深圳企业开展等保测评前，需要提前做好信息系统安全建设和整改工作。本文从网络安全、主机安全、应用安全、数据安全、日志审计、安全管理制度、人员管理和应急管理等方面，详细介绍深圳等保测评前的整改重点及实施流程，帮助企业提前发现安全问题，降低测评整改压力，做好等保备案和等级测评准备。

一、深圳企业为什么要在等保测评前做好整改？

很多企业第一次做等保时，会认为只需要准备材料，然后找测评机构进行测评即可。

实际上，如果企业的信息系统本身没有按照相应等级的安全要求进行建设，直接进入测评阶段，很容易发现大量问题。

例如：

• 服务器存在高危漏洞；

• 操作系统安全配置不符合要求；

• 管理员账号权限过高；

• 用户密码策略不完善；

• 网络区域划分不合理；

• 防火墙访问策略不完善；

• 缺少日志审计；

• 数据备份机制不完善；

• 应急预案不完整；

• 网络安全管理制度缺失；

• 缺少安全培训和应急演练记录。

根据《信息安全等级保护管理办法》，信息系统运营、使用单位应按照相应安全保护等级开展安全建设，并建立符合等级要求的安全管理制度；如果经过测评或者自查发现系统安全状况未达到相应等级要求，应当制定方案进行整改。

因此，对于准备在深圳开展等保测评的企业来说，测评前进行一次全面的安全差距分析和整改，是非常有必要的。

二、等保测评前整改主要包括哪些内容？

等保整改并不是简单地购买几台安全设备，而是需要从企业信息系统整体安全能力出发进行建设。

通常可以从以下几个方面进行：

网络安全 → 主机安全 → 应用安全 → 数据安全 → 安全审计 → 安全管理制度 → 人员管理 → 运维管理 → 应急管理。

技术措施和管理措施需要同步建设。

三、第一步：梳理企业信息系统

正式整改之前，首先需要把企业的信息系统梳理清楚。

例如：

• 官网系统；

• APP后台；

• 小程序后台；

• SaaS平台；

• 电商系统；

• 教育平台；

• ERP系统；

• CRM系统；

• OA系统；

• 数据管理平台；

• 互联网业务平台。

同时需要梳理：

• 服务器在哪里；

• 使用什么云平台；

• 操作系统是什么；

• 数据库是什么；

• 是否存在公网IP；

• 网络拓扑是什么；

• 是否部署防火墙；

• 是否部署WAF；

• 是否存在数据库服务器；

• 系统有哪些用户；

• 系统处理哪些数据。

只有先把系统边界搞清楚，后面的等保整改才有明确方向。

四、第二步：检查网络架构是否合理

网络架构是等保测评前需要重点检查的内容之一。

企业可以检查：

1. 是否进行了网络区域划分

例如：

互联网接入区

↓

Web服务器区

↓

应用服务器区

↓

数据库区

↓

核心数据区

不同区域之间应根据实际业务设置合理的访问控制策略。

2. 是否存在不必要的公网暴露

企业可以重点检查：

• 数据库是否直接暴露公网；

• Redis是否暴露公网；

• Elasticsearch是否暴露公网；

• 管理后台是否直接暴露；

• SSH、RDP等管理端口是否直接开放；

• 是否存在不必要的公网服务。

如果不需要对互联网开放的服务，应尽量避免直接暴露公网。

五、第三步：服务器和主机安全整改

服务器是等保测评重点检查对象之一。

测评前企业可以对服务器进行全面安全检查。

重点包括：

账号安全

检查：

• 是否存在默认账号；

• 是否存在共享管理员账号；

• 是否存在长期不用的账号；

• 是否及时删除离职人员账号；

• 管理员权限是否过大。

密码安全

检查：

• 密码复杂度；

• 密码长度；

• 密码有效期；

• 登录失败限制；

• 默认密码修改情况。

漏洞安全

对服务器进行漏洞扫描，及时处理高风险漏洞。

包括：

• 操作系统漏洞；

• Web服务漏洞；

• 中间件漏洞；

• 数据库漏洞；

• 第三方组件漏洞。

六、第四步：防火墙及访问控制整改

企业需要对防火墙策略进行梳理。

很多企业服务器使用多年以后，会积累大量历史策略。

例如：

ANY → ANY → ALLOW

或者开放了大量实际上已经不再使用的端口。

因此，测评前可以重新梳理：

• 哪些端口必须开放；

• 哪些IP允许访问；

• 哪些业务允许访问数据库；

• 哪些管理员允许远程管理；

• 哪些端口可以关闭。

遵循一个基本原则：

只开放业务真正需要的端口和访问权限。

七、第五步：应用系统安全整改

如果企业有APP、网站、SaaS平台或者其他互联网业务系统，应用安全也是整改重点。

可以重点检查：

• 登录认证；

• 权限控制；

• 用户身份识别；

• 越权访问；

• 接口权限；

• Session管理；

• 文件上传；

• SQL注入；

• XSS；

• CSRF；

• 敏感信息泄露；

• API接口安全；

• 第三方组件漏洞。

尤其是存在多个用户角色的业务系统，需要重点检查：

普通用户能不能访问管理员功能？

A用户能不能查看B用户的数据？

未登录用户能不能直接访问后台接口？

这些都是实际应用安全中需要重点关注的问题。

八、第六步：日志审计整改

日志审计是企业做等保时比较容易出现问题的一个环节。

企业应该检查：

• 操作系统是否有日志；

• 网络设备是否有日志；

• 防火墙是否有日志；

• 数据库是否有审计记录；

• 应用系统是否记录关键操作；

• 日志是否集中保存；

• 日志保存周期是否满足要求；

• 日志是否可以被随意修改或删除。

例如管理员登录后台、修改权限、删除数据、修改系统配置等重要操作，都应该根据系统实际情况建立相应的审计记录。

九、第七步：数据备份和恢复整改

数据备份是信息系统安全建设中的重要内容。

企业应该根据自身业务情况建立备份策略。

例如：

• 数据库定期备份；

• 业务数据定期备份；

• 配置文件备份；

• 重要服务器备份；

• 备份数据独立保存；

• 定期检查备份是否有效；

• 定期开展数据恢复测试。

这里需要特别注意：

“有备份”和“能够恢复”不是一回事。

企业如果只是每天自动生成备份，但从来没有验证过备份文件能不能正常恢复，出现服务器故障后仍然可能造成业务中断。

十、企业还需要做好安全管理制度整改

等保不是纯技术项目。

除了网络、服务器、防火墙、应用和数据之外，还需要建立与企业实际情况相匹配的安全管理制度。

常见制度包括：

• 网络安全管理制度；

• 信息安全管理制度；

• 账号管理制度；

• 密码管理制度；

• 数据安全管理制度；

• 机房管理制度；

• 运维管理制度；

• 变更管理制度；

• 备份管理制度；

• 日志管理制度；

• 安全事件管理制度；

• 应急预案。

制度不能只是为了测评临时制作。

更重要的是：

制度制定以后，要真正执行，并留下相应记录。

十一、做好人员和权限管理

企业还需要明确网络安全相关人员和岗位职责。

例如：

• 网络安全负责人；

• 系统管理员；

• 安全管理员；

• 审计管理员；

• 运维人员；

• 开发人员。

同时建立人员权限管理流程。

例如：

员工入职 → 开通对应账号 → 分配岗位权限 → 权限变更 → 离职 → 注销账号。

如果员工离职后仍然能够登录服务器、VPN或者后台系统，就会形成比较明显的安全风险。

十二、做好运维管理整改

企业信息系统上线以后，还需要持续维护。

因此测评前也需要检查企业是否有：

• 系统巡检记录；

• 漏洞扫描记录；

• 补丁更新记录；

• 数据备份记录；

• 权限变更记录；

• 系统变更记录；

• 故障处理记录；

• 安全事件处理记录；

• 运维人员操作记录。

这些记录能够证明企业不仅制定了制度，而且真正按照制度执行。

十三、建立网络安全应急预案

企业还需要考虑各种突发安全事件。

例如：

服务器被攻击怎么办？

网站被篡改怎么办？

数据库损坏怎么办？

发生勒索病毒怎么办？

重要数据泄露怎么办？

因此需要根据企业实际业务建立网络安全应急预案。

常见内容包括：

• 应急组织架构；

• 应急联系人；

• 安全事件发现机制；

• 事件上报流程；

• 应急处置流程；

• 数据恢复流程；

• 系统恢复流程；

• 对外沟通机制；

• 事件复盘机制。

条件允许的情况下，还应定期开展应急演练，并形成演练记录。

十四、深圳等保测评前建议做一次“差距分析”

企业不要等测评机构进场以后才发现问题。

更合理的做法是提前开展：

等保差距分析。

简单来说，就是把：

企业当前安全状况

和

对应等级的安全要求

进行逐项对比。

例如：

这样就可以提前知道：

哪些问题需要技术整改，哪些问题需要管理整改，哪些问题需要补充材料。

十五、等保整改不是“买设备越多越好”

这是企业做等保时非常容易产生的误区。

很多企业认为：

“是不是把防火墙、WAF、堡垒机、杀毒软件、日志审计等全部买齐，就可以通过等保？”

并不是。

等保关注的是信息系统整体安全保护能力。

企业应该根据：

• 系统等级；

• 系统规模；

• 网络架构；

• 业务类型；

• 数据重要程度；

• 实际安全风险；

确定合理的安全建设方案。

有些企业可能需要增加安全设备，有些企业主要问题则是配置不合理或者制度、人员管理不到位。

因此，先分析问题，再确定整改方案，比盲目购买设备更加合理。

十六、深圳等保测评前整改完整流程

企业可以按照下面的流程开展：

① 梳理信息系统

↓

② 明确系统边界

↓

③ 确定安全保护等级

↓

④ 开展等保差距分析

↓

⑤ 制定安全整改方案

↓

⑥ 网络及安全设备整改

↓

⑦ 服务器及数据库安全加固

↓

⑧ 应用系统安全整改

↓

⑨ 数据备份与日志审计建设

↓

⑩ 安全管理制度完善

↓

⑪ 人员及运维管理完善

↓

⑫ 应急预案及演练

↓

⑬ 开展等级测评

↓

⑭ 根据测评结果继续整改

↓

⑮ 完成相关测评及备案工作

按照现行管理要求，信息系统建设完成后需要开展等级测评；如果测评或自查发现系统安全状况未达到相应等级要求，应当制定整改方案。第三级信息系统原则上至少每年开展一次等级测评和一次自查。

十七、一诺企服提供哪些网络安全与企业资质服务？

对于同时涉及互联网业务和网络安全合规的企业来说，实际运营过程中往往不是只需要办理一项资质。

例如一家企业开发了一个互联网平台，可能同时涉及：

增值电信业务经营许可证 + APP备案 + 等保 + 算法备案 + 大模型备案/登记等合规事项。

一诺企服主营企业互联网资质及网络安全相关服务，业务主要包括：

增值电信业务经营许可证办理

包括：

• ICP许可证；

• EDI许可证；

• IDC许可证；

• ISP许可证；

• SP许可证；

• 呼叫中心许可证；

• 多方通信许可证等。

企业可以根据自身实际业务模式判断需要办理哪一类增值电信业务经营许可证。

网络安全与等保服务

提供：

• 等保定级咨询；

• 等保备案；

• 等保测评相关服务；

• 等保整改；

• 企业信息系统安全建设咨询等。

算法及人工智能相关备案服务

同时涉及：

• 算法备案；

• 大模型备案；

• 大模型登记；

• 人工智能相关合规服务等。

对于开发APP、网站、SaaS平台、教育平台、电商平台以及其他互联网业务系统的企业，可以结合自身业务情况，对涉及的许可证、备案及网络安全要求进行整体梳理。

十八、企业做等保，什么时候开始整改比较合适？

建议企业不要等到测评机构正式进场以后才开始。

比较合理的时间节点是：

确定系统需要做等保 → 立即开始梳理系统 → 开展差距分析 → 提前整改 → 再进入正式测评。

尤其是三级系统，由于安全要求相对更高，涉及的技术和管理内容也更多，更应该提前准备。

企业如果已经确定要做深圳等保测评，可以先把：

服务器、网络拓扑、数据库、应用系统、安全设备、账号权限、日志、备份、制度文件、人员和运维记录

这些内容进行一次全面梳理。

十九、总结

深圳企业做等保，真正的核心并不是“拿到一份测评报告”，而是通过等级保护建设，让企业的信息系统具备与其业务重要程度相匹配的安全防护能力。

测评前整改可以重点围绕：

网络安全、主机安全、应用安全、数据安全、日志审计、访问控制、安全管理制度、人员管理、运维管理和应急管理展开。

最推荐企业采用：

先梳理系统 → 再差距分析 → 制定整改方案 → 技术整改+管理整改 → 内部验证 → 正式测评 → 针对问题复查整改 → 持续安全运营

这样的方式开展等保工作。

一诺企服除了提供等保测评、等保整改及相关网络安全服务外，还主营ICP、EDI、IDC、ISP、SP、呼叫中心、多方通信等增值电信业务经营许可证办理，以及算法备案、大模型备案/登记等服务，企业可以根据自身网站、APP、小程序、SaaS平台及互联网业务模式，对相关资质和备案事项进行综合梳理。