等保二级要准备什么？五个硬性要求与一份自查清单

先把流程搞清楚：等保不是「做个测评」

很多单位第一次接触等保，以为「找测评机构测一下」就完事了。实际上它是一个链条：

1. 定级——确定系统属于几级（二级最常见）
2. 备案——到公安机关备案，拿到备案证明
3. 建设整改——按对应级别的要求补齐技术与管理措施
4. 等级测评——由具备资质的测评机构出报告
5. 监督检查——监管部门定期或不定期检查

测评只是第 4 步。前 3 步没做扎实，测评一定过不了，而且会白花钱。

二级的五个硬性要求（按技术层面）

依据《网络安全等级保护基本要求》（GB/T 22239-2019），二级系统的要求分布在五个技术层面 + 一个管理层。下面说最容易出问题的部分。

1. 安全物理环境

机房要有门禁、防雷、防火、温湿度控制、供电保障。多数单位这一项通过租用合规机房或云平台解决，自建机房反而更难达标。

• 机房位置避免顶层、地下室等易漏水/易涝区域
• 有独立的门禁与出入记录
• 配备 UPS 与备用电源

2. 安全通信网络

• 网络区域划分合理，核心业务区与办公区隔离
• 关键网络设备与链路有冗余
• 重要数据传输采用加密（HTTPS / 专线）

3. 安全区域边界

• 边界部署防火墙，且有明确的访问控制策略
• 对非授权设备接入有检测或限制
• 入侵防范与恶意代码防范

这一项常被卡住的地方是「有防火墙但没有策略文档」——设备买了，策略是默认的，测评时拿不出证据。

4. 安全计算环境

这是最容易失分的部分，核心是「账号、日志、漏洞、备份」四件事：

日志留存六个月是被罚得最多的一条，也是最容易补的一条——但需要提前规划存储空间。

5. 安全管理（制度与人员）

很多技术做得不错的项目，最后卡在「没有制度文件」。二级要求至少具备：

• 安全管理制度（总则、授权审批、日常运维）
• 安全管理机构与岗位职责
• 人员安全管理（入职、离职、外部人员访问）
• 系统建设管理（开发、测试、上线、外包）
• 系统运维管理（变更、备份、应急预案与演练）

这些文件不需要写得很厚，但要和实际做法一致——测评老师会问操作人员「你们平时怎么做的」，答不上来就扣分。

自查清单（可直接对照）

三个常见的「白花钱」

误区一：先买设备再整改

设备清单应该由「差距分析」得出，而不是由销售推荐。先做一次自查或预评估，再决定买什么。

误区二：把测评当验收

测评是查漏，不是补漏。整改应在测评前完成，测评只是取证。

误区三：只做技术，不做制度

二级的技术分和管理分是并列的。制度文件缺失，技术做得再好也过不了。

时间与预算的量级

二级整改到测评通过，常见的周期是 1–3 个月，取决于现有基础与整改范围。预算跨度很大：如果机房与网络设备已有基础，主要是补策略、补日志、补制度；如果需要新增设备或迁移机房，成本会成倍上升。

建议顺序：先自查 → 出差距清单 → 再谈预算。反过来做，很容易买了用不上的设备。

想聊聊你的情况？

以上是我们做项目时的真实判断，不是标准答案。如果你的系统正卡在某个环节，可以带着具体问题来聊 20 分钟——不收费，也不推销。

你可以直接打电话 131 7668 8711，或在联系我们页面留言，我们会在 1 个工作日内回复。