等保三级和二级差在哪？该定几级一文说清

悟安
悟安

悟安

2026年11月4日 21:51
北京

去阅读

做等保的客户最常问的一句话是：我这系统，定二级还是三级？

定低了，监管检查时过不了关，出了事还要担责；定高了，测评费和整改成本白扔。这篇文章把两个级别的差别、定级的判断方法讲清楚，帮你把这笔账算明白。

一、先搞懂定级逻辑：级别不是拍脑袋定的

等保2.0（GB/T 22239-2019）给了两条定级标尺：系统被破坏后，伤害的是谁，伤得多重。

侵害客体分三类：公民和法人的合法权益、社会秩序和公共利益、国家安全。侵害程度分两档：一般损害、严重损害。

两把尺子交叉，就能得出级别：

• 系统瘫痪只影响自己公司运营，波及不到社会——二级
• 系统一旦出事，会造成社会秩序严重损害或公共利益严重损害——三级
• 危及国家安全——四级及以上（多数企业碰不到）

注意一个细节：定级定的是\"系统\"，不是\"公司\"。同一家公司里，门户官网可能是二级，交易核心系统是三级，各定各的。

二、二三级到底差在哪

1. 测评要求项差了近一倍

以通用要求为例，二级约135项测评指标，三级约211项。多出来的部分主要集中在三个领域：入侵防范、恶意代码检测、网络审计的深度要求；双因子认证、权限分离等管理控制；以及异地数据备份这类容灾措施。

举个具体例子：二级允许管理员单因素登录，三级在重要区域原则上要求两种以上身份鉴别手段，比如密码加动态口令。

2. 测评频率不同

三级系统每年至少测评一次，这是硬性要求。二级没有全国统一的年度测评强制，自主保护、定期自查即可，部分行业主管部门另有规定。

算笔账：三级每年一次测评费加上日常维护，五年下来的投入大约是二级的两到三倍。这就是\"定高一级，成本翻倍\"的由来。

3. 防护体系等级不同

三级要求\"在统一安全策略下防护到位\"，防火墙、WAF、堡垒机、日志审计、数据库审计基本缺一不可。二级满足基础防护即可，安全设备的数量和覆盖面要求都低一档。

这也是为什么很多客户选择等保一体机方案——把五类安全能力打包交付，比逐台采购、逐项集成省事得多。

三、怎么判断自己该定几级

按行业经验，可以对号入座：

一般定三级的系统：

• 金融（支付、P2P、小贷、保险核心业务）
• 医院核心业务系统（HIS、电子病历，三甲医院基本是硬要求）
• 用户规模较大的互联网平台、电商交易系统
• 云计算平台、大型企业集团核心生产系统

一般定二级的系统：

• 企业内部OA、官网、非核心管理类系统
• 用户量小、不涉及资金交易的应用
• 政务部门的一般业务系统

拿不准时看两条线：一是行业主管有没有明文规定（金融、医疗、教育都有）；二是数据敏感度，涉及大量个人信息、公民隐私的，倾向往三级靠。实际操作中，运营商和云服务商的系统、注册用户超百万的平台，基本默认三级起步。

还有一条提醒：定级要出定级报告，三级系统定级结果需要专家评审，并到公安机关备案。定级不是自己说了算，留好评审记录，后续检查才站得住脚。

四、常见误判，别踩这两个坑

第一个坑是\"宁低勿高\"。有客户觉得二级便宜先定二级，等被检查出实际业务达到三级标准，推倒重来不说，还可能被认定为定级不准确，得不偿失。

第二个坑是\"跟风定高\"。看到同行定三级就跟着定，结果系统本身只是个内部工具，每年测评报告都勉强及格，钱花了，防护能力并没有对应提升。

正确的做法是回到定级要素本身：业务类型、用户规模、数据敏感度、行业监管要求，四项对一遍，答案自然出来。

结语

二级和三级的差距，本质是\"系统出事后社会影响有多大\"的差距。定级之前先把业务影响想清楚，再决定投入多少。如果拿不准，可以找专业测评咨询机构做一次定级预评估——慧等保提供免费的定级评估服务，基于业务场景给出定级建议和整改预算参考，避免定错级带来的返工成本。