等保二级需要哪些防护？

本文目录导读：

1. 物理安全（机房环境）
2. 网络安全（边界与通信）
3. 主机安全（服务器与终端）
4. 应用安全（软件系统）
5. 数据安全与加密
6. 安全管理（制度与人员）
7. 安全审计与监控
8. 总结：等保二级的“标配”清单
9. 特别提醒（避坑指南）：

等保二级（网络安全等级保护第二级）适用于一般性的信息系统，系统遭到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或对社会秩序、公共利益造成轻微损害。

等保二级的防护要求主要依据《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》中的第二级安全要求，它强调的是安全管理制度、物理环境、网络通信、计算环境、数据安全等全方位的防护。

下面为你梳理等保二级通常需要具备的核心防护措施：

物理安全（机房环境）

• 位置与门禁： 机房应部署在防潮、防尘、防震的区域，安装电子门禁系统,记录进出日志。
• 温湿度控制： 配备空调,保持机房温湿度在设备允许范围内。
• 电力供应： 配置UPS（不间断电源），至少能为关键设备供电15分钟以上；建议配备备用发电机或第二路市电。
• 防火与防水： 安装烟雾探测器、气体灭火装置；机房内无水管穿过,地面有防水措施。
• 视频监控： 机房出入口、核心设备区域安装监控摄像头,记录24小时录像。

网络安全（边界与通信）

• 边界防护： 在互联网出口部署防火墙，实现访问控制策略（如只开放必要端口）。
• 入侵检测： 部署IDS（入侵检测系统） 或IPS（入侵防御系统）,监控并记录网络攻击行为。
• 恶意代码防范： 在网络边界部署防病毒网关或统一管理网络版杀毒软件。
• 访问控制： 划分不同的网络安全域（如办公网、生产网、DMZ区），通过VLAN或防火墙隔离；限制非法访问和跨域流量。
• 审计与日志： 部署日志审计系统，统一收集防火墙、交换机、服务器的日志,保存至少6个月以上。

主机安全（服务器与终端）

• 身份鉴别： 操作系统和数据库必须使用强口令（大小写字母、数字、特殊字符组合，长度至少8位）；建议启用双因素认证（如密码+动态令牌）。
• 漏洞管理： 定期对服务器、数据库、中间件进行漏洞扫描（建议每季度或重大漏洞预警时）,及时打补丁。
• 恶意代码防范： 所有服务器和终端（PC）安装企业级防病毒软件,并保持病毒库自动更新。
• 访问控制： 实施最小权限原则，严格限制root/管理员权限,普通用户只给最小需要的权限。
• 安全审计： 开启操作系统和数据库的日志记录功能，记录用户登录、操作行为。

应用安全（软件系统）

• 身份鉴别与访问控制： 应用系统（如OA、ERP、网站）具备完善的登录验证、验证码、会话超时机制；不同角色用户有不同权限。
• 数据完整性： 确保数据传输（如通过HTTPS/SSL加密）和存储过程中不被篡改。
• 安全审计： 应用系统自身需记录用户的关键操作（如登录、数据修改、删除）日志。
• 安全开发： 软件上线前需进行安全测试，防止SQL注入、XSS（跨站脚本攻击）、CSRF（跨站请求伪造）等常见Web漏洞。

数据安全与加密

• 数据分类分级： 对系统内的数据进行分类（如一般数据、重要数据）,并标识敏感数据。
• 数据备份与恢复： 这是等保二级的硬性要求，核心数据和系统配置必须进行本地备份（如磁盘阵列RAID或磁带机），建议进行异地备份；制定灾难恢复预案,并定期演练。
• 数据保密性： 敏感数据（如身份证号、手机号、密码）在存储时需进行加密（如SM4、AES等算法）。
• 数据存储安全： 数据库应采用加密存储或定期进行数据脱敏（用于测试环境）。

安全管理（制度与人员）

• 安全管理制度： 制定并发布正式的安全策略文件（如《网络安全管理制度》、《数据安全管理办法》、《应急预案》）。
• 组织架构： 明确网络安全管理责任人（可以是兼职，但必须有人负责）。
• 人员管理： 对涉及系统运维的人员进行背景审查、签订保密协议、定期进行安全意识培训。
• 系统运维管理： 建立账号权限审批流程、服务器运维审批流程,定期进行变更管理。
• 应急响应： 制定网络安全应急预案，明确事件分级、报告流程、处置措施；建议进行至少一次桌面推演或实战演练。

安全审计与监控

• 日志集中审计： 将网络设备、安全设备、服务器、应用系统的日志统一发送至日志服务器或SIEM（安全信息和事件管理）系统,实时监控异常。
• 安全事件告警： 配置安全设备（如防火墙、IPS）的关键告警通知（短信、邮件）。

等保二级的“标配”清单

特别提醒（避坑指南）：

1. 备份是硬伤： 很多单位在等保测评中因为没有备份系统或备份策略不合理（如只备份了数据没备份系统配置）而失分，建议建立自动备份任务，并定期验证备份可用性。
2. 日志保存6个月： 防火墙、网络设备、服务器、应用系统的日志必须留存不少于6个月（测评时通常会抽查1-3个月内的日志）。
3. 安全意识培训： 等保二级要求对员工进行安全培训，并有培训记录（如签到表、照片、考试试卷）,这是容易被忽略但评分占比不低的项目。
4. 应急演练： 建议每年至少开展一次网络安全应急演练（如模拟勒索病毒攻击、系统宕机恢复）,并形成演练报告。

如果你正准备过等保二级测评，建议直接联系当地的等保测评机构（一般由各省公安厅推荐）或安全服务商，进行一次简单的差距评估,会更精准地知道缺少哪些具体防护。