一、等保2.0概述：从“合规驱动”到“能力驱动”的转变
大家好，我是老张，在网络安全这块摸爬滚打了十来年。今天咱们开始聊《等保2.0审计日志要求指南》的第一章。很多人一听到等保，就觉得是填表、买设备、应付检查。其实不是那么回事。等保2.0，说白了，是让安全真正“活”起来的一套体系。
我这几年做等保测评和整改项目，最大的感触就是：等保2.0把“日志审计”提到了一个前所未有的高度。你想想，一个系统被攻击了，连谁来过、做了什么都不知道，这不是瞎扯吗？所以，审计日志就是安全的“黑匣子”。
这一章，我们先打好地基：等保2.0从哪里来？它的框架长什么样？跟老版等保比改了什么？
1.1 发展历程：三个关键节点
等保的历史，我习惯分成三个阶段。大家记住三个时间点就行：
- 1994年-2007年（萌芽阶段）：国务院147号令首次提出“计算机信息系统实行安全等级保护”。那时候我刚入行，大家还在讨论“什么是等级保护”，基本没什么落地。
- 2007年-2017年（等保1.0时代）：公安部发布《信息安全等级保护管理办法》（公通字[2007]43号），等保1.0正式铺开。我记得当时很多单位就是买几台防火墙、装个杀毒软件，然后找测评机构盖个章完事。
- 2017年至今（等保2.0时代）：2017年《网络安全法》施行，等保升级为法律要求。2019年GB/T 22239-2019正式发布，这就是咱们说的等保2.0。这个标准把范围从“信息系统”扩展到了“网络安全”，云平台、物联网、工业控制这些全纳进来了。
一个小知识点：等保2.0的核心标准是GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》。做审计日志，你逃不开这个文件。
1.2 基本框架：一个中心、三重防护
等保2.0的框架，我习惯把它拆成三个层面来理解：
- 安全通用要求：对所有系统都适用的基础要求。
- 安全扩展要求：针对云计算、移动互联、物联网、工业控制系统的特殊要求。
- 安全等级要求：第一级到第四级，逐级增强。
其中，“一个中心、三重防护”是核心思路：
| 层级 | 说明 |
|---|---|
| 一个中心 | 安全管理中心（审计日志的“大脑”） |
| 安全计算环境 | 主机、数据库、应用的防护（审计日志的“数据源”） |
| 安全区域边界 | 网络边界控制、访问控制（审计日志的“关卡”） |
| 安全通信网络 | 数据传输加密、完整性校验（审计日志的“传输通道”） |
说白了：你要知道谁进了系统、在系统里做了什么、从哪个门进来的、数据在路上有没有被改。这些，全得靠日志记录。
我们来看看这张图，把等保2.0的整体逻辑串起来：
注意：这张图里，安全管理中心在最下面，但它不是“底层”，而是“大脑”。所有三重防护产生的日志，最后都要汇总到这里做集中审计。这个思路贯穿整个课程。
1.3 等保2.0 vs 等保1.0：五个核心区别
为什么要变？因为攻击变了。以前是黑客炫技，现在是黑产规模化、APT常态化。等保1.0已经扛不住了。我总结了五个最大的变化：
| 对比维度 | 等保1.0 | 等保2.0 |
|---|---|---|
| 保护对象 | 传统信息系统 | 云计算、移动互联、物联网、工业控制系统等 |
| 体系框架 | “一个中心、二重防护” | “一个中心、三重防护” （新增安全通信网络） |
| 审计要求 | “应启用安全审计功能” （一句话，很模糊） |
“应对审计记录进行保护、备份、集中管理” “审计记录应包含用户、事件类型、事件结果” （非常具体） |
| 定级方式 | 自主定级 | 网络安全等级保护定级指南（GB/T 22240-2019）强制约束 |
| 监管力度 | 弱，基本靠自觉 | 《网络安全法》+《数据安全法》+《个人信息保护法》法律兜底 |
你看，光审计日志这一条，从“一句话”变成了“一个章节”。这是天翻地覆的变化。
1.4 我的现场经验：日志审计为什么是“硬门槛”
我曾经给一个三甲医院做过等保2.0二级整改。医院HIS系统（核心业务系统）的审计日志，之前只有数据库的general log，关了。运维人员说：“开了会影响性能。”
但我给他们看了等保2.0的原文：“二级及以上系统，必须对重要用户行为、系统资源异常访问进行审计”。我当场建议：开启数据库审计，只记录DDL和DML操作，做日志轮转，保留180天。最终通过了测评。
这里有个避坑指南：我曾经遇到过某云平台，因为没开启操作审计，被攻击后溯源失败，最后被判为“未履行网络安全义务”，罚了20万。嗯，这个教训够狠吧。
1.5 小结：你该带走什么？
- 等保2.0不是一个新概念，它是2019年正式上位，有法律撑腰。
- 框架 = “一个中心（安全管理中心）+ 三重防护”，审计日志是安全管理中心的核心数据。
- 跟1.0比，审计要求从“模糊”变“详细”，从“可选”变“必须”。