等保通用要求框架梳理：十个层面各管什么
先看结构：一本标准，五套级别要求
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》于 2019 年 5 月 10 日发布、12 月 1 日实施，全部代替 2008 版；2025 年 5 月 30 日的复审结论为继续有效。正文按级别分章，第一级到第四级各成一章，每一章内部再分「安全通用要求」和四类「安全扩展要求」——云计算、移动互联、物联网、工业控制系统。通用要求是不管对象长什么样都要满足的底线，扩展要求只在用到对应技术时叠加。
所以读这本标准的第一步不是从第一条往下背，而是先确认两件事：定到几级、用了哪几类新技术。级别决定翻哪一章，技术形态决定要不要加扩展章节。
技术五类：从外到内的四道防线，加一个中心
技术部分有五类：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。前四类按位置排——机房、链路、边界、主机与应用，从外往里一层层收；第五类不占位置，它管的是把前面四层的手段集中起来看，也就是常说的「一个中心、三重防护」。
- 安全物理环境：机房位置、门禁、防盗防破坏、防火防水、电力供应、电磁防护，考核的是场地与设施。
- 安全通信网络：网络架构、通信传输、可信验证，考核的是带宽冗余、区域划分、传输完整性。
- 安全区域边界：边界防护、访问控制、入侵防范、恶意代码与垃圾邮件防范、安全审计。
- 安全计算环境：身份鉴别、访问控制、安全审计、入侵防范、数据完整性与保密性、备份恢复、剩余信息保护、个人信息保护。
- 安全管理中心：系统管理、审计管理、安全管理、集中管控，最终落在堡垒机、日志审计、态势感知这类平台上。
管理五类：三个要素，两个过程
管理部分是安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。前三类讲有没有人、有没有规矩——制度要成文并定期评审修订，机构要设岗位定职责，人员要覆盖录用、离岗、培训、外部访问。后两类讲事情怎么办：建设管理盯定级备案、方案设计、产品采购、开发、实施、验收、交付、测评、供应商选择；运维管理盯环境、资产、介质、设备、漏洞、配置、密码、变更、备份、事件处置、应急预案、外包。
这个分法背后是「要素加活动」的思路：机构、制度、人员是要素，建设与运维是活动。要素缺一个，活动就落不了地；反过来，只有制度却没有活动记录，测评现场同样交不出材料。
数量分布告诉你的重点在哪
三级共 71 个控制点、211 个要求项；二级 68 个控制点、135 个要求项。控制点只差 3 个，要求项却差 76 个——增量不在多出几类，而在每一类里要求变细。
三级 211 项的分布大致是：安全运维管理 48 项、安全计算环境 34 项、安全建设管理 34 项、安全物理环境 22 项、安全区域边界 20 项、安全管理机构 14 项、安全管理中心 12 项、安全管理人员 12 项、安全通信网络 8 项、安全管理制度 7 项。
两个结论值得记住：
- 运维管理一项就占近四分之一，很多单位把预算全压在买设备上，最后在这一块集中失分。
- 通信网络只有 8 项，不是不重要，而是要求高度集中在网络架构与传输上，一旦要改，动的是拓扑。
三级和二级真正的分水岭
三处最容易忽略的跃迁，都藏在看起来相似的条款里：
- 集中管控从 0 到 6。二级没有集中管控要求，三级明确要求划分管理区域、集中监测运行状况、集中收集分析审计数据、集中管理安全策略与补丁，并且审计记录留存要满足法律法规要求——网络安全法第二十一条的六个月就是硬线。
- 身份鉴别加了一层。三级要求采用口令、密码技术、生物技术等两种或以上组合的鉴别技术，其中至少一种基于密码技术；二级只要求标识唯一、口令复杂度与定期更换、登录失败处理。
- 访问控制与审计加严。三级要求由授权主体配置策略、粒度到用户级或进程级、对重要主体客体设安全标记；安全审计还多一条，保护审计进程、防止未经授权中断。
这也解释了一个常见现象：按二级经验做的方案直接套到三级，控制点数量对得上，要求项却对不上。
附录 A：同一级别，指标可以不一样
标准取消了 2008 版控制点后面的 S、A、G 标注，改用附录 A 说明定级结果怎么对应安全要求。用法大致四步：先按整体级别取一套通用要求；再按业务信息安全性（S）与系统服务保证性（A）各自的等级去校准对应条款；再按采用的新技术叠加扩展要求；最后按行业特点补充或调整，前提是不降低整体保护能力。
这就是为什么两家单位同为三级，测评指标未必逐条相同——定级时 S 与 A 的取值可能不同，行业主管要求也不同。把别人家的清单直接照抄，往往在自家现场对不上。
读标准的三条实用建议
- 先读目次，再读条款。十个大类与十章结构的关系理清了，后面查条款才快。
- 按层面建台账，不要按条款编号建。以十个层面为列、控制点为行，把现状、差距、责任人填进去，比逐条打勾更接近整改实际。
- 区分标准要求与属地口径。备案材料、测评周期、报告模板在各地执行细节上有差异，具体以属地公安机关和行业主管部门要求为准。
要落到行动，可以把这份框架与等保2.0和1.0的差异对照着看，先弄清改了什么；再按整改清单排优先级；定级环节参考定级报告要素，备案材料看备案材料清单。