等保2.0 100问

本文以《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）及配套标准（GB/T 25070-2019、GB/T 28448-2019、GB/T 22240-2020）为依据，围绕等级保护2.0的制度框架、技术要求和测评实践，梳理100个高频问题并逐条作答。内容覆盖定级备案、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度与机构人员、安全建设与运维管理，以及云计算、物联网、工业控制系统、移动互联、大数据等扩展要求。每题在给出结论的同时，补充标准依据、测评核查方法和常见失分情形，力求做到有据可查、可对照检查、可用于自查整改。

具体执行中涉及属地公安机关或行业主管部门另有规定的，从其规定。具体实施请根据属地公安机关、行业主管部门的最新要求及系统实际情况执行，本文仅作参考。

1. 等保2.0的标准全称和核心标准编号是什么？核心标准为 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，2019年5月发布、12月实施，全面替代2008版。配套标准：GB/T 25070-2019（安全设计技术要求）、GB/T 28448-2019（测评要求）、GB/T 22240-2020（定级指南）、GB/T 25058-2019（实施指南）。测评实施严格依据 GB/T 28448-2019，报告结论作为监管检查和整改依据。拓展要点：等保2.0标准体系是“基本要求+测评要求+设计要求+定级指南”的组合，单看基本要求不足以完成测评，需配套使用。

2. 等保2.0的保护对象包括哪些类型？传统信息系统之外，明确纳入云计算平台/系统、大数据平台、物联网、工业控制系统、移动互联系统。拓展要点：测评采用“安全通用要求+对应扩展要求”组合模式。例如云租户系统测评时，选择全部通用要求加上云计算扩展要求中适用于租户的部分；工控系统则需通用要求加工控扩展要求，且工控扩展中对“单向隔离”“实时控制网络独立组网”等有专门条款，不能只用通用要求套用。

3. 等保2.0的“一个中心、三重防护”指什么？安全管理中心是技术管控枢纽，三级要求承担系统管理、审计管理、安全管理、集中管控四项职能。三重防护：安全通信网络（网络架构、通信传输、可信验证）、安全区域边界（边界防护、访问控制、入侵防范、恶意代码防范、安全审计、可信验证）、安全计算环境（身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性/保密性/备份恢复、剩余信息保护、个人信息保护）。拓展要点：安全管理中心不是单独一台设备，而是集中管控能力的体现；三级测评会核查安全管理平台实际纳管了多少设备、策略是否真正统一下发。

4. 系统定级时，业务信息安全和系统服务安全如何取级？分别评估业务信息受到破坏后对公民法人权益、社会秩序公共利益、国家安全的危害程度，以及系统服务受到破坏后的危害程度，各得一个等级，取较高者。拓展要点：定级报告中两项分析须分别展开，不能只写一句“影响较大”；三级及以上系统通常要求专家评审，评审意见作为备案材料；定级偏低会导致防护措施不足且监管检查时被认定未落实等保义务。

5. 第三级系统测评周期要求是什么？二级系统呢？第三级系统每年至少一次等级测评。第二级系统的测评周期以属地公安机关或行业主管部门要求为准，等保2.0标准本身要求“定期测评”，未对二级规定固定年限。拓展要点：发生系统等级变化、网络架构重大调整、承载业务根本性变更、重大安全事件后应及时重新测评；监管检查看最近一次测评是否在周期内、机构资质是否有效、结论是否“中”及以上。

6. 第二级以上系统备案时限和备案机关是什么？等级确定后10个工作日内向县级以上公安机关备案。拓展要点：备案材料通常包括定级报告、备案表、系统拓扑图、专家评审意见（三级及以上）；跨地区或全国性系统按相关规定向相应公安机关备案；备案不是一次性动作，系统等级或关键信息变更时应及时更新备案。

7. 等保2.0中安全管理中心承担哪些核心功能？三级要求：系统管理（对系统资源统一配置监控）、审计管理（审计数据集中采集分析）、安全管理（安全策略统一管理）、集中管控（对分散安全设备统一管控，含策略下发、日志采集、告警关联）。拓展要点：集中管控是三级区别于二级的关键增强项；测评核查安全管理平台实际纳管设备清单、策略下发记录、日志集中存储完整性，仅部署平台但未实际纳管设备的判定为部分符合。

8. 第三级系统身份鉴别有哪些强制要求？管理用户采用两种或以上组合鉴别技术，其中一种使用密码技术；登录失败处理（结束会话、限制非法登录次数、超时退出）；远程管理防鉴别信息窃听。拓展要点：仅“用户名+口令”不满足三级；鉴别技术组合判定——口令+动态口令、口令+数字证书、口令+生物特征均算两种，其中密码技术指使用密码算法实现鉴别；测评实际尝试错误密码验证锁定策略，检查远程管理是否走SSH/HTTPS而非Telnet/HTTP。

9. 访问控制中的“三权分立”指哪三权？系统管理、安全管理、审计管理三类权限分离设置。拓展要点：系统管理员管资源和配置，安全管理员管安全策略，审计管理员管审计日志查看分析；测评核查是否一人兼任多职、审计员是否同时具有配置权限；三级还要求管理用户最小权限，避免超级管理员权限泛滥。

10. 安全审计日志留存期限要求是多少？审计记录留存不少于六个月。拓展要点：审计须覆盖每个用户，记录日期时间、用户、事件类型、是否成功；保护审计记录防删除修改覆盖（日志外发至独立日志服务器或安全管理中心）；保护审计进程防未授权中断；测评检查日志存储配置、最早日志日期、审计员权限是否可删日志。

11. 云平台通过等保测评后，租户系统还需要单独定级备案吗？需要。云平台与云租户系统分别定级、分别测评。拓展要点：租户对自身操作系统（IaaS）、应用、数据、访问控制负责；租户测评可引用云平台已测评且有效的部分结论，但自身责任范围内控制点仍需独立测评；云平台等级不得低于所承载系统最高等级。

12. 云平台承载租户系统时，等级关系有什么要求？云平台安全保护等级不得低于所承载业务系统的最高等级。拓展要点：三级业务系统不能部署在仅通过二级测评的云平台上；测评核查云平台测评报告等级与租户系统等级是否匹配；平台等级不足时租户无法通过测评。

13. 云计算扩展要求中“基础设施位置”规定什么？云计算基础设施位于中国境内；运维地点位于境内，境外运维遵循国家规定；平台运维产生的配置数据、鉴别数据、业务数据、日志存储于境内，出境需合规。拓展要点：测评核查机房位置证明、运维登录来源IP归属、数据存储节点位置。

14. IaaS模式下云服务商与租户的安全责任如何划分？云服务商负责物理环境、硬件、虚拟化层；租户负责虚拟机内操作系统、中间件、应用、数据及租户侧访问控制。拓展要点：测评时分别对各自责任范围检查，租户不能以“云平台已过等保”为由免除自身责任；责任划分应在合同或SLA中明确。

15. PaaS模式下租户主要承担哪些安全责任？云服务商负责硬件、虚拟机监视器、操作系统和中间件；租户负责应用层安全（应用身份鉴别、访问控制、应用审计、数据保护）。拓展要点：租户测评重点在应用层控制点，底层控制点可引用云商结论但需确认适用范围。

16. SaaS模式下安全责任重点在哪一方？云服务商承担平台和应用运行安全主要责任；租户负责账号权限、数据使用、终端访问安全。拓展要点：租户仍需对自身账号和产生数据承担管理责任，账号共享、弱口令、权限过大仍是租户侧常见失分。

17. 第三级系统网络架构有哪些核心要求？网络设备业务处理能力满足高峰期需要；带宽满足高峰期需要；划分不同网络区域并分配地址；重要区域避免部署在边界，区域间可靠技术隔离；通信线路、关键网络设备、关键计算设备硬件冗余。拓展要点：测评核查区域划分合理性、冗余是否实际生效（如双机热备切换测试）、重要区域是否直接暴露在互联网边界。

18. 边界完整性检查要求实现什么能力？检测或限制非授权设备私自联到内部网络（非法外联）、内部用户非授权联到外部网络（非法外连）。拓展要点：三级要求具备检查或限制能力，仅记录不阻断在严格测评中可能判定部分符合；测评检查终端准入、网络准入、非法外联监测措施的实际部署。

19. 入侵防范在边界层面要求什么？关键节点检测、防止或限制外部和内部发起的网络攻击；对网络行为分析实现新型攻击分析；检测到攻击记录源IP、类型、目标、时间，严重入侵报警。拓展要点：仅部署IDS不部署IPS时需说明“防止或限制”如何实现；测评检查设备策略、告警记录、处置记录。

20. 恶意代码防范在主机层面有哪些要求？采用免受恶意代码攻击的技术措施或主动免疫可信验证机制，及时识别并有效阻断。拓展要点：测评检查防护软件部署覆盖率、特征库更新机制、实时防护是否开启、是否覆盖所有服务器（含Linux）；仅安装未启用实时防护、特征库长期未更新为常见失分。

21. 第三级系统对重要数据传输完整性有什么要求？采用校验技术或密码技术保证重要数据（鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据、重要个人信息）传输完整性。拓展要点：测评核查实际传输通道是否启用完整性保护（TLS、IPSec、应用层签名）；仅用HTTP明文传输不满足。

22. 重要数据存储保密性要求是什么？采用密码技术保证重要数据存储保密性，范围同上。拓展要点：测评检查数据库透明加密、文件加密、磁盘加密等是否覆盖应保护数据类型；仅传输加密不等于存储加密，数据库明文存储敏感数据是高频失分项。

23. 剩余信息保护要求什么？鉴别信息所在存储空间释放或再分配前完全清除（含硬盘和内存）；文件、目录、数据库记录等资源存储空间释放或重新分配前完全清除。拓展要点：测评检查内存清理机制、临时文件清除、数据库连接池清理、磁盘擦除策略。

24. 第三级系统对数据备份有哪些要求？本地备份与恢复；重要数据异地实时备份；重要数据处理系统热冗余。拓展要点：测评检查备份策略配置、备份记录、恢复测试记录；异地备份需有实际距离和同步机制证据；热冗余需验证切换有效性。

25. 个人信息保护在等保2.0中如何体现？仅采集和保存业务必需的个人信息；禁止未授权访问和非法使用。拓展要点：测评访谈和检查采集范围是否与业务必需匹配、访问权限是否受控、是否有审计记录；行业有更严格规定的从其规定。

26. 可信验证在等保2.0中要求什么？基于可信根对系统引导程序、系统程序、重要配置参数和应用程序可信验证，关键执行环节动态验证，破坏时报警并送安全管理中心。拓展要点：该控制点为“可”选项，实际测评根据系统是否采用可信计算技术判定落实方式；完全无相关措施在严格测评中可能判定部分符合。

27. 第三级系统对集中管控有哪些要求？对分散网络设备、安全设备、服务器统一监控、统一策略管理、统一日志采集；安全管理中心对审计数据集中收集分析、对安全策略集中管理。拓展要点：测评检查安全管理平台实际纳管范围和功能启用情况，仅部署平台未纳管设备判定部分符合。

28. 安全管理制度测评关注哪些方面？制度覆盖全部安全活动；由最高管理者签发；正式有效方式发布并版本控制；定期评审修订。拓展要点：不仅看文档存在，还访谈员工是否知悉、检查制度与实际执行是否一致；制度写了但实际未执行为常见失分。

29. 安全管理机构设置有哪些要求？设立安全主管、安全管理负责人岗位；设立系统管理员、审计管理员、安全管理员岗位并定义职责；配备足够人员；明确授权审批事项和批准人；定期召开安全会议；建立外联单位联系列表。拓展要点：常见失分是一人兼任系统管理员和审计员，导致职责冲突。

30. 人员录用与离岗安全管理要求是什么？录用时指定部门负责、身份和安全背景审查、签署保密协议；离岗时及时终止所有访问权限，取回身份证件、钥匙、徽章及软硬件设备。拓展要点：测评检查录用审查记录和离岗权限回收记录的时间匹配性，离岗一周后才回收权限为常见失分。

31. 第三方运维人员如何安全管理？签署保密协议；限定权限和操作范围；操作过程全程审计；离场时及时收回权限。拓展要点：测评核查协议文本、权限审批记录、操作日志可追溯性。

32. 安全建设管理中测试验收要求什么？系统上线前安全测试（漏洞扫描、配置核查等）；测试报告和整改记录留存；验收有安全结论。拓展要点：测评检查测试报告日期是否在上线之前、发现问题是否闭环。

33. 安全运维管理中漏洞修复有什么要求？发现已知漏洞，经过充分测试评估后及时修补。拓展要点：等保2.0未规定具体修复天数，但长期未修补高危漏洞是常见扣分项；测评检查扫描记录、修复记录、复测记录。

34. 应急预案测评要点是什么？有预案文档、演练记录、演练后修订完善记录；预案覆盖主要安全事件类型。拓展要点：仅有文档无演练记录通常判定部分符合；测评检查演练日期、参与人员、发现的问题及后续改进。

35. 安全事件处置流程包括哪些环节？事件分类分级、报告流程（内部和向监管）、处置记录、复盘改进；制度明确各环节责任人和时限。拓展要点：测评访谈安全管理员是否清楚报告路径，检查历史事件处置记录完整性。

36. 物理环境测评中机房温湿度要求是什么？设置温湿度自动调节设施，使机房温湿度变化在设备运行允许范围内。拓展要点：测评检查温湿度监测设备是否运行、是否配置异常告警、告警记录可查。

37. 机房供电冗余要求是什么？供电线路配置稳压器和过电压防护设备；提供短期备用电力（UPS）；设置冗余或并行电力电缆线路。拓展要点：测评检查UPS容量和续航是否满足要求、冗余线路是否实际接入。

38. 机房防雷接地要求是什么？机柜、设施和设备通过接地系统安全接地；采取措施防止感应雷。拓展要点：测评检查接地电阻测试记录、防雷设备状态。

39. 门禁和出入管理测评关注什么？机房出入口配置电子门禁，控制、鉴别和记录进入人员。拓展要点：检查门禁记录完整性、外部人员陪同记录、权限最小化配置、离职人员权限及时注销。

40. 安全区域边界主要测评哪些设备？防火墙、入侵检测/防御设备、WAF、抗DDoS设备、VPN网关、流量分析设备、无线接入网关。拓展要点：测评检查这些设备的策略配置、日志开启、自身管理安全。

41. 边界访问控制策略“默认拒绝”是什么意思？默认情况下除允许通信外受控接口拒绝所有通信。拓展要点：测评检查防火墙默认策略是否为拒绝、是否存在过宽any-any规则、规则是否定期优化。

42. 第三级系统对远程管理有什么要求？远程管理时采取必要措施防止鉴别信息在网络传输过程中被窃听。拓展要点：通常要求SSH、HTTPS、VPN等加密通道；测评检查远程管理协议类型，Telnet、HTTP明文管理直接扣分。

43. 默认账户应如何处理？重命名或删除默认账户，修改默认口令。拓展要点：测评检查操作系统、数据库、中间件、网络设备默认账户状态；无法删除的特权账户限制登录方式并加强审计。

44. 端口和服务最小化测评要点是什么？遵循最小安装原则，仅安装需要组件和应用；关闭不需要的系统服务、默认共享和高危端口。拓展要点：实际扫描端口并与业务需求比对，Telnet、FTP明文服务开放通常直接扣分；默认共享C/IPC/IPC未关闭为常见失分。

45. 第三级系统对无线网络有哪些额外要求？限制无线网络使用，保证无线网络通过受控边界设备接入内部网络；无线接入身份鉴别、传输加密；禁用WEP等高风险认证方式。拓展要点：测评检查无线控制器配置和接入认证方式，无线与有线网络隔离情况。

46. 安全计算环境测评抽查哪些对象？服务器操作系统、数据库、中间件、应用系统、网络设备管理界面、安全设备管理界面。拓展要点：按重要性和抽样比例选取，三级通常覆盖主要业务服务器和核心数据库。

47. 数据库测评重点关注什么？默认账户与口令、权限分配（最小权限、无共享账户）、审计开启、敏感数据加密、备份策略、远程访问控制、补丁状态。拓展要点：常用工具核查配置和实际口令强度，sa/root权限应用连接为常见失分。

48. 中间件测评要点有哪些？管理后台访问控制（限制来源IP、强口令）、版本漏洞、日志配置、目录遍历防护、错误页面信息泄露、示例文件删除。拓展要点：Tomcat的manager/examples未删、错误页面显示版本堆栈为常见失分。

49. 应用系统身份鉴别测评什么？密码复杂度策略、登录失败锁定、会话超时、管理用户多因素认证（三级）、鉴别信息传输加密。拓展要点：实际测试密码策略是否生效、超时时间是否符合配置。

……