等保合规入门与渗透测试扫盲指南

一、这份指南解决什么问题

结论先行：等保解决“合规落地”，渗透测试解决“被打穿风险验证”，两者不能互相替代，先后顺序由监管期限和暴露面共同决定。

企业在安全上花的冤枉钱，多数来自三处：把测评费当成整改费，以为交钱就完事；把漏洞扫描报告当成渗透测试报告，以为扫过就是测过；把一次性项目当成持续状态，过完测评就停摆。这份指南把每个环节的输入、动作、产出和责任方写清楚，读完你应当能回答三个问题：我现在处在哪一步、下一步该花什么钱、怎么验收服务商的交付。

文中所有标准都给出编号，法规条文以现行有效文本为准；涉及属地执行口径的地方，注明“以属地主管部门要求为准”。凡是我们不确定的信息，都标注“需核实”，不编造精确数字。

二、等级保护是什么、依据是什么

定义：网络安全等级保护是把信息系统按其受损后的危害程度分级，再按级别施加对应安全要求并进行测评监督的法定制度。

法律依据是《网络安全法》第二十一条，其确立了网络安全等级保护制度（条文表述以现行法律文本为准）。配套的核心标准是 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，也就是通常说的“等保 2.0”基本要求；定级看 GB/T 22240-2020，测评看 GB/T 28448-2019，安全设计看 GB/T 25058-2019。习惯上把这一整套标准体系合称等保 2.0。

与 ISO/IEC 27001 的关系经常被问：27001 是国际通行的信息安全管理体系认证，证明组织过程能力；等保是国内法定制度，不落实有监管后果。涉外业务与供应链可能要求 27001，国内监管与招投标看等保，两者并行不冲突。已经建了 27001 体系的企业做等保，资产管理、变更管理这类流程文档可以复用，技术整改仍然要按等保控制点逐条对。

不做等保的后果：主管部门可责令整改并依据《网络安全法》相关条款处理（具体罚则以现行法律为准）；更重要的是，出事件后“未落实等级保护义务”会成为责任认定中的不利因素。对运营者来说，等保的实际价值是把安全投入变成有清单、有记录、可核查的工作。

三、等保五个环节逐步拆解

等级保护工作分五个环节：定级、备案、建设整改、等级测评、监督检查（依据 GB/T 25058-2019，具体条款以现行文本为准）。

1. 定级。确定系统等级，从一级到五级，实践中绝大多数企业系统是二级或三级。定级要素是受侵害的客体（公民法人权益、社会秩序公共利益、国家安全）与侵害程度（一般、严重、特别严重），两者交叉查表得出等级。定级过低会在监督检查时被要求重新定级，定级过高会放大整改成本，建议请咨询方做定级论证而不是拍脑袋。
2. 备案。第二级以上系统在运营使用后，按属地要求到公安机关网安部门办理备案，提交定级报告与备案表（材料清单以属地公安机关要求为准，各地表格与流程存在差异）。三级系统备案后进入重点监管视野，测评周期也更严格。
3. 建设整改。对照基本要求逐条做差距分析，然后补齐技术与管理两层：技术上是安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个层面；管理上是制度、机构、人员、建设与运维五类要求。这是花钱大头、也容易被敷衍的环节，整改动作要落成可核对的工单与配置。
4. 等级测评。由具备资质的测评机构实施，出具测评结论（优、良、中、差，以测评机构口径为准）。注意：测评机构与企业签订测评合同，咨询方此时做的是陪检与答疑，不能替企业接受测评，也不能既咨询又测评同一系统。
5. 监督检查。主管部门按周期开展检查，三级系统按现行要求每年至少测评一次（依据《信息安全等级保护管理办法》公通字〔2007〕43 号的表述，执行口径以属地主管部门现行要求为准，需核实）。监督检查意味着等保是持续状态，不是一锤子买卖。

时间上，从启动定级到完成测评，二级系统常见周期在两到四个月，三级系统因为整改量大常见四到八个月（以项目实际范围为准）。倒排时间表时，先锁定测评排期，再倒推整改完成日，留出一次复测缓冲。

四、二级和三级怎么定

结论：看系统受损后侵害谁、损害到什么程度，而不是看系统花了多少钱、有多少用户。

两个实践建议：其一，定级论证先做“业务受损推演”——写清楚系统瘫痪或数据泄露时，影响哪些人、多大范围、能否恢复，这份推演本身就是备案材料的一部分。其二，等级定高了不加分：三级意味着更多控制点与更短测评周期，运维跟不上反而拖累合规记录。定级拿不准时按“就低论证、留升级路径”处理，由咨询方出书面论证意见。

五、测评机构与咨询方的分工

结论：测评机构出结论，咨询方管整改，两者不能是一家，也不能互相替代。

测评机构是经认证认可、具备等级测评资质的独立机构，与企业签测评合同，现场核查后出具测评报告与结论。咨询方（比如我们）做的是测评之前与之后的工作：定级论证、差距分析、整改方案与工单、制度文档编写、测评陪检、测评后整改闭环。打个比方：测评机构是考官，咨询方是教练，运动员始终是企业自己。

选择咨询方时看三点：一看整改方法，能否把控制点翻译成配置项与工单，而不是只交一摞模板文档；二看过程记录，整改动作是否有留痕与复验；三看边界表述，开口就承诺“测评一次过”的要警惕——测评结论由测评机构出具，任何咨询方都无法替考官签字。合理的承诺方式是：提供整改方案并协助测评整改闭环，未通过项限期整改并复验。

六、渗透测试到底测什么

定义：渗透测试是在书面授权范围内，由人员模拟真实攻击者的手法，对目标系统进行信息收集、漏洞验证与利用链测试，评估系统能否被打穿、被打穿后能拿到什么的服务。

一次标准的 Web 渗透测试大致分四段：信息收集（域名、端口、指纹、暴露面、历史泄露）、漏洞验证（对发现的弱点做无害化验证，确认真实存在）、利用链测试（把多个弱点串联，验证能否从外网进入、能否拿到数据或权限）、成果整理（风险分级、复现步骤、修复建议）。业务系统还会加测业务逻辑：越权访问、支付与积分逻辑、验证码与短信接口滥用。

渗透测试不等于“把系统打瘫”。正规测试遵守授权书里的禁止动作清单：不发起致瘫压力、不删改数据、不影响真实用户。测试过程全程留痕，每一步操作有时间与证据记录，报告里每个发现都能复现。这也是为什么渗透测试按人天与资产数计价，而不是按“发现漏洞个数”计价——按个数付费会诱导服务商夸大或凑数。

七、渗透测试授权书怎么写

结论：授权书写四个要素——范围、时间窗、禁止动作、数据处理方式。缺一项就别开工。

1. 测试范围：逐项列出域名、IP、系统名称、测试账号，并写明明确排除的对象（比如生产数据库、第三方接口、办公网段）。口头说的“都测”无效，测试中每发一个请求都应能对应到范围条款。
2. 时间窗：起止日期与每日可测时段，避开业务高峰与重要活动静默期；时间窗变更需双方书面确认。没有时间窗的授权，等于给了无限期通行证。
3. 禁止动作：按系统承载能力逐条约定，常见有：不做致瘫测试、不删改业务数据、不爆破真实用户口令、不对真实客户做社会工程、不测试物理门禁。约定越具体，测试中越少扯皮。
4. 数据处理方式：测试中截取的截图、日志、样本数据如何脱敏、存放多久、谁能接触、何时销毁。这一条同时约束双方，也是《数据安全法》《个人信息保护法》下的合规要求。

补充一句边界：我们不做未授权测试。任何“帮忙看看隔壁系统”的委托，没有书面授权都不接，这是行业底线，也是委托方自己的法律风险隔离。

八、渗透、漏扫、代码审计的区别

三者输入不同、产出不同，回答的问题也不同，用一张表对齐：

搭配方式看阶段：新系统上线前，代码审计加渗透并行，一处改码一处改配置；存量系统先漏扫建台账，再按暴露面挑核心系统补渗透；两者之后都需要复测，修复未经复测不算闭环。

九、CVSS 评分怎么看

定义：CVSS（通用漏洞评分系统）用一个 0 到 10 的分数量化漏洞的可利用性与影响，v3.1 的常见分档为低（0.1–3.9）、中（4.0–6.9）、高（7.0–8.9）、严重（9.0–10.0）。

分数由三组维度算出：基础分（利用复杂度、所需权限、影响范围）、时间分（有无公开利用代码、补丁状态）、环境分（在你的资产上的实际暴露）。扫描器给的一般是基础分，它回答“这个漏洞本身多严重”，不回答“对你的系统多要紧”。

所以处置排序不能只看分数。实践中我们按“分数 × 暴露面 × 利用条件”排：一个 6.5 分但暴露在互联网、已有公开利用代码的组件漏洞，处置优先级高于一个 8.5 分但仅内网可达、需要高权限的漏洞。修复时限建议写进制度：严重级 24–72 小时内响应，高危一周内，中危排进迭代（时限参考行业通行做法，按企业实际调整）。

十、什么是攻击面、怎么收敛

定义：攻击面是外部攻击者可以接触并尝试利用的所有入口总和，包括开放端口与服务、对外域名、API 接口、登录入口、文件上传、第三方组件、员工邮箱与社交信息。

收敛攻击面的动作按性价比排序：第一步，关闭无用的对外端口与服务，下线遗忘的测试环境，合并重复的对外入口——这些不花钱、见效快；第二步，收敛管理后台入口（限制来源、加二次认证）、治理文件上传与导出接口；第三步，建立组件依赖台账，高危组件通告出来后按暴露面排升级。安全体检里的暴露面核查，做的就是前两步的事。

一个经验判断：多数中小企业的首次渗透测试，问题不在“防护设备不够”，而在攻击面没盘过——管理后台直接挂公网、老系统还在跑五年前的组件。先收敛再测试，测试费用也会更低，因为范围更干净。

十一、服务器被入侵怎么办：PDCERF 六阶段

应急响应可参考 PDCERF 六阶段模型：准备（Preparation）、检测（Detection）、抑制（Containment）、根除（Eradication）、恢复（Recovery）、跟踪（Follow-up）。

1. 准备：事前储备——日志留存策略、备份与恢复演练、联系人清单、取证工具。没有准备阶段，事发后就只能凭记忆乱抓。
2. 检测：判断是否真的发生入侵、影响范围多大。看异常账号、异常进程、异常外联、计划任务与最近变更，先固定证据再下结论。
3. 抑制：限制损失扩散——隔离受害主机（优先网络隔离而不是断电）、封禁攻击源、冻结可疑账号。抑制动作本身要留记录。
4. 根除：清除持久化后门——webshell、恶意计划任务、异常公钥、异常服务。漏掉一个后门，恢复后会被再次入侵。
5. 恢复：按业务优先级恢复服务，优先从干净备份重建而不是带毒运行；恢复期间持续监控复发迹象。
6. 跟踪：复盘入侵路径、修补入口、更新预案，把这次事件变成下一次的准备能力。

给管理者的三个提醒：其一，发现入侵后不要立刻断电重启，内存与进程信息会随断电消失，先快照再隔离；其二，不要在受害机器上直接改口令，攻击者可能盯着你的操作；其三，事件处置要全程留痕，后续无论追责、报案还是监管问询，记录链都是筹码。

十二、预算有限，先做哪一项

结论：有监管期限的先合规，没监管期限的先收敛攻击面，剩下的钱花在复测与闭环上。

一个可参考的排序（按先后）：收到等保通知的，先做差距分析与整改，因为期限是刚性的；没有等保压力但有对外系统的，先做安全体检与攻击面收敛，费用不高、见效直接；核心业务系统补一轮渗透测试，验证收敛效果；预算还有余量，再考虑年度托管把状态延续下去。反过来花钱——先买设备、先做演练——在基础没盘清之前，产出很难评估。

参考区间（用于判断量级，实际以范围与合同为准）：安全体检 1.5–3 万/次；Web/APP 渗透测试 3–8 万/次；等保咨询二级 3–6 万、三级 6–12 万；应急响应 2–5 万/次；安全托管 8–20 万/年；代码审计 3–8 万/次。技术支持与顾问类按 1000–3000 元/人天分档计费。以上为参考区间，实际费用以项目范围、资产规模、交付周期、人员配置与合同约定为准。

十三、十六个常见问答

1. 等保到底是做什么的？不做行不行？ 等保是把系统按受损危害分级、按级施加安全要求的法定制度，依据《网络安全法》第二十一条。已经运营的第二级以上系统不做备案与测评，属于未落实法定义务，主管部门可责令整改；出了事件，未落实等保也会成为责任认定中的不利因素。结论是：在监管范围内的系统，这是必答题。
2. 定级由谁说了算？可以自己定二级吗？ 企业先自主定级并出具定级报告，备案时由公安机关审核确认，测评与监督检查中仍可能被要求调整。定级依据是受侵害客体与侵害程度，不是企业意愿。自己压低等级，短期省整改费，长期被要求重新定级时更被动；建议做书面定级论证。
3. 备案去哪里办、要带什么材料？ 第二级以上系统按属地要求到公安机关网安部门办理，常见材料是定级报告、备案表、营业执照与经办人身份材料（清单以属地公安机关要求为准，各地存在差异）。备案本身不收费，周期一般按工作日计。三级系统备案后进入重点监管名单，后续测评周期更严格。
4. 建设整改一般要改哪些东西？会不会很伤筋动骨？ 技术上集中在五个层面：物理环境、通信网络、区域边界、计算环境、管理中心；管理上是制度、机构、人员、建设、运维五类文档与流程。多数企业的整改量集中在计算环境（身份鉴别、访问控制、审计日志）与区域边界（隔离、入侵防范）。改动以配置与流程为主，通常不需要推倒重建。
5. 测评没通过怎么办？ 测评结论由测评机构出具，没通过会有问题项清单。正确动作是对问题项逐条整改后申请复测，而不是换一家机构重测——问题不解决，换机构也只是再花一次钱。咨询方此时的工作是把问题项转成整改工单并跟踪闭环。选咨询方时，看它敢不敢把“未通过项限期整改并复验”写进合同。
6. 等保做完能管多久？ 测评结论反映测评时点状态，不是长期通行证。三级系统按现行要求每年至少测评一次（口径以属地主管部门要求为准，需核实），二级系统按属地周期开展。系统大改版、等保标准更新、监管要求变化，都会触发补充工作。把等保看成年度例行动作，配合月度安全运营，状态才守得住。
7. 渗透测试会不会把系统测坏？ 正规渗透测试在授权范围内做无害化验证：不发起致瘫压力、不删改业务数据、不影响真实用户，这些禁止动作写在授权书里，双方签字。风险无法降到零的说法要写清楚：测试仍可能触发未知缺陷导致服务波动，所以授权书会约定可测时段、备份状态与应急联系方式，把风险控制到可接受范围。
8. 渗透测试要做多久？ 取决于资产数量与深度：单个 Web 应用常见 5–10 个工作日，多系统或含 APP 双端的项目按资产数累加。周期里包含信息收集、测试、报告编写与一次复测。承诺几天做完多系统的报价，大概率是工具扫描打包，不是人工渗透——判断方法是问对方报告里有没有利用链验证与复现步骤。
9. 报告里高危漏洞多，是不是系统特别差？ 不一定。高危数量取决于系统暴露时间与组件新旧，第一次做测试的系统高危偏多属于常态，重点看类型：组件类高危批量修一轮就能清掉，鉴权与越权类高危则要改代码逻辑。看报告先看利用条件：能不能从外网直接利用、要不要账号、有没有公开利用代码，这些比分数更能决定紧迫性。
10. 修完漏洞怎么确认修好了？ 靠复测，不靠口头确认。修复后针对原漏洞做回归验证，确认利用路径失效，复测结论附在原报告后形成闭环。常见坑是“修了但没改对”：比如加了过滤规则但绕过方式仍存在。没有复测环节的整改，在监督检查与下一轮测评时还会被翻出来。
11. 内网系统需要做渗透测试吗？ 重要系统的内网侧建议纳入。勒索与挖矿的典型路径是从办公终端进入，再利用内网的弱口令、无鉴权接口与老旧组件横向移动。内网测试范围与禁止动作要在授权书写得更细，尤其涉及生产网段时。预算有限时，至少把跨网段的关键跳板与共享服务纳入范围。
12. 代码审计什么时机做？ 两个时机收益高：新系统上线前，改码成本处于低位；接手遗留系统或开发商失联时，先审计摸清底数。运行多年且无源码访问权限的系统，退而求其次做渗透与配置核查。审计依赖源码仓库访问权限与依赖清单，谈项目时先确认这两项能提供。
13. 开源组件出了高危通告，第一时间做什么？ 先确认自己有没有用、用在哪、是否在暴露路径上，再决定升级还是缓解。顺序是：查依赖台账定位使用范围 → 判断是否互联网可达、利用条件是否满足 → 能升级的排紧急迭代，不能升级的先上缓解措施（访问限制、规则拦截）。没有依赖台账的单位，这一步就会卡很久——这也是托管服务里月度巡查的价值。
14. 被勒索软件加密了，交赎金能解锁吗？ 不建议默认走这条路。是否能解密取决于勒索家族与密钥管理，没有机构能给出确定答复；付款也无法取回被窃取的数据，还可能被重复勒索。正确顺序仍是 PDCERF：先固定证据、判断横向范围、根除后门，再从备份恢复。备份策略平时就要做隔离副本（离线或不可改写），否则备份本身也会被加密。
15. 安全设备买了很多，为什么还是出问题？ 设备解决的是“有没有能力拦截”，出不出事还取决于策略是否调优、日志是否有人看、告警是否有人分诊、变更是否走安全确认。设备堆叠而无人运营，等于买了消防栓没人会拧。评估安全投入时，把“谁在盯”与“多久处置”和设备清单放在一起看，这类问题也是托管服务要回答的。
16. 找本地服务商和外地大机构，差别在哪？ 大机构流程与品牌完整，但驻场与应急到场按区域调度，县域与地市场景响应链条长。本地团队的优势在现场：网关、堡垒机、日志位置对得上号，应急时能直接到场处置。理性做法是按场景分工：合规与咨询类看方法论，应急与重保类优先考虑到场时间。我们在湘西本地，省内其他城市按约定排期。

十四、行动清单

把这份指南压成一张可以执行的清单，按顺序勾：

1. 盘点系统：列清单（系统名、对外与否、数据类型、负责人），这是后面所有动作的底账。
2. 判断合规义务：哪些系统在等保范围内、拟几级、属地备案要求是什么。
3. 收敛攻击面：关无用端口、下线测试环境、限制管理后台入口。
4. 按预算排序：有期限先合规，无期限先体检，核心系统补渗透。
5. 所有委托签授权书：范围、时间窗、禁止动作、数据处理四要素写全。
6. 验收看产出：报告要有复现步骤与修复建议，整改要有复测结论，闭环要有跟踪表。

想带着这张清单聊具体排期，欢迎联系我们；等保咨询、渗透测试、应急响应与安全托管的套餐区间，见服务与收费页。