企业官网建设流程全解析

首先我们要知道等保2.0中安全通用要求的十个方面包括物理环境、通信网络、区域边界、计算环境、管理中心、管理制度、管理机构、管理人员、建设管理、运维管理。

这章我们来了解一下第一级别的安全管理机构的三个控制点岗位设置 、人员配备、授权和审批。第一点，什么是“安全管理机构”是等保2.0十个安全层面之一，属于管理类要求。它的核心作用是：从组织架构上保证安全工作“有人管、有人干、有人批”。

控制点一，岗位设置要求是应设立系统管理员等岗位，并定义各个工作岗位的职责。简单的说就是你要明确告诉所有人：谁是管系统的、他负责什么。不能“谁有空谁管”，更不能“没人管”。这是解决有人管。

具体的话第一级别的“岗位设置”就是“有人就行”。一个人可以身兼多职（系统管理员兼安全管理员），但在职责描述里要写清楚他分别管什么。比如说指定一个人（哪怕是兼职）负责系统管理，且书面写清楚他/她要干什么（比如“张三负责服务器日常维护和账号管理”）。

与更高级别的对比：

接下来是控制点二人员配备要求是应配备一定数量的系统管理员。简单的说就是，你说了有系统管理员这个岗位，就得真有人坐这个位置。

不能只是一个岗位名称，实际没人干活。且第一级别要求很低至少有一个系统管理员（可以是兼职，但这个人必须存在。）

一个容易被误解的点：标准原文说“一定数量”——在第一级的语境下，“一定数量”≥1。只要有一个人管着，就符合要求。这是解决了有人干。

与更高级别的对比：

最后第一级别的第三控制点授权和审批要求是应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等。简单说就是谁可以批什么操作，要有明文规定。比如：系统配置变更需要谁批准、账号开通需要谁批准。不能谁想改就改。

为什么会这样规定？
“授权和审批”是安全管理机构的核心控制点之一，它的本质是建立权力制衡——操作的人不能自己批准自己，这是内部风险控制的基本逻辑。

第一级的场景举例：小公司只有一个人管系统（张三是系统管理员）；按第一级要求：可以规定“系统日常维护由张三执行，重大变更需经李四（部门负责人）批准”；这就能满足“授权和审批”的要求。

与更高级别的对比：

还有安全管理机构还有两个控制点，但是第一级别不要求。

对比上面表格可以看到，第一级“安全管理机构”缺失两个控制点：

为什么第一级没有？沟通和合作：这是针对有一定规模的组织，需要与外部（公安网安、供应商、行业组织）建立联系渠道。第一级系统通常规模小，可以由一个人直接对接，不需要建立正式的合作机制。

审核和检查：这是要求组织定期自我检查安全工作的落实情况。第一级系统的管理要求很低，只要制度有、岗位有人、审批有流程，就基本满足，不需要强制要求“定期检查并形成报告”。

这在等保的级别设计中是一致的规律：第一级只要求“有骨架”，第二级及以上才要求“骨架能动起来”（沟通、检查）。

小结：第一级“安全管理机构”的核心定位，有人管、有人干、有人批。三个“有人”就够了。