等保2.0概述

等保2.0，全称是「网络安全等级保护2.0」。很多人以为它就是老等保的升级版，其实不然。我最早接触等保是2015年，做金融类业务的时候，那时候还叫「信息安全等级保护」。等保2.0出来以后，整个合规思路上最大的变化——说白了，从「保信息系统」变成了「保网络安全」。这个转变很重要，因为它把云平台、物联网、工业控制这些新场景全都圈进来了。

1.1 等保2.0的定义

等保2.0是国家网络安全领域的基础制度，要求网络运营者按等级保护要求，对网络和信息系统进行安全建设和整改。它的核心标准是GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，2019年12月1日正式实施。

1.2 发展历程

我粗线条理一下时间线，大家心里有个数：

• 1.0时代（2007-2017）：2007年公安部发布《信息安全等级保护管理办法》，2010年前后陆续出了基础标准。那时候重点放在政府、金融、电信等关键行业。
• 过渡期（2017-2019）：《网络安全法》2017年实施，等保被提到法律层面。标准开始修订，加入了云计算、移动互联等扩展要求。
• 2.0时代（2019至今）：GB/T 22239-2019 发布，定级对象从「信息系统」扩大到「网络」。监管力度明显加强，处罚也更重了。

1.3 与等保1.0的区别

直接上对比表，这样看更清楚：

对比维度	等保1.0	等保2.0
法律依据	《信息安全等级保护管理办法》	《网络安全法》+《等保条例》
保护对象	信息系统	网络（含信息系统、云平台、物联网、工业控制等）
安全要求	基础要求（技术+管理）	通用要求 + 扩展要求（云、移、物、工）
安全等级	五级（一至五级）	五级不变，但定级要素更细
测评周期	第三级以上每年一次	基本一致，但二级以上建议主动测评
惩罚力度	行政警告为主	罚款+停业+负责人处分

你想想看，原来1.0时代，很多中小公司连备案都没做，也没人管。现在2.0时代，光「不履行安全保护义务」这一条，就能罚到企业肉疼。我见过一家电商公司，因为没做等保测评，被监管部门约谈后，花了大半年补合规窟窿，期间业务还被限制扩展。

1.4 合规要求框架

等保2.0的合规框架，我习惯分成两条线：

1. 工作流程线：定级→备案→安全建设→等级测评→安全整改→持续监督。这是个闭环，不是做完测评就完事。
2. 安全要求线：分成技术和管理两大块。技术里面又分物理安全、网络安全、主机安全、应用安全、数据安全；管理分安全管理制度、管理机构、人员安全、系统建设管理、系统运维管理。

另外，等保2.0新增了扩展要求，每个扩展场景都有独立章节：

• 云计算扩展：关注虚拟化安全、多租户隔离、镜像安全。
• 移动互联扩展：关注移动终端管理、APP安全、移动网络边界。
• 物联网扩展：关注感知层设备安全、固件更新、通信加密。
• 工业控制扩展：关注工业协议安全、控制逻辑保护、物理隔离。

下面这张图是我自己梳理的合规框架结构，方便大家建立整体认知：

这张图把通用要求（技术+管理）和扩展要求放在同一个框架里。实际做项目时，先判断自己的系统是否涉及云/移/物/工，如果涉及，就要把对应扩展要求的条款和通用要求合并成一个安全需求清单。