网络安全等级保护（等保 2.0）

网络安全等级保护制度是《网络安全法》确立的一项基本制度，要求网络运营者根据信息系统的重要程度和受破坏后的影响，确定安全保护等级并落实相应措施。2019 年起实施的系列国家标准通常被称为「等保 2.0」，覆盖云计算、移动互联、物联网等新场景。

等级从第一级到第五级依次提高。基本流程包括：定级、向公安机关备案、按标准建设整改、由测评机构开展等级测评、接受监督检查。企业常见的业务系统多定为第二级或第三级，第三级系统通常要求定期测评。

等保要求涉及技术和管理两方面：技术上包括网络边界防护、访问控制、身份鉴别、日志审计、数据备份等；管理上包括安全制度、人员管理、应急预案等。部署在云上时，云平台自身的合规不能替代业务系统本身的等保。

开发阶段就考虑等保要求，比上线后再整改成本低得多。例如在系统设计时预留日志审计、密码复杂度策略、登录失败处理、敏感数据加密存储等能力。上线前的测评整改周期通常以周到月计，具体取决于系统等级和现状差距。