等保要做的，是把该有的制度和记录补齐，再把技术短板补到标准门槛。中小企业做二级或三级，时间成本主要花在整改和文档上，测评本身反而快。按本文流程走，从定级到拿报告通常需要 2~4 个月；提前做一次自查，能省掉一次返工。
很多中小企业第一次接触等保，是因为甲方或平台方在合同里加了一条"系统需通过等保二级/三级测评"，或者收到主管单位的整改通知。此时距交付往往只剩一两个月，于是仓促找机构、仓促买设备，最后因为文档和记录缺失返工重测。
这篇文章按实际交付顺序讲清四件事，该定几级、每一步要多久、钱花在哪、最容易卡在哪。
一、先确认要不要做，以及做几级
等保（网络安全等级保护）是《网络安全法》第二十一条确立的法定制度，不是可选项。是否"被要求"，看的是你有没有运营信息系统、系统里有什么数据，与企业规模无关。
定级依据是 GB/T 22240-2020《网络安全等级保护定级指南》，它看两个维度，一是受侵害的客体（公民/法人权益、社会秩序、公共利益、国家安全），二是侵害程度。
落到中小企业身上，可以按系统类型对照下表。
| 系统类型 | 常见定级 | 说明 |
|---|---|---|
| 对外提供服务的业务系统、电商/小程序后端、含大量个人信息的平台 | 二级或三级 | 涉及 10 万人以上个人信息通常按三级考虑 |
| 内部 OA、财务、ERP、进销存 | 二级 | 仅内部使用、影响范围限于本单位 |
| 生产制造 MES、工业控制系统 | 二级或三级 | 影响生产连续性时等级会往上走 |
| 涉及重要数据、行业监管明确的系统 | 三级及以上 | 以行业主管部门要求为准 |
有两个容易搞错的点。
- 定级不能只凭主观意愿。定级过低而实际影响面大，会在监督检查时被判"定级不准"，等于白做一次。
- 二级也要备案。法律规定第二级以上系统的运营使用单位应当到公安机关备案，很多企业以为二级"不用管"，这是最常见的误解。
定级拿不准时，最省事的做法是先跟当地公安网安部门或行业主管单位口头确认一次，比事后返工便宜得多。
二、完整流程与时间表
完整的等保工作分五步，顺序不能颠倒。
| 阶段 | 主要动作 | 交付物 | 参考周期 |
|---|---|---|---|
| 1. 定级 | 编写定级报告、专家评审（三级通常需要） | 定级报告 | 3~10 个工作日 |
| 2. 备案 | 向属地公安网安部门提交备案材料 | 备案证明 | 5~15 个工作日 |
| 3. 差距分析 | 对照标准逐项自查，列出不符合项 | 差距分析报告、整改清单 | 3~7 个工作日 |
| 4. 建设整改 | 补技术措施 + 补管理制度与记录 | 整改报告、制度文件、运行记录 | 1~3 个月 |
| 5. 等级测评 | 委托测评机构现场测评，出具报告 | 等级测评报告 | 10~20 个工作日 |
第 4 步是成本中心，也是最容易被低估的一步。周期长短几乎完全取决于前期有没有认真做第 3 步。跳过差距分析直接整改，通常在测评现场被打回来重做。
测评频次也有差别。三级系统应当每年至少测评一次，四级系统每半年至少一次；二级系统的测评频次主要依据行业主管要求或业务方约定，不少企业按首次备案后按需开展。
三、差距分析，钱到底花在哪
差距分析是把 GB/T 22239-2019《网络安全等级保护基本要求》的条款逐条对照现状。条款分为技术和管理两大类，各含若干层面。
- 技术类包括安全物理环境 / 安全通信网络 / 安全区域边界 / 安全计算环境 / 安全管理中心。
- 管理类包括安全管理制度 / 安全管理机构 / 安全管理人员 / 安全建设管理 / 安全运维管理。
中小企业最常见的资金流向，按性价比从高到低排。
- 日志与审计（必做，投入低）。等保要求对重要用户行为和重要安全事件进行审计，且《网络安全法》要求网络日志留存不少于六个月。多数企业的短板在"没集中收集"和"留存不够"，这两条可以低成本解决。可参考我们的网络设备安全审计方案。
- 身份鉴别与访问控制（必做）。共享账号、弱口令、离职账号未清理是高频扣分项。堡垒机是这一项的标准解法，详见堡垒机与运维审计方案。
- 边界防护与入侵防范（必做）。防火墙策略梳理、恶意代码防范、漏洞修补机制。对应网络安全整体方案。
- 数据备份与恢复（三级要求更严）。三级要求重要数据本地备份 + 异地备份，并保留恢复演练记录。技术好买，演练记录才是最容易失分的地方。参见数据备份与容灾方案。
- 物理环境（改造成本最高）。机房门禁、消防、温湿度、UPS 是硬性要求，如果机房条件差，这部分可能是最大一笔支出。也正因如此，把业务迁到合规机房往往比自建改造更划算。
- 管理制度与记录（不花钱，但最费功夫）。制度、规程、记录"三件套"必须齐全且有实际执行痕迹。
四、最常踩的 8 个不通过项
按现场出现频率排序，这 8 项能覆盖绝大多数返工原因。
- 日志留存不足 6 个月，或日志分散在各设备上未集中留存。
- 共享账号与弱口令。管理员账号共用、口令长期不换、无复杂度要求。
- 缺少访问控制策略文档。策略实际配了，但没有对应的授权审批记录。
- 备份没有恢复演练记录。做了备份但从未验证过能不能恢复，这是三级测评的重点抽查项。
- 入侵防范措施缺失。无防恶意代码机制、无漏洞修补流程与记录。
- 制度文件与现场不一致。制度写的是 A 流程，实际执行的是 B 流程，比"没有制度"更容易被判不合格。
- 人员安全管理缺失。关键岗位背景审查、离岗离任记录、安全意识培训记录不全。
- 安全区域边界划分不清。内网扁平、无隔离，或隔离了但没有拓扑与策略说明。
有一条规律。技术项可以通过采购解决，管理项只能通过"实际执行并留下记录"解决。 很多企业花钱把技术分拿满了，最后栽在记录上。
五、二级和三级的差别在哪
三级比二级多出来的，主要是更严的管理要求和更强的可追溯性。主要差异见下表。
| 维度 | 二级 | 三级 |
|---|---|---|
| 测评频次 | 按主管要求/业务约定 | 每年至少一次 |
| 安全审计 | 要求审计 | 要求对重要用户行为和重要安全事件审计，覆盖更全 |
| 数据备份 | 本地备份 | 本地 + 异地备份，并有恢复演练 |
| 身份鉴别 | 口令等基本措施 | 更强调双因素、集中的身份与权限管理 |
| 集中管控 | 无强制 | 要求对分散的安全设备和管理员进行集中管控 |
| 管理制度 | 要求建立 | 要求更细的组织、人员与审批流程 |
如果你的系统实际是三级而按二级做了，监督抽查时会被要求重新定级和重新测评，之前的投入全部作废。定级宁高勿低，但要能被论证。
六、怎么挑测评机构和整改服务商
两条关键原则。
第一，测评机构与整改服务商必须分开。 测评机构不能既当运动员又当裁判员，这是硬性要求。由同一家做整改再出测评报告，报告不具备效力。
第二，先做差距分析再谈整改报价。 直接给你"打包价"的供应商，通常会在现场发现不合规项后追加费用。一份可执行的差距分析报告至少包含四样东西，不符合项清单、对应标准条款、建议措施、优先级排序，还要写清每条措施是你自己就能做还是要外包。
选择测评机构时，确认三件事，是否具备该级别的测评资质、本地区是否有案例、能否在合同里约定出报告的时间。
七、常见问题
二级系统要不要做渗透测试？ 渗透测试不是等保的强制项，但测评中会核查漏洞扫描与修补记录。有条件的按年做一次，对结论也有帮助。
等保测评费用大概多少？ 仅测评环节，二级通常在数万元量级，三级更高，具体取决于系统数量、测评机构所在地和是否首次测评。整改费用差异极大，取决于现有基础的差距。任何不看你现状就报价的，都不必再谈。
上云了还需要做等保吗？ 需要，责任不转移。云平台承担基础设施侧的合规责任，但业务系统的定级、备案、整改与测评仍由你负责，通常走"云平台已有等保 + 你方系统单独备案"的组合方式。
多久需要重新做一次？ 三级每年一次；系统发生重大变更（架构调整、数据范围扩大、新增对外服务）时应重新评估是否需要重新定级和测评。
等保这件事的难点在标准本身，第一次做的人往往不知道它在查什么。如果你正在被甲方或主管单位要求做等保，又不确定该定几级、现有基础差多少，可以直接联系我们做一次免费的前期差距评估。把清单列清楚，再决定要不要外包，比先签合同再发现问题划算得多。
更多选型与落地类文章，见技术分享栏目。