等保2.0概述：发展历程、基本概念、与等保1.0的区别

1.1 等保的前世今生

等保这东西，说白了就是国家给信息系统安全定的一套“体检标准”。

2007年，等保1.0正式发布。那时候我还在做网络运维，记得第一次接触等保，看着那本《信息安全等级保护管理办法》头都大了——五级保护，每级一堆要求，而且主要盯着系统边界和网络防护。那时候的测评，说白了就是防火墙、入侵检测、杀毒软件这三件套。你想想看，云计算、大数据都还没影呢，场景简单得很。

到了2017年，《网络安全法》一落地，局面立刻变了。法律要求必须落实等级保护制度，而且老标准已经罩不住新场景了——移动互联、物联网、工业控制、大数据……这些新玩意儿在1.0里根本找不到对应条款。所以2019年，等保2.0正式发布，标准从 GB/T 22239-2008 升级到 GB/T 22239-2019。

我个人习惯把这次升级理解为“从合规到能力的跃迁”。1.0更像一张检查清单，2.0则是一套动态的安全能力模型。

1.2 等保2.0的核心概念

先捋清几个关键点：

• 保护对象变了：等保1.0只管“信息系统”，2.0扩展为“网络安全”，覆盖云平台、物联网、工业控制系统、大数据等新业态。
• 安全要求分了两个维度：安全通用要求 + 安全扩展要求。通用要求是所有系统都得过的门槛，扩展要求则是针对特定场景增加的条款。比如你的系统用了云，就得看云计算扩展要求；上了工控系统，就有工控扩展要求。
• 等级划分不变：还是五级，但2.0对各级的测评项密度和深度做了调整。尤其第三级（安全标记保护级）和第四级（结构化保护级），门槛明显变高了。
• 强调“一个中心，三重防护”：安全管理中心做统一管控，安全计算环境、安全区域边界、安全通信网络这三层分别设防。这是2.0的技术框架核心。

还有一个变化值得注意：2.0将数据安全单独拔高。在安全计算环境里，专门有“数据完整性”、“数据保密性”、“数据备份与恢复”等要求，而且对个人信息保护、重要数据出境等场景做了额外规定。这一点，直接对接了《数据安全法》和《个人信息保护法》。

1.3 等保1.0与2.0的核心区别

我直接拿表格对比吧，这样一眼就清楚：

对比维度	等保1.0 (GB/T 22239-2008)	等保2.0 (GB/T 22239-2019)
保护对象	传统信息系统	网络（含云、物、移、大、工控）
标准体系	单一标准	通用 + 扩展（云/物联网/移动/工控/大数据）
安全要求结构	物理、网络、主机、应用、数据	安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理（十大类）
测评方式	以访谈、检查为主	访谈 + 检查 + 测试 + 渗透 + 工具扫描
数据安全要求	简单，仅备份和保密性	细化：完整性、保密性、备份恢复、数据防泄漏、个人信息保护
安全管理中心	未明确强调	强制要求（三级及以上）
定级流程	自主定级	自主定级 + 专家评审 + 主管部门审核 + 公安备案

1.4 为什么升级到2.0？一个真实案例

我前几年给一家医院的HIS系统做等保测评。他们原本是等保1.0三级，系统里有大量电子病历和患者信息。数据库还是Oracle 11g，管理员直接用sa（不恰当的超级管理员）账号干活。这在1.0时代勉强能过，因为1.0只要求“访问控制”和“安全审计”，对数据库层面的权限分离要求不高。

但到了2.0，情况就变了。测评项里明确要求：

• 数据库必须启用三权分立（安全管理员、审计管理员、系统管理员）
• 数据库日志必须保留至少6个月
• 患者敏感字段必须在应用层和库层做脱敏或加密
• 系统和数据库之间必须走加密通道（TLS）

当时医院的信息科长跟我抱怨：“不就是个HIS吗？以前不也安全运行了十年？”我只好翻开标准，指给他看第9章“安全计算环境”的条款。说白了，不是2.0故意找茬，而是医疗数据一旦泄露，性质远比普通业务数据严重。2.0把这些要求“固化”到国标里，谁都得遵守。

后来我们帮他梳理改造路径：先上统一身份认证和数据库审计，再对核心表做加密，最后把网络区域策略调到最小权限。整个过程花了三个月，终于顺利拿到三级测评报告。

你想想看，如果当时还用1.0的标准去测，这块短板根本暴露不出来。所以升级不是折腾，是真实的安全需求。

1.5 等保2.0知识体系图谱

下面这张 SVG 图把等保2.0的核心脉络串了起来。你看看，从保护对象、安全要求、测评方法到管理流程，一目了然：