第二章：网络安全等级保护（等保）法律法规基础
聊等保，咱们得先搞清楚它背后的法律依据。
说白了，等保不是什么企业自愿搞的“最佳实践”。它是法定的义务。你在中国境内运营网络，就得按规矩来。我刚开始接触等保时，也觉得就是一堆检查清单。后来真做了几个项目，才发现根基全在这些法律法规里。不懂法，你连定级都定不明白。
2.1 核心法律体系
等保的法律体系，是个金字塔结构。顶层是法律，中间是行政法规，底层是部门规章和标准。我给你拆开看看。
核心要点：等保的直接法律依据是《网络安全法》，但它的根其实在《宪法》里关于国家安全的规定。
- 第一层：法律
- 《中华人民共和国网络安全法》（2017年生效）——这是等保的“基本法”。第21条明确说了：国家实行网络安全等级保护制度。
- 《中华人民共和国数据安全法》（2021年生效）——数据分类分级，和等保的定级有交叉。
- 《中华人民共和国个人信息保护法》（2021年生效）——处理个人信息，你得看等保的技术要求能不能满足个保法的安全义务。
- 第二层：行政法规
- 《关键信息基础设施安全保护条例》（2021年）——CII运营者，等保三级起步。
- 《网络安全等级保护条例》（征求意见稿多年，但实际已作为监管依据）——这就是等保的“操作手册”。
- 第三层：部门规章与标准
- 公安部发布的《信息安全等级保护管理办法》（公通字〔2007〕43号）——老文件，但定级、备案流程基本沿用。
- 国家标准：GB/T 22239（基本要求）、GB/T 28448（测评要求）、GB/T 25058（实施指南）等。
| 法规名称 | 发布年份 | 核心要求 | 与等保关系 |
|---|---|---|---|
| 《网络安全法》 | 2016（2017生效） | 等级保护、安全义务、预警应急 | 上位法，确立制度 |
| 《数据安全法》 | 2021 | 数据分类分级、出境安全评估 | 等保定级需考虑数据类型 |
| 《个人信息保护法》 | 2021 | 告知同意、最小必要、安全影响评估 | 等保技术措施需覆盖个保要求 |
| 《关键信息基础设施安全保护条例》 | 2021 | CII认定、专项保护、每年测评 | 等保三级以上是CII基础 |
| GB/T 22239-2019 | 2019 | 安全通用要求+扩展要求 | 等保测评的“打分表” |
我的一点建议：审计时别只盯着GB/T 22239。你得把《数据安全法》和《个保法》的条款也拉进来。很多企业三级等保过了，结果数据出境没做评估，照样被罚。为什么？因为法律体系是联动的。
2.2 等级划分与定级逻辑
等保定几级，不是IT部门拍脑袋定的。它有公式。
等级一共五级，从第一级到第五级，安全要求逐级递增。实际中，大部分企业跑在二级和三级。
- 第一级：自主保护。适用于不涉及国家安全、社会秩序的一般系统。基本不测评。
- 第二级：指导保护。适用于一般信息系统。两年一次测评。这是中小企业最常见的级别。
- 第三级：监督保护。适用于涉及国家安全、社会秩序或公共利益的重要系统。一年一次测评。政府网站、金融系统、大型互联网平台基本都是三级。
- 第四级：强制保护。适用于涉及国计民生的核心系统。半年一次测评。国家级关键基础设施常见。
- 第五级：专控保护。极少用到，涉及国家绝密。
避坑指南：我曾经遇到一个企业，把内部CRM系统定成了二级。结果这个系统存了上百万条用户电话和身份证号。后来被网信办检查，直接按三级要求重新整改，成本翻了三倍。记住：定级不能只看系统用途，要看它存了什么数据、影响面有多大。
2.3 定级流程与备案要求
定级不是填张表就完事。它有一套标准流程。我建议你把它当成项目管理来做。
- 确定定级对象：一个独立的信息系统，或者一个云平台、一个工业控制系统。注意：不能把一堆系统混成一个对象。
- 初步定级：运营者自己根据《定级指南》（GB/T 22240）算等级。看这个系统一旦被破坏，对国家安全、社会秩序、公共利益、公民权益的影响。
- 专家评审：二级以上要请专家评审定级结果的合理性。我参加过好几次这种评审会，专家常问的问题就是：“你这个系统到底影响多少人？”
- 主管部门审批：有行业主管的，得报上去批。
- 公安机关备案：定级结果确定后，二级以上要在10个工作日内到当地公安网安部门备案。备案材料包括定级报告、系统拓扑、安全管理制度等。
关键时间节点：等保测评（二级两年一次，三级一年一次）要和备案信息保持一致。如果系统架构变了、数据量暴涨了，你得重新定级、重新备案。
2.4 法律责任与处罚
很多人觉得等保就是买个防火墙、装个日志审计。错了。等保是法律义务。不履行，后果很严重。
| 违法行为 | 法律依据 | 处罚措施 |
|---|---|---|
| 不履行等保义务 | 《网安法》第59条 | 对单位罚款1万-10万，对责任人罚款5千-5万 |
| 拒不整改或导致严重后果 | 《网安法》第59条 | 对单位罚款10万-100万，对责任人罚款1万-10万 |
| 未按规定留存日志 | 《网安法》第21条 | 警告；拒不改正的，罚款1万-10万 |
| 未进行数据分类分级 | 《数据安全法》第45条 | 对单位罚款5万-50万，对责任人罚款1万-10万 |
| 未经安全评估向境外提供数据 | 《数据安全法》第46条 | 对单位罚款10万-1000万，情节严重可责令停业 |
干货分享：审计时我会重点看三个东西：①是否有有效的《等保备案证明》；②最近一次测评报告结论是否为“基本符合”或以上；③是否有针对测评报告的整改计划。这三样没有，基本就是违法事实。
嗯，还记得我刚才说的法律联动吗？
《数据安全法》里明确说了，数据分类分级制度。
它和等保的定级是两条线，但实际审计中，你得把它们对齐。一个三级系统，里面跑的数据肯定是重要数据或核心数据。安全措施就得加码。
我之前审计一家金融机构，他们的等保三级系统做得很好。但数据分类分级根本没做。结果一查，一堆敏感数据直接从开发测试环境流到了第三方。等保再高，也拦不住这种管理漏洞。
重要提醒：别把等保当成一次性的项目。它是一个持续的过程。法律一直在更新，标准一直在升版。你得定期回头看。我自己的习惯是每年Q1做一次法规更新扫描，看看有没有新的部门规章或者行业标准出台。
2.5 等保与GDPR的初步碰撞
这一章主要讲中国法，但我还是想提一句GDPR。
因为很多跨国企业头疼的就是：中国的等保和欧盟的GDPR，到底听谁的？
我的答案是：两个都得听。但执行上，可以把它们看作“安全基础”和“数据保护”的关系。
- 等保侧重于：技术防护、安全管理制度、应急响应。它是“地基”。
- GDPR侧重于：数据主体权利、同意机制、数据保护影响评估。它是“装修标准”。
你想想看，一个系统如果连等保三级都过不了，基本的安全能力都没有，GDPR的“适当技术措施”要求你拿什么去满足？
所以我的建议是：先拿等保把技术和管理底子打牢。然后再按GDPR的条款，逐条补数据权利、跨境传输、DSAR（数据主体访问请求）流程。这两套体系不矛盾，甚至在很多安全措施上是互相增强的。
实操要点：在做等保定级时，如果这个系统涉及欧盟数据主体的个人信息，你可以主动把数据分类分级做得更细一些。这样后面做GDPR合规时，就不用重新梳理一遍数据资产了。
这一章的内容不少。但你只要记住一句话：等保是底线，数据法是红线。
底线不能破，红线不能碰。
剩下的，就是在具体项目里一点点落地的事了。