二级与三级差在哪
三级不是二级的「加强版形容词」，而是在 GB/T 22239-2019 里换了一整套略强的条款：远程管理要防传输窃听、安全审计要覆盖每个用户并保护审计记录、数据要有异地备份与重要系统热冗余、新增安全管理中心集中管控章节，测评周期也从按属地要求变成每年至少一次。整改与预算按等级取条款，不能互相顶替。
关键差异
| 维度 | 二级 | 三级 |
|---|---|---|
| 远程管理 | 按身份鉴别与访问控制要求管理 | 应防止鉴别信息在网络传输中被窃听 |
| 安全审计 | 审计记录基本要求 | 覆盖每个用户、保护审计记录、集中分析 |
| 数据备份 | 本地备份与恢复 | 本地加异地备份，重要系统热冗余 |
| 入侵防范 | 基础检测与防护 | 强化检测与阻断并留存记录 |
| 管理中心 | 无强制集中管控 | 要求安全管理中心集中管控 |
| 测评周期 | 按属地监管要求 | 每年至少一次 |
三级新增重点
- 远程管理全链路加密：SSH/HTTPS 替换 Telnet/HTTP，禁止明文传输鉴别信息
- 审计覆盖每个用户：含系统管理员与运维账号的操作记录，且记录不可被普通管理员随意删除
- 异地备份与热冗余：核心业务在主机或链路故障时可切换，切换过程有记录
- 集中管控：日志集中采集、集中监控、三权分立式的账号与权限管理
- 入侵防范增强：部署检测与阻断手段，告警处置与记录可追溯
基本信息
| 依据 | GB/T 22239-2019 对应级别条款 |
|---|---|
| 适用范围 | 定级结论为三级或被上级要求按三级建设的系统 |
| 测评要求 | 每年至少一次，报告按属地监管要求报送 |
| 常见触发 | 涉及大量个人信息、公共服务、行业关键业务 |
差异自查提示
差异自查提示
# 三步避免用错条款
1 先确认系统等级（定级报告与备案证明一致）
2 按对应级别逐项取条款，逐条记录现状与差距
3 涉及云计算、物联网等场景时叠加对应扩展要求
# 发现二级条款已满足但三级条款未满足，按三级口径整改典型使用场景
- 三级系统首次测评前的差距分析：快速识别二级到三级的增量工作量
- 年度预算编制：把异地备份、集中管控等增量投入单独列项
- 多系统统一整改：先按等级分组，再集中采购共用的日志平台与堡垒机
- 从二级升三级的过渡：业务扩大导致定级变化时，先做增量条款的补齐计划
三级条款多、覆盖面广，但并不意味着所有三级系统都要建双活数据中心：条款说的是重要系统要有热冗余与异地备份能力，具体形态可按业务连续性的实际需求与监管口径确定。
定级材料写三级而建设按二级做，是测评中最常见的批量不符合项来源；反过来按三级做二级系统只是资源浪费，不会带来合规风险。
升级前先算三笔账
- 能力账：集中日志平台、堡垒机、异地备份存储是否已有，缺什么补什么
- 人力账：三权分立需要独立的系统管理员、审计管理员、安全管理员岗位，一人兼多岗在三级不被认可
- 记录账：审计记录保护、异地备份恢复演练、告警处置都要有可追溯的台账，临时补记录很难自圆其说
二级升三级不一定要重建整套系统：优先补齐增量条款，把已有设备的能力用足（如防火墙的集中日志、VPN 的管理通道），再考虑新增采购。