7. 网络安全-等保

文章目录

前言
一、到底什么是"等保"？🛡️
二、为什么要花钱过等保？💰
[三、哪些行业必须做？🏢](#三、哪些行业必须做？🏢)
[四、过等保的 5 个步骤（必背）📝](#四、过等保的 5 个步骤（必背）📝)
五、怎么定级？（二级还是三级？）📊
六、到底测什么？（考试内容）🧪
- [1. 技术层面（硬实力）](#1. 技术层面（硬实力）)
- [2. 管理层面（软实力）](#2. 管理层面（软实力）)
[七、常见问题 Q&A ❓](#七、常见问题 Q&A ❓)
[八、 ✨ 结语](#八、 ✨ 结语)

前言

等保‌

接触的项目都涉及到了等保，这等保是啥玩意儿？必须要过吗？

《网络安全法》都实施好几年了，如果你的系统还没做等保，那可是要在法律边缘疯狂试探的！

一、到底什么是"等保"？🛡️

等保，全称叫，网络安全等级保护。

官方定义很长，腿哥给翻译成易于理解的描述 就是：

国家要求我们对信息系统（网站、APP、云平台等）进行分等级的保护。

这就好比我们每个人的身体健康状况不同，需要不同等级的体检：

小感冒（低等级系统）：吃点药就行。
大手术（高等级系统）：必须进ICU，用最好的设备，最严的监控。

过等保 ，就是给你的系统做一次全身体检 和官方认证，证明你的系统够结实，扛得住黑客攻击。

二、为什么要花钱过等保？💰

除了"甲方要求"，核心理由就两个：

这是法律红线（合规） 👮‍♂️

《网络安全法》第二十一条明确规定：国家实行网络安全等级保护制度 。

如果不做，一旦出了安全事故（数据泄露、被黑客篡改），不仅要罚款，负责人可能还要承担法律责任。不做等保 = 违法裸奔。
为了系统命硬（避险） 📉

通过等保测评，能帮你发现系统的漏洞（Bug）、管理上的死角。把由于安全问题导致的业务中断风险降到最低。

三、哪些行业必须做？🏢

基本上，只要你有信息系统，特别是涉及用户数据、公共服务的，都跑不掉。重点点名以下行业：

• 🏛 政府机关：各大部委、省市县政府、事业单位。
• 💰 金融行业：银行、证券、保险（钱袋子最重要）。
• 🏥 医疗卫生：医院、疾控中心（病人数据）。
• 🎓 教育行业：高校、职校。
• ⚡ 能源电信：电力、石油、移动/联通/电信运营商。
• 🏢 企业单位 ：特别是上市公司、央企、大中型企业。

四、过等保的 5 个步骤（必背）📝

很多兄弟以为交钱就能拿证，错！这是一套完整的流程：

1. 定级：自己先判断系统属于哪一级（二级还是三级？）。
1. 备案：去公安局网安部门交材料，拿《备案证明》。
1. 建设整改：买防火墙、买WAF、改代码、补漏洞。
1. 等级测评：找有资质的第三方测评机构来"考试"。
1. 监督检查：公安网安叔叔会定期来检查。

五、怎么定级？（二级还是三级？）📊

这是大家最纠结的。定级主要看：系统坏了，会对谁造成多大影响？

影响程度	公民/法人权益	社会秩序/公共利益	国家安全	建议等级
一般损害	第一级	第二级	第三级	二级/三级
严重损害	第二级	第三级	第四级	三级
特别严重	第三级	第四级	第五级	三级/四级

• 腿哥经验：
• 二级：一般企业内部系统，或者用户量不大的非交易类系统。
• 三级：涉及交易、支付、大量公民个人隐私的重要系统（通常被称为"等保三级"，是目前企业过得最多的高标准等级）。

六、到底测什么？（考试内容）🧪

测评机构拿着几百项检查表来，主要查这两大块：

1. 技术层面（硬实力）

• 物理环境：机房有没有防火防盗防静电？
• 通信网络：传输加密了吗？带宽够不够？
• 区域边界 ：防火墙 有了吗？WAF（Web应用防火墙）上了吗？访问控制做了吗？
• 计算环境：服务器有没有装杀毒软件？身份鉴别（密码复杂度）够不够？

2. 管理层面（软实力）

• 制度：有没有安全管理制度？（纸质文档）
• 人员：有没有专职安全员？有没有做背景调查？
• 运维：操作有没有日志审计？

七、常见问题 Q&A ❓

Q1：多久测一次？

• 三级系统 ：每年至少测一次！（严）
• 二级系统：建议每两年一次（部分行业强制两年一次）。

Q2：去哪里备案？

• 市级单位：找当地市公安局网安支队。
• 县级单位：先交县网安大队，再转交市支队。

Q3：测评没过怎么办？

别慌，不会抓人。

1. 看报告：测评机构会给你一份整改建议。
1. 补短板 ：缺制度补制度，缺设备买设备。
  三级系统通常强制要求有 WAF 和 下一代防火墙，传统的包过滤防火墙通常过不了基于内容的访问控制要求。
1. 复测：整改完了再测一次，直到达标。

Q4：拿到测评报告就完事了？

报告一式四份：

• 测评机构留 1 份
• 你自己留 2 份
• 报送公安网安 1 份（这个最重要！）

八、 ✨ 结语

"等保"不是为了应付检查的"面子工程"，而是企业信息安全的"护身符"。不要等到数据被脱库、网站被挂马、网安上门喝茶的时候，才后悔没做等保。作为网工，推动系统合规，也是我们职业生涯中的重要一课！

本文的引用仅限自我学习如有侵权，请联系作者删除。
参考知识
究竟什么叫等保？