等保合规解决方案：从定级到报告的行业落地路径
很多单位第一次接触等保，第一反应是"要买什么设备"。这个问法从一开始就偏了。等级保护不是一张采购清单，而是一套"证明你的系统达到了某个安全水平"的证据体系——设备只是其中一环，制度、流程、记录、测评报告同样是合规要件。所谓等保合规解决方案，本质是把 GB/T 22239-2019 里的要求，翻译成你这个系统能执行、能留痕、能被测评机构核查的动作。
本文按"问题—结构—行业—步骤—成本"五段展开，可以直接拿去对照自己单位的现状。文中涉及的地方性要求，最终以属地公安机关网安部门的口径为准。
一、先说清楚：方案解决的不是"买什么"，而是"证明什么"
等保 2.0 的合规链条上有四个角色：运营使用单位（你）、主管部门、公安机关、测评机构。四方关注点不同——公安看备案与整改闭环，主管部门看行业要求落地，测评机构看技术与管理是否符合标准，而你需要的是"一次准备，四方都认"。
实践中失败最多的不是技术不达标，而是三类结构性问题：
第一类，只做技术不做管理。防火墙、堡垒机、日志审计都上了，但安全管理制度是网上抄的模板，没有发布文号、没有责任人签字、没有执行记录。测评时"管理制度"这一项照样扣分——标准里管理要求占比接近三成。
第二类，做完不测，或测完不整改。差距摸底的结论停在 PPT 里，没有形成整改任务单，也没有复测。备案系统长期停留在"已备案未测评"状态，一旦发生安全事件，这个状态会成为从重情节。
第三类，证据链断裂。设备买了、策略配了，但拿不出配置基线、拿不出运维日志、拿不出变更审批。测评现场只能靠口头解释，而口头解释不算证据。
所以一份可执行的方案，第一页不该是产品清单，而应该是一张"要求—现状—差距—动作—证据"的对照表。
二、方案的四个层次：制度、技术、运营、证据
把 GB/T 22239-2019 的十个安全类拆开重组，落到可执行的层面，其实是四层：
| 层次 | 解决什么 | 典型交付物 | 谁负责 |
|---|---|---|---|
| 制度层 | 把"应该怎么做"写下来并发布 | 安全管理制度、岗位职责、应急预案、发布文号与签收记录 | 信息安全领导小组 / 办公室 |
| 技术层 | 把"技术措施"配到位 | 网络拓扑、区域边界策略、主机加固基线、审计日志留存（不少于六个月） | 信息中心 / 运维 |
| 运营层 | 让措施持续有效 | 日常巡检表、变更审批单、补丁与漏洞处置记录、应急演练记录 | 运维班组 |
| 证据层 | 让上面三层可被核查 | 定级报告、备案证明、差距分析、整改报告、测评报告、复测记录 | 项目负责人 |
四层里最容易缺的是运营层。制度可以一次性写完，技术可以一次性配好，但运营是每天发生的——没有日常记录，前两层在测评现场就变成了"声称"。
定级范围怎么划，直接决定整改成本
实操中最常见的两种划法：按物理机房划，或按业务系统划。前者容易漏掉跨机房调用的中间件与数据库，导致边界不清；后者容易把本可独立的测试环境、灾备环境一起卷进来，范围虚高。相对稳妥的做法是按三条线划：业务是否独立、数据是否同源、责任主体是否同一。三条线都重合的，合为一个系统；有一条不重合的，单独定级。定级范围每扩大一个系统，整改与测评成本都会按倍数增加，这一步省下的功夫，后面要用预算补回来。
三、按行业给方案：同一套标准，不同的硬约束
国家标准是底线，行业文件往往加码。以下五类是最常见的场景，具体条款请以原文为准。
医疗：备案时限比通用要求更紧
依据《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29 号），二级以上网络在定级后10 个工作日内完成备案，明显紧于通用口径；三级网络每年至少开展一次测评。医疗机构的特殊性还在于核心业务系统（HIS、LIS、PACS、EMR）与诊疗连续性直接绑定，整改窗口通常只能安排在夜间或停机窗口，方案里必须写清"分批割接"的顺序，否则整改本身就会变成业务风险。
教育：先分类，再定级
教育行业沿用《教育行业信息系统安全等级保护定级工作指南》（教技厅函〔2014〕74 号）的分类方法，把学校信息系统分为 Ⅰ、Ⅱ、Ⅲ 三类，再按类定级。要点是：Ⅰ类高校中，只有科研管理、科研情报、招生录取、门户网站、论坛社区、校园一卡通等系统按三级定级，教务教学管理按二级；一个单位存在多个业务系统时，按最高等级整体考虑边界防护。此外，教办厅函〔2009〕80 号要求高校三级以上系统在教育部教育管理信息中心与属地公安机关同时备案，这是常被漏掉的一条。
需要提醒的是，该指南引用的仍是 GB/T 22240-2008，现行版本为 GB/T 22240-2020。定级方法以现行标准为准，行业分类表可作为业务归类的参考。
国企与央企：多一道主管审批
按公通字〔2010〕70 号，央企及所属单位的等级保护等级由主管（监管）部门审批，不是自行定级后直接备案；跨省或全国统一联网运行的二级以上系统，向公安部网络安全保卫局备案。集团型企业的方案通常要拆成"集团统建 + 成员单位落地"两层，否则各子公司各买一套，边界和责任都说不清。
金融：行业标准自成体系
金融行业在等保基础上叠加 JR/T 0071.1—0071.6—2020（金融行业网络安全等级保护实施指引）与 JR/T 0072—2020（金融行业网络安全等级保护测评指南），2020 年 11 月 11 日实施，替代 2012 版。做金融客户的方案，指标要按这两套行标对齐，只讲国标会在评审环节被退回。
政务与事业单位：备案之外还有共享交换
政务系统往往涉及跨部门数据共享，方案里要额外回答两个问题：数据出域后由谁承担安全责任、共享交换平台的边界如何划入定级范围。这两点不写清，测评时"区域边界"一项很难自圆其说。
四、落地六步：从定级到复测
| 阶段 | 要做的事 | 交付物 | 常见坑 |
|---|---|---|---|
| 1. 定级 | 梳理系统清单，按业务受侵害客体与侵害程度定级 | 定级报告、专家评审意见 | 把 OA、门户一起打包定级，范围虚高，整改成本翻倍 |
| 2. 备案 | 向属地公安网安部门提交备案材料 | 备案证明 | 材料里的系统边界与拓扑图不一致，反复退回 |
| 3. 差距摸底 | 逐条对照标准核查现状 | 差距分析报告、整改任务单 | 只列问题不给优先级，整改无从下手 |
| 4. 整改 | 按任务单补技术措施与制度 | 整改报告、配置基线、制度发布记录 | 设备上了但策略没开、日志没接 |
| 5. 测评 | 委托具备资质的测评机构开展测评 | 等级测评报告 | 现场拿不出运维记录，管理项大面积失分 |
| 6. 复测与持续 | 对不符合项整改后复测，进入年度运维 | 复测报告、年度自查记录 | 三级系统忘记每年一测，备案状态失效 |
这个顺序不能颠倒。定级范围一旦定错，后面每一步都在为错误买单；差距摸底如果跳过，整改就是凭感觉买设备。
五、周期和费用怎么估
周期主要取决于三件事：系统数量与定级级别、现有基础的差距、整改是否需要停机窗口。以一个三级系统、基础中等的情况估算，从定级到拿到测评报告通常在 2 到 4 个月；如果涉及机房改造或多系统联调，时间会明显拉长。
费用没有统一价，由四块构成：测评服务费（按系统数量与级别计）、整改投入（设备与软件，取决于差距）、咨询与辅导（可选）、以及后续年度运维。影响最大的是整改投入——同一级别的两个单位，差距不同，投入可能相差数倍。因此任何"一口价"的报价都值得追问一句：包含整改吗？包含复测吗？
如果系统涉及商用密码应用，还需要单独考虑密评。密评与等保是两条平行的合规线，测评对象和指标不同（密评依据 GB/T 39786-2021）。需要说明的是，该标准中物理与环境层面的多数条款为"宜"而非"应"，具体要求应结合系统定级与属地口径判断，不宜一概而论。我们可以提供密评辅导、差距分析与机构对接，报告由具备资质的机构出具。
六、五个高频问题
1. 二级系统要不要做？要。二级同样需要定级备案，只是测评频次与要求低于三级。二级系统原则上两年测评一次，具体以属地要求为准。
2. 系统在云上，责任怎么分？云平台承担基础设施层的安全责任，云上业务系统的安全责任仍在运营使用单位。定级备案时要把云平台已通过的等级作为基础，但不等于云上系统自动合规。
3. 等保和密评是什么关系？两条独立的合规线，依据不同、对象不同、报告不同。等保关注整体安全保护能力，密评关注密码应用是否合规、正确、有效。多数三级系统两者都要面对。
4. 测评报告有有效期吗？报告本身没有"过期"一说，但三级系统需每年测评一次，二级原则上两年一次。备案状态与测评情况需要持续保持，长期不测会被标注异常。
5. 不做会怎样？《网络安全法》第二十一条规定了等级保护义务，第五十九条对不履行义务的情形设定了处罚：拒不改正或造成危害后果的，单位可处一万元以上十万元以下罚款，直接负责的主管人员可处五千元以上五万元以下罚款；关键信息基础设施运营者处罚更重。
七、下一步怎么做
如果你现在只有一份系统清单，可以先做两件事：一是把系统按业务重要性排个序，确定哪些必须先做；二是核对现有备案状态，看有没有"备了没测"的历史遗留。这两件事做完，方案的范围和预算就有底了。
需要更具体的对照，可以看这几篇：等保测评全流程指南（定级到报告的每一步）、等保备案（材料清单与各地指引）、测评机构名录（按省份查资质与联系方式）、等保费用（构成与估算方法）。如果希望我们按你单位的系统清单给一版范围与周期建议，可以在这里留下联系方式，我们会先做一次免费的范围梳理。