等保 2.0 是什么，哪些单位必须做

一句话：等保 2.0 是《网络安全法》确立的等级保护^释等级保护网络安全等级保护（等保）是中国对网络与信息系统按重要程度分级保护的安全管理制度。系统需定级、备案、建设整改、测评，并按级别接受监督检查。制度的现行标准体系。系统按受侵害的客体与程度定级，一级最低、五级最高，企业最常见的是二级。

哪些情况会碰到

• 为政府、国企、事业单位做系统，招标文件里通常直接要求「具备等保二级及以上测评报告」。
• 医疗、教育、金融、能源等行业的主管部门有明确的定级备案要求。
• 收集大量个人信息、涉及重要数据的平台，监管检查时会看等保落实情况。

纯展示型官网一般不在定级范围内，但一旦涉及用户注册、交易、个人信息处理，就很容易被要求定级。

做等保的五个阶段

1. 定级由运营使用单位组织专家或按行业标准确定等级，形成定级报告。
2. 备案二级及以上到属地公安机关网安部门备案，提交定级报告与系统说明。
3. 建设整改按对应等级的基本要求整改：身份鉴别、访问控制、安全审计、入侵防范、数据备份等。
4. 测评委托有资质的测评机构做等级测评，出具报告。
5. 监督检查公安机关定期检查，二级系统一般每年测评一次，三级要求更严。

注意：等保不是买台设备就能过。测评看的是制度、配置、日志^释日志定时任务是按预设时间自动执行的程序，用于对账、报表、清理、同步等周期性工作；日志是程序运行时产生的记录，用于排查问题、审计与监控。、权限管理^释权限管理RBAC（Role-Based Access Control，基于角色的访问控制）是把权限授予角色、再把角色授予用户的权限模型。用户不直接拥有权限，而是通过角色间接获得。的整体落实，临时补设备补不出报告。有投标计划的，至少提前半年启动。

二级常见的整改项

• 身份鉴别：口令复杂度与定期更换、登录失败处理、远程管理双因素。
• 访问控制^释访问控制零信任是一种安全架构理念：不默认信任任何内部或外部的访问请求，每次访问都要验证身份、设备与权限，并按最小权限授予。：最小权限、默认账户改名或禁用、权限分离。
• 安全审计：日志留存不少于六个月，覆盖登录、操作、异常。
• 入侵防范：最小安装、关闭多余服务、漏洞及时修补。
• 数据备份^释数据备份数据备份是把数据复制到另一位置以防丢失；容灾是在灾难发生时保证系统能继续运行或快速恢复的能力。备份关注数据，容灾关注服务。：重要数据本地备份，定期恢复演练。

成本与周期

费用主要是测评服务费与整改投入，整改通常比测评费更高。周期上，定级备案到拿到测评报告常见几个月，涉及新建系统或大改的会更久。判断要不要做，先看你的客户与行业，而不是先看价格。

资料来源

• 《网络安全法》第二十一条：国家实行网络安全等级保护制度。
• GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》。
• GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》。