企业官网建设流程全解析

简介：面向网络安全从业者、等保测评人员及企业合规负责人的对照型参考资料，聚焦等级保护2.0框架下二级与三级要求的逐项差异，帮助读者在系统定级、差距分析与整改落地时快速定位两级标准的分界点。包内为1个docx文档，压缩包约57KB，篇幅精炼、便于随查随用。内容从监管要求切入，梳理《网络安全法》相关条款与《刑法》侵犯公民个人信息罪的约束，并说明网安定级备案与驳回整改的实际要求；技术要求部分则以表格形式并列二级、三级在网络安全结构、网络访问控制、拨号访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范及网络设备防护等控制项上的具体条款差异，三级在带宽优先级、应用层协议命令级过滤、审计报表与实时报警、非授权接入定位阻断等方面要求更严。已有2922人学习，适合用于等保项目前期对标、测评自查与整改方案编写时逐条比对。

1. 二级和三级到底差在哪：先把结论摆出来

去年帮一个朋友的公司做等保整改，他们系统最初按二级备案，后来业务接入了大量个人敏感信息，网安那边重新定级直接拉到三级。当时团队的第一反应是“多买几台设备、多配几条策略”，结果整改清单拉出来一看，光主机资源控制这一项就从 2 条要求涨到 9 条，应用层抗抵赖、强制访问控制这些二级压根没有的东西全冒出来了。这件事让我印象很深：二级和三级不是“加量不加价”的关系，而是从“防住基本风险”到“扛住有组织攻击”的质变。

这篇内容围绕网络安全等级保护 2.0 的二级与三级逐项对比展开，适合三类人：正在纠结系统该定哪一级的选型负责人、需要按条款落地整改的技术执行者、以及第一次接触等保测评想快速建立全局认知的新手。我会把技术要求和管理要求里真正拉开差距的条目挑出来，讲清楚差在哪、为什么差、落地时先动哪里，而不是把标准原文再抄一遍。

2. 技术要求的硬差距：从网络到数据逐层拆

等保 2.0 的技术要求分网络安全、主机安全、应用安全、数据安全几个层面，二级和三级在每个层面都有重叠项，但三级在关键控制点上明显加码。我一般会按“二级有、三级也有但更严”和“二级没有、三级新增”两类来梳理，这样整改时优先级一目了然。

2.1 网络安全层：三级多了带宽优先级和内容过滤

网络层面二级和三级的基础项高度重合，比如网络设备冗余、拓扑图绘制、子网划分、地址绑定防欺骗，这些两边都要做。真正的分水岭在三个地方。

第一是带宽分配优先级。三级明确要求“按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要业务数据主机”。二级没有这条。落地时通常要在核心交换机或出口设备上配 QoS 策略，把业务流量分级。我见过不少二级系统升三级时漏掉这条，测评时被要求补 QoS 配置截图和策略说明。

第二是应用层内容过滤。三级要求“对进出网络的信息内容进行过滤，实现对应用层 HTTP、FTP、TELNET、SMTP、POP3 等协议命令级的控制”。二级只要求基于会话状态的允许/拒绝。这意味着三级场景下，防火墙不能只做五元组过滤，得能识别应用层协议并做命令级管控。实际整改中，老式包过滤设备往往过不了这一关，需要换成具备应用识别能力的下一代防火墙。

第三是会话控制。三级要求“在会话处于非活跃一定时间或会话结束后终止网络连接”以及“限制网络最大流量数及网络连接数”。这两条在二级里没有对应项。配置上就是会话超时时间和并发连接数阈值，但测评时会看你的阈值是否合理、是否有配置依据。

2.2 主机安全层：强制访问控制和入侵防范是分水岭

主机层面差距最明显。二级的主机要求集中在身份鉴别、自主访问控制、安全审计、恶意代码防范这几块，三级在此基础上新增了强制访问控制、入侵防范、资源控制的大幅扩展。

强制访问控制是三级独有的硬指标：要求对重要信息资源设置敏感标记，覆盖范围包括与重要信息资源直接相关的所有主体、客体及操作，粒度到用户级和文件/数据库表级。这条在通用操作系统上落地，通常要借助 SELinux 之类的机制或者专用安全加固产品。很多团队在这一项上翻车，因为普通 Linux 默认的 DAC 不满足 MAC 要求，测评时拿不出敏感标记的配置证据。

入侵防范也是三级新增：要求监视主机 CPU、硬盘、内存、网络资源使用情况，设定报警阈值，做特定进程监控和主机账户监控，检测已知入侵行为并记录源 IP、攻击类型、目的、时间，严重事件要报警，还要能检测重要程序完整性破坏并恢复。这一整套下来，基本等于要在主机上部署 HIDS（主机入侵检测）类产品。二级没有这些要求，所以二级系统的主机加固往往停留在补丁和账号管理层面。

资源控制从二级的 2 条扩到三级的 9 条，新增了并发会话限制、登录超时锁定和鉴别失败锁定、禁止同一账号并发登录、资源使用上下限、服务水平下降检测报警、服务优先级分配等。这些条目看着琐碎，但每一条测评时都要有对应配置或产品功能佐证。

2.3 应用与数据层：抗抵赖、代码安全和通信加密的升级

应用层面，三级新增了抗抵赖要求：在请求的情况下为数据原发者或接收者提供数据原发证据和接收证据。这条通常靠数字签名或可信时间戳来实现，二级完全没有这个概念。通信完整性上，二级要求单向校验码算法，三级要求密码算法计算报文验证码；通信保密性上，二级要求对敏感信息字段加密，三级要求对整个报文或会话过程加密，并且要选用符合国家有关部门要求的密码算法。这个“整个报文加密”和“合规密码算法”的组合，直接把整改成本拉高一个档次。

代码安全也是三级独有：要求制定代码编写安全规范、做代码复审识别恶意代码、做安全脆弱性分析、做穿透性测试。二级只要求恶意代码扫描和安全脆弱性分析。也就是说三级系统在软件开发生命周期里要有成文的规范和复审记录，测评时会查文档和测试报告。

数据安全层面，三级在数据完整性和保密性上都多了“检测到完整性错误时采取必要的恢复措施”以及“用于特定业务通信的通信信道应符合相关的国家规定”。备份恢复从二级的本地备份升级为本地加异地备份，还要求重要业务系统的本地系统级热备份。这几条对容灾能力提出了实质要求，不是加块硬盘就能糊弄过去的。

3. 管理要求的软差距：制度、人员和建设流程

技术之外，管理要求是很多团队容易轻视的部分。二级和三级在管理制度、人员安全、系统建设管理上都有条目差异，三级更强调体系化、审批留痕和第三方介入。

3.1 安全管理制度：从“有制度”到“有体系且定期审定”

二级要求制定总体方针、安全策略、管理制度和操作规程。三级在此基础上要求“形成由安全政策、安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系”，并且要由安全管理职能部门定期组织审定合理性和适用性。制定发布环节，二级由信息安全职能部门负责组织，三级升级为信息安全领导小组负责，还要注明发布范围并做收发文登记。评审修订上，三级多了“发生重大安全事故、出现新漏洞、技术基础结构变更时”要检查审定修订，以及每个制度文档要有负责人或负责部门维护。

实操中，这意味着三级系统的制度文档不能是一摞放在柜子里的纸，得有版本记录、发布登记、定期评审纪要。我见过一个团队制度写得挺全，但拿不出任何评审记录，测评时这一项直接被判不符合。

3.2 人员安全与机构：专职、轮岗和双重审批

机构层面，三级要求成立指导和管理信息安全工作的委员会或领导小组，最高领导由单位主管领导委任或授权；要配备专职安全管理人员且不可兼任；关键岗位定期轮岗。授权审批上，三级要求建立审批程序、关键活动双重审批、及时取消不再适用的权限、定期审查更新审批项目、记录并保存授权文档。二级在这些点上要求明显宽松，只要求授权审批部门和批准人、列表说明审批事项。

人员安全方面，三级在人员录用上要求关键岗位从内部选拔并定期信用审查、签署岗位安全协议；人员考核要求对所有人员进行全面严格的安全审查并记录保存考核结果；安全意识培训要求针对不同岗位制定不同培训计划；第三方访问管理要求书面规定允许访问的区域、系统、设备、信息并按规定执行。这些条目单看都不难，难在持续执行和留痕。

3.3 系统建设管理：定级论证、方案评审和第三方测试

系统定级环节，三级要求以书面形式说明定级方法和理由，组织相关部门和安全技术专家对定级结果论证审定。安全方案设计上，三级要求指定授权专门部门做总体规划、制定近期和远期计划、统一考虑总体安全策略和技术框架、定期根据测评评估结果调整修订。产品采购上，三级要求制定采购管理制度、预先做选型测试并定期审定候选名单。测试验收上，三级要求委托公正第三方测试单位出具报告，并指定授权专门部门负责验收管理。

这些要求指向一个共同逻辑：三级系统在建设全流程里要有第三方视角和书面论证，不能自己说了算。二级相对更依赖内部审批。对于要升三级的团队，提前把定级论证报告、方案评审记录、第三方测试报告这些材料准备好，比事后补要省力得多。

4. 避坑清单：升三级时最容易翻车的五个点

4.1 只加设备不改配置，测评时拿不出策略证据

现象：买了一堆安全设备，测评时被问 QoS 策略、会话超时配置、应用层过滤规则，拿不出来。原因：把等保整改理解成采购清单，忽略了配置落地和截图留证。解决：每一条技术要求对应一份配置说明和截图，按条款编号归档，测评前自查一遍。

4.2 强制访问控制用普通权限凑数

现象：主机安全测评时，MAC 项被判不符合，因为只有普通用户/组权限。原因：把自主访问控制当成了强制访问控制。解决：确认操作系统或加固产品是否支持敏感标记和 MAC，必要时引入专用机制，并保留配置证据。

4.3 审计记录没保护，被测评方质疑可篡改

现象：三级要求审计记录避免未预期删除修改覆盖、审计进程避免中断，但日志服务器和业务主机同权限管理。原因：审计和管理权限没分离。解决：审计日志单独存储、单独授权，管理账号无权删改审计数据，保留权限分离的配置记录。

4.4 制度文档齐全但没有评审和发布记录

现象：管理制度内容写得不错，测评时被问版本控制、发布登记、定期评审纪要，答不上来。原因：重编写轻流程。解决：建立文档台账，每次修订留版本号、审批签字、发布范围登记，定期评审形成会议纪要。

4.5 备份只做本地，异地和热备缺失

现象：数据备份恢复项被判不符合，因为只有本地备份。原因：按二级习惯做三级整改。解决：梳理重要信息清单，落实本地加异地备份，重要业务系统评估是否需要本地系统级热备，保留备份策略和恢复演练记录。

5. 定级与整改的落地顺序：一份可照着走的判断框架

回到最开始那个朋友公司的问题：系统该定二级还是三级，定了之后先改什么。我的判断框架是这样的。

先看数据和业务影响。系统承载的数据是否涉及大量个人信息、是否一旦泄露会造成组织重大损失、是否属于关键信息基础设施相关范畴，这几点决定定级下限。定级不是自己拍脑袋，三级要求书面说明方法和理由并组织论证，所以定级阶段就要把数据分类和影响分析做扎实，避免备案被驳回再返工。

再看差距清单的优先级。技术层面我一般按“网络边界→主机加固→应用与数据”的顺序推进，因为边界设备策略调整见效快、测评权重高；主机层的强制访问控制和入侵防范往往需要产品配合，周期最长，要最早启动选型；应用层的抗抵赖和全报文加密涉及改造，放在中期。管理层面按“制度体系→人员与机构→建设流程”推进，制度先行，后面的审批和记录才有依据。

最后是留证意识。三级测评看的不只是“有没有做”，更是“能不能证明做了”。每完成一项整改，同步归档配置截图、策略说明、审批记录、测试报告。我习惯在项目初期就建一个按标准条款编号的文件夹结构，整改一项归档一项，测评前不用临时抱佛脚。

回过头看，等保二级到三级的差距，本质是从“合规底线”到“体系化防御”的跨越。技术条目多出来的那些，指向的是对未知威胁的检测和响应能力；管理条目多出来的那些，指向的是持续运行和可审计。把这两条主线抓住，逐项对照落地，比盲目堆设备有效得多。希望这份对比能帮你在定级和整改时少走几个弯路。

本文还有配套的精品资源，点击获取