等保 2.0 三级合规建设要点：从差距评估到整改加固

等保三级是一条从定级到测评的完整实施链条，验收前补一份材料远远不够。顺序错了，返工成本很高。

一、先定级再建设

等保 2.0 对应国家标准 GB/T 22239-2019，自 2019 年 12 月 1 日实施。三级系统适用于一旦遭到破坏会对社会秩序和公共利益造成严重损害的场景，政务业务系统多数落在这个级别。建设顺序上，先完成定级与备案，再做差距评估，避免系统建完才发现架构不满足要求。

二、差距评估怎么做

• 资产梳理。网络设备、主机、数据库、中间件、应用系统、终端逐项登记，形成清单；
• 控制项对照。安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度等各类要求逐条比对；
• 现状取证。配置截图、策略导出、日志留存情况，作为整改依据。

三、整改的优先顺序

1. 网络边界。区域划分、访问控制策略、入侵防范与恶意代码防范；
2. 主机与终端。补丁、基线加固、账户与口令策略、日志审计；
3. 应用与数据。身份鉴别、访问控制、数据完整性与保密性、备份恢复；
4. 管理中心。集中管控与审计，网络日志按规定留存不少于六个月；
5. 管理制度。制度文件、岗位职责、演练与培训记录。

顺序上先做边界和主机，这两块改造周期短、见效快；应用层改造往往涉及代码变更，需要与开发排期。管理制度常被放到最后，实际上它最容易在测评时扣分，建议与技术改造同步推进。

四、密码应用同步推进

涉及身份鉴别、数据传输与存储加密的部分，需要按商用密码应用要求设计，并在验收前完成密评。系统上线后再补密码改造，通常代价更高，尤其涉及证书体系与密钥管理。

五、常见问题

• 重技术轻管理，制度文件与执行记录缺失，测评照样不通过；
• 整改范围估算不足，只改了一部分资产，遗漏旁路系统；
• 测评时间安排过晚，发现问题时已没有整改窗口。