等保2.0标准体系介绍

好了，我们直接进入正题。等保2.0不是拍脑门出来的，它是从1.0演进过来的。我个人习惯把标准体系理解成“三驾马车”——三个核心国标撑起了整个框架。你把这几个标准吃透了，后面讲密钥边界治理才算有了根。

标准体系的“三驾马车”

等保2.0的核心标准就是下面这三个，我建议你记住它们的编号和关系。

标准编号	标准名称	主要作用
GB/T 22239-2019	信息安全技术 网络安全等级保护基本要求	规定不同安全等级的系统必须满足哪些安全要求
GB/T 25070-2019	信息安全技术 网络安全等级保护安全设计技术要求	指导系统怎么设计才能满足等级保护要求
GB/T 28448-2019	信息安全技术 网络安全等级保护测评要求	规定测评机构怎么测、测哪些项、怎么判定符合/不符合

这三个标准是配套使用的。你在做方案设计时，基本要求和设计要求必须同时看；做测评时，对着测评要求逐条过。我记得有一次项目，客户只买了基本要求，设计阶段漏了设计要求里的“密钥生命周期”条款，结果测评时被打回整改——嗯，这个坑我替你们踩过了。

安全等级划分：从1到5

等保2.0把系统安全保护等级分成5级，级别越高要求越严。说白了，就是钱和精力要花在刀刃上。

• 第一级：用户自主保护级。个人或小企业系统，基本无硬性要求，自己看着办。
• 第二级：系统审计保护级。企事业单位一般业务系统，需要审计、访问控制等。
• 第三级：安全标记保护级。重要系统，比如政府、金融核心业务，必须上多因子认证、加密、审计全覆盖。
• 第四级：结构化保护级。关键信息基础设施，强制使用密码技术、强制认证溯源。
• 第五级：访问验证保护级。国家顶级系统，基本只有极少数涉密系统会用到。

安全要求：通用 + 扩展

等保2.0的安全要求分两大类：安全通用要求和安全扩展要求。

• 安全通用要求：所有系统都得满足，包括物理安全、网络安全、主机安全、应用安全、数据安全、安全管理等。密钥相关的内容散落在各个控制点里，比如“身份鉴别”要求使用密码技术、“数据完整性”要求校验、传输加密要求等。
• 安全扩展要求：针对特定技术场景的特殊要求：
  • 云计算扩展
  • 移动互联扩展
  • 物联网扩展
  • 工业控制系统扩展

我做过一个私有云平台的等保三级测评，通用要求里的“密钥管理”只有一条简单描述，但云计算扩展要求里明确写了“云平台应提供密钥管理服务，支持密钥的生成、分发、存储、销毁”。你看，如果不看扩展要求，方案设计漏掉这一块，测评必挂。

核心理念：一个中心、三重防护

这七个字是等保2.0的灵魂。我习惯这么理解——

• 一个中心：安全管理中心。集中管控、审计、告警、策略下发。所有安全设备、密码设备都得能被这个中心纳管。
• 三重防护：
  • 安全计算环境：主机、应用自身安全
  • 安全区域边界：网络边界防护、访问控制、入侵防范
  • 安全通信网络：传输加密、身份认证

密钥边界治理，恰好横跨“安全区域边界”和“安全通信网络”两层。说白了，网关设备上的密钥怎么生成、怎么分发、怎么用、怎么销毁，就是边界治理的核心。我在一个省级政务外网项目里，因为边界密钥管理不规范（直接硬编码在配置文件里），被测评机构开了高危项。从那以后，我每次做方案都会把密钥生命周期画成一张图，贴在技术方案第一页。

标准体系总览图

我把整个标准体系画成一张图，方便你对照理解。注意看三个标准之间的关系，以及密钥边界治理所在的位置。

小结一下

等保2.0标准体系就是这三本核心书，再加上安全等级和安全要求分类。密钥边界治理不是凭空冒出来的，而是从基本要求的“安全区域边界”和“安全通信网络”里派生出来的。你把体系框架理清了，后面讲密钥生命周期、密钥管理平台、边界密码设备选型，才有依据。

说实话，很多人做密钥治理方案时，连基本要求里关于密钥的控制点都数不全。我见过一份方案，把密钥存储要求写成了“建议采用RSA2048”——结果测评老师直接挂掉，说“你没提密钥生命周期管理，不合规”。你看，基础不牢，后面全白费。