2023年秋天，我接到一个做在线教育的客户李总的电话。他们平台刚上了线三个月，注册用户大概8000多人。突然一天，属地网安大队找上门，说他们的系统没有做等保备案，限期整改。
李总懵了。他说：”我们就是个小小的教育平台，用户也不多，也要做等保？”
说实话，这是很多中小企业老板的共同误解。等保不是只有大公司才需要做。只要你的系统联网，收集用户信息，就很有可能落在等保的覆盖范围内。
等保到底是什么？二级又是什么概念
说白了，等保就是”网络安全等级保护”的简称。2017年《网络安全法》出台之后，这成了强制性的合规要求。所有运营信息系统的主体，都要对系统进行安全等级定级，然后按等级做保护。
等保分五个等级。第一级是用户自主保护，基本没人做。第二级是指导保护，适用于一般的信息系统。第三级是监督保护，涉及金融、电信、医疗这些关键行业。第四级和第五级就更不用说了，基本上是国家级基础设施才用得上。
中小企业最常遇到的是等保二级。什么情况下需要定二级？有几个判断标准：
第一，你的系统收集公民个人信息。哪怕只是手机号、邮箱，也算。很多SaaS平台、电商小程序、预约系统，看似不大，其实都涉及。
第二，系统中断会造成一定社会影响。比如一个社区团购平台宕机半天，可能只影响几百个订单。但如果是一个区域性的政务服务平台宕机，影响面就大了。
第三，业务数据有一定价值。比如你的平台上有用户订单数据、学习记录、诊疗预约信息——这些都属于”重要数据”的范畴。
李总的教育平台，注册用户8000多，留存手机号和微信openid，课程购买记录也存在数据库里。这种情况，定二级几乎没有争议。
等保二级全流程：从定级到拿报告
整个等保二级测评下来，一般来说大概需要2到3个月。我把流程拆成四步，方便你理解。
第一步：定级备案。这一步你要填写《信息系统安全等级保护备案表》，写清楚系统名称、业务描述、网络拓扑、数据情况，然后自己先做初步定级。定级完了到属地公安机关网安大队做备案。北京这边现在可以通过”北京市网络安全等级保护综合服务平台”线上提交。
备案材料里有一个重点，就是定级报告。你要说清楚这个系统受到破坏后对客体（用户、社会秩序、国家安全）的损害程度。写得太轻了，网安不认可。写得太重了，后面测评要求跟着升高，整改成本也上去了。这个尺度最好有人帮你把握。
第二步：差距分析。等保二级有73项控制点，涉及安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个方面。测评机构会先过来做初检，给你一份差距报告，告诉你哪些地方不合规、需要整改。
常见的差距主要集中在几个地方：服务器没有放在合规的机房（物理环境不满足）、没有部署防火墙和入侵检测（边界防护缺失）、数据库密码策略太弱（身份鉴别不合规）、日志留存时间不够（安全审计不达标）。
第三步：整改加固。根据差距报告一条条改。有些改起来简单，比如加密码复杂度策略、开日志留存。有些麻烦，比如要换机房、上堡垒机、部署WAF。整改周期看差距多少，少的三周，多的两个月。
第四步：正式测评。整改完成后，测评机构回来做正式测评，逐项打分。70分以上算通过。通过后出具《等级保护测评报告》，拿这个报告去公安机关做备案确认，整套流程就算走完了。
中小企业做等保，最容易踩的五个坑
说实话，我看过太多企业做等保走了弯路，钱花了不少，时间也拖了。
第一个坑，是自己定级定不准。我见过一家做内部OA系统的公司，明明只服务内部员工，没有外网用户，业务数据也不敏感，硬是给自己定了个二级。结果测评机构一来就说没必要，白花了几万块。
第二个坑，是选了不合适的测评机构。等保测评机构要有国家网络安全等级保护工作协调小组颁发的资质。全国大概200多家。选机构要看三个东西：资质证书、本地服务能力、报价透明度。有些机构低价接活，测评的时候找各种问题让你加钱整改，实际是变相加价。
第三个坑，是整改方案太激进。有的乙方为了多卖设备，差距报告写得吓人，建议你上全套安全设备。中小企业真没必要。等保二级的大部分控制点，通过策略配置、管理制度、物理环境改善就能满足。动辄让你买十几万的防火墙，多半是宰客。
第四个坑，是忽视管理制度。很多人以为等保就是买设备堆技术。其实等保二级有差不多30%的分值在安全管理制度上。比如你有没有安全管理制度文件、有没有定期培训记录、有没有应急预案和演练记录。这些东西花不了多少钱，但没做的话扣分很狠。
第五个坑，是以为测评过了就完事了。等保是持续性的合规要求，不是一锤子买卖。定级备案有效期一般三年，但每年要做自查，发生重大变更还要重新测评。有些公司拿了一次报告就扔抽屉里了，第二年网安抽查发现系统架构变了、没重新备案，照样罚。
费用和时间，大概是多少
这是老板们最关心的。说实话，费用跟系统规模、复杂度、现有安全基础关系很大。
等保二级测评费用，北京这边一般在3万到8万之间。纯测评费大概1.5万到3万。整改费用差异就大了，如果服务器、网络设备基本合规，可能几千块钱做策略调整就行。如果需要换机房、上安全设备，可能要再花2到5万。
时间方面，顺利的话2个月可以走完。但如果整改项目多，或者测评机构档期排满了，拖三四个月的也有。
我的建议是，做等保之前先做一次预评估。花两三千块钱找个有经验的工程师过来看看，把差距列清楚，估个整改费用，再决定要不要启动。这比盲目录进去划算得多。
需要相关服务？联系我们免费咨询
九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。
免费小工具推荐：
联系方式：
- 电话/微信：18910232032
- 扫码添加专业经营合规顾问，免费咨询 ↓
