网络安全等级保护 2.0 自 2019 年 12 月 1 日正式实施以来，已经从”建议做”变成”必须做”。《网络安全法》第二十一条明确国家实行网络安全等级保护制度，未落实等保要求导致数据泄露的，监管机构可依据第五十九条对运营者处以罚款。但在实操中，等保的合规口径经常被误读：把”过了测评”当作终目标、把”装了设备”当作完成整改、把”写过制度”当作合规。真正决定等保合规价值的，是分级判定、测评结论、整改留痕与监管凭证四个环节能否闭环。
等保 2.0 的标准框架与法律依据
等保 2.0 的标准编号是 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》。相比 2008 年开始执行的等保 1.0，2.0 有三处关键变化：第一，保护对象从传统信息系统扩展到云计算、移动互联、物联网、工业控制系统等新技术形态；第二，安全要求重新划分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个层面；第三，新增”可信验证”等要求。等保 2.0 与等保 1.0 不再是同一标准的版本号关系，而是整体框架的重构——1.0 标准在 2019 年 12 月 1 日 2.0 实施之日正式退出历史舞台。
系统分级与备案：五个级别的判定逻辑
等保分为五个级别：一级（自主保护）、二级（指导保护）、三级（监督保护）、四级（强制保护）、五级（专控保护）。其中二级和三级是绝大多数政企单位涉及的范围，二级适用于一般业务系统、内部办公系统等不涉及敏感信息的场景，三级适用于涉及大量个人信息、关键业务数据或面向公众提供服务的系统。定级流程包括自主定级、专家评审、主管部门审核、公安机关备案四个环节，最终由公安机关出具备案证明。值得注意的是，云上系统也要做等保——备案可在业务系统运维团队或其公司主体经营注册地向公安网警进行备案，与资源物理节点的地点无关；内网与专网的非涉密系统同样属于等保范畴。
测评结论解读：得分细则与等级判定
等保 2.0 测评结果包括得分与结论评价两个维度：得分为百分制，及格线为 75 分；结论评价分为优、良、中、差四个等级——90 分及以上为优、80 分及以上为良、75 分及以上为中、75 分以下为差。测评机构应具备相应资质，机构选择可参照等级保护网公布的《全国网络安全等级保护测评机构推荐目录》，优先考虑本地测评机构。测评周期一般 1-2 周，具体视系统数量与规模有所增减。一个二级或三级系统的整体等保建设周期通常为 2-3 个月，其中差距分析 2-3 周、方案设计 1-2 周、技术整改 3-6 周、管理整改 2-4 周。需要特别注意的是，测评结论”不符合”不代表工作白做——监管单位承认今年等保工作已经开展，只是目前系统问题较多、没达到相应标准；备案证明或加盖测评机构公章的测评报告，即是开展过等保工作的合规凭证。
整改合规口径：技术项与管理项的常见失分
等保整改的核心是技术项与管理项并重，管理项通常占测评分数的 30%-40%。技术项高频失分点包括：日志留存未达 6 个月且未集中采集、未配置防篡改机制；安全域划分不清、访问控制策略粒度不足；身份认证未启用双因素、运维通道未集中管控。管理项高频失分点是”纸面合规”——照搬模板编写安全管理制度，没有实际执行记录（培训记录、演练记录、巡检记录、检查记录），测评时被判为”形式合规”。整改的合规口径建议按”先解决高风险、中低风险持续改进”的原则推进，把每一条差距项映射到具体的责任人、时间窗口、验收凭证上。
等保、密评、关基三套体系的衔接
等保、密评、关保三套体系监管口径不同、适用对象不同，经常被混淆。等保依据《网络安全法》与 GB/T 22239，关注信息系统整体安全防护能力，由公安部门监管，适用于非涉密系统；密评依据《密码法》与 GB/T 39786，关注密码技术是否被合规、正确、有效地使用；关基则是在等保基础上对关键信息基础设施实行重点保护。等保三级及以上系统通常需要同时过密评，关键信息基础设施的运营者还需叠加关保要求。完整的安全合规建设不应将三套体系割裂，而应在差距分析阶段就统一识别、在整改阶段协同落地。
落地建议
等保建设的合规闭环建议按”定级备案—差距分析—整改方案—技术整改—管理整改—测评验收”六个阶段推进，每个阶段保留可追溯的凭证。建议在定级阶段就明确系统是否同时涉及密评与关保要求，避免事后返工；差距分析建议委托第三方机构执行以避免”自查视而不见”；整改方案按”先高风险、再中低风险”分批落地；测评验收后保留完整的备案证明、测评报告与整改台账，作为年度合规检查与监管问询的凭证。
如需了解等保建设的具体流程、设备配置与合规整改方案，可参考 网络安全等级保护建设方案，或在 价格咨询 页面提交需求获取针对性方案。