一、什么是网络安全等级保护

网络安全等级保护（简称"等保"）是国家信息安全保障的基本制度。1994 年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》首次确立这一制度，2017 年《中华人民共和国网络安全法》第二十一条明确将其上升为法定义务。

等保 2.0 的标志是 2019 年发布的三项国家标准：

• 《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）

• 《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）

• 《信息安全技术 网络安全等级保护测评要求》（GB/T 28448-2019）

二、法律依据

《中华人民共和国网络安全法》第二十一条规定，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务：

1. 制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

1. 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

1. 采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

1. 采取数据分类、重要数据备份和加密等措施；

1. 法律、行政法规规定的其他义务。

第三十一条进一步规定，对于一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的"关键信息基础设施"，在等保基础上实行重点保护。

三、五个等级

等保将保护对象按受破坏后的危害程度分为五级：

高校的实际情况：绝大多数业务系统定二级，承载师生个人信息较多的系统（如一卡通、学生信息、人事信息）和数据中心通常定三级。三级系统每年需测评一次，二级系统建议每两年测评一次。

四、等保工作五个步骤

第一步：定级

运营使用单位依据《定级指南》，自主确定系统等级。二级及以上系统须组织专家评审，并报公安机关备案。

第二步：备案

定级后 30 日内，向所在地公安机关网安部门备案，提交《信息系统安全等级保护备案表》、定级报告、专家评审意见等材料。审核通过后取得备案证明。

第三步：建设整改

按照对应等级的"基本要求"，从技术和管理两方面进行整改。技术方面包括安全物理环境、通信网络、区域边界、计算环境、管理中心；管理方面包括安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

第四步：等级测评

委托具备资质的测评机构开展测评，出具测评报告。测评内容包括技术层面的漏洞扫描、渗透测试、配置核查，以及管理层面的制度审阅、人员访谈、现场检查。

第五步：监督检查

公安机关对备案系统开展监督检查。测评不通过或存在重大隐患的，须限期整改。

五、高校常见的不合规项

在历年等保测评中，高校反复出现的共性问题集中在以下几处：

1. 日志留存不足 6 个月——这是法律规定，也是最常见的扣分项，需核查日志服务器容量和留存策略

1. 弱口令问题——数据库、管理后台、操作系统仍在使用默认口令或简单口令

1. 未及时修补漏洞——中间件、操作系统长期未打补丁，存在高危漏洞

1. 账号共享与权限过大——多人共用一个管理员账号，或管理员权限未按最小必要分配

1. 数据备份不可恢复——有备份，但从未做过恢复演练，出了事才发现备份是无效的

1. 制度文本与执行脱节——制度写得完整，但没有执行记录，测评时无法提供佐证材料

1. 应急预案未演练——有预案但没有演练记录，无法证明预案有效