跳到主要内容

网络安全等级保护制度

网络安全等级保护是网络安全治理的基础制度。企业落地不应只理解成“每年做一次等保测评”，而应形成 定级 → 备案 → 安全建设整改 → 等级测评 → 监督检查 → 持续整改 的全生命周期闭环。

核心标准体系​

环节标准状态主要用途
定级GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》现行确定等级保护对象及安全保护等级
基本要求GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》现行等保2.0核心安全控制基线
实施GB/T 25058-2019《信息安全技术 网络安全等级保护实施指南》现行指导等级保护工作规划与实施
安全设计GB/T 25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》现行指导不同等级对象安全技术体系设计
测评要求GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》现行明确等级测评的单项、单元和整体要求
测评过程GB/T 28449-2018《信息安全技术 网络安全等级保护测评过程指南》现行规范测评准备、方案、现场测评和报告
技术评估GB/T 36627-2018《信息安全技术 网络安全等级保护测试评估技术指南》现行等保测试评估技术方法
安全管理中心GB/T 36958-2018《信息安全技术 网络安全等级保护安全管理中心技术要求》现行安全管理中心相关技术要求
测评机构GB/T 36959-2018《信息安全技术 网络安全等级保护测评机构能力要求和评估规范》现行测评机构能力与评估

等保2.0控制结构​

GB/T 22239-2019采用“安全通用要求 + 安全扩展要求”的结构。企业建立控制基线时，应把等保要求映射到真实系统架构和安全能力，而不是只维护测评表。

常见通用控制域包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心，以及安全管理制度、机构、人员、建设和运维等管理要求。云计算、移动互联、物联网、工业控制等场景还应结合适用的扩展要求。

企业实施闭环​

  1. 识别对象。 从业务、系统、平台、云资源和数据处理活动识别等级保护对象，避免只沿用历史备案清单。
  2. 定级。 按GB/T 22240分析对象受到破坏后对公民、法人、社会秩序和国家安全的影响，形成定级结论。
  3. 备案。 按适用制度完成备案及变更管理；架构、业务范围等重大变化后重新判断。
  4. 建设整改。 以GB/T 22239为控制基线，结合GB/T 25070等进行安全设计和建设。
  5. 等级测评。 按GB/T 28448、28449开展测评，测评结论不能替代整改。
  6. 持续运营。 将测评问题、漏洞、配置、权限、监测、应急和重大变更纳入日常安全运营。
  7. 监督检查。 保存定级、备案、建设、测评、整改、复测及持续运行证据。

金融行业等保​

金融机构除通用国家标准外，还应关注人民银行主管的金融行业等保标准。

JR/T 0071—2020《金融行业网络安全等级保护实施指引》​

该系列共六部分：

标准内容
JR/T 0071.1—2020基础和术语
JR/T 0071.2—2020基本要求
JR/T 0071.3—2020岗位能力要求和评价指引
JR/T 0071.4—2020培训指引
JR/T 0071.5—2020审计要求
JR/T 0071.6—2020审计指引

JR/T 0072—2020《金融行业网络安全等级保护测评指南》​

适用于金融行业第二级、第三级和第四级等级保护对象的安全测评，在通用测评基础上增加金融行业要求。

因此支付与金融场景更适合形成：

国家等保基线 → 金融行业实施要求 → 金融行业测评 → 企业持续运营与审计

与关基的关系​

等保是普遍基线，关基是重点保护。 被依法认定为关键信息基础设施后，仍需维护等级保护体系，同时叠加关键信息基础设施安全保护体系中的GB/T 39204、GA/T 2182、密码、供应链、监测预警和主动防御等要求。

验收重点​

  • 从真实生产资产反查，所有应纳入对象均有定级与适用性判断。
  • 备案对象、生产架构、CMDB、云资源和监测范围保持一致。
  • 测评问题具有责任人、期限、整改、复测或正式风险接受依据。
  • 重大架构和业务变化能够触发重新定级或变更判断。
  • 安全控制不仅在制度和测评报告中存在，也能从配置、日志、工单和演练中验证真实运行。

使用原则​

本页维护等级保护制度和标准体系，不复制国家标准全文。国家标准、金融行业标准与具体法律监管义务应按适用主体和业务场景组合使用。