等保（网络安全等级保护）

等保是「网络安全等级保护」的简称，指中国依据《网络安全法》建立的一项网络安全基本制度：信息系统按重要程度划分安全等级，等级越高、安全要求越严，并需向公安机关备案和接受测评监督。

概述

等级保护制度的核心思想是「分级保护、突出重点」——不是所有系统都按同一标准防护，而是先评估系统一旦被破坏会对个人、社会秩序和国家安全造成多大危害，据此定为一级到五级，再按对应等级落实安全措施。等级越高，技术和管理要求越严格。普通企业网站多为二级，涉及重要数据或民生服务的平台通常需要三级，三级及以上还要定期由有资质的测评机构做等级测评。

业内常说的「等保 2.0」指以国家标准 GB/T 22239-2019《网络安全等级保护基本要求》为代表的新版标准体系。相比早期的「等保 1.0」，2.0 从传统信息系统扩展到云计算、大数据、物联网、移动互联和工业控制系统等新场景，并强化了可信计算、安全监测与应急处置等要求。

主要内容

• 五个等级：从一级（自主保护）到五级（专控保护），二级和三级在企业中最常见。
• 五个环节：定级、备案、建设整改、等级测评、监督检查，俗称等保「规定动作」。
• 主管部门：由公安机关网安部门负责备案受理和监督检查。
• 覆盖范围：不仅是网络设备和服务器，还包括机房物理环境、安全管理制度、人员与运维流程。

为什么要做等保

对企业来说，等保首先是法律义务：《网络安全法》明确要求网络运营者按等级保护制度履行安全保护义务，不做等保出了安全事件可能被追责。其次是准入门槛：政府、金融、医疗、教育等行业的项目招标和 App 上架常要求提供等保备案证明或测评报告。同时，按等保要求梳理一遍防火墙、日志审计、数据备份等措施，本身也能实实在在提升系统安全水位。

常见问题

问：个人博客或小网站需要做等保吗？答：等保义务主要针对网络运营者，重点是企业和机构的信息系统。个人小型网站一般定为一级，自主保护即可，通常无需备案测评；但一旦涉及大量用户数据或经营业务，就应考虑二级及以上。

问：等保和 ICP 备案是一回事吗？答：不是。ICP 备案面向工信部门，解决的是「网站能否合法接入」；等保面向公安机关，解决的是「系统安全防护是否达标」，两者相互独立，都可能被要求办理。

问：等保测评多久做一次？答：三级及以上系统需定期开展等级测评，三级系统通常每年一次；二级系统一般无强制年检要求，但主管部门或行业监管可能另有规定。