，避免未授权删除和修改
• 三级要求：审计进程应受到保护，确保未被中断，审计记录保存时间≥6个月

入侵防范（主机层）：

• 应遵循最小安装原则，仅安装需要的组件和应用程序
• 应关闭不需要的系统服务、默认共享和高危端口
• 应及时检测并修复重要程序、文件系统存在的完整性遭到破坏的情况
• 三级要求：应能够检测到对重要节点进行入侵的行为，并进行报警

实现方式：部署主机入侵检测系统（HIDS），如深信服EDR的终端检测与响应模块，实时监控主机安全状态。

恶意代码防范（主机层）：

• 应安装防恶意代码软件或配置具有相应功能模块的软件
• 应及时更新防恶意代码软件版本和恶意代码库
• 应支持对防恶意代码的统一管理

数据完整性与保密性：

• 应采用校验技术或密码技术保证重要数据在传输和存储过程中的完整性
• 三级要求：应采用密码技术保证重要数据在传输和存储过程中的保密性
• 应提供重要数据处理系统（如数据库）的冗余设计，确保系统的高可用性

实现方式：数据库启用透明加密（TDE），敏感字段使用SM4算法加密，传输层使用TLS加密，重要数据配置冗余存储。

数据备份与恢复：

• 应提供重要数据的本地备份和恢复功能
• 应提供异地实时备份功能（三级要求）
• 应定期验证备份数据的可用性

实现方式：部署深信服aBackup企业级备份方案，配置本地+异地双重备份策略，定期执行备份恢复验证。

剩余信息保护：

• 应保证用户鉴别信息所在的存储空间被释放或重新分配前得到完全清除
• 应保证存有用户鉴别信息的存储介质在报废或重用前得到完全清除

4.5 安全管理中心建设

安全管理中心是等保2.0新增的核心要求（三级），是实现集中管理和统一监控的关键。

系统管理：

• 应对系统的安全策略、安全配置、日志管理和安全管理等进行统一管理
• 应在终端统一管理网络和安全设备、服务器和数据库等系统的安全状态

审计管理：

• 应对审计记录进行统一管理和分析
• 应能够对审计记录进行统计、查询和生成审计报告
• 应能够对异常行为进行告警

安全管理：

• 应能够对安全事件进行集中管理
• 应能够对安全设备进行统一管理
• 应能够对网络中的恶意代码进行统一防范

集中管控（三级要求）：

• 应能够对网络链路、安全设备、网络设备和服务器的运行状况进行集中监测
• 应能够对网络中的安全事件进行集中分析和处置
• 应能够对安全策略、恶意代码库和补丁升级等进行集中管理

实现方式：部署深信服SIP（安全运营平台）或第三方SIEM/SOC平台，实现日志集中收集、安全事件关联分析、统一告警和响应。深信服SIP支持对深信服全线安全产品的统一管理，包括NGAF、EDR、aTrust、aBackup等，形成统一的安全运营中心。

4.6 典型技术防护架构图

以下是一个等保三级系统的典型技术防护架构：

层级	安全设备/技术	等保要求覆盖
物理安全	门禁系统、视频监控、UPS、消防、防雷	安全物理环境
边界安全	深信服NGAF防火墙、WAF、IPS/IDS、防病毒网关	安全区域边界
网络安全	VLAN划分、ACL、VRRP、链路冗余	安全通信网络
主机安全	深信服EDR、堡垒机、漏洞扫描、补丁管理	安全计算环境
应用安全	双因素认证、Web防护、代码审计、数据加密	安全计算环境
数据安全	深信服aBackup、数据库审计、透明加密	安全计算环境
安全管理	深信服SIP、日志审计、运维审计、安全编排	安全管理中心

五、管理制度体系建设

5.1 安全管理制度体系架构

等保2.0对安全管理制度的要求分为四个层级：

层级	文档类型	内容	示例
第一层	安全方针/策略	总体安全方针和目标	《网络安全总体方针》
第二层	管理制度	各管理领域的总体要求	《安全管理制度》《人员安全管理制度》
第三层	操作规程	具体操作的流程和步骤	《系统变更操作流程》《应急响应操作规程》
第四层	记录/表单	执行过程中的记录	《安全事件记录表》《变更审批表》

5.2 必须建立的安全管理制度清单

根据等保2.0要求，企业至少应建立以下安全管理制度：

• 网络安全总体方针：明确安全目标、原则、组织结构和责任分工
• 安全管理制度：制度的制定、发布、评审和修订流程
• 人员安全管理制度：人员录用、离岗、考核、培训、外部人员管理
• 系统建设管理制度：定级备案、方案设计、产品采购、软件开发、工程实施、测试验收、交付、等级测评
• 系统运维管理制度：环境管理、资产管理、介质管理、设备维护、漏洞管理、备份恢复、安全事件处置、应急预案
• 网络安全管理制度：网络区域划分、访问控制、安全设备管理、安全策略管理
• 数据安全管理制：数据分类分级、存储加密、传输加密、备份恢复、数据销毁
• 密码使用管理制度：密码算法选择、密钥管理、密码设备管理
• 安全审计制度：审计范围、审计内容、审计记录管理、审计报告

5.3 安全管理机构设置

等保2.0要求企业设立专门的安全管理机构，明确各岗位职责：

• 安全主管领导：负责安全工作的总体规划和决策
• 安全管理员：负责安全策略配置、安全设备管理、安全事件处理
• 系统管理员：负责系统和网络设备的日常运维
• 审计管理员：负责审计记录的管理和分析，监督安全管理制度的执行
• 网络管理员：负责网络设备的配置和维护

三级系统要求：关键岗位应实行多人共管（如双人管理），避免单点风险。

5.4 安全培训与意识提升

华南腾飞科技建议企业建立常态化的安全培训机制：

• 新员工安全培训：入职时进行安全意识培训，签署保密协议
• 年度安全培训：每年至少组织一次全员安全意识培训
• 专业技能培训：针对安全管理员、系统管理员进行专业技能培训
• 钓鱼演练：定期开展钓鱼邮件模拟演练，检验员工的安全意识
• 安全意识宣传：通过内部公告、邮件、培训视频等方式持续宣传安全知识

六、深信服等保合规解决方案

6.1 方案概述

深信服作为国内领先的网络安全和云计算解决方案提供商，其等保合规解决方案在华南地区得到广泛应用。方案以"一个中心、三重防护"为核心理念，提供从差距评估到测评通过的全流程服务。

6.2 深信服核心产品矩阵

产品	功能定位	等保要求覆盖	适用等级
下一代防火墙（NGAF）	边界防护、入侵防御、WAF、病毒防护	安全区域边界、安全通信网络	二级/三级
终端检测与响应（EDR）	终端安全防护、勒索软件防护、补丁管理	安全计算环境	二级/三级
零信任访问控制（aTrust）	统一身份认证、双因素认证、零信任架构	安全计算环境（身份鉴别）	三级
数据库审计系统	数据库操作审计、SQL注入检测、异常行为分析	安全计算环境（安全审计）	三级
日志审计系统（LAS）	日志集中收集、关联分析、审计报告	安全管理中心	三级
安全运营平台（SIP）	安全事件集中管理、威胁情报、安全编排	安全管理中心	三级
堡垒机（运维审计）	运维操作审计、账号权限管理、操作录屏	安全计算环境、安全运维管理	二级/三级
企业级备份方案（aBackup）	数据备份与恢复、不可变备份、即时恢复	安全计算环境（数据备份恢复）	二级/三级
漏洞扫描系统	系统漏洞检测、配置核查、合规检查	安全运维管理（漏洞风险管理）	二级/三级

6.3 深信服超融合等保一体机方案

对于中小型企业，深信服提供超融合等保一体机方案，将计算、存储、网络和多种安全能力集成在一套硬件设备中，实现快速部署和统一管理：

• 一体机硬件：深信服超融合服务器，内置计算和存储资源
• 虚拟化平台：深信服aCloud超融合平台，提供虚拟化和分布式存储
• 安全能力：内置虚拟防火墙、WAF、入侵检测、日志审计、数据库审计等安全模块
• 管理界面：统一Web控制台，一站式管理计算资源和安全防护
• 等保合规：预置等保2.0标准安全策略模板，开箱即用

优势：部署周期短（1-2周），管理简单（统一控制台），性价比高，特别适合等保二级和中小型企业三级系统。

七、等保测评准备与通关

7.1 测评机构选择

选择具有公安部颁发资质的测评机构是关键。深圳市有多家具备等保测评资质的机构，企业选择时应关注：

• 资质等级：推荐选择具有三级测评资质的机构
• 行业经验：优先选择有同行业测评经验的机构
• 测评周期：一般测评周期为2-4周（含现场测评和报告出具）
• 服务口碑：参考其他企业的评价

7.2 测评流程

等保测评流程包含以下阶段：

1. 测评准备：与测评机构沟通，准备测评材料（系统说明、网络拓扑、安全管理制度等）
2. 方案编制：测评机构制定测评方案，确定测评范围、方法和工具
3. 现场测评：测评人员到现场进行技术测试和管理评估，包括：
   • 访谈：与系统管理员、安全管理员、网络管理员等进行访谈
   • 文档审查：审查安全管理制度、操作规程、记录表单等文档
   • 技术测试：使用专业工具进行漏洞扫描、渗透测试、配置核查等
   • 现场查看：查看机房环境、物理安全措施、安全设备部署情况等
4. 结果判定：根据测试结果，判定每个控制项的符合情况（符合/部分符合/不符合）
5. 报告出具：测评机构出具测评报告，给出综合得分和测评结论

7.3 测评结果判定规则

等保2.0测评结果分为"优"、"良"、"中"、"差"四个等级：

等级	得分	不符合项要求
优	≥90分	无高风险项，中低风险项≤3个
良	75-89分	无高风险项，中低风险项≤10个
中	60-74分	高风险项=0，中风险项≤15个
差	<60分	存在高风险项，或中风险项过多

测评结论为"优"、"良"、"中"时，系统通过测评；结论为"差"时，系统未通过测评，需要整改后复测。

7.4 测评准备清单

测评前，企业应完成以下准备工作：

• □ 等保定级报告及备案证明
• □ 系统拓扑结构图和网络说明文档
• □ 安全管理制度体系文档（全套）
• □ 安全设备配置文档和运行记录
• □ 安全事件记录和处理记录
• □ 安全培训记录和演练记录
• □ 备份恢复测试记录
• □ 漏洞扫描和修复记录
• □ 安全设备运行日志和审计报告
• □ 机房环境照片和检查记录
• □ 人员访谈准备（确定受访人员和访谈内容）

7.5 测评通关实战技巧

根据华南腾飞科技的实战经验，以下技巧可显著提高测评通过率：

技巧一：提前自查自纠

在正式测评前1-2个月，聘请第三方或内部安全团队进行一次模拟测评，提前发现并整改问题。模拟测评应尽量覆盖正式测评的所有检查项，尤其是技术测试部分。

技巧二：重视文档准备

测评中约40%的评分来自管理层面，而管理层面的评分高度依赖文档的完整性和规范性。务必确保所有安全管理制度、操作规程、记录表单等文档齐全且与实际执行一致。文档不是"写出来的"，而是"做出来的"——先有制度和流程，才有执行和记录。

技巧三：关注高风险项

高风险项是决定测评是否通过的"一票否决"项。以下控制项在测评中经常被判为高风险：

• 双因素认证（三级）
• 安全审计记录的完整性和保护
• 边界访问控制策略
• 数据备份与恢复能力
• 恶意代码防护

技巧四：做好人员访谈准备

测评中的访谈环节往往暴露管理制度的执行问题。建议提前对受访人员进行培训，确保他们了解相关制度和自己的职责。但不要"背答案"——测评人员经验丰富，一旦发现答案与实际不符，会深入追问。

技巧五：保留整改证据

如果在自查或预测评中发现了问题，应及时整改并保留整改前后的对比证据（如截图、配置文件、测试报告等）。这些证据可在正式测评时证明企业已积极整改，有助于降低风险等级判定。

7.6 测评未通过的整改

如果首次测评未通过，企业需要：

1. 仔细阅读测评报告：了解所有不符合项和测评人员的具体意见
2. 制定整改计划：按风险等级排序，优先整改高风险项
3. 逐项整改：针对每个不符合项，采取相应的技术和管理措施
4. 自行验证：整改完成后自行验证整改效果
5. 申请复测：整改完成后向测评机构申请复测

复测通常针对未通过的控制项进行，不会全量重新测评。整改周期一般为1-3个月，取决于不符合项的数量和整改难度。

八、等保合规持续运维

8.1 常态化安全管理

等保合规不是一次性工作，而是持续的过程。测评通过后，企业应建立常态化的安全管理体系：

日常运维：

• 每日：检查安全设备运行状态、查看安全事件告警、处理异常
• 每周：审查安全日志、检查漏洞扫描结果、更新安全策略
• 每月：执行备份恢复验证、进行安全审计分析、更新恶意代码库
• 每季度：组织安全巡检、进行渗透测试、评审安全策略
• 每半年：开展全员安全培训、进行应急预案演练、评估安全态势
• 每年：开展等级测评（三级）、进行安全风险评估、更新安全管理制度

变更管理：

系统发生变更（如新增功能、架构调整、设备更换）时，应按照变更管理流程执行：

1. 提交变更申请，说明变更内容和影响范围
2. 进行安全影响评估
3. 制定变更方案和回退方案
4. 审批后执行变更
5. 变更后验证安全功能
6. 记录变更过程和结果

重大变更可能影响等保合规状态，需要重新评估安全保护等级或进行补充测评。

应急管理：

建立完善的网络安全应急响应机制：

• 制定网络安全事件应急预案，明确事件分级、响应流程和处置措施
• 成立应急响应团队，明确各成员的职责和联系方式
• 每半年至少组织一次应急演练
• 与专业安全机构（如华南腾飞科技）建立应急合作关系
• 按照《网络安全法》和《数据安全法》要求，重大安全事件应在24小时内向公安机关报告

8.2 年度测评管理

等保三级系统要求每年进行一次等级测评。年度测评的管理要点：

• 测评时间安排：应在上次测评后12个月内完成，建议提前1-2个月准备
• 测评机构选择：可以更换测评机构，但应确保资质和信誉
• 持续改进：将测评结果作为持续改进的依据，不断提升安全防护水平
• 合规报告：年度测评报告是向监管部门证明合规的重要材料，应妥善保管

8.3 等保合规与网络安全法的衔接

等保合规是落实《网络安全法》第二十一条"国家实行网络安全等级保护制度"的具体体现。企业在等保合规过程中，还应同步关注：

• 《数据安全法》：要求建立数据分类分级保护制度，重要数据应进行重点保护
• 《个人信息保护法》：要求建立个人信息处理规则，保障个人信息权益
• 《关键信息基础设施安全保护条例》：关键信息基础设施运营者应履行更高的安全保护义务
• 行业监管要求：如金融行业的《银行业金融机构信息科技风险管理指引》、医疗行业的《医疗卫生机构网络安全管理办法》等

九、行业案例

9.1 案例一：深圳某制造企业等保三级合规项目

客户背景：深圳某中型制造企业，员工1000余人，拥有ERP、MES、PLM等核心业务系统，系统存储了企业核心生产工艺数据和客户订单信息。

面临挑战：

• 核心业务系统被监管部门要求达到等保三级合规
• 现有IT基础设施较为分散，未建立统一的安全管理体系
• 网络安全设备老旧，无法满足等保三级技术要求
• 安全管理制度缺失，安全管理职责不明确
• 距离合规期限仅剩4个月，时间紧迫

解决方案：华南腾飞科技为客户提供了"评估-整改-测评"一站式服务：

• 差距评估（第1-2周）：使用等保合规检查表对系统进行全面评估，识别出47个不符合项（其中高风险项5个）
• 技术整改（第3-8周）：
  • 部署深信服NGAF下一代防火墙，实现边界防护和入侵防御
  • 部署深信服EDR，覆盖所有终端和服务器
  • 部署深信服aTrust零信任访问控制系统，实现双因素认证
  • 部署数据库审计系统，实现数据库操作全审计
  • 部署深信服SIP安全运营平台，实现集中安全管理
  • 部署深信服aBackup备份方案，实现本地+异地双重备份
  • 重新规划网络架构，实现区域划分和访问控制
• 管理整改（第3-10周）：
  • 建立完整的安全管理制度体系（4层架构，共23份制度文件）
  • 设立安全管理机构，明确各岗位职责
  • 组织全员安全培训（2次，覆盖率100%）
  • 开展钓鱼邮件演练（2次）
  • 制定并演练网络安全应急预案（1次）
  • 建立变更管理和安全事件处置流程
• 模拟测评（第11周）：邀请第三方测评机构进行模拟测评，识别出8个遗留问题并立即整改
• 正式测评（第12周）：正式测评得分82分，评定等级"良"，顺利通过

实施成果：

• 一次性通过等保三级测评
• 网络安全防护能力全面提升，安全事件发生率下降90%
• 建立了可持续的安全管理体系
• 客户IT团队安全运维能力显著提升
• 项目总投入约45万元（含软硬件、服务、测评费用）

9.2 案例二：深圳某电商企业等保二级合规项目

客户背景：深圳某电商企业，员工200人，运营电商平台和APP，存储约50万用户的个人信息和交易数据。

面临挑战：

• 电商平台和APP涉及大量个人信息，需要等保二级合规
• 系统部署在公有云（阿里云），需要解决云环境下的等保合规问题
• IT团队仅3人，缺乏安全专业人员
• 预算有限（不超过15万元）

解决方案：华南腾飞科技针对云环境特点设计了轻量级等保合规方案：

• 云平台责任划分：明确云平台提供商（阿里云）负责物理安全、基础设施安全，客户负责云上系统的安全配置和管理
• 技术防护（依托云原生安全能力）：
  • 启用云WAF（Web应用防火墙），防护Web攻击
  • 启用云防火墙，实现网络访问控制
  • 启用数据库审计服务，实现数据库操作审计
  • 配置安全组规则，实现网络区域隔离
  • 启用云监控和日志服务，实现集中安全管理
  • 配置自动备份策略，实现数据保护
• 管理建设：
  • 制定适用于小微企业的安全管理制度（简化版，12份核心制度）
  • 明确安全岗位职责（由IT经理兼任安全管理员）
  • 组织全员安全意识培训（1次）
  • 制定应急预案并组织演练（1次）

实施成果：

• 以12万元预算完成等保二级合规建设
• 顺利通过等保二级测评，得分78分
• 充分利用云平台原生安全能力，降低了安全建设成本
• 建立了适合小微企业的轻量化安全管理体系
• 项目周期仅6周

十、常见问题解答（FAQ）

Q1：等保2.0与等保1.0有什么区别？

等保2.0相比等保1.0有三大升级：一是保护对象从传统信息系统扩展到云计算、大数据、物联网、工业控制、移动互联等新型技术场景；二是安全要求从"一个中心、三重防护"升级为增强版，增加了可信验证、安全管理中心等新要求；三是监管方式从被动合规转变为贯穿系统全生命周期的主动安全管理。

Q2：云上的系统需要做等保吗？

需要。等保2.0明确将云计算平台纳入保护范围。云上系统的等保合规需要区分云平台本身和云上系统的责任：云平台提供商负责基础设施的等保合规，云上系统的使用者负责系统层面的等保合规。大多数云服务商已通过等保三级或四级认证，但企业仍需对自身云上系统进行等保备案和测评。

Q3：等保测评必须每年做一次吗？

等保三级系统要求每年进行一次等级测评。等保二级系统建议每两年进行一次测评，但部分地区和行业监管部门可能要求更频繁的测评。具体应以当地公安机关和行业监管部门的要求为准。

Q4：等保合规需要多少预算？

等保合规的预算因系统等级、现有基础设施、整改难度等因素而异。一般来说：

• 等保二级：软硬件投入约5-15万元，测评费用3-5万元，总预算约8-20万元
• 等保三级：软硬件投入约15-50万元，测评费用6-10万元，总预算约21-60万元

如果充分利用云原生安全能力和现有IT基础设施，可有效降低预算。华南腾飞科技可提供免费的预算评估服务。

Q5：等保测评未通过怎么办？

测评未通过（结论为"差"）后，企业需要根据测评报告中的不符合项进行整改。整改完成后，向测评机构申请复测。复测通常针对未通过的控制项进行。建议在正式测评前进行模拟测评，提前发现并整改问题，提高一次通过率。

Q6：等保合规和ISO 27001有什么区别？

等保合规是中国法定的网络安全制度，具有强制性，由国家法律法规要求。ISO 27001是国际信息安全管理体系标准，是自愿性的认证。二者关注的重点不同：等保更关注技术防护措施和合规性，ISO 27001更关注信息安全管理体系的建立和运行。企业可以同时推进两项认证，实现互补。

Q7：等保三级系统的双因素认证怎么实现？

等保三级要求采用两种或两种以上组合的鉴别技术。常见的实现方式包括：密码+短信验证码、密码+动态令牌（如Google Authenticator）、密码+生物识别（指纹/人脸）、密码+硬件Token。华南腾飞科技推荐使用深信服aTrust零信任访问控制系统，支持多种双因素认证方式，且与企业现有身份系统（如AD/LDAP）无缝集成。

Q8：等保合规建设周期一般多长？

等保合规建设周期因系统等级和现状而异：

• 等保二级：差距评估1-2周，整改2-4周，测评1-2周，总周期约4-8周
• 等保三级：差距评估2-3周，整改4-8周，测评2-4周，总周期约8-15周

如果系统基础较好且整改项较少，周期可相应缩短。建议在项目启动前进行详细的差距评估，以便准确预估建设周期。

Q9：等保测评后还需要做什么？

等保测评通过不是终点，而是持续安全管理的起点。企业应建立常态化的安全运维管理体系，包括日常安全监控、定期漏洞扫描、季度安全巡检、年度安全风险评估和年度等级测评（三级）。同时，应根据业务变化和技术发展持续优化安全策略和防护措施。

Q10：如何选择等保合规服务商？

选择等保合规服务商应重点关注以下维度：资质和经验（是否有等保咨询和实施经验）、技术能力（是否具备完整的安全产品和技术方案）、行业案例（是否有同行业成功案例）、服务能力（是否提供从评估到测评通过的全流程服务）、价格透明度（是否有明确的报价和预算规划）。华南腾飞科技作为深信服金牌代理，拥有20余年IT服务经验和300+等保合规项目案例，可为企业提供专业的等保合规咨询服务。

结语

等保2.0合规建设是一项系统性工程，涉及技术防护、管理制度、人员能力等多个方面。对于深圳企业而言，等保合规不仅是法定要求，更是提升企业网络安全防护能力、保障业务连续性的必要手段。选择专业可靠的合作伙伴，采用科学合理的建设方法，可显著提高等保合规的效率和质量。

华南腾飞科技深耕华南地区IT服务20余年，拥有专业的等保合规技术团队和丰富的项目实施经验。我们以深信服产品为核心，结合客户的实际业务需求和预算情况，提供从差距评估、方案设计、整改实施到测评通关的一站式服务，帮助企业高效、经济地完成等保合规建设。