IDC等保定级：机柜不用备，哪些系统要备-等保测评网

“你们机房过等保了吗？”这是IDC销售最常被问到、也最容易答错的问题。答案要分两半说：机柜和机房本身不构成独立的定级对象，但IDC自己运营的网络和管理系统，一个都跑不掉。

一、机柜是资产，系统才是定级对象

等保的定级对象是“网络和信息系统”——承载业务、处理数据、能被攻击的那套东西。《信息安全技术网络安全等级保护定级指南》（GB/T 22240-2020）要求从“受侵害的客体”和“对客体的侵害程度”两个维度判定等级，机柜、空调、UPS 这些物理设施不进入这个判定矩阵。

所以，出租机柜这个动作本身不需要备案。但有三件事不能因此忽略：

一句话概括：机柜不用备案，自营系统一个不能少。

工信部办公厅《关于加强互联网数据中心客户数据安全保护的通知》（工信厅网安〔2025〕5号）在附件中把 IDC 业务拆成三个典型场景。这个划分恰好可以用来对照定级对象：

服务器托管场景——IDC 提供机房、机柜、设备租赁与设备维护。定级对象落在 IDC 侧的机房基础设施管理系统（动环监控、门禁、资产台账）与承载网络上；客户侧的业务系统由客户自行定级。

数据存储场景——IDC 提供存储资源以及数据上传、下载、访问服务。定级对象包括存储平台本身和它所在的资源池。同一平台承载多家客户数据，隔离能力往往成为测评时的重点核查项。

数据计算场景——提供数据清洗、集成、分析、加工、展示、模型训练与算力调度。这类平台的等级通常按三级考虑：一旦被攻破，影响面不是单个客户，而是平台上所有租户的数据。最终等级仍以属地公安机关的审核意见为准。

按实务经验，一家中等规模的 IDC 需要盘点的系统大致分四层：

网络基础设施：核心交换、出口路由、网络管理系统。承载全网流量，一般按二级起步；如果出口同时为大量客户提供接入，多数按三级考虑。
运维支撑系统：工单、监控告警、堡垒机、日志审计、门禁与动环。这类系统的等级通常“随被管对象的最高等级”——被管对象里有三级系统，运维通道就不宜低于三级。
业务支撑系统：客户管理、计费、合同、官网与客户门户、APP 后台。官网通常二级；计费与客户管理因为沉淀实名信息与合同信息，普遍按二级以上处理。
云资源池与编排平台：虚拟化平台、资源调度、镜像仓库、对象存储网关。这一层最容易被漏掉，而它一旦出问题，影响面要按“平台上所有租户”计算。

反过来，纯物理设施不进这份清单：机柜、列头柜、精密空调、UPS、消防系统属于机房基础设施，它们的合规性通过机房的等级测评和日常运维体现，不单独出具备案材料。

“谁运营谁负责、谁使用谁负责、谁主管谁负责”是等保责任划分的基本原则。客户把服务器托管进机柜，系统仍然是客户在运营，定级备案由客户完成；IDC 既不能替客户备案，也不该替客户承担这部分责任。

但责任界面不能靠口头默契。工信厅网安〔2025〕5号明确要求，IDC 经营者要在与客户、第三方服务商签署的合同协议中，根据合作模式与内容明确各方数据安全保护责任义务。落到等保上，合同里至少写清三条：

云服务场景再补一句：云计算环境中，云服务方侧的云计算平台单独作为一个定级对象，云租户侧的对象也单独定级，两边各备各的。不存在“平台过了等保、租户就免了”这种说法。

二级以上系统，等级确定后 30 日内到所在地设区的市级以上公安机关办理备案手续。三级系统每年至少做一次等级测评，二级原则上两年一轮，具体周期以属地要求为准。定级不准被退回的，公安机关会建议重新组织专家评审并报上级主管部门审批；坚持原等级的，需要书面承担由此引发的责任后果。

对准备上架新业务或扩建机房的 IDC，比较省事的顺序是：定级 → 专家评审 → 主管部门审核 → 备案 → 差距分析 → 整改 → 测评。规模不大的机房，前三步的材料准备通常在 2–4 周内可以走完，实际时长取决于属地公安的受理节奏，以属地要求为准。

回到最初那个问题：机房过了等保，客户系统不会自动合规；但 IDC 自己的系统，也不会因为“只出租机柜”就免于备案。这条线划清楚，销售话术和合规动作才能对上。