深圳软件平台为什么需要做等保？本文围绕网站后台、APP后台、SaaS平台、教育平台、电商平台、管理系统等常见软件平台，详细介绍开展网络安全等级保护的原因，以及等保定级、备案、差距分析、整改建设、等级测评和问题整改等完整流程，并从网络、主机、应用、数据、日志审计、安全管理制度等方面解析软件平台等保整改重点。

对于在深圳运营的软件平台来说，“要不要做等保”是很多企业在系统上线、项目验收、业务合作以及网络安全合规过程中经常遇到的问题。

尤其是以下类型的软件平台：

• SaaS软件平台；

• APP后台管理系统；

• 教育平台；

• 电商平台；

• 在线交易平台；

• 企业管理系统；

• CRM系统；

• ERP系统；

• 互联网信息服务平台；

• 数据管理平台；

• 行业业务平台。

很多企业会认为：

“我的系统只是一个普通软件，为什么还需要做等保？”

实际上，网络安全等级保护关注的核心是信息系统的网络安全保护能力，并不是简单按照“是不是软件”来判断。

《信息安全等级保护管理办法》明确，信息系统运营、使用单位应按照相应安全保护等级开展等级保护工作；系统确定安全保护等级后，应按照相应管理规范和技术标准开展安全建设或者改建。对于已经运行的第二级以上信息系统，还涉及等级保护备案要求。

目前企业开展网络安全等级保护安全建设的重要依据之一，是现行的 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，该标准于2019年12月1日起实施。

一、深圳软件平台为什么要做等保？

首先需要明确：

不是所有软件平台都可以简单地说“必须做三级等保”。

企业是否需要开展等级保护、系统应该定为几级，需要根据系统的业务功能、服务对象、重要程度以及遭受破坏后可能造成的影响等因素进行定级判断。

如果系统确定为第二级以上，就涉及相应的等级保护备案及安全建设要求。深圳现行公开规定中明确，已运营的第二级以上信息系统应在安全保护等级确定后30日内办理备案；新建第二级以上信息系统则应在投入运行后30日内办理备案。

因此，对于深圳的软件平台企业来说，首先应该做的不是直接购买安全设备，而是：

判断系统是否需要定级 → 确定安全保护等级 → 按对应等级开展安全建设。

二、哪些深圳软件平台比较常见需要考虑等保？

在实际业务中，可以重点关注以下软件系统。

1. SaaS平台

例如：

• 企业SaaS；

• 财税SaaS；

• 人力资源SaaS；

• 客户管理SaaS；

• 在线协同平台；

• 行业管理平台。

这类平台通常涉及大量企业用户和业务数据，需要重点关注账号、权限、数据和应用接口安全。

2. 教育软件平台

例如：

• 在线教育平台；

• 题库系统；

• 教学管理平台；

• 教育APP后台；

• 在线考试系统。

如果涉及学生、教师、家长等用户信息，还需要重点关注个人信息和数据安全。

3. 电商及交易平台

例如：

• 商城系统；

• B2B交易平台；

• B2C平台；

• 供应链平台；

• 在线支付相关业务系统。

需要重点关注用户账号、订单、交易以及业务数据安全。

4. APP后台系统

很多企业只关注APP备案，却忽略了APP背后的服务器和业务信息系统安全。

实际上，APP只是用户使用系统的一个入口，真正承载业务的往往是：

APP → API接口 → 应用服务器 → 数据库

因此，APP企业在进行合规建设时，也需要根据实际系统情况考虑等级保护。

三、软件平台做等保主要解决什么问题？

简单来说，等保主要是帮助企业解决：

系统有没有安全防护？

用户权限是否合理？

服务器是否安全？

数据有没有备份？

发生攻击能不能发现？

发生安全事件能不能追溯？

企业有没有安全管理制度？

因此，等保不是单纯的“备案证明”，而是一套信息系统安全建设和管理体系。

四、深圳软件平台等保第一步：系统定级

软件平台正式开展等保之前，首先需要确定系统边界和安全保护等级。

需要梳理：

• 软件平台名称；

• 系统功能；

• 服务对象；

• 用户规模；

• 服务器；

• 数据库；

• 网络架构；

• 应用系统；

• 数据类型；

• 数据量；

• 系统重要程度。

然后根据相关定级标准进行分析。

目前 **GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》**为现行标准之一，用于网络安全等级保护定级工作。

五、第二步：办理等保备案

如果系统确定为第二级以上，需要按照要求办理等级保护备案。

备案不是测评的同义词。

整个过程可以理解为：

系统定级

↓

等保备案

↓

安全建设

↓

等级测评

↓

问题整改

↓

持续安全运营

需要特别注意，三级以上系统备案时需要提交的材料更加丰富，包括系统拓扑结构及说明、安全组织机构和管理制度、安全保护设施设计实施方案等相关材料。

六、第三步：开展等保差距分析

完成定级和备案相关工作以后，企业需要了解：

现在的软件平台距离对应等级要求还有多大差距？

这就是差距分析。

例如：

差距分析的结果，就是后面制定整改方案的重要依据。

七、软件平台等保整改建设有哪些重点？

等保整改可以分为：

技术整改 + 管理整改。

技术整改重点解决系统安全防护能力。

管理整改重点解决企业安全管理能力。

八、网络安全整改

首先检查软件平台的网络架构。

比较常见的架构是：

互联网

↓

防火墙/WAF

↓

Web服务器

↓

应用服务器

↓

数据库

不同区域之间根据实际业务配置合理的访问控制。

企业需要重点检查：

• 公网IP；

• 网络边界；

• 防火墙；

• 网络区域划分；

• 访问控制；

• VPN；

• 远程运维；

• 网络设备配置。

特别需要注意数据库、Redis、管理后台等内部服务是否存在不必要的公网暴露。

九、服务器安全整改

软件平台的服务器是等保测评重点之一。

需要检查：

账号

• 默认账号；

• 无效账号；

• 共享账号；

• 离职人员账号；

• 管理员账号。

密码

• 密码复杂度；

• 密码长度；

• 登录失败限制；

• 密码有效期；

• 默认密码。

漏洞

重点处理：

• 操作系统漏洞；

• Web服务漏洞；

• 数据库漏洞；

• 中间件漏洞；

• 第三方组件漏洞。

整改完成以后，还需要重新验证漏洞是否真正修复。

十、软件平台应用安全整改

对于软件平台来说，应用安全是非常重要的一部分。

重点关注：

• 登录认证；

• 权限管理；

• API接口；

• 越权访问；

• 文件上传；

• SQL注入；

• XSS；

• CSRF；

• Session管理；

• 敏感数据泄露；

• 第三方组件安全。

例如一个SaaS平台有：

超级管理员、企业管理员、普通员工

三种角色。

就需要明确：

普通员工不能访问企业管理员接口。

企业管理员不能访问其他企业的数据。

不同企业的数据必须进行有效隔离。

这类权限和数据隔离问题，是软件平台安全建设中非常重要的内容。

十一、日志审计整改

软件平台每天都会产生大量操作日志。

例如：

• 用户登录；

• 用户退出；

• 密码修改；

• 权限变更；

• 管理员登录；

• 数据修改；

• 数据删除；

• 系统配置修改。

企业需要根据系统实际情况建立日志记录和审计机制。

同时需要考虑：

日志保存在哪里？

保存多久？

谁负责查看？

日志是否能够被随意删除？

发生安全事件后能否进行追溯？

如果平台规模较大，还可以根据实际需求建设集中日志管理能力。

十二、数据备份整改

软件平台最重要的资产之一就是业务数据。

例如：

• 用户数据；

• 订单数据；

• 交易数据；

• 企业数据；

• 教学数据；

• 配置数据。

因此需要建立合理的数据备份机制。

包括：

• 数据库备份；

• 文件备份；

• 配置备份；

• 备份保存；

• 恢复测试；

• 数据恢复流程。

尤其需要注意：

不要认为“云服务器自动备份”就代表企业的数据安全已经完全解决。

企业仍然需要根据自身业务重要程度建立合理的备份和恢复机制。

十三、账号和权限管理整改

软件平台通常拥有大量用户，因此权限管理非常重要。

建议建立：

账号申请 → 权限审批 → 账号开通 → 权限定期检查 → 权限调整 → 离职注销

的完整流程。

对于后台管理员，还需要特别控制：

• 管理员数量；

• 管理员权限；

• 超级管理员权限；

• 远程登录；

• 运维权限；

• 数据库权限。

避免所有技术人员都使用同一个超级管理员账号。

十四、安全管理制度整改

很多软件企业的技术团队比较强，但是制度建设比较薄弱。

等保整改时需要补充完善：

• 网络安全管理制度；

• 信息安全管理制度；

• 账号管理制度；

• 权限管理制度；

• 数据管理制度；

• 备份管理制度；

• 日志管理制度；

• 漏洞管理制度；

• 运维管理制度；

• 变更管理制度；

• 应急管理制度；

• 第三方管理制度。

而且制度不能只是“写出来”。

例如制度规定：

每月开展漏洞扫描。

企业最好能够留下漏洞扫描记录。

制度规定：

定期进行数据恢复测试。

企业最好能够留下恢复测试记录。

十五、应急管理建设

软件平台发生安全事件时，需要知道：

谁负责？

怎么处理？

多久响应？

如何恢复？

因此企业需要建立网络安全应急预案。

包括：

• 应急组织；

• 应急联系人；

• 事件发现；

• 事件报告；

• 攻击处置；

• 数据恢复；

• 系统恢复；

• 事件复盘。

同时可以根据企业实际情况开展应急演练。

十六、深圳软件平台等保实施流程

企业可以按照下面的流程开展：

第一步：梳理软件平台

明确系统功能、服务器、数据库、网络和数据。

↓

第二步：开展等保定级

根据系统实际情况确定安全保护等级。

↓

第三步：办理等保备案

第二级以上信息系统按照要求办理备案。

↓

第四步：开展差距分析

找出系统当前安全状况与对应等级要求之间的差距。

↓

第五步：制定整改方案

明确技术整改和管理整改内容。

↓

第六步：实施安全建设

完成：

网络 + 主机 + 应用 + 数据 + 日志 + 备份 + 管理制度

等方面建设。

↓

第七步：内部验证

逐项检查整改问题是否解决。

↓

第八步：开展等级测评

依据相关测评要求进行等级测评。现行标准体系中包括GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》。

↓

第九步：问题整改

针对测评发现的问题进行整改。

↓

第十步：持续安全运营

持续开展漏洞管理、日志审计、备份、应急管理和安全检查。

十七、软件平台做等保是不是越高等级越好？

不是。

企业不能为了体现“安全”，就随意把系统定成三级。

系统等级需要根据实际业务和影响程度进行科学定级。

如果系统本身属于一般业务系统，按照实际情况确定相应等级即可。

如果系统承担的重要业务、用户范围、数据和影响程度较高，则需要结合定级标准进一步分析。

所以：

等保定级不是企业自己想定几级就定几级，而是需要根据系统实际情况进行判断。

十八、软件平台等保和APP备案有什么区别？

这是互联网企业非常容易混淆的两个概念。

APP备案

主要解决：

APP是否按照相关要求完成互联网信息服务备案。

等保

主要解决：

信息系统整体安全保护能力是否达到对应等级要求。

一个APP可能涉及：

APP备案 + 等保 + 增值电信业务经营许可证 + 算法备案

等不同合规事项。

具体需要办理哪些项目，需要结合APP的业务模式、信息服务类型、系统架构以及是否涉及相关算法等情况进行判断。

十九、一诺企服提供软件平台相关合规服务

对于深圳互联网企业来说，软件平台合规通常涉及多个方面。

一诺企服主营企业互联网资质及网络安全相关服务，业务包括：

增值电信业务经营许可证办理

• ICP许可证；

• EDI许可证；

• IDC许可证；

• ISP许可证；

• SP许可证；

• 呼叫中心；

• 多方通信等。

网络安全相关服务

• 等保测评；

• 等保备案；

• 等保整改；

• 信息系统安全建设咨询。

算法及人工智能相关服务

• 算法备案；

• 大模型备案；

• 大模型登记等。

因此，对于网站、APP、SaaS平台、教育平台、电商平台等软件企业，可以根据实际业务情况，对许可证、备案、等保以及算法/大模型相关合规事项进行整体梳理。

二十、总结

深圳软件平台做等保，核心目的不是为了获得一张证明，而是通过等级保护建设，提升整个信息系统的安全防护能力。

企业可以重点关注：

网络安全、服务器安全、应用安全、账号权限、日志审计、数据备份、漏洞管理、应急管理以及安全管理制度。

整个实施流程可以概括为：

系统梳理 → 定级 → 备案 → 差距分析 → 制定整改方案 → 安全建设 → 内部验证 → 等级测评 → 问题整改 → 持续运营。

其中，GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》目前仍为现行标准，是企业进行等级保护安全建设的重要依据。

对于深圳软件企业而言，真正做好等保，不是“为了测评临时整改”，而是把网络安全要求融入软件平台的开发、上线、运维和日常管理全过程，这样才能降低系统漏洞、数据泄露、非法访问和网络攻击等安全风险，同时更好地满足企业在业务合作、项目验收及网络安全合规方面的实际需求。