这份标准管什么
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》是等保 2.0 的核心标准，2019-12-01 实施。它由「安全通用要求」和四类「安全扩展要求」组成：通用要求适用于所有对象，扩展要求只在对象涉及云计算、移动互联、物联网、工业控制系统时叠加使用。标准对第一级至第四级分别给出差异化条款，第五级按特殊安全需求另行确定。整改、自评估与测评都以它的条款为基准。
基本信息
| 标准号 | GB/T 22239-2019 |
|---|---|
| 实施日期 | 2019-12-01 |
| 构成 | 安全通用要求 + 四类安全扩展要求 |
| 通用要求结构 | 技术 5 类 + 管理 5 类，共十个安全类 |
| 级别覆盖 | 一级至四级给出条款；五级按特殊安全需求确定 |
| 配套使用 | GB/T 28448-2019 测评要求把条款转为测评项 |
十个安全类速记
十个安全类速记
# 技术类（5）
安全物理环境 / 安全通信网络 / 安全区域边界 / 安全计算环境 / 安全管理中心
# 管理类（5）
安全管理制度 / 安全管理机构 / 安全管理人员 / 安全建设管理 / 安全运维管理
# 扩展类（4）
云计算 / 移动互联 / 物联网 / 工业控制系统典型使用场景
- 编写整改方案：按十个安全类逐项列出条款、现状、差距与措施
- 测评前自评估：按同一套条款先自查，减少现场测评时的不符合项
- 新建系统设计评审：把条款写进设计说明书与招标技术要求
- 云上业务对标：在通用要求基础上叠加云计算安全扩展要求
- 工控与物联网场景：叠加对应扩展要求，避免只做通用要求
条款结构逐层读法
| 层级 | 含义 | 使用要点 |
|---|---|---|
| 安全类 | 如「安全计算环境」 | 确定整改章节归属 |
| 控制点 | 如「身份鉴别」 | 测评项按控制点分组 |
| 要求项 | 如「应对登录用户进行身份标识和鉴别」 | 整改的最小单位，逐条留证据 |
| 级别差异 | 同一要求项在二级与三级措辞不同 | 引用时写明级别，不能跨级套用 |
每一项要求都可以用「制度规定 → 系统配置 → 记录证据」三件套对照：三件齐全才算落实，缺一件通常判部分符合。
同一安全类在不同等级下的要求强度不同：等级越高条款越多、措辞越强（如三级明确要求「防止鉴别信息在网络传输中被窃听」），因此不能用二级的完成度去满足三级。
每条要求的证据三件套
- 制度规定：制度或操作规程中写明该要求，含适用范围、责任岗位与执行频率
- 系统配置：设备或系统上确有对应配置，能现场登录演示并截图留档
- 记录证据：日常执行痕迹，如审计日志、审批单、巡检表、变更单与演练报告
等级强度差异举例
| 要求项 | 二级 | 三级 |
|---|---|---|
| 远程管理 | 鉴别信息复杂度与登录失败处理 | 增强要求鉴别信息传输防窃听 |
| 审计范围 | 覆盖重要用户行为 | 覆盖每个用户并保护审计记录 |
| 备份恢复 | 本地备份与恢复 | 本地加异地备份、重要系统热冗余 |
| 管理中心 | 无强制集中管控章节 | 要求安全管理中心集中管控 |
标准附录给出的是术语、级别条款对照与说明性内容，用于理解与查表，不作为单独整改目标。