二级要求概要
二级（指导保护级）是绝大多数地区业务系统的常见定级结果，覆盖安全物理环境、通信网络、区域边界、计算环境与管理制度等十个安全类，但条款强度明显低于三级：不强制异地备份与集中管控，远程管理加密等要求也不同。二级系统的义务不止测评，至少要落实身份鉴别、访问控制、安全审计与边界防护等基础项。
基本信息
| 定位 | 一般业务系统，受破坏主要影响合法权益或局部秩序 |
|---|---|
| 技术要点 | 身份鉴别、访问控制、安全审计、边界防护、恶意代码防范 |
| 管理要点 | 制度、责任人、人员管理与基础运维记录 |
| 强度差异 | 不强制异地备份与集中管控，条款强度低于三级 |
| 测评周期 | 按属地监管要求执行（办法未对二级规定强制周期） |
| 备案要求 | 二级及以上系统按要求办理备案 |
典型使用场景
- 一般企业内部管理系统完成定级后按二级条款组织整改
- 预算有限时按二级基础项排优先级，先把身份鉴别与审计做实
- 接受检查时对照二级条款说明建设强度与投入依据
- 系统升级为对外服务后复核定级，判断是否需提高等级
- 集团下属单位统一按二级基线建设，减少逐项目论证成本
二级常见整改动作
二级常见整改动作
口令策略与账号清理
日志留存对齐 6 个月法规要求
边界访问控制与补丁管理
备份与恢复基本策略二级与三级主要差异
| 维度 | 二级 | 三级 |
|---|---|---|
| 身份鉴别 | 口令复杂度与失败处理 | 两种以上组合鉴别，其中一种使用密码技术 |
| 日志审计 | 覆盖重要用户与事件 | 集中审计与集中管控要求更明确 |
| 剩余信息保护 | 无专门条款 | 涉及鉴别信息与敏感数据清除 |
| 备份 | 本地备份为主 | 重要系统要求异地备份 |
| 测评周期 | 按属地要求 | 通常每年一次 |
等级确定的依据是业务影响，不是预算或同行做法。若实际影响达到三级口径却按二级建设，测评与检查环节仍需解释并可能被要求重新定级。
二级系统虽然条款强度低，但日志留存六个月、账号权限回收、初始口令修改等基础项一样会被查，这些动作成本低而收益高，建议优先完成。