等保2.0三级测评：网站安全整改清单与实操要点

去年一家做在线教育的客户被主管单位通知限期完成等保2.0三级测评，技术负责人翻了几百页测评要求文档，看完更懵了——到底先改哪里？哪些是必查项？哪些可以降级处理？这几乎是每个第一次做等保的企业都会遇到的困境。

一、网络通信层：边界防护是第一道关

测评机构进场后最先检查的就是网络边界。你的网站部署环境是否具备防火墙、入侵检测设备？访问控制策略是否做到最小化授权？这里有三个硬指标必须达标：

第一，边界设备必须开启审计日志功能，日志保留期不少于6个月。很多企业防火墙买了但日志没开，直接被判定不符合。第二，入侵检测系统或IPS必须覆盖网站核心业务流量，不能只挂在办公网。第三，远程管理通道必须走SSH或VPN，禁止Telnet明文管理。

整改建议：列出你现有边界设备的策略清单，逐条核对是否满足“默认拒绝、按需放行”原则。如果用的是云服务器，确认安全组规则没有放通0.0.0.0/0的高危端口。

二、主机系统层：基线加固不能偷懒

主机层面的扣分重灾区集中在操作系统基线配置。Windows Server和Linux都有一套标准基线模板，测评时会逐项检查。常见扣分点包括：默认共享未关闭、多余账户未清理、口令策略未设置复杂度要求、审计策略覆盖不全。

具体整改步骤：先用漏洞扫描工具跑一遍主机，生成基线偏差报告。然后按照报告逐条修复——关闭不需要的服务组件、设置密码长度不少于8位且包含大小写数字特殊字符、开启账户锁定策略（5次失败锁定30分钟）、配置系统日志集中收集。

判断标准：整改完成后，重新跑一次基线扫描，偏差项控制在5个以内且均为中低风险项，基本可以通过测评。

三、应用层：网站自身的安全防线

等保2.0对应用安全的要求比1.0更细。网站必须具备身份鉴别、访问控制、安全审计、通信加密四项核心能力。身份鉴别方面，后台管理入口必须支持双因素认证，登录失败处理机制不可或缺。访问控制方面，不同角色的权限边界要清晰，不能出现普通用户能越权访问管理功能的情况。

安全审计方面，网站日志需记录用户登录、关键操作、异常访问等事件，日志字段至少包含时间、用户、IP、操作类型、操作结果。通信加密方面，全站必须启用HTTPS，证书不能过期，TLS版本不低于1.2。

整改优先级排序：先修OWASP Top 10级别的高危漏洞（SQL注入、XSS、文件上传），再补日志审计能力，最后做双因素认证集成。别本末倒置花两周配审计系统，结果SQL注入还没堵上。

四、数据层：备份与加密双管齐下

数据安全是三级测评的必查项。数据库是否开启了审计功能？敏感数据是否加密存储？备份策略是否覆盖完整且定期验证可恢复？这三个问题不解决，数据层基本过不了。

落地操作：对用户密码、身份证号、银行卡号等字段做加密或脱敏处理，密钥单独管理不入库。数据库开启全量审计，记录所有DML操作。备份至少做到“每日增量+每周全量”，每季度做一次恢复演练并留存记录。

整改完成后，建议找有CNAS资质的测评机构做一次预评估，提前发现差距项。正式测评时把整改证据整理成册——策略配置截图、扫描报告、制度文档缺一不可。证据链完整，测评通过率能提升不少。