本文目录导读：
等保二级（网络安全等级保护第二级）适用于一般性的信息系统，系统遭到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或对社会秩序、公共利益造成轻微损害。
等保二级的防护要求主要依据《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》中的第二级安全要求，它强调的是安全管理制度、物理环境、网络通信、计算环境、数据安全等全方位的防护。
下面为你梳理等保二级通常需要具备的核心防护措施：
物理安全（机房环境）
- 位置与门禁： 机房应部署在防潮、防尘、防震的区域，安装电子门禁系统,记录进出日志。
- 温湿度控制： 配备空调,保持机房温湿度在设备允许范围内。
- 电力供应： 配置UPS（不间断电源），至少能为关键设备供电15分钟以上；建议配备备用发电机或第二路市电。
- 防火与防水： 安装烟雾探测器、气体灭火装置；机房内无水管穿过,地面有防水措施。
- 视频监控： 机房出入口、核心设备区域安装监控摄像头,记录24小时录像。
网络安全（边界与通信）
- 边界防护： 在互联网出口部署防火墙，实现访问控制策略（如只开放必要端口）。
- 入侵检测： 部署IDS（入侵检测系统） 或IPS（入侵防御系统）,监控并记录网络攻击行为。
- 恶意代码防范： 在网络边界部署防病毒网关或统一管理网络版杀毒软件。
- 访问控制： 划分不同的网络安全域（如办公网、生产网、DMZ区），通过VLAN或防火墙隔离；限制非法访问和跨域流量。
- 审计与日志： 部署日志审计系统，统一收集防火墙、交换机、服务器的日志,保存至少6个月以上。
主机安全（服务器与终端）
- 身份鉴别： 操作系统和数据库必须使用强口令（大小写字母、数字、特殊字符组合，长度至少8位）；建议启用双因素认证（如密码+动态令牌）。
- 漏洞管理： 定期对服务器、数据库、中间件进行漏洞扫描（建议每季度或重大漏洞预警时）,及时打补丁。
- 恶意代码防范： 所有服务器和终端（PC）安装企业级防病毒软件,并保持病毒库自动更新。
- 访问控制： 实施最小权限原则，严格限制root/管理员权限,普通用户只给最小需要的权限。
- 安全审计： 开启操作系统和数据库的日志记录功能，记录用户登录、操作行为。
应用安全（软件系统）
- 身份鉴别与访问控制： 应用系统（如OA、ERP、网站）具备完善的登录验证、验证码、会话超时机制；不同角色用户有不同权限。
- 数据完整性： 确保数据传输（如通过HTTPS/SSL加密）和存储过程中不被篡改。
- 安全审计： 应用系统自身需记录用户的关键操作（如登录、数据修改、删除）日志。
- 安全开发： 软件上线前需进行安全测试，防止SQL注入、XSS（跨站脚本攻击）、CSRF（跨站请求伪造）等常见Web漏洞。
数据安全与加密
- 数据分类分级： 对系统内的数据进行分类（如一般数据、重要数据）,并标识敏感数据。
- 数据备份与恢复： 这是等保二级的硬性要求，核心数据和系统配置必须进行本地备份（如磁盘阵列RAID或磁带机），建议进行异地备份；制定灾难恢复预案,并定期演练。
- 数据保密性： 敏感数据（如身份证号、手机号、密码）在存储时需进行加密（如SM4、AES等算法）。
- 数据存储安全： 数据库应采用加密存储或定期进行数据脱敏（用于测试环境）。
安全管理（制度与人员）
- 安全管理制度： 制定并发布正式的安全策略文件（如《网络安全管理制度》、《数据安全管理办法》、《应急预案》）。
- 组织架构： 明确网络安全管理责任人（可以是兼职，但必须有人负责）。
- 人员管理： 对涉及系统运维的人员进行背景审查、签订保密协议、定期进行安全意识培训。
- 系统运维管理： 建立账号权限审批流程、服务器运维审批流程,定期进行变更管理。
- 应急响应： 制定网络安全应急预案，明确事件分级、报告流程、处置措施；建议进行至少一次桌面推演或实战演练。
安全审计与监控
- 日志集中审计： 将网络设备、安全设备、服务器、应用系统的日志统一发送至日志服务器或SIEM（安全信息和事件管理）系统,实时监控异常。
- 安全事件告警： 配置安全设备（如防火墙、IPS）的关键告警通知（短信、邮件）。
等保二级的“标配”清单
| 类别 | 核心设备/措施 | 备注 |
|---|---|---|
| 物理安全 | 机房门禁、监控、UPS、温湿度控制、防雷接地 | 机房符合基本标准 |
| 网络安全 | 防火墙、日志审计系统、网络访问控制策略 | 这三项通常必不可少 |
| 主机安全 | 防病毒软件、系统漏洞扫描、强口令策略 | 覆盖服务器和PC |
| 应用安全 | 应用系统安全开发规范、https加密、验证码 | 由开发商提供 |
| 数据安全 | 数据备份（本地+异地）、数据恢复演练 | 是被动检查的高频项 |
| 管理制度 | 安全制度文件、应急预案、人员培训记录 | 文件类必须齐全 |
特别提醒（避坑指南）：
- 备份是硬伤： 很多单位在等保测评中因为没有备份系统或备份策略不合理（如只备份了数据没备份系统配置）而失分，建议建立自动备份任务，并定期验证备份可用性。
- 日志保存6个月： 防火墙、网络设备、服务器、应用系统的日志必须留存不少于6个月（测评时通常会抽查1-3个月内的日志）。
- 安全意识培训： 等保二级要求对员工进行安全培训，并有培训记录（如签到表、照片、考试试卷）,这是容易被忽略但评分占比不低的项目。
- 应急演练： 建议每年至少开展一次网络安全应急演练（如模拟勒索病毒攻击、系统宕机恢复）,并形成演练报告。
如果你正准备过等保二级测评，建议直接联系当地的等保测评机构（一般由各省公安厅推荐）或安全服务商，进行一次简单的差距评估,会更精准地知道缺少哪些具体防护。
