等保 2.0 和 1.0 有什么区别？甲方最该关心的 4 个变化

悟安
悟安

悟安

2026年11月3日 18:13
北京

去阅读

2019 年 12 月 1 日，网络安全等级保护 2.0 系列国家标准（GB/T 22239-2019 等）正式实施，取代了运行十余年的等保 1.0 体系。这次升级不是简单的\"标准换版\"，而是从法律地位、覆盖范围、防御理念到监管方式的全面重构。对甲方来说，理解这些差异，直接决定了预算怎么排、项目怎么立项、责任谁来扛。

变化一：从\"行业规范\"升格为\"法律义务\"——不做等保 = 涉嫌违法

等保 1.0 时代，定级备案更多依赖《信息安全等级保护管理办法》等部门规范性文件，约束力有限，不少单位\"能拖则拖\"。

等保 2.0 则是《网络安全法》第 21 条\"国家实行网络安全等级保护制度\"的直接配套，从\"倡议\"变成了法定义务。第二级及以上系统必须备案，不履行定级备案、安全保护义务的，依据《网络安全法》第 59 条可处一万元以上十万元以下罚款，直接负责的主管人员同样追责。

甲方视角：等保不再是\"要不要做\"的选择题，而是\"什么时候做、做到几级\"的必答题。系统上线前未定级备案，一旦发生安全事件，监管问责与企业责任都会明显加重。

变化二：定级对象大幅扩容——云上系统全部纳入，无人例外

等保 1.0 主要面向传统信息系统，云计算、物联网、移动互联等新型形态基本处于\"标准空白\"。

等保 2.0 给出了\"1 + 3\"（后扩展为更多）的通用要求加扩展要求结构：在通用要求之外，新增云计算、移动互联、物联网、工业控制系统及大数据等扩展要求。这意味着：

甲方视角：只要业务跑在云上（阿里云、腾讯云等），云平台责任与租户责任是\"共担\"的——云平台过等保不等于你的业务系统过等保。这一点是云上甲方最常见的认知误区。

变化三：防御体系重构——\"一个中心、三重防护\"，从静态合规到主动防御

等保 1.0 的技术要求以边界防护、单点部署为主，防的是\"外部入侵\"，思路偏静态。

等保 2.0 提出\"一个中心、三重防护\"体系框架：以安全管理中心为中心，构建安全通信网络、安全区域边界、安全计算环境三重防护，并大量引入可信验证、入侵防范、恶意代码防范、数据完整性与保密性等主动防御类要求，强调\"事前可防、事中可控、事后可溯\"。

对应到产品侧，一次完整的等保三级建设，通常需要云防火墙、WAF、堡垒机、数据库审计、日志审计、主机安全（EDR）等能力协同工作，而不是堆几台盒子就完事。

甲方视角：2.0 考察的是体系化能力，\"凑产品过测评\"的路径已经走不通——测评师会检查安全策略是否联动、日志是否留存六个月以上、运维行为是否全程审计。

变化四：测评与监管趋严——从\"一次性过关\"到\"常态化监督\"

等保 1.0 时代，测评常常被当作\"拿报告\"的一次性动作。等保 2.0 下，监管明显加强了三个环节：

1. 分数门槛提高：测评结论分为优、良、中、差，综合得分低于 70 分即不合格，差的系统须整改后复评；
2. 常态化监督检查：公安机关依据行业周期（三级系统普遍每年一次）开展监督、检查与指导；
3. 通报与追责闭环：测评发现问题会形成整改通报，发生重大事件时倒查安全责任。

甲方视角：等保从\"项目\"变成了\"状态\"。报告到手不等于合规到手，持续运维、日志留存、漏洞整改的常态化运营，才是 2.0 时代合规的真正成本所在。

给甲方的行动清单

1. 先盘点：梳理全部信息系统（含云上、移动端、小程序），确定定级对象清单；
2. 再定级备案：二级以上系统在上线前完成定级与属地备案；
3. 体系化建设：按\"一个中心、三重防护\"补齐云防火墙、WAF、堡垒机、数据库审计、日志审计、主机安全等能力，优先考虑一体化方案降低集成成本；
4. 常态化运营：把等保要求嵌入日常运维——日志留存、漏洞管理、应急预案演练一样不能少。