互联网平台通过等保三级认证：完整标准与实战指南

等级	名称	适用场景	系统受损后果
第一级	自主保护级	一般系统	对合法权益造成损害
第二级	指导保护级	一般系统	对合法权益造成严重损害，或对社会秩序、公共利益造成损害
第三级	监督保护级	重要系统	对社会秩序、公共利益造成严重损害，或对国家安全造成损害
第四级	强制保护级	高度重要系统	对社会秩序、公共利益造成特别严重损害
第五级	专控保护级	极端重要系统	对国家安全造成特别严重损害

1.2 哪些互联网平台必须过等保三级？

以下类型的互联网平台被明确要求达到等保三级标准-7：

行业领域	具体系统	监管依据
金融	网上银行、证券交易、支付系统	未过等保三级无法获得业务牌照
医疗	互联网医院平台、HIS系统、电子病历	《互联网医院管理办法》明确要求
政务	政府门户网站、社保/税务系统	等保制度强制要求
大型电商	处理海量用户数据的电商平台	用户隐私保护要求
云服务	公有云平台、行业云	工信部云服务安全要求
区块链平台	联盟链管理平台、存证平台	天平链接入等场景的硬性要求

简单判断标准：如果系统被破坏后可能导致重大经济损失、社会秩序混乱或用户隐私大规模泄露，就应该定为三级-1。

二、2025年等保新规：五大关键变化

在深入了解具体标准之前，必须先掌握2025年3月发布的最新规定，因为测评体系已发生根本性变化-1 -5。

2.1 变化一：评分体系废止，三级结论制取代百分制

旧规：百分制评分，分为优、良、中、差四级
新规：采用“符合、基本符合、不符合”三级结论

结论	判定标准
符合	符合率≥90% 且无重大风险隐患
基本符合	符合率60%-90%，或符合率≥90%但存在重大风险隐患
不符合	符合率<60%

关键陷阱：即使符合率达到95%，若存在“重大风险隐患”（如重要数据无备份），结论仍可能降为“基本符合”-1。

2.2 变化二：测评频率升级

等级	旧规	新规（2025年起）
三级系统	两年一次	每年一次
首次测评	无明确时限	系统上线30日内完成-1

2.3 变化三：漏洞修复周期大幅缩短

漏洞等级	旧规修复时限	新规修复时限
高危漏洞	30天	15天-1 -10
中危漏洞	60天	30天
低危漏洞	90天	60天

2.4 变化四：新增数据资源摸底要求

二级及以上系统运营者需填报《数据摸底调查表》，按业务维度分类上报数据资产情况，与《数据安全法》形成联动监管-10。

2.5 变化五：覆盖范围扩展

新规明确将以下新兴领域纳入等保评估范围-5：

云计算平台
物联网系统
工业控制系统
AI大模型（新增）
区块链平台

这对计划接入天平链的联盟链平台来说，意味着测评范围将覆盖区块链底层及周边系统。

三、技术要求的211项控制点

等保三级的技术要求覆盖五大层面，共211项控制点-9 -10。

3.1 安全物理环境（物理安全）

这是最基础的要求，针对的是承载系统的机房环境。

控制项	具体要求	常见实现方式
机房位置	选址需避灾（防洪、防震、防雷）	选择符合GB 50174-2017 B级及以上标准的机房
电力冗余	双路市电 + UPS系统	主备双路供电，UPS续航≥2小时
门禁管控	生物识别+动态口令双因素认证	指纹/人脸 + 动态口令牌
出入记录	保存≥180天	门禁系统日志留存
环境监控	温湿度、漏水、烟雾实时监测	动环监控系统，异常自动报警
防火措施	气体灭火装置	七氟丙烷或IG541气体灭火系统

等保三级 vs 二级的关键差异：三级要求主要网络设备必须实现硬件冗余（双机热备），二级则允许单设备-3。

3.2 安全通信网络（网络安全）

控制项	具体要求	常见实现方式
网络架构	生产网、办公网、外网物理隔离	独立交换机/路由器，VLAN严格隔离
核心设备冗余	核心交换机双机热备，故障切换≤5分钟	堆叠或VRRP/HSRP协议
链路冗余	关键链路双上联架构	两条不同运营商的上行链路
带宽保障	核心设备负载≤80%	性能规划，避免高峰期过载

3.3 安全区域边界（边界防护）

控制项	具体要求	常见实现方式
边界隔离	信任区与非信任区严格划分	防火墙部署于所有网络边界
入侵防御	NGFW + IDS/IPS联动，威胁拦截率≥99%	下一代防火墙 + 入侵检测/防御系统
VPN接入	强制双因素认证，禁止远程桌面直暴露	VPN + 动态口令，通过跳板机访问
访问控制	基于应用层的精细化ACL	核心交换机部署访问控制列表

3.4 安全计算环境（主机与应用安全）

这是技术要求中最复杂的部分，涵盖主机和应用的全面加固。

（1）身份鉴别

要求	具体标准
密码复杂度	12位以上，含大小写、数字、特殊字符-2
登录锁定	错误登录5次后锁定≥15分钟
双因素认证	三级系统强制要求（如密码+动态口令）-10
多因素认证(MFA)	SSO集成需包含动态口令-3

（2）访问控制

要求	具体标准
最小权限原则	用户只拥有完成工作所必需的最小权限
默认账户管理	删除或禁用默认账户
权限分离	系统管理员、安全管理员、审计员三权分立

（3）安全审计

要求	具体标准
审计覆盖	覆盖所有用户的关键操作
日志留存	≥6个月-10
日志保护	禁止修改或删除
审计范围	覆盖应用、数据库、中间件全链路-3

（4）入侵防范

要求	具体标准
恶意代码防护	部署EDR，支持云查杀+行为分析，拦截率≥95%-2
漏洞扫描	每月至少一次
渗透测试	每年至少一次-10
红蓝对抗	每半年一次-1

（5）数据完整性与保密性

要求	具体标准
存储加密	敏感数据采用国密SM4算法加密-1 -2
传输加密	TLS 1.2及以上，禁用弱加密套件
数据防泄漏(DLP)	部署DLP系统，支持内容识别与外发管控-2

3.5 安全管理中心（集中管控）

这是等保2.0新增的核心模块，要求建立统一的安全管理平台-10：

功能模块	具体要求
集中管控	对网络、主机、应用安全状态统一监控
态势感知	实时监测威胁情报、异常流量、资产漏洞
日志审计	统一日志采集、分析和存储
安全运营中心(SOC)	7×24小时监控-9

四、管理要求的22类制度

等保是“三分技术，七分管理”。仅有技术设备远远不够，必须配套完善的管理体系-10。

4.1 安全管理制度（22类文件）

根据等保三级要求，企业需制定覆盖全业务环节的22类安全管理制度-2：

基础制度类：

《总体安全策略》
《安全管理制度框架》
《数据分类分级指南》
《个人信息保护规范》

操作规程类：

《系统上线安全检查表》
《漏洞修复流程》
《第三方接入安全规范》
《应急响应预案》

更新机制：每年修订一次，确保与最新法规和攻击手法同步-2。

4.2 安全管理机构（三权分立）

等保三级要求建立明确的组织架构和职责分工-2 -3：

层级	角色	职责
决策层	网络安全委员会	制定战略、审批预算、监督执行
管理层	安全部门	制度制定、风险评估、合规报告
执行层	安全运维团队	日常监测、漏洞修复、应急响应
监督层	内部审计部	独立开展合规审计

4.3 安全人员配置（硬性指标）

要求项	具体标准
专职团队规模	至少5人-2
持证比例	70%以上持有CISP/CISSP等专业认证-2
培训体系	每月安全意识教育，每季度攻防演练，每年红蓝对抗-2
外包管控	第三方运维需签保密协议，操作全程录像

4.4 安全建设管理（全生命周期）

安全必须嵌入系统开发的每个阶段-4：

阶段	安全要求
需求阶段	安全需求纳入立项，预算占比15%-20%-3
开发阶段	代码审计全覆盖，禁止高危漏洞上线
测试阶段	渗透测试通过率100%
运维阶段	7×24小时监控，重大漏洞48小时内修复

4.5 安全运维管理（日常运营）

管理项	具体要求
漏洞管理	高危漏洞15天内修复-1
变更管理	申请-审批-测试-记录完整流程
备份恢复	制定备份策略，定期演练恢复流程
应急响应	1小时内启动，24小时内提交分析报告-9
应急预案	每半年至少一次实战化演练-10

五、数据安全的特殊强化（2025重点）

2025年新规在数据安全方面进行了显著强化-1 -10：

5.1 加密要求

数据类型	加密要求	算法要求
敏感数据存储	强制加密	国密SM4
数据传输	强制加密	TLS 1.2+ / 国密SSL
密钥管理	分权管理	密钥与数据分离存储

5.2 备份与恢复要求

指标	三级系统要求	二级系统要求
恢复点目标(RPO)	≤5分钟-2	≤15分钟
恢复时间目标(RTO)	≤30分钟-2	≤2小时
备份方式	异地实时备份	本地定期备份
异地距离	同城≥30公里 / 跨省≥100公里-10	不要求

5.3 “重大风险隐患”判定

根据新规，以下情况直接判定为“重大风险隐患”，可能导致测评结论降级-1：

重要数据无备份
备份数据存储于互联网网盘
敏感数据明文存储
关键日志缺失或无法追溯

六、实施流程：五步跨越认证门槛

6.1 完整流程概览

6.2 各阶段详解

第一步：定级备案（7个工作日）

结合业务影响分析(BIA)确定系统等级
编写《定级报告》，组织专家评审
向省级公安机关网安部门备案，获取《备案证明》
2025年起：所有二级及以上系统需重新填报定级报告和备案表-10

第二步：差距分析（1-2个月）

使用自动化工具扫描211项控制点
重点识别“重大风险隐患”
生成“技术-管理”双维度整改清单
人工渗透测试验证漏洞真实性

第三步：整改建设（6-8个月）

这是最耗时的阶段，建议分优先级推进：

优先级	整改内容	建议周期
P0（紧急）	数据备份、加密存储、高危漏洞修复	1个月内
P1（高）	双因素认证、日志留存、边界防护	2-3个月
P2（中）	管理制度编制、人员培训、应急演练	3-6个月
P3（低）	冗余建设、性能优化	6-8个月

成本优化建议：

选择云服务商“等保合规专区”，硬件成本可降低40%-50%-3
使用开源工具（OpenVAS替代商业漏扫，ELK Stack替代日志审计）

第四步：等级测评（1-2个月）

选择公安部认证的测评机构
测评内容包括：文档审查、配置核查、渗透测试
重点模拟APT攻击、DDoS攻击等高级威胁
高危漏洞须在48小时内修复-3
测评结论使用2025版三级结论制

第五步：持续合规（长期）

等保三级证书有效期三年-10
每年提交《自查报告》，每年复测一次-1
每月开展安全自查
建立安全事件台账

七、成本与周期预估

7.1 典型成本构成

根据行业实践，三级系统等保认证的典型成本如下-3：

费用项目	估算范围	说明
测评费	8-16万元/系统	含初测+复测，政府项目约8万/系统-6
安全设备	30-50万元	防火墙、IPS、WAF、堡垒机等
整改实施	20-40万元	系统加固、制度编制、人员培训
年度运维	20-30万元/年	SOC监控、漏扫、应急响应

总计预估：单系统首次通过认证约80-120万元，年度运维约20-30万元。

7.2 时间周期预估

阶段	建议周期
定级备案	1-2周
差距分析	1-2个月
整改建设	6-8个月
测评验收	1-2个月
总计	8-12个月

建议提前1年启动，避免因时间紧迫导致成本翻倍-3。

八、常见误区与避坑指南

误区一：“买一堆安全产品就能过”

正解：等保是“三分技术，七分管理”。没有配套的管理制度和人员执行，设备形同虚设-10。测评机构会重点审查：

制度是否真正落地执行
人员是否经过培训
日志是否有人定期审计

误区二：“通过测评就万事大吉”

正解：通过测评只是证明在测评时间点符合要求。2025新规强调持续合规-10：

每年必须复测
高危漏洞15天内必须修复
安全事件1小时内必须响应

误区三：“重技术轻管理”

正解：许多企业购买了大量安全设备，却拿不出完整的制度文件。测评时，管理制度缺失或与实际业务脱节（“两张皮”）是常见的扣分项-2。

误区四：“等保是IT部门的事”

正解：等保要求建立网络安全委员会，由公司高层担任负责人。安全预算、制度审批、人员配置都需要高层决策-2。

误区五：“云上系统不需要自己过等保”

正解：云服务商的等保认证不能替代你的系统认证。你需要为部署在云上的应用系统单独申请等保认证。但可以选择云服务商的“等保合规专区”降低硬件成本。

九、总结：等保三级是起点，不是终点

维度	核心要点
适用范围	金融、医疗、政务、大型电商、区块链平台等
控制点总数	211项（技术要求+管理要求）
关键变化（2025）	三级结论制、每年复测、高危漏洞15天修复
技术核心	双因素认证、国密加密、异地备份、7×24小时SOC
管理核心	22类制度、5人专职团队、70%持证率
周期预估	8-12个月
成本预估	80-120万元（首年）