开展等保工作哪些雷区不能踩

文章来源：等级保护测评

等保工作已经开展了很多年，等级保护2.0制度已经实施有一周年多点，《网络安全等级保护测评高风险判定指引》于2020年12月1日正式实施，至此针对高风险项的判定将更加明确、规范。针对判定指引中列出的高风险项一哥做了一些整理，列出以下这些在等保工作中的常见高风险项，这些高压红线项也正是我们开展等保工作中所需要避免的雷区。如果你们单位存在以下这些情况，那么你们的等保测评结论是“差”。

云计算平台不在国内的不能选

二级及以上云计算平台其云计算基础设施需位于中国境内。如果你选择了一个境外的云平台，那么等保肯定过不了。

内部只有一个网段的不符合

二级及以上系统，应将重要网络区域和非重要网络区域划分在不同网段或子网。生产网络和办公网络，对外和对内的服务器区混在一起的都是高危风险。

不受控的无线网络随意接入内部网络

三级及以上系统，无线网络和重要内部网络互联不受控制，或控制不当，通过无线网络接入后可以访问内部重要资源，这是高风险项，所以在三级及以上系统中要对非法接入行为进行管控，建议大家上安全准入设备，不仅仅只针对无线网络管控。

无法对外部网络攻击行为进行检测、防止或限制

二级系统在网络边界至少部署入侵检测系统，三级及以上系统在网络边界应至少部署以下一种防护技术措施：入侵防御、waf、反垃圾邮件系统或APT等。

未配备日志审计的不符合

二级及以上系统无法在网络边界或关键网络节点对发生的网络安全事件进行日志审计，包括网络入侵事件、病毒攻击事件等。对关键网络设备、关键主机设备、关键安全设备等未开启审计功能同时也没有使用堡垒机等技术手段的也是不符合要求的。也就是以后只要做等保，日志审计将是一个标配，否则就是不符合。

重要数据存储保密性没有保护措施的不符合

三级及以上系统应采用密码技术保证重要数据（如鉴别数据、重要业务数据和重要个人信息）在存储过程中的保密性。如果这些重要数据是明文方式存储又没有部署数据库防火墙、数据库防泄漏等产品的是高风险项。

没有数据备份措施的不符合

二级及以上系统应提供重要数据的本地数据备份和恢复措施，建议大家配备数据备份一体机，及时对自己的重要数据进行备份。另外重要数据、源代码等备份到互联网网盘、代码托管平台等不可控环境的也可以直接判为不符合，所以大家注意了，不要随便把自己的数据备份到不可控的外部环境。

违规采集、存储、访问和使用个人信息的不符合

二级及以上系统在未授权的情况下采集、存储用户个人隐私信息或采集、保存法律法规、主管部门严令静止采集、存储的个人隐私信息。未授权使用或非法使用个人信息都是高风险。

以上是一哥针对技术部分要求整理出来一部分常见的高风险项，仅供大家参考。还有其他一些高风险项目大家在日常工作中也是需要注意的，一哥在此就不一一阐述了。

☆ END ☆

联系/合作/投稿邮箱：[email protected]

你点的每个赞，我都认真当成了喜欢

本文始发于微信公众号（安全365）：开展等保工作哪些雷区不能踩