网络等级保护测评实施规范课件

等保2.0网络安全等级保护测评实施规范测评实施·合规落地汇报时间：2026CONTENTS课程导览从制度到新规的完整学习路径壹制度与法律基础建立等保2.0认知框架肆测评项与控制点逐层讲解技术与管理要求贰定级与备案走通定级要素与备案流程伍报告编制与整改落地报告与整改闭环叁测评流程与方法拆解六阶段与三类方法陆2026

新规前瞻把握数据安全与常态化监管制度与法律基础一个中心，三重防护01等级保护测评实施规范五大保护级划分安全强度定级依据重要程度保护对象在国家安全、经济建设、社会生活中的重要程度破坏危害遭破坏后对国家安全、社会秩序、公共利益及公民、法人合法权益的危害程度测评实务中，绝大多数企业系统集中在第二级与第三级。从业者须依据业务重要性与数据敏感度，判断系统对应的保护等级区间。等保2.0·测评实施·合规落地04/30壹自主保护级贰指导保护级叁监督保护级肆强制保护级伍专控保护级实务集中区等级保护测评实施规范法律义务来自网络安全法壹制度沿革法律定性：等保从「推荐标准」→升为法律强制义务贰测评定位不是单纯技术检测等保测评是对法定义务履行情况的符合性检验结论影响合规状态测评结论直接影响运营单位的合规状态等保2.0·测评实施·合规落地05/301994《计算机信息系统安全保护条例》首次提出安全等级保护概念2007《信息安全等级保护管理办法》标志制度正式实施2017《网络安全法》第二十一条明确国家实行等级保护制度等保2.0核心思想一个中心三重防护构架一个中心安全管理中心统一指挥中枢系统管理审计管理安全管理集中管控壹安全通信网络网络架构三重防护·逐层设防贰安全区域边界边界隔离三重防护·逐层设防叁安全计算环境主机应用三重防护·逐层设防取代1.0静态防护，强调动态防御测评实施时，所有单项判定最终回到此框架，逐层验证防护能力是否真实有效。等保2.0·测评实施·合规落地06/30定级与备案自主定级，专家评审，公安备案02等级保护测评实施规范定级要素取两者之高两大要素交叉判断受侵害客体公民法人合法权益社会秩序公共利益国家安全×侵害程度一般损害严重损害特别严重损害双线评估，取高定级业务信息安全等级系统服务安全等级两者取高最终保护等级等级保护对象定级结果逐项分析客体与受损后果，不凭业务规模直觉定级等保2.0·测评实施·合规落地08/30等级保护测评实施规范自主定级到公安备案审查04定级四原则自主定级专家评审主管部门审批公安机关备案05五步流程01确定对象02初步定级03专家评审04主管部门审批05公安备案审查02两个硬节点专家评审二级及以上系统必须组织专家评审并形成评审意见公安备案已运营系统定级后

10

日内

到设区的市级以上公安机关备案介入核验测评实施人员应核对定级报告与备案证明，确认测评对象与已备案范围一致。等保2.0·测评实施·合规落地09/30等级保护测评实施规范三级备案材料与变更时限壹

五类必交材料01系统拓扑结构及说明02安全组织机构和管理制度03安全保护设施设计实施方案或改建实施方案04信息安全产品清单及其认证销售许可证明05测评后符合安全保护等级的技术检测评估报告贰

两个关键时限10个工作日出具备案证明公安机关受理后10个工作日内出具备案证明。30日重新办理备案系统业务类型、服务范围、网络结构发生重大变化，或安全保护等级变更时，30日内重新办理备案——直接决定后续测评范围是否重新界定。材料不符的，公安机关将一次性告知补正内容。等保2.0·测评实施·合规落地10/30测评流程与方法六阶段闭环，三类方法并用03等级保护测评实施规范测评六阶段形成闭环测评机构主导（前四阶段）备案单位为主体·测评机构协助验收复查整改效果闭环不可缺环任一阶段缺失，测评结论即不可信。启动即前置项目启动时先与被测单位确认各阶段时间节点与交付物，合同、保密协议、调查表等前置文档一次性备齐。等保2.0·测评实施·合规落地12/3001测评准备测评机构主导02方案编制测评机构主导03现场测评测评机构主导04分析与报告编制测评机构主导05整改备案单位为主体测评机构协助06验收测评重复前期流程检查整改效果测评准备与方案编制准备与方案锁定边界壹·合同先行合同先行签订测评服务合同，约定范围、周期、人员、验收标准与付款方式；同步签署保密协议，明确保密责任。贰·调研摸底调研摸底项目启动后，通过信息系统基本情况调查表，掌握被测系统的资产、边界、数据流等详情。叁·方案锁定方案锁定确定与被测系统相适应的测评对象、测评指标及测评内容；必要时重用或开发测评实施手册，形成评审通过的测评方案。方案一旦锁定，现场测评即获得可执行的依据与边界等保2.0·测评实施·合规落地13/30等级保护测评实施规范技术测评与管理测评并行技术测评技术线物理安全网络安全主机安全应用安全数据安全及备份恢复管理测评管理线安全管理制度安全管理机构安全管理人员安全建设管理安全运维管理两类测评并行推进、同步留痕禁止重技术轻管理现场同步记录设备配置、访谈内容、制度文档与审计日志，确保每项结果可回溯至具体证据。等保2.0·测评实施·合规落地14/30等级保护测评实施规范三类方法按比例并用三类方法组合权重配置检查四成文档审查三成渗透测试三成访谈核实管理要求查看验证制度与记录配置核查比对设备基线安全测试发现可利用漏洞边界设备重配置核查Web应用重渗透测试管理项以访谈佐证与文档留痕为主等保2.0·测评实施·合规落地15/30等级保护测评实施规范判定逻辑与复测管理判定顺序单项单元整体整体测评做风险分析，找出系统现状与等级保护要求之间的差距，并评估差距导致的风险。结论三档符合基本符合不符合复测管理不通过的系统须整改后复测重复出现的问题重点标记情节严重的直接上报监管部门复测是一次完整的重新验证，不是针对个别问题点的补丁式检查。等保2.0·测评实施·合规落地16/30测评项与控制点技术五层，管理五层04等级保护测评实施规范技术五层面覆盖纵深防御纵深链路

DEPTHCHAIN机房网络边界主机三位一体框架

FRAMEWORK通用要求+扩展要求+高风险项31个技术类控制点二级等保要求；三级在此基础上继续增加逐层核查，不遗漏、不越界等保2.0·测评实施·合规落地18/30安全物理环境层面01安全通信网络层面02安全区域边界层面03安全计算环境层面04安全管理中心层面05等保测评·安全物理环境与安全通信网络物理环境与通信网络要点物理环境：八项控制点，一项否决项位置选择访问控制防盗窃破坏防雷击防火防水防潮温湿度电力供应机房温度18–28℃机房湿度40%–70%供电门槛双路市电+UPS物理访问控制缺失→直接判

高风险否决项通信网络：加密、分区、隔离传输加密核心数据传输须

SSL/TLS加密，杜绝明文分区分层网络架构分区分层，关键业务与普通业务隔离现场核验留痕门禁日志供电线路传输加密配置缺一不可等保2.0·测评实施·合规落地19/30等级保护测评实施规范边界与计算环境防护要求区域边界部署防火墙与IPS，默认拒绝未明确允许的通信互联网暴露设备端口最小化开放边界审计留存访问日志计算环境登录采用两种及以上鉴别技术组合定期清理冗余账号，落实最小权限敏感数据加密存储核验三查一防火墙规则是否冗余二账号权限是否越权三审计是否定位到人等保2.0·测评实施·合规落地2020/30等保2.0·管理要求管理五层面落地留痕制度总体方针、管理制度、操作规程、记录表单四层配套机构设专职安全岗，权责分离人员录用、离岗、培训、考核全周期留痕建设安全需求分析与系统同步建设运维漏洞扫描、备份恢复、应急演练制度不看有没有，只看有没有执行取证口径：近三个月运维、变更、审计记录可查等保2.0·测评实施·合规落地21/30等级保护测评实施规范扩展要求覆盖新型场景等保2.0在通用要求之外，增设安全扩展要求，覆盖五类新型场景。云计算虚拟化隔离服务商与租户责任划分物联网感知节点认证物理防护移动互联终端接入鉴别与管控工业控制生产网与办公网边界管控大数据数据全生命周期安全测评实施人员不能只按通用要求套模板，必须叠加对应扩展要求逐条核查。定级对象从传统系统扩大到新技术场景，是1.0与2.0的核心差别。等保2.0·测评实施·合规落地22/30报告编制与整改报告定结论，整改成闭环05等级保护测评实施规范报告结构承载测评结论报告由五大章节构成，每个结论都须有现场证据支撑，做到可核对、可回溯。报告依据《网络安全法》《数据安全法》《个人信息保护法》GB/T22239GB/T28448等标准等保2.0·测评实施·合规落地24/30壹概述与概况测评目的、依据、机构人员；业务功能、网络拓扑、主要资产。贰范围与方法明确测评对象边界与判定逻辑。叁指标体系与结论列出所依据的标准条款，给出整体定级建议与整改方向。等级保护测评实施规范结论三级符合判定标准符合率是唯一标尺——废除百分制，结论统一为符合、基本符合、不符合三级符合≥90%

符合率且无重大风险隐患基本符合60%–90%

符合率或≥90%但存在重大风险隐患不符合<60%

符合率未达基本符合门槛33项触发项新增重大风险隐患判定判定维度相关性严重性高发性如：渗透测试覆盖率不足如：零日漏洞无热补丁能力报告结论之外，必须逐项说明触发隐患的具体控制点。等保2.0·测评实施·合规落地25/30整改覆盖技术与管理并重整改依据差距报告制定方案，分短期、中期、长期推进，完成后经验收测评确认效果。技术整改补齐防火墙、IPS、WAF、日志审计、堡垒机修复高危中危漏洞，关闭无用端口部署本地加异地双备份管理整改完善贴合业务的安全制度，明确岗位职责留存培训记录每半年一次应急演练并编写报告只补设备不做制度，或制度照搬模板无落地证据，都会被复测点名。等级保护测评实施规范日志与资料闭环归档日志留存180天自动留存时长要求配置180天自动留存禁止手动清空开启日志备份解决时长不足·断档·丢失

三类问题资料归档系统拓扑图设备清单运维记录整改前后对比截图日志达标证明备案申请表杜绝资料缺失·信息不符·格式错误2026新规严禁临时部署设备凑数，所有设备需提前

7至15天

调试运行并留存完整运行日志。“证据链是整改验收的核心抓手设备运行异常或策略未生效均须完成闭环等保2.0·测评实施·合规落地27/302026新规前瞻数据安全一票否决06等保2.0·2026新规前瞻数据安全独立成域2026年6月1日，GA/T2380-2026《网络安全等级保护数据安全基本要求》落地，GA/T2381、2394、2395同步实施。不替代旧框架，而是新增独立控制域与