内容摘要：等保二级不是“可做可不做”的选答题。去年一家做在线教育的小公司，因为后台数据库未加密、日志只保留7天，被监管部门责令整改，停业两周。直接损失超过60万。他们老板后来跟我说，以为等保就是走个形式，没想到

等保二级不是网络“可做可不做”的选答题。去年一家做在线教育的安全小公司，因为后台数据库未加密、等保日志只保留7天，网络被监管部门责令整改，安全停业两周。等保直接损失超过60万。网络他们老板后来跟我说，安全以为等保就是等保走个形式，没想到真会查。网络

等保二级的安全正式名称是“网络安全等级保护第二级”，对应的等保是“指导保护级”。什么意思？网络就是系统被破坏后，会对公民、安全法人和其他组织的等保合法权益产生损害，但不影响社会秩序和公共利益。注意，是“合法权益”，不是“轻微影响”。很多企业内部的OA、客户管理系统、小型电商平台，都落在这个区间。

技术层面，二级要求不算苛刻，但容易踩坑。身份鉴别必须做到用户名+口令，且口令要有复杂度——8位以上，大小写字母、数字、特殊符号至少两种。我见过一家公司用“admin/123456”跑了三年，等保测评时直接被判高风险。访问控制要按最小权限原则，不同角色不能互相看数据。有个做HR SaaS的团队，销售能直接查员工工资表，整改时花了三天重写权限模块。

安全审计是重点。二级要求审计记录保留至少6个月，而且不能只记登录日志。谁在什么时间、从哪个IP、访问了哪个文件、做了什么操作，都得留痕。有个客户为了省存储成本，把日志存在本地磁盘，结果服务器被入侵后日志全被删了。测评机构直接给“不符合”。

数据完整性方面，二级不强制全链路加密，但重要数据传输必须用校验机制。比如MD5或SHA1做摘要，防止被篡改。备份要求是“本地备份”，不用异地容灾，但得定期恢复测试。我见过一家公司备份了两年，从来没恢复过，真出事时发现备份文件全是0字节。

管理要求比技术更磨人。二级需要成立网络安全领导小组，单位一把手任组长。很多中小企业觉得这是形式主义，随便填个名字。但等保测评会查会议纪要、查职责文件，甚至访谈负责人。去年有个客户，组长写的是已离职的CTO，直接扣分。人员安全方面，录用前要背景审查，离职要立即取消权限。有个案例是运维离职后账号没删，三个月后回来删库跑路。

物理环境也有要求。机房要门禁、要灭火器、要温湿度监控。但二级允许用云服务器，这时候物理要求转移给云厂商。你只需要确认云平台过了等保三级，并拿到其测评报告复印件。注意，是“复印件”不行，要加盖云厂商公章的证明。我见过有人拿阿里云的等保备案截图去交差，被退回。

测评流程分五步：定级、备案、建设整改、测评、监督检查。定级不准是常见问题。一个地市级医院的HIS系统，如果只影响本院患者，定二级；但如果连着急救调度，影响公共安全，就得三级。很多单位为了省事，故意往低压。但专家评审会会质疑，一旦被认定定级错误，重新走流程至少两个月。

整改成本差异很大。纯云上系统，买几个安全产品（WAF、堡垒机、日志审计），加上咨询和测评费，5到8万能搞定。自建机房的老系统，光网络改造和主机加固就可能超过20万。我的建议：新系统直接按二级要求设计，比事后补便宜一半。老系统先做差距分析，优先解决高风险项——比如弱口令、未授权访问、日志缺失。

等保二级不是终点。系统一旦升级、迁移、增加新功能，都要重新评估。有个客户做电商，从二级升到三级，因为用户量突破100万，且涉及支付。别等被罚了才想起来。每年至少做一次自查，每两年做一次测评。这钱省不得。