深圳企业开展等保三级测评时，需要按照三级信息系统的安全保护要求进行系统建设和整改。本文从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及安全管理制度等方面，详细解析深圳等保三级整改重点，帮助企业了解技术防护、漏洞管理、日志审计、数据备份、人员管理、运维管理和应急管理等方面的建设要求，为等保三级测评和整改做好准备。

对于深圳企业来说，如果信息系统被确定为网络安全等级保护第三级，其安全建设和整改要求通常比二级系统更加严格。

很多企业在准备等保三级测评时，会首先想到防火墙、WAF、堡垒机、杀毒软件等安全产品，但实际上，等保三级整改并不只是购买安全设备，还需要同时完善网络架构、主机、应用、数据、日志、安全管理制度、人员管理、运维管理和应急管理等内容。

现行的《信息安全技术 网络安全等级保护基本要求》为 GB/T 22239-2019，于2019年12月1日起实施，是网络安全等级保护安全建设的重要标准之一。与之配套的还有《网络安全等级保护实施指南》《网络安全等级保护安全设计技术要求》《网络安全等级保护测评要求》等标准。

一、深圳等保三级整改主要解决什么问题？

简单来说，等保三级整改需要解决两个方面的问题：

第一，技术防护是否达到三级系统要求；

第二，企业是否建立了完善并能够实际执行的安全管理体系。

因此，企业在整改时可以按照：

技术整改 + 管理整改

两个方向同步推进。

技术整改主要解决系统“怎么防”，管理整改主要解决企业“怎么管”。

二、等保三级整改前先做差距分析

企业不要一开始就直接采购安全设备。

更合理的做法是先进行一次等保三级差距分析。

将企业目前的信息系统安全状况与三级要求逐项对照，找出存在的问题。

例如：

差距分析完成以后，再根据问题制定整改方案，可以避免盲目建设。

三、等保三级技术整改有哪些要求？

技术整改可以重点从以下几个方面进行。

1. 安全物理环境

如果企业使用自建机房，需要重点关注机房的物理安全。

例如：

• 防盗；

• 防火；

• 防水；

• 防潮；

• 防雷；

• 温湿度控制；

• 电力供应；

• 机房监控；

• 设备防护；

• 出入口管理。

如果企业使用云计算平台，则需要结合云平台的实际安全能力以及系统部署架构进行分析，不能简单认为“使用云服务器就全部满足等保要求”。

四、安全通信网络整改

三级系统需要重点关注网络架构和通信安全。

企业可以重点检查：

网络区域划分

例如：

互联网接入区

↓

Web服务器区

↓

应用服务器区

↓

数据库区

↓

核心数据区域

不同安全区域之间需要根据实际业务需求配置访问控制。

通信安全

重点关注：

• 通信协议安全；

• 数据传输安全；

• 网络设备安全配置；

• 网络访问控制；

• 网络冗余；

• 网络边界防护。

对于涉及账号、个人信息以及重要业务数据的系统，还需要重点关注数据传输过程中的安全问题。

五、安全区域边界整改

安全区域边界主要解决：

哪些用户可以访问哪些系统？哪些服务器可以访问数据库？

常见技术措施包括：

• 防火墙；

• WAF；

• VPN；

• 入侵防御；

• 访问控制；

• 网络攻击防护；

• 边界安全审计。

例如：

互联网用户 → Web服务器 → 应用服务器 → 数据库服务器

不建议让互联网用户直接访问数据库。

可以通过防火墙、访问控制策略和网络区域划分限制访问路径。

六、安全计算环境整改

安全计算环境是等保三级整改的核心内容之一。

主要涉及：

• 服务器；

• 操作系统；

• 数据库；

• 中间件；

• 应用系统；

• 虚拟机；

• 云服务器。

1. 身份鉴别

需要重点检查：

• 是否存在默认账号；

• 是否存在共享账号；

• 是否存在弱密码；

• 密码策略是否合理；

• 登录失败是否有限制；

• 管理员账号是否得到有效保护。

2. 访问控制

企业需要按照岗位划分权限。

例如：

普通员工只能访问普通业务功能；

业务管理员拥有对应管理权限；

系统管理员负责服务器维护；

安全管理员负责安全策略；

审计人员负责安全审计。

避免所有人员使用最高权限。

3. 漏洞管理

等保三级系统应建立比较完善的漏洞管理机制。

包括：

漏洞发现 → 风险评估 → 修复 → 验证 → 持续监控。

需要重点关注：

• 操作系统漏洞；

• Web服务漏洞；

• 数据库漏洞；

• 中间件漏洞；

• 第三方组件漏洞；

• 应用系统漏洞。

对于高风险漏洞，应优先处理。

七、应用系统安全整改

如果企业三级系统属于网站、APP、SaaS平台、教育平台、电商平台等互联网业务系统，应用安全尤其需要关注。

常见检查内容包括：

• 身份认证；

• 权限控制；

• 用户会话管理；

• 接口安全；

• 越权访问；

• 输入验证；

• 文件上传；

• SQL注入；

• XSS；

• 敏感信息泄露；

• 第三方组件安全；

• 应用日志。

例如，一个系统同时存在：

普通用户、运营人员、财务人员、管理员

四类角色，就需要明确不同角色能够访问哪些功能。

不能因为接口隐藏在前端菜单中，就认为用户无法访问。

后台接口同样需要做好权限验证。

八、安全审计整改

三级系统对安全审计能力要求较高。

企业需要重点检查：

• 操作系统日志；

• 网络设备日志；

• 防火墙日志；

• 数据库日志；

• 应用系统日志；

• 安全设备日志；

• 管理员操作日志。

同时还需要考虑：

日志是否集中保存？

日志保存时间是否满足要求？

日志是否能够防止被随意修改？

出现安全事件后能不能进行追溯？

对于管理员登录、权限变更、配置修改、重要数据操作等关键行为，应根据系统实际情况建立相应审计记录。

九、数据安全与备份整改

数据备份是三级系统整改的重要内容。

企业应根据业务重要程度建立备份机制。

包括：

• 数据库备份；

• 业务数据备份；

• 系统配置备份；

• 重要文件备份；

• 备份数据独立保存；

• 备份有效性验证；

• 数据恢复测试。

需要特别注意：

备份不是目的，能够在发生故障后恢复业务才是目的。

因此企业最好建立：

备份 → 验证 → 恢复测试 → 问题修复

的完整流程。

十、安全管理中心建设

对于三级系统，还需要关注安全管理中心相关能力。

企业可以结合自身系统规模和实际情况建设：

• 集中日志管理；

• 安全事件监控；

• 统一身份管理；

• 安全审计；

• 运维审计；

• 安全管理平台；

• 安全态势监测等。

这里并不是要求所有企业机械地购买某一种设备，而是需要根据系统实际情况建立满足要求的安全管理能力。

十一、等保三级管理制度整改

除了技术防护之外，管理制度也是三级整改的重点。

企业需要建立与自身业务和系统实际情况相匹配的安全管理制度。

常见制度包括：

• 网络安全管理制度；

• 信息安全管理制度；

• 账号管理制度；

• 权限管理制度；

• 密码管理制度；

• 数据安全管理制度；

• 备份管理制度；

• 日志管理制度；

• 漏洞管理制度；

• 运维管理制度；

• 变更管理制度；

• 第三方人员管理制度；

• 安全事件管理制度；

• 应急管理制度。

管理制度不仅需要形成文件，还需要实际执行并形成相应记录。

十二、安全管理机构整改

企业需要明确网络安全工作的责任主体。

例如：

• 网络安全负责人；

• 系统管理员；

• 安全管理员；

• 审计管理员；

• 运维人员；

• 开发人员。

同时要明确不同岗位之间的职责和权限。

特别是涉及系统管理、安全管理和审计工作的岗位，应根据系统实际情况进行合理的职责划分和权限控制。

十三、人员安全管理整改

三级系统还需要加强人员安全管理。

例如：

入职

员工入职后，根据岗位分配相应系统权限。

岗位变更

员工岗位发生变化，应同步调整系统权限。

离职

员工离职后，应及时注销：

• VPN账号；

• OA账号；

• 服务器账号；

• 数据库账号；

• 后台管理账号等。

同时建立安全培训和保密管理机制。

十四、系统建设管理整改

企业开发或者升级系统时，也应该将安全要求纳入整个建设流程。

例如：

需求分析

↓

安全设计

↓

开发

↓

安全测试

↓

上线

↓

运维

对于外包开发、第三方运维、云服务商等，也需要建立相应的第三方安全管理机制。

十五、系统运维管理整改

三级系统不是测评完成以后就结束。

企业需要建立长期运维管理机制。

包括：

• 日常巡检；

• 漏洞管理；

• 补丁管理；

• 账号管理；

• 权限管理；

• 配置管理；

• 变更管理；

• 数据备份；

• 日志检查；

• 安全事件处理；

• 运维操作审计。

最好形成完整的运维记录，以便后续安全检查和等级测评时进行验证。

十六、应急管理整改

企业还需要建立网络安全事件应急处理机制。

例如：

网站被攻击怎么办？

服务器被入侵怎么办？

数据库发生故障怎么办？

数据发生异常怎么办？

企业应建立：

• 网络安全事件应急预案；

• 应急组织；

• 应急联系人；

• 事件发现机制；

• 事件上报流程；

• 应急处置流程；

• 数据恢复流程；

• 系统恢复流程；

• 事件复盘机制。

同时根据企业实际情况开展应急演练，并保留相关记录。

十七、等保三级整改可以分成这几大类

十八、深圳等保三级为什么要特别重视持续整改？

三级系统不是完成一次测评之后就永久不需要管理。

现行《信息安全等级保护管理办法》明确，第三级信息系统应当每年至少进行一次等级测评和一次安全自查；如果经过测评或者自查发现系统安全状况没有达到对应等级要求，应当制定方案进行整改。

同时，三级以上信息系统办理备案时，需要提交包括系统拓扑结构、安全组织机构和管理制度、安全保护设施设计实施方案等在内的相关材料；相关规定还明确了公安机关对第三级信息系统开展监督检查的要求。

所以企业应该把等保三级理解成一个持续的安全管理过程：

建设一次 → 测评一次 → 整改一次 → 持续运营 → 定期测评 → 持续整改。

十九、深圳企业做等保三级整改的正确流程

实际项目中，可以按照以下流程推进：

第一步：系统梳理

明确业务、服务器、网络、数据库、应用和数据。

↓

第二步：确定系统等级

确认系统是否属于三级信息系统。

↓

第三步：开展差距分析

按照等保三级相关标准检查系统当前安全状况。

↓

第四步：制定整改方案

明确问题、风险、整改措施、责任人和完成时间。

↓

第五步：技术整改

完成网络、主机、应用、数据、日志等方面建设。

↓

第六步：管理整改

完善制度、机构、人员、运维和应急管理。

↓

第七步：整改验证

逐项检查问题是否真正解决。

↓

第八步：开展等级测评

按照要求委托符合条件的测评机构开展测评。

↓

第九步：问题闭环

根据测评发现的问题继续整改。

↓

第十步：持续安全运营

定期开展自查、测评、漏洞管理和安全维护。

二十、一诺企服提供等保及互联网资质相关服务

对于深圳互联网企业来说，网络安全合规通常和企业互联网业务资质密切相关。

例如企业开发一个APP、SaaS平台、教育平台或者互联网交易平台，除了需要关注等保，还可能涉及增值电信业务经营许可证、APP备案、算法备案、大模型备案等事项。

一诺企服主营企业互联网资质及网络安全相关服务，业务包括：

增值电信业务经营许可证办理

主要包括：

• ICP许可证；

• EDI许可证；

• IDC许可证；

• ISP许可证；

• SP许可证；

• 呼叫中心；

• 多方通信等。

网络安全相关服务

包括：

• 等保测评；

• 等保备案；

• 等保整改；

• 信息系统安全建设咨询等。

算法及大模型相关服务

包括：

• 算法备案；

• 大模型备案；

• 大模型登记等。

企业可以根据自身网站、APP、小程序、SaaS平台以及互联网业务模式，对相关许可证、备案和网络安全要求进行综合梳理。

二十一、总结

深圳等保三级整改并不是简单地“买设备、做材料”，而是一项涉及技术防护和安全管理体系建设的综合工作。

技术方面，需要重点关注：

网络架构、边界防护、主机安全、应用安全、数据安全、日志审计、备份恢复和安全管理中心。

管理方面，则需要重点建设：

安全管理制度、安全管理机构、人员管理、系统建设管理、系统运维管理、第三方管理以及应急管理。

企业最合理的做法是：

先梳理系统 → 做差距分析 → 制定整改方案 → 技术整改+管理整改 → 整改验证 → 等保三级测评 → 问题闭环 → 持续安全运营。

需要注意的是，具体整改项并不是所有三级系统完全相同，最终仍应结合系统定级结果、业务特点、实际架构、测评要求和测评机构现场核查情况确定，不能简单按照一张通用设备清单采购建设。

现行GB/T 22239-2019仍是网络安全等级保护基本要求的重要标准依据；同时，《信息安全技术 网络安全等级保护定级指南》《实施指南》《安全设计技术要求》《测评要求》等标准共同构成等级保护相关工作的标准体系。