网站等保级别

去年有个做在线教育的网站朋友被罚了五万块。原因不复杂——他的等保网站存了十几万用户的手机号和课程记录，但没做等保备案。网站网安大队上门检查时，等保他连"等保二级"是网站什么都没听过。这事在圈子里传开后，等保不少人第一反应是网站"至于吗"，第二反应才是等保"我们是不是也漏了"。

等保，网站全称网络安全等级保护。等保它不是网站新东西，2017年《网络安全法》落地后就写进了法律条文。等保但很多中小型网站的网站运营者仍然把它当成"大公司才需要操心的事"。这种认知偏差带来的等保代价，正在变得越来越具体。网站

你的网站属于哪一级，不是你自己说了算

等保分五级，从一级到五级，安全要求逐级升高。大部分普通企业网站、博客、小型电商平台，通常定在一级或二级。三级往上，一般是涉及大量公民个人信息、金融数据、公共服务系统，比如银行核心系统、三甲医院的HIS系统、省级政务平台。

关键问题在于：定级不是你拍脑袋决定的。按照《信息安全技术 网络安全等级保护定级指南》，定级要综合考虑两个维度——受侵害的客体（公民、法人、社会秩序、公共利益、国家安全）和侵害程度（一般、严重、特别严重）。一个日活几千的地方论坛，和一个人脸识别门禁系统，数据敏感度天差地别，定级自然不同。

我见过最离谱的案例是一家做智能门锁的公司。他们的App后台存着用户的开锁记录、家庭住址、甚至部分指纹特征数据。创始人一直觉得"我们就是个卖硬件的"，等保？没想过。后来被监管部门要求整改时，才发现自己的系统至少应该定三级。三级意味着什么？意味着每年要做一次等级测评，要建安全管理机构，要上入侵检测、数据加密、异地备份。成本直接翻了不止一倍。

二级和三级之间，隔着一道成本鸿沟

一级等保基本是"备案+自查"，不强制测评。二级要求每两年测评一次，三级每年一次。听起来只是频率差别，实际落地时差别大了去了。

一个二级系统，可能花两三万买个防火墙、做个漏洞扫描、写几份管理制度就能过。三级系统呢？物理机房要门禁+监控+消防，网络要划分安全区域，主机要装审计软件，应用要防SQL注入和XSS，数据要加密传输和存储，还要有专人负责安全运维。一套下来，没个十几二十万根本打不住。这还不算每年测评机构的服务费。

所以很多企业卡在"到底定几级"这个问题上反复拉扯。定低了怕被查，定高了扛不住成本。有些公司会找咨询机构帮忙"合理定级"，说白了就是在合规和预算之间找平衡点。但这里有个红线：如果系统真的涉及大量敏感个人信息，你硬要往低了定，一旦出事，处罚力度会更大。去年某快递企业的面单信息泄露事件，就是因为定级过低、防护不到位，最后被重罚。

备案不是终点，测评才是真正的麻烦

很多人的流程是这样的：听说要等保，赶紧找个模板填备案表，交到公安网安部门，拿到备案证明就以为完事了。备案确实简单，线上提交材料，审核通过给个号。但备案只是第一步。

真正折腾人的是测评。测评机构会拿着检查表一项一项过：你的服务器有没有弱口令？数据库有没有做访问控制？日志保存够不够六个月？离职员工账号有没有及时注销？应急预案有没有演练记录？这些问题细到让人头皮发麻。我见过一个技术负责人被问到"机房空调的温湿度记录有没有留存"时直接愣住——他连机房都没进去过，服务器全在云上。

云上也有云上的麻烦。虽然阿里云、腾讯云这些平台本身过了等保三级，但那是平台的基础设施。你部署在上面的业务系统，该定级还得定级，该测评还得测评。云服务商提供的安全组、WAF、堡垒机，只是帮你满足部分技术要求，管理层面的制度、人员、建设、运维，一样都跑不掉。

不做等保，风险比你想的更实在

除了罚款，还有更直接的业务影响。现在很多甲方在招标时会明确要求"投标方需具备等保备案证明"。没有这个，连投标资格都没有。一些应用商店在上架审核时也会查等保情况。更别说一旦发生数据泄露事件，等保备案和测评报告是你证明"已尽到安全保护义务"的重要依据。没有它，法律上几乎等于裸奔。

说到底，等保不是一道选择题。只要你的网站或系统收集、存储、处理了用户数据，它就在监管范围内。区别只是级别高低和投入多少。早做比晚做好，主动做比被查了再做代价小。那个被罚五万的朋友后来花了三个月重新定级、整改、测评，总花费超过十五万。他跟我说了一句话：这钱本来可以省一半的，如果一开始就认真对待的话。