3.1 等级保护与网络安全法
一句话
等保不是 “买一批设备过测评”，而是 “按级别把管理和技术控制项落到日常”；网络安全法把这件事变成法定义务——级别决定你要做哪些控制、多久测评一次、出事谁担责。
五个级别与义务
| 级别 | 侵害对象/程度 | 典型系统 | 测评与监管 |
|---|---|---|---|
| 一级 | 公民合法权益，轻微 | 内部小工具 | 自主定级备案，一般不需测评 |
| 二级 | 公民权益/社会秩序，严重 | 一般企业业务系统 | 备案 + 测评（常见两年一次，以属地口径为准） |
| 三级 | 社会秩序/公共利益，严重 | 多数互联网平台、支付、医疗 | 备案 + 通常每年测评，监管检查频繁 |
| 四级 | 社会秩序/公共利益，特别严重 | 金融核心、能源、交通 | 更严，强制措施更多 |
| 五级 | 国家安全 | 极少数 | 特殊管理 |
⚠️ 具体测评周期、备案材料、监管口径各地有差异，落地前以属地网安部门与测评机构的口径为准。
控制项：技术 + 管理，两条腿
| 类别 | 关键控制项 | 落地物 |
|---|---|---|
| 技术 | 身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性与保密性、备份恢复 | 堡垒机、WAF、日志平台、加密、备份策略 |
| 管理 | 安全管理制度、机构与人员、系统建设管理、系统运维管理 | 制度文件、岗位职责、变更/运维记录 |
只做技术不做管理是最常见的失败：测评时 “制度缺失、记录缺失” 直接扣分，且出事时无法证明 “你尽力了”。
代码：把控制项写成可检查的清单
# 等保三级控制项 → 技术措施 → 证据（测评时要能拿出来）
controls:
- id: AC-01 身份鉴别
measure: 统一 SSO + 强密码策略 + 双因素（管理员）
evidence: [SSO 配置, 密码策略截图, MFA 覆盖率报表]
- id: AU-01 安全审计
measure: 全量操作日志 + 集中存储 + 保留 ≥6 个月 + 防篡改
evidence: [日志平台配置, 保留策略, 完整性校验报告]
- id: RC-01 备份恢复
measure: 每日全量 + 增量 + 异地副本 + 季度恢复演练
evidence: [备份任务清单, 演练记录, RTO/RPO 实测]
# 用命令核对“审计日志是否真的留了 6 个月”
aws s3 ls s3://audit-logs/ --recursive | head -3
aws s3api get-bucket-lifecycle-configuration --bucket audit-logs # 看保留/归档规则
反模式
| 反模式 | 后果 |
|---|---|
| 把等保当 “一次性项目” | 测评过了就松，下一次复测全崩 |
| 只买设备不写制度 | 管理项扣分，且无法证明合规 |
| 日志只留 7 天 | 不满足审计要求，出事无法追溯 |
| 定级拍脑袋（都定二级） | 该三级的不定，出事责任更重 |
| 测评前突击补记录 | 记录时间线造假，检查一问就穿 |
| 不做恢复演练 | 备份 “有” 但恢复不了，等于没有 |
三条铁律
🔑 级别先定对；定低了是责任，定高了是成本。
🔑 技术与管理必须同时落地；缺一条都不算合规。
🔑 证据要日常产生，不能测评前补。
自检
Q1 为什么 “买齐设备” 不等于过了等保？
▸ 答案：因为等保是控制项 + 证据的评估：设备只证明 “你有能力”，还要证明 “你在用、有制度、有记录”。管理项（制度、人员、运维记录）缺失会直接扣分；而且设备买了不配策略，等于没有控制。
Q2 定级定低了有什么风险？
▸ 答案：法律责任与整改成本：该三级定二级，一旦出事，监管会认定 “未履行相应义务”，处罚更重；同时系统按低级别建设，安全能力不足，事故概率更高。定级要按 “侵害对象与程度” 评估，不是按 “想省事”。
Q3 审计日志为什么要 “防篡改”？
▸ 答案：因为日志是事后追责的唯一证据：如果攻击者能改日志，就能抹掉痕迹，审计失去意义。常见做法是 “集中存储 + 只追加（WORM）+ 哈希链/签名”，并限制运维账号的删除权限。
Q4 备份 “有” 但不做恢复演练，问题在哪？
▸ 答案：因为备份不等于可恢复：可能备份的是坏数据、缺文件、密钥丢失、或恢复流程没人会。演练要验证 “RTO/RPO 是否达标、恢复后业务是否正常”，并把演练记录作为合规证据。
Q5 等保 2.0 与 1.0 的最大差别是什么？
▸ 答案：2.0 把 “云计算、移动互联、物联网、工控” 纳入扩展要求，并把 “持续监测、动态防护” 写进要求——从 “一次性达标” 转向 “持续合规”。所以云上系统要额外看 “云平台的责任边界与共担模型”。
Q6 云上系统的等保责任怎么划分？
▸ 答案：按共担模型：云厂商负责 “物理环境、虚拟化层、基础设施” 的合规，租户负责 “自己的应用、数据、账号、配置”。测评时双方各出证据；常见误区是 “上了云就合规了”——租户侧的安全组、日志、权限仍要自己配。
Q7 怎么向管理层解释 “等保投入” 的价值？
▸ 答案：三条：法律义务（不做有处罚风险）、业务准入（很多招标/合作要求三级等保）、真实风险（控制项本身就是防入侵/防泄露的基本功）。把它说成 “纯成本” 会一直被动；说成 “准入 + 风险” 才容易拿到预算。