在数字化全面渗透的今天，政务平台、医疗系统、金融服务、企业核心业务系统承载着海量敏感数据与关键业务，网络安全合规早已不是 “可选加分项”，而是所有运营单位必须守住的合规底线。而网络安全等级保护（简称 “等保”），正是我国网络安全领域的基本国策与核心制度，是国内网络安全体系的基石。

很多人对等保的认知停留在 “走流程、过测评”，实际上等保是一套覆盖定级、备案、建设整改、等级测评、监管检查的完整安全体系，既是合规要求，也是提升系统真实防护能力的核心抓手。本文从基础定义、发展历程、政策要求、测评流程到真实执法案例，系统拆解等保全流程，帮你从零吃透等保 2.0 全体系。

---

一、等级保护基础：定义、发展与核心体系

1.1 什么是等级保护？

网络安全等级保护的核心逻辑是 **“分等级保护，分等级监管”**：

• 对国家秘密信息、法人 / 公民专有信息、公开信息，以及存储、传输、处理这些信息的信息系统，按重要程度划分安全等级；
• 对信息系统使用的安全产品按等级管理，对发生的安全事件分等级响应处置；
• 遵循 **“系统重要程度与安全保护强度匹配”** 的核心原则，既避免保护不足带来的安全风险，也避免过度保护造成的资源浪费。

1.2 发展历程：从等保 1.0 到等保 2.0

我国等级保护制度历经二十余年发展，从政策铺垫到全面落地，逐步形成成熟的标准体系。

（一）等保 1.0 时代：制度从 0 到 1

• 1994-2003 政策奠基期：1994 年国务院颁布《中华人民共和国计算机信息系统安全保护条例》，首次提出等级保护概念；2003 年中办、国办发文明确实行信息安全等级保护，奠定政策基础。
• 2004-2006 试点准备期：公安部联合四部委开展全国范围的等级保护基础调查与试点工作，为全面推进落地积累经验。
• 2007-2010 正式启动期：四部门联合出台管理办法与实施通知，召开全国部署会议，等级保护制度正式全面实施。
• 2010-2016 规模推进期：公安部、国资委等多部门发文，推动测评体系建设，要求央企全面落实等保工作，制度覆盖范围快速扩大。

（二）等保 2.0 时代：适配新业态

随着云计算、大数据、物联网、工业控制等新业态普及，原有 1.0 标准已无法覆盖新场景，等保 2.0 应运而生：

• 2016 年：公安部网安局启动修订 GB/T 22239-2008 等系列旧标准；
• 2017 年：全国信安标委发布 2.0 系列标准征求意见稿，配套行业标准同步编制；
• 2019 年 5 月：《网络安全等级保护条例》正式发布，同年 12 月全面实施，我国正式进入等保 2.0 时代。

等保 2.0 核心升级：强化 **“一个中心（安全管理中心），三重防御（安全计算环境、安全区域边界、安全通信网络）”** 的防护思想，将保护对象从传统信息系统拓展至 “云大物智移” 全业态，保护力度与监管要求同步升级。

1.3 等保 1.0 vs 等保 2.0：核心差异对比

表格

对比维度	等保 1.0	等保 2.0
工作内容	定级、备案、建设整改、等级测评、监管检查五大基础环节	涵盖 1.0 全部动作，新增风险评估、安全监测、通报预警、数据防护、供应链安全、自主可控、综治考核等全维度要求
保护对象	仅覆盖传统网络和信息系统	拓展至云计算、大数据、物联网、工业控制、基础信息网络等新业态，实现全场景覆盖
防护思路	单点技术防护为主	以 “一个中心三重防御” 为核心的体系化纵深防护

1.4 法律与标准体系

等保制度并非空泛要求，而是有完整的上位法律、执行标准支撑的合规体系。

上位法律法规（确立制度地位）

• 《网络安全法》第二十一条：明确国家实行网络安全等级保护制度，从法律层面确立等保的法定地位；
• 《网络安全等级保护条例》：细化网络分等级保护、分等级监管的具体制度；
• 《关键信息基础设施安全保护条例》：针对关基单位提出更高等级的保护要求；
• 配套部委文件、中央政策文件：从行业、综治等多维度推动等保制度落地。

技术标准体系（指导落地执行）

• 上位基础标准：《计算机信息系统安全保护等级划分准则》（GB 17859-1999）
• 三大核心标准：
  • 《网络安全等级保护 基本要求》（GB/T 22239-2019）
  • 《网络安全等级保护 安全设计技术要求》（GB/T 25070-2019）
  • 《网络安全等级保护 测评要求》（GB/T 28448-2019）
• 配套指南：定级指南、实施指南、测评过程指南等，规范全流程操作细节。

---

二、五级等级划分：你的系统该定几级？

等级划分是等保工作的起点，等级高低直接决定了防护要求、测评频率与监管力度。系统等级根据 “被破坏后的影响范围与严重程度” 判定，共分为五级。

表格

等级	保护级别	备案与测评要求	破坏影响	典型场景举例
第一级	自主保护级	无需备案，无强制测评周期	损害公民、法人合法权益；不危害国家安全、社会秩序与公共利益	小型私营企业内部管理系统、个体工商户点餐 / 库存软件、中小学非关键教学辅助系统
第二级	指导保护级	公安部门备案，建议每 2 年测评 1 次	严重损害公民 / 法人合法权益；对社会秩序、公共利益造成一般损害；不危害国家安全	县级政府部门普通办公系统、地市级企业非核心业务系统、普通员工培训 / 客户管理系统
第三级	监督保护级	公安部门备案，每年测评 1 次	严重损害社会秩序、公共利益；损害国家安全；对公民权益造成特别严重损害	银行核心业务系统、大型电商交易系统、省级政务重要系统、税收征管系统、三甲医院核心业务系统
第四级	强制保护级	公安部门备案，每半年测评 1 次	特别严重损害社会秩序、公共利益；严重危害国家安全	省级以上电网调度系统、电信骨干网信令控制系统、涉密科研机构关键业务系统
第五级	专控保护级	公安部门备案，按特殊安全需求管控	对国家安全造成特别严重损害	核电站核心控制系统、国家战略级军事指挥系统

关键提示：关键信息基础设施（CII） 关系国家核心利益、国计民生与社会秩序，遭破坏后可能危害国家安全、公共利益的网络基础设施、生产控制系统与重要数据资源，安全保护等级原则上不低于第三级，监管要求与处罚力度远高于普通系统。

---

三、等保政策体系：责任分工、合规价值与法律红线

3.1 管理对象与参与主体分工

等保工作不是单一部门的任务，而是多方协同的体系化工作，核心管理对象分为两类：

• 技术要求：覆盖物理安全、网络安全、主机安全、应用安全、数据安全五大维度；
• 管理要求：涵盖安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理五大模块。

四类核心参与主体各司其职，共同完成等保落地：

1. 系统运营单位：等保责任主体，承担主体责任，负责落地物理环境、管理体系建设，配合测评与整改；
2. 测评 / 咨询机构：第三方专业机构，提供等级测评、风险评估、整改规划服务，确保整改符合国标要求；
3. 安全厂商：提供防火墙、入侵检测、主机加固、日志审计等安全产品与部署方案；
4. 系统集成商：负责安全设备现场部署、策略配置与系统安全设置落地。

落地场景举例：某三甲医院 HIS 系统（等保三级）整改

1. 测评机构预评估发现：机房无恒温恒湿系统（物理安全缺失）、核心交换机无流量审计（网络安全缺失）；
2. 院方负责采购恒温恒湿设备，完善机房管理制度；
3. 安全厂商提供带审计功能的交换机与配套部署方案；
4. 集成商现场安装设备、配置审计策略，院方同步培训运维人员；
5. 整改完成后，测评机构开展正式测评，出具合规报告。

3.2 企业为什么必须做等保？四大核心价值

很多单位认为等保是 “应付监管的形式主义”，实际上等保兼具合规价值与安全价值：

（1）真实提升系统防护能力

等级测评的本质是给系统做 “全面安全体检”，能精准发现系统内外部的安全风险与脆弱点。通过整改补全物理、网络、主机、数据层面的防护短板，可大幅降低被攻击、被勒索、数据泄露的风险，保障核心业务连续稳定运行。

（2）满足国家法定合规要求

等级保护是我国信息安全的基本国策，《网络安全法》第二十一条明确将其定为法定义务。不开展等保工作，本质上就是违反国家法律法规，面临监管处罚风险。

（3）契合行业主管监管要求

金融、电力、医疗、教育、广电等行业主管单位均有明确文件要求落实等保工作，公安、网信办、通管局等监管部门也会定期开展检查。未完成等保的单位无法通过行业合规校验，影响正常业务运营。

（4）降低安全事件责任风险

发生重大网络安全事件时，监管部门调查的首要依据就是 “是否落实等级保护制度”：

• 未开展等保：会直接被认定为安全工作履职不到位，处罚更重；
• 已落实等保：可证明已按国家要求完成基础防护，主观上已履行安全义务，责任认定与处理结果会更合理。

3.3 法律红线：未落实等保的处罚标准

根据《网络安全法》第五十九条，未履行等级保护义务实行 **“双罚制”**，同时处罚单位与直接责任人：

• 普通网络运营者：责令改正、警告；拒不改正或造成危害后果的，处 1 万 - 10 万元罚款，直接责任人处 5000 元 - 5 万元罚款；
• 关键信息基础设施运营者：处罚力度升级，处 10 万 - 100 万元罚款，直接责任人处 1 万 - 10 万元罚款。

3.4 真实执法案例警示

等保处罚并非纸上谈兵，全国各地已有大量真实执法案例，覆盖医疗、教育、事业单位、公共服务等多个行业。

案例 1：重庆永川某私立医院勒索病毒事件

• 事件：医院未落实等级保护义务，服务器遭黑客植入勒索病毒，核心业务瘫痪、诊疗停摆；系统存在多业务共用服务器、无边界防护、无日志审计、无数据备份等多重隐患。
• 处罚：医院罚款 1 万元，直接责任人员罚款 5000 元。
• 警示：医疗系统直接关系民生与公共服务，等保缺失极易造成业务中断，影响群众就医。

案例 2：新乡市封丘县图书馆网站被攻击事件

• 事件：图书馆网站未采取攻击防范技术措施，遭非法入侵篡改。
• 处罚：图书馆罚款 2 万元，直接责任人罚款 5000 元，同时文化部门给予责任人行政警告。
• 警示：公共文化服务机构同样属于等保覆盖范围，未落实要求将面临经济 + 行政双重处罚。

案例 3：安徽蚌埠怀远县教师进修学校未备案事件

• 事件：学校网站未完成等保定级备案与测评，遭黑客攻击入侵。
• 处罚：约谈法定代表人与分管副县长；学校罚款 1.5 万元，分管副校长罚款 5000 元。
• 警示：等保是 “一把手” 工程，教育行业涉及师生敏感信息，管理责任会逐层落实到人。

案例 4：淮南职业技术学院数据泄露事件

• 事件：系统存在高危漏洞，未落实等保防护要求，导致 4000 余名学生信息泄露；存在无防护措施、日志留存不足、无数据备份加密等问题。
• 处罚：责令整改，给予行政警告。
• 警示：高校是数据集中地，等保缺失会导致大规模个人信息泄露，严重损害师生权益。

---

四、等保测评全流程：从定级到交付全拆解

4.1 什么是等级测评？

等级测评，是指具备资质的第三方测评机构，依据国家等保制度、管理规范与技术标准，对非涉密信息系统的安全等级保护状况进行检测评估。

可以简单理解为给信息系统做 “安全体检”：测评机构是 “医生”，等保国家标准是 “体检标准”，最终输出的测评报告就是 “体检报告”，客观判断系统是否达到对应等级的安全要求。

4.2 等保全生命周期五大环节

等保不是一次性工作，而是持续循环的全生命周期流程，核心分为五大阶段：

1. 定级（前置环节）：由运营单位主导，依据定级指南判定系统安全等级，二级及以上系统需主管部门审核；
2. 备案（监管环节）：运营单位向属地公安部门提交备案材料，将系统纳入官方监管体系；
3. 建设整改（实施环节）：按对应等级要求补全安全措施，采购安全设备、优化管理制度，安全厂商与集成商提供技术支持；
4. 等级测评（验证环节）：第三方测评机构开展现场测评，评估系统是否符合等保要求，出具测评报告；
5. 监督检查（监管环节）：公安、网信等监管部门定期开展监督检查，持续督促单位落实安全义务。

4.3 不同行业定级参考

不同行业有专属的定级指南，核心系统定级有明确的行业规范：

• 教育行业：重点建设高校的门户网站、财务系统、校园一卡通、教务系统定为三级；普通高校系统定为二级；中小学系统定为一级；
• 电力行业：省级及以上能量管理系统建议定为四级，变电站、配网自动化系统按覆盖范围分级；
• 卫生行业：三甲医院核心业务系统（HIS、LIS、EMR、PACS）、国家 / 省级卫生信息平台，原则上不低于三级；
• 其他行业：证券期货、金融、烟草、税务等均有专属行业标准，对应核心系统普遍不低于三级。

4.4 测评实操 6 步流程

单次等级测评的常规工期为 30-60 天，由测评机构按标准化流程执行：

1. 资产调研（测评准备） 梳理系统架构、业务流程、管理制度、资产清单，明确测评范围，绘制网络拓扑图，统计服务器、网络设备数量与功能。

2. 启动会议（流程确认） 与运营单位召开启动会，确认测评范围、进度计划、分工对接人，同步测评纪律与要求。

3. 现场评估（核心环节） 通过人员访谈、文档审查、技术检测（漏洞扫描、配置核查、渗透测试等），全面排查安全隐患，验证防火墙策略、日志留存、身份认证等是否达标。

4. 末次会议（问题反馈） 现场测评结束后，向运营单位通报发现的安全问题，提出整改方向与建议。

5. 整改加固（协助优化） 测评机构出具整改建议方案，运营单位联合安全厂商完成整改；测评机构可协助验证整改效果（依合同约定）。

6. 报告交付（成果输出） 编制正式等级测评报告，交付运营单位，同步完成公安备案提交，全流程结束。

4.5 核心交付成果

1. 《信息系统安全等级保护测评报告》：一式 3 份，单位留存、测评机构存档、公安部门备案各 1 份；
2. 《信息系统安全建设整改方案》：针对性指导单位补全安全短板；
3. 信息系统安全等级保护备案证明：系统完成合规备案的法定凭证。

---

五、等保 2.0 核心要求：一个中心，三重防御

等保 2.0 的核心防护思想是 **“一个中心，三重防御”**，技术要求与管理要求双管齐下，构建体系化的纵深防护能力。

5.1 技术要求：五大维度筑牢技术防线

（1）安全物理环境

聚焦机房物理基础安全，涵盖物理位置选择、门禁访问控制、防盗窃破坏、防雷防火、防水防潮、温湿度控制、稳定电力供应、电磁防护等，保障硬件设施稳定运行。

（2）安全通信网络

关注网络传输与架构安全，要求网络合理分层、冗余设计，通信传输加密与完整性校验，设备身份可信验证，防止数据在传输过程中被窃听、篡改。

（3）安全区域边界

守护网络区域之间的访问关口，通过边界隔离、细粒度访问控制、入侵检测拦截、恶意代码过滤、全流量安全审计、终端可信校验，抵御外部非法渗透。

（4）安全计算环境

围绕主机、应用与数据安全，包含多因素身份鉴别、最小权限访问控制、全操作安全审计、主机入侵防范、恶意代码防护、数据加密存储、数据备份恢复、个人信息保护等，是数据安全的核心防线。

（5）安全管理中心

实现安全能力集中管控，包含系统统一管理、日志集中审计分析、安全策略统一下发、应急联动处置、可视化安全监控，整合分散的安全能力，提升运维与响应效率。

5.2 管理要求：五大维度完善管理体系

技术是基础，管理是保障。等保 2.0 对管理体系提出全流程要求：

1. 安全管理制度：建立完整的安全策略、管理制度体系，定期评审更新，确保管理有章可循；
2. 安全管理机构：设置专属安全岗位，明确人员分工，规范权限审批、跨部门协作、定期审核检查；
3. 安全管理人员：覆盖人员全生命周期管理，包含背景审查、离岗权限回收、安全意识培训、外部人员访问管控；
4. 安全建设管理：贯穿系统建设全流程，从定级备案、方案设计、产品选型、开发管控到测试验收、系统交付，全程管控安全质量；
5. 安全运维管理：覆盖日常运维全场景，包含机房环境、资产台账、介质管理、漏洞修复、配置管控、密码管理、变更审批、数据备份、应急响应、外包运维监管等。

---

写在最后

很多人对等保有误解，认为它是 “花钱走流程”，但实际上，等保的核心价值从来不是 “拿一张备案证明”，而是以合规为抓手，倒逼单位补齐安全短板，建立体系化的安全防护能力。

从合规角度看，等保是网络安全的底线要求，是所有运营单位必须履行的法定义务；从安全角度看，等保 2.0 的 “一个中心三重防御” 体系，覆盖了从物理到数据、从技术到管理的全维度防护，是经过多年验证的、最适合国内单位的安全建设框架。

对于单位而言，无需盲目追求高等级，只需根据系统的实际重要程度定级，按对应标准落实防护要求，定期开展测评与整改，就能同时守住合规底线与安全防线。

合规提示：本文为网络安全等级保护知识科普，具体落地请以最新国家标准、属地监管要求为准。开展等保工作请选择具备正规资质的测评机构与安全服务商。