GB/T 22239-2019 网络安全等级保护基本要求
本标准提供等级保护建设基线。企业使用时需要先完成对象和等级判断，再选择对应等级的通用要求及适用扩展要求，最后逐项验证生产控制。官方标准信息列明：2019年5月10日发布，2019年12月1日实施。
先定对象，再选控制
输入至少包括定级结果、对象边界、网络拓扑、业务和数据流、云及第三方依赖。定级依据见GB/T 22240。不同等级的控制强度需要逐项对照标准，不能把三级简单理解为“在二级清单上多买几台设备”。
通用要求覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心，以及制度、机构、人员、建设和运维等管理要求。云计算、移动互联、物联网、工业控制场景还需判断相应扩展要求。以下是企业侧实施与验收示例，不替代标准全文中的分级条款和符合性判定。
将要求落到可验证的控制
| 控制对象 | 实施示例 | 验收时直接检查 |
|---|---|---|
| 身份与权限 | 个人身份、系统账号、服务身份分别授权，离转岗和临时权限受控 | 使用离职和超期测试账号验证权限已失效；追查共享身份 |
| 网络与区域边界 | 业务通信清单驱动网络策略，限制管理入口和第三方通道 | 从实际流量反查策略，再测试未授权来源与横向访问 |
| 计算环境 | 主机、应用、数据库的鉴别、访问、恶意代码防范和审计协同 | 抽取生产配置；验证应用权限不能被数据库直连绕过 |
| 安全管理与审计 | 统一时间、主体和资产关联，保护日志查询与删除权限 | 回放一次管理操作，关联人员、审批、命令和结果 |
| 数据与恢复 | 数据保护要求对应备份、恢复与适用密码措施 | 实际恢复一个业务对象，核对数据完整性和依赖可用性 |
| 建设与运维 | 安全需求进入设计、测试、上线和变更 | 从一次发布反查评审、测试、例外、回滚及复核证据 |
设备存在、策略已配置和控制有效是三个不同事实。验收应说明测试前提和结果，避免只留下产品截图。
云和共享平台如何划分责任
云服务场景至少区分云平台、租户及双方接口。云厂商的证明材料不自然覆盖租户的应用、账号、数据和配置；租户也不能要求厂商证明自己未纳入服务范围的应用控制。
建议控制矩阵增加“实施方、证据提供方、企业复核人”三列。例如云平台提供底层隔离和基础设施证据，租户验证云账号、网络策略、应用授权和数据保护，双方共同核对日志可获得性与事件协同。以上为责任拆分方法，具体项目须对照合同和适用扩展条款。
一个完整的验收样例
场景。 运维人员通过堡垒机访问云上数据库，但数据库同时保留了从办公网直连的管理端口。
检查。 从数据库接入日志反查全部来源；以受控测试账号尝试不经过堡垒机访问，再验证权限、身份关联及审计。仅检查堡垒机自身录像，无法发现旁路。
关闭条件。 关闭未经授权的直连路径，必要例外有明确控制；重新执行原测试，保留网络策略、失败连接及允许路径的完整操作记录。其他数据库同类配置应一起核对。
标准关系与使用边界
测评验证见GB/T 28448，关基强化见GB/T 39204。推荐性标准的具体约束力应结合制度、监管、引用和合同判断。实施矩阵中保留精确条号、等级、适用性及来源；不能用本文示例代替正式测评依据，也不能以内部风险接受免除法定义务。