等保2.0和1.0差在哪：五个维度的对照清单
不少单位的制度文件和技术方案里还留着"等保1.0"的痕迹：引用的是 GB/T 22239-2008，整改清单按"物理安全、主机安全"的老分类排。等到正式测评时才发现，测评机构依据的是新标准，两边对不上，白做一轮返工。要避免这种情况，最省事的办法是把两版的差异一次性理清。
一、先确认：现在到底执行哪一版
把时间线说清楚是第一步。1.0 的核心标准是 GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》；2.0 的核心标准是 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，2019年5月10日发布，2019年12月1日起实施，全部代替了 2008 版。
也就是说，2019年12月1日之后新建、整改、测评的系统，依据的都是 2.0。2025年该标准完成复审、结论为继续有效，目前仍处于现行状态。另外要注意，2.0 不是一份文件，而是一个标准族：定级看 GB/T 22240-2020《定级指南》，实施流程看 GB/T 25058-2019《实施指南》，方案设计看 GB/T 25070-2019《安全设计技术要求》，测评本身看 GB/T 28448-2019《测评要求》和 GB/T 28449-2018《测评过程指南》。写方案时只引基本要求，往往不够用。
二、变化一：名称和定位，从"信息系统"转向"网络安全"
1.0 时期的说法是"信息安全等级保护"，2.0 改为"网络安全等级保护"，名称上主动与已经施行的《网络安全法》保持一致。这不只是一次措辞调整，它把保护对象从"单个信息系统"抬升为"网络空间中的各类对象"，覆盖范围随之扩大，后续的每一处改动其实都源于这个定位变化。
三、变化二：定级对象扩大到新技术形态
这是实践中影响最大的一处。1.0 的定级对象主要是信息系统，通常理解为一套业务应用系统及其支撑环境。2.0 明确把等级保护对象扩展到信息系统之外，包含：
- 基础信息网络与通信网络设施；
- 云计算平台，以及云上承载的业务系统；
- 大数据平台与数据资源；
- 物联网系统；
- 工业控制系统；
- 采用移动互联技术的网络与应用。
带来的直接后果是：过去只给核心业务系统做过定级的单位，现在可能要补一轮系统识别。怎么划边界、怎么确定等级这一步的工作量通常会比预期大，尤其是云资源、工控设备、移动端接入这几块，以前很容易被漏掉。
四、变化三：安全要求拆成"通用"加"扩展"
1.0 的基本要求是一份统一清单，不管对象形态怎么变，大家都照同一套条款查。2.0 把它拆成了两层：
- 安全通用要求：所有等级保护对象都要满足的基础条款，构成测评的主体部分；
- 安全扩展要求：针对云计算、移动互联、物联网、工业控制等特殊形态，在通用要求之外追加的条款。
这套结构的含义是"共性打底、个性加一层"。云上系统不能只证明云平台自身已合规，租户侧的访问控制、身份鉴别、数据保护仍有独立要求；工业控制系统的可用性、现场设备安全也无法被通用条款覆盖。
五、变化四：控制项分类结构整体重排
这是让老材料直接失效的原因。1.0 按"物理安全、网络安全、主机安全、应用安全、数据安全"组织技术条款，管理侧则是安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。
2.0 的技术条款重排为五个层面：
- 安全物理环境：机房选址、物理访问控制、介质与设备管理；
- 安全通信网络：网络架构冗余、通信传输的完整性与保密性；
- 安全区域边界：边界防护、访问控制、入侵防范、恶意代码防范；
- 安全计算环境：落到主机、应用、数据上的身份鉴别、访问控制、安全审计、可信验证等要求；
- 安全管理中心：集中管控、审计集中分析、安全机制的统一管理。
管理条款同步调整为安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理，改动相对技术条款小一些，这也是老的管理体系文件多数还能沿用一部分的原因。
给手上有 1.0 时期材料的单位一个实用建议：别把旧整改清单改个标题就交差，正确做法是按新分类做一次映射——每条旧记录找到它在 2.0 里对应的层面，再检查新增场景有没有漏项。这一步工作量不大，但能避免出现合规台账与测评证据各说各话的情况。
六、变化五：从"五个规定动作"到"再加常态化要求"
两个阶段的核心流程其实没变，走的都是定级、备案、建设整改、等级测评、监督检查这几个环节。差别出在后面：2.0 在系统投入运行之后，还引入了风险评估、安全监测、通报预警、态势感知等常态化要求，把"测评做完就结束"变成运行期间持续进行的安全保障。
这一点最容易在预算环节被忽略。除了建设期的一次性投入，年度监测、定期评估、漏洞与事件处置也要留出长期成本。各项支出怎么分布可以参考费用分项拆解再做估算，具体金额以属地要求为准。
七、对照完之后，下一步做什么
如果单位的制度、方案、整改记录还停留在 1.0 口径，建议按三步推进：
- 做一次条款差异复核：以 GB/T 22239-2019 为基准逐条核对现有控制措施，输出明确的差距清单；
- 按风险排整改顺序：先补齐身份鉴别、访问控制、安全审计、边界防护这些高频必查项，再处理制度文档类缺口；
- 同步留存合规证据：配置截图、日志留存记录、制度发文、应急演练记录等要在整改完成时就归档，不要等到测评入场再补。
最后提醒一句：不同等级系统的测评频次、材料清单、执行口径各地会有差别，涉及周期、频次和文件要求的内容，一律以属地公安机关和受委托测评机构的要求为准。