网络安全等级保护是什么
等保 2.0 以 GB/T 22239-2019 为核心标准，按系统一旦遭到破坏后的危害程度定级（一级至五级）。它在通用安全要求之外，叠加云计算、移动互联、物联网、工业控制等扩展要求；流程是定级、备案、建设整改、等级测评与监督检查的闭环。
基本框架
| 基本流程 | 定级 → 备案 → 建设整改 → 等级测评 → 监督检查 |
|---|---|
| 要求结构 | 安全通用要求 + 扩展要求（云、移动互联、物联网、工控等） |
| 责任主体 | 运营使用单位承担主体责任，行业主管部门负责监督 |
| 测评节奏 | 三级及以上系统通常需每年测评一次，具体以行业主管要求为准 |
典型使用场景
- 新建业务系统上线前确定定级并完成备案
- 年度合规计划：安排等级测评与整改闭环
- 云上系统迁移时对照云计算扩展要求核查责任边界
- 安全检查前自查：身份鉴别、访问控制、日志留存等常见缺项
- 系统重大变更后重新评估定级是否需要调整
常见整改项示例
常见整改项示例
身份鉴别：双因素认证、口令复杂度与定期更换
访问控制：最小权限、授权审批、特权账号集中管理
安全审计：日志集中留存不少于六个月，防篡改
入侵防范：补丁与基线管理、漏洞扫描与告警
数据安全：敏感数据加密存储、传输通道加密
# 定级文档与整改证据要能对应到具体控制项定级与要求的关系
| 定级 | 影响程度 | 合规动作 |
|---|---|---|
| 一级 | 影响公民、法人合法权益 | 自主保护，按规定备案 |
| 二级 | 影响社会秩序与公共利益 | 备案并按标准开展测评 |
| 三级 | 影响社会秩序与公共利益（严重） | 备案、整改并每年测评 |
| 四级及以上 | 影响国家安全 | 更严格的控制与监管要求 |
定级偏低是有代价的：范围与要求不足时，监督检查可能要求重新定级整改，前期投入白费；定级前应结合业务影响与主管要求充分论证。