《等保二级/三级自查表:一图读懂合规差距(附下载)》
某医疗企业因未配置双因素认证,在等保三级测评中被一票否决。本文依据GB/T 22239-2019标准,通过对比表格揭示二级与三级的核心差异,助你快速定位98%的合规风险点。
一、技术安全自查表
1. 安全物理环境
检查项 | 等保二级要求 | 等保三级要求 | 检查方法 |
机房出入控制 | 电子门禁系统 | 电子门禁+生物识别 | 查看访客登记记录 |
防火系统 | 自动灭火装置 | 火情自动报警+气体灭火 | 检查消防验收报告 |
电磁防护 | 必要屏蔽措施 | 电磁屏蔽机柜+干扰器 | 现场测试电磁辐射值 |
2. 安全通信网络
检查项 | 等保二级 | 等保三级 | 示例场景 |
网络架构规划 | 重要网络区域划分 | 业务/数据/管理平面分离 | 查看网络拓扑图 |
通信加密 | 敏感数据加密传输 | 全流量加密(如IPSec VPN) | 抓包验证HTTPS覆盖率 |
网络审计 | 关键节点日志留存30天 | 全流量审计留存6个月 | 检查审计策略配置 |
3. 安全计算环境
检查项 | 二级要求 | 三级增强要求 | 典型配置 |
身份鉴别 | 口令复杂度策略 | 双因素认证 | 查看AD域策略 |
访问控制 | 用户权限分离 | 最小权限原则 | 检查RBAC配置 |
安全审计 | 重要操作日志记录 | 全量操作审计+行为分析 | 验证审计日志完整性 |
入侵防范 | 基础防火墙规则 | IDS/IPS联动防护 | 检查IPS规则库版本 |
恶意代码防范 | 单机防病毒软件 | 集中管控+云查杀 | 查看病毒库更新记录 |
二、安全管理自查表
1. 安全管理制度
检查维度 | 二级要求 | 三级要求 | 常见问题 |
制度发布 | 形成书面文档 | 全员签署确认 | 存在制度未传达到位 |
评审修订 | 每年至少1次评审 | 每半年评审+重大变更修订 | 修订记录缺失 |
2. 人员安全管理
关键项 | 二级标准 | 三级标准 | 检查证据 |
背景审查 | 关键岗位人员审查 | 全员背景审查 | 查看背调报告 |
保密协议 | 关键岗位签署 | 全员签署 | 检查协议签署记录 |
离职管理 | 及时禁用账号 | 账号禁用+权限回收审计 | 查看最近离职流程 |
3. 安全建设管理
生命周期 | 二级控制点 | 三级增强项 | 实施要点 |
系统定级 | 自主定级 | 专家评审定级 | 查看定级报告 |
供应商管理 | 签订安全协议 | 供应商安全能力审计 | 检查供应商评估表 |
三、特别差异项(三级独有)
核心要求 | 检查标准 | 合规示例 |
集中管控 | 建立统一安全管理中心 | 部署SOC平台集成各类安全设备 |
渗透测试 | 每年至少1次渗透测试 | 出具CNAS认可机构测试报告 |
应急演练 | 每半年开展实战攻防演练 | 留存演练录像及整改报告 |
重要数据备份 | 异地实时备份+每月恢复测试 | 查看备份验证记录 |
四、典型扣分项TOP5
-
1. 身份鉴别缺失(三级必配双因素认证)
-
• 风险案例:某政务云因仅使用静态密码被通报
-
2. 日志留存不足(三级需全量存储6个月)
-
• 常见错误:使用系统自带日志未配置转储
-
3. 应急预案缺失(三级要求2小时内响应)
-
• 致命缺陷:未定义勒索病毒专项处置流程
-
4. 供应商失控(三级需审计外包服务商)
-
• 处罚实例:某银行因外包人员违规操作被罚200万
-
5. 安全培训不足(三级要求每年≥16学时)
-
• 高频问题:未保留培训签到与考核记录
等保三级较二级新增37个控制点,在身份鉴别、审计追溯、应急响应等方面提出更高要求。据2023年测评数据,90%的不合规项集中在双因素认证、日志留存、渗透测试三个维度。
原文始发于微信公众号(乌雲安全):等保二级、三级自查表,一查全知道!
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论