二级等保测评详细内容

早上九点，保测测评工程师老周把一根网线插进机房交换机，评详笔记本屏幕上跳出一串ICMP响应。细内他回头看我一眼：“先扫端口，保测别急，评详等保测评第一步从来不是细内翻制度文件，是保测看设备到底开了哪些门。”

二级等保测评，评详全称“信息安全等级保护二级测评”，细内针对的保测是不涉及国家秘密但一旦出事会损害公民权益或社会秩序的系统。银行柜台系统、评详医院挂号平台、细内普通企业官网，保测多半落在这档。评详测评不是细内拿个扫描器跑一遍就完事，它分两块：技术测和物理测，外加管理测。但多数人只盯着技术，忘了后两者才是翻车重灾区。

技术层面，老周先做漏洞扫描。Nessus扫完，又手工测了几个关键接口。他举了个例子：“上次有个客户，防火墙策略看起来严实，结果运维为了方便远程维护，在公网开了3389端口。扫描器一报，高危。这种漏洞，写报告时得标红。”除了漏洞，还要测身份鉴别——密码复杂度、登录失败锁定、双因素认证有没有；测访问控制——权限是不是最小化，能不能越权；测数据完整性——传输和存储是否加密，日志有没有防篡改。二级不要求像三级那样强制国密算法，但SHA-256或AES-128总得有。

物理测评更直白。老周进机房第一件事，抬头看摄像头。不是看有没有装，是看角度能不能拍到机柜正面。上次他遇到一个客户，摄像头装了，但正对门口，机柜操作区全在盲区。“等于白装。”他摇头。然后是门禁记录——要调最近三个月的进出日志，看有没有临时卡长期不注销；看机房是否配了温湿度计和灭火装置，配电线路有没有防雷接地。这些细节，没人会背等保条例，但老周一眼就能看出运维平时上不上心。

管理测评最耗时间，也最容易被糊弄。制度文件翻出来，应急预案、安全意识培训记录、外包人员保密协议，逐项核对。老周惯用一招：随机抽三个员工的账号，问他们密码多久换一次，再拿账号去后台查上次修改时间。对不上，就是制度写在纸上，没落到人身上。他跟我说过一句实话：“二级等保测评，技术漏洞能修，管理漏洞难补。因为前者是钱能解决的，后者得靠人改变习惯。”

整个测评周期通常两到三周。现场测一周，报告整理一周，整改复核再一周。报告里每个问题都标注风险等级，高危项必须整改后复测，中危项给出建议期限。老周最后总会在报告首页写一句总体评价，不是套话，是那种“系统整体防护水平一般，核心业务数据存在中等泄露风险”之类的直白话。客户看了常皱眉，但他觉得，测评的意义就是把丑话说在前头。

二级等保测评不是一次性的。证书有效期一年，第二年重新测。老周见过不少公司，第一年整改完拿到报告就松懈，第二年再测，漏洞又冒出来。他常说：“安全这东西，跟体检一样，查出来不治，等于白查。”所以测评报告末尾那一栏“整改建议”，他写得比谁都细，连哪个防火墙规则该删哪条，都标得清清楚楚。

中午吃饭，老周手机响了，是上一个客户打来的，说按他建议改了运维堡垒机，今天试了下，果然舒服多了。他挂了电话，扒了口饭：“你看，等保测评不是找茬，是帮人把家里的窗户关严实。”窗外阳光正好，他下午还有一场访谈，对象是那家医院的系统管理员，问题清单上列着：“你的备份恢复演练，上次实际做是什么时候？”