等保2.0数据安全总体要求：安全通用要求与扩展要求归纳总结
聊到等保2.0的数据安全，很多人第一反应就是“一堆条款”。其实没那么复杂。说白了，等保2.0把安全要求分成了两大部分：安全通用要求和安全扩展要求。通用要求是所有系统都得满足的“基本功”，扩展要求则是针对云计算、大数据、物联网等特定场景的“专业课”。
我刚开始研究等保2.0的时候，也差点被这个结构绕晕。后来在几个等保测评项目里踩了坑，才真正搞明白这两类要求的关系。今天咱们就把它们掰开揉碎，看看数据分类分级到底应该对应哪些控制点。
核心认知：数据分类分级不是独立存在的安全控制项，它像一根线，穿过了通用要求和扩展要求中的多个控制点。你只有理解了这条线怎么穿，做合规方案时才知道该往哪使劲。
一、安全通用要求——数据分类分级的“地基”
安全通用要求分成了技术和管理两个层面，共10个安全类。其中和分类分级直接相关的，我建议重点关注以下控制点：
| 安全类 | 控制点编号 | 控制点名称 | 与分类分级的关系 |
|---|---|---|---|
| 安全物理环境 | 3.1.1.1 | 物理访问控制 | 不同等级数据的存储区域需分级物理隔离 |
| 安全通信网络 | 3.1.2.2 | 网络分区分域 | 按数据等级划分网络安全域，实施差异化边界控制 |
| 安全区域边界 | 3.1.3.3 | 访问控制 | 基于数据分类的细粒度访问策略 |
| 安全计算环境 | 3.1.4.4 | 数据保密性 | 对核心/重要数据实施加密，加密策略需匹配分类分级结果 |
| 安全计算环境 | 3.1.4.5 | 数据完整性 | 按数据等级设定校验频率和机制 |
| 安全计算环境 | 3.1.4.6 | 数据备份恢复 | 核心数据应本地+异地双重备份，重要数据本地备份 |
| 安全管理中心 | 3.1.5.1 | 系统管理 | 通过统一平台管理数据分类分级策略的落地 |
| 安全管理制度 | 3.1.6.2 | 安全策略与制度 | 必须建立数据分类分级管理制度，这是合规刚性要求 |
| 安全管理人员 | 3.1.7.3 | 人员录用 | 涉密数据岗位需背景审查，等级越高审查越严 |
| 安全建设管理 | 3.21.8.4 | 定级备案 | 系统定级需考虑所处理数据的最高等级 |
| 安全运维管理 | 3.1.9.10 | 数据安全审计 | 核心数据操作日志需保留180天以上 |
个人习惯：我每次做等保差距分析时，会先把这张表打印出来，然后对照客户的数据分类分级清单，逐项打钩。哪些控制点因为分类分级没做而无法满足，一目了然。别小看这个笨办法，它帮我避免了好几次返工。
二、安全扩展要求——不同场景下的“定制课”
扩展要求是等保2.0的一大亮点。以前等保1.0只区分系统等级，不区分系统类型。现在云计算、大数据、物联网、工业控制、移动互联五类系统都有专门的扩展要求。数据分类分级在这些场景下，维度完全不一样。
举个例子，我在一个大数据平台项目里，客户问：“我们数据都放Hadoop里，一张表里有用户姓名、身份证、浏览记录、商品ID。按通用的标准分，都算成敏感数据不就行了？”我说不行。你想想看，大数据平台的数据流动是动态的，分类分级必须结合数据血缘和计算场景。Hive表里读出来的中间结果，等级可能比源表低，也可能因为聚合分析而升高。
各场景扩展要求中数据分类分级的关键要点：
- 云计算：云租户数据和平台数据需隔离；按数据等级给不同租户分配不同VPC；密钥管理要能按数据分类分级做权限细分。
- 大数据：必须制定数据分类分级策略并落地在大数据组件（HDFS、Hive、HBase等）的权限控制中；敏感数据在计算过程中需脱敏。
- 物联网：感知层设备采集的数据等级一般较低（如温度、湿度），但经过汇聚和关联分析后，可能升级为敏感数据。分级结果要能动态调整。
- 工业控制：生产控制数据（如DCS组态参数、PLC程序）通常属于核心数据，需与其他IT数据严格隔离。
- 移动互联：移动端本地缓存的数据需按等级决定是否加密；APP权限申请的粒度要和分类分级对齐。
曾经踩过的坑：有个政企项目，客户把云计算扩展要求里的“数据分类分级”条款当成通用要求来做——他们只出了一份文档，没有在任何云平台上配置。等保测评时，测评机构直接给了“部分符合”。后来我们不得不重新在云管平台里配置资源标签和访问策略，费了很多周折。所以提醒一下：扩展要求不是文档要求，是配置要求，必须落到平台和代码上。
三、归纳总结——一张图看懂总体要求框架
说了这么多，可能有点晕。我习惯用一张图把整体框架串起来。下面这张SVG图，把通用要求和扩展要求的关系、以及数据分类分级在其中扮演的角色画清楚了。你可以把它当作等保2.0数据安全合规的总纲。
从图里能清楚看到，数据分类分级位于中间位置，它像快递分拣中心一样，把数据根据等级“分发”到通用要求和扩展要求对应的控制点上。我建议你在做等保差距分析时，就用这种视角来梳理——先做分类分级，再去看每个控制点的具体差距，而不是反过来一项项翻标准。
四、实操建议——怎么把总体要求用到项目里
好了，理论框架说完了，讲点实在的。
我曾经帮一个省政务云平台做过等保三级咨询。他们的系统既涉及云计算扩展要求，又用到大数据组件。我们按以下步骤落地总体要求：
- 第一步：做数据资产盘点，梳理所有数据表的字段，产出分类分级清单。
- 第二步：对照通用要求中的相关控制点，在云平台的计算环境、边界、通信网络里配置对应的安全策略。比如针对核心数据，强制启用加密和细粒度访问控制。
- 第三步：按照云计算和大数据扩展要求，在云管平台配置租户隔离策略，在大数据组件里配置基于数据等级的脱敏和权限策略。
- 第四步：写管理制度文档，把分类分级管理流程和角色职责写进去，应付管理类的测评。
我个人习惯：在项目初期，我会把通用要求和扩展要求的一张表提前发给客户，让他们先自我评估。很多客户看了之后才发现，原来自己漏了好多“看似没直接关系”的控制点。比如物理环境，如果核心数据服务器没放在独立机柜，等级保护测评直接扣分。
最后说一句，等保2.0的总体要求不是死板的。你要根据你负责的系统类型、数据敏感程度、业务场景灵活裁剪。但有一个大前提：数据分类分级是你所有合规工作的起点。这个做不好，后面所有控制点都是空中楼阁。