等保测评自查清单（2026 版）

等保（网络安全等级保护）是《网络安全法》第二十一条确立的法定制度，不是可选项。是否被要求，看的是你有没有运营信息系统、系统里有什么数据，与企业规模无关。

定级依据是 GB/T 22240-2020《网络安全等级保护定级指南》，它看两个维度，一是受侵害的客体（公民与法人权益、社会秩序、公共利益、国家安全），二是侵害程度。落到中小企业身上，对外提供服务的业务系统、含大量个人信息的平台通常按二级或三级考虑，内部 OA、财务、进销存多为二级，生产制造类系统在影响生产连续性时等级会往上走。

有两个容易搞错的点。一是定级不能只凭主观意愿，定级过低而实际影响面大，会在监督检查时被判定级不准，等于白做一次。二是二级也要备案，法律规定第二级以上系统的运营使用单位应当到公安机关备案，很多企业以为二级不用管，这是最常见的误解。

定级拿不准时，最省事的做法是先跟当地公安网安部门或行业主管单位口头确认一次，比事后返工便宜得多。

完整的等保工作分五步，定级、备案、差距分析、建设整改、等级测评，顺序不能颠倒。定级一般 3 到 10 个工作日，备案 5 到 15 个工作日，差距分析 3 到 7 个工作日，整改 1 到 3 个月，测评 10 到 20 个工作日。从定级到拿到报告，通常需要 2 到 4 个月。

第四步整改是成本中心，也是最容易被低估的一步。周期长短几乎完全取决于前期有没有认真做第三步的差距分析。跳过差距分析直接整改，通常在测评现场被打回来重做。

资金流向按性价比从高到低排，大致是日志与审计（必做、投入低）、身份鉴别与访问控制（必做，堡垒机是标准解法）、边界防护与入侵防范（必做）、数据备份与恢复（三级要求更严，演练记录最容易失分）、物理环境改造（成本最高）、管理制度与记录（不花钱但最费功夫）。

测评频次按等级区分。三级系统应当每年至少测评一次，四级系统每半年至少一次。二级系统的频次主要依据行业主管要求或业务方约定，不少企业按首次备案后按需开展。

等保的条款分技术与管理两大类。技术类包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。管理类包括安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

现场最常见的八个不通过项，按出现频率排是日志留存不足六个月、共享账号与弱口令、缺少访问控制策略文档、备份没有恢复演练记录、入侵防范措施缺失、制度文件与现场不一致、人员安全管理缺失、安全区域边界划分不清。

这里面有一条规律值得单独记住。技术项可以通过采购解决，管理项只能通过实际执行并留下记录解决。很多企业花钱把技术分拿满了，最后栽在记录上。

还有一种比缺少制度更容易被判不合格的情形，制度写的是 A 流程、实际执行的是 B 流程。检查时对不上，比根本没有制度更难看。

2026 年有两个时间点要说清楚。修改后的《网络安全法》自 2026 年 1 月 1 日起施行，强化了网络安全法律责任与处罚力度。GA/T 2380-2026《网络安全等级保护数据安全基本要求》自 2026 年 6 月 1 日起施行，配套的 GA/T 2394-2026 测评要求与 GA/T 2395-2026 测评过程指南自 7 月 1 日起施行。

GA/T 2380-2026 没有推翻 GB/T 22239-2019 的既有条款，而是在原有十大安全大类之外，新增了安全数据处理一个独立大类，覆盖数据的收集、存储、使用、加工、传输、提供、公开、销毁八个环节，落在数据识别、数据标记、数据脱敏、数据溯源四项技术能力上。

对企业的实际含义是，数据安全要求过去散落在主机安全、应用安全等条目里，现在有了独立章节，也就可以被独立检查。三级及以上系统的传输与存储加密、组合身份鉴别、完整性保护，也从建议变成了强制项。

GA/T 2394-2026 统一了符合、部分符合、不符合的判定标准，把此前各地尺度不一致的问题收敛到同一套口径。测评流程也从看系统架构，转向先摸清数据资产与流转路径，再围绕数据流动做现场核查。也就是说，系统建好了不再等于能过。