等保定级定错，代价很实在：三级系统按二级做，测评报告不被主管部门认可；小官网硬上三级，测评加整改多花十几万。二级和三级不是"高低档"，而是两条合规路径，差别集中在定级依据、建设要求、测评周期、整改范围四方面。
一、二级和三级差在哪（一张表看懂）
| 对比项 | 等保二级 | 等保三级 |
|---|---|---|
| 定级依据 | 一般信息系统，侵害公民、法人合法权益 | 涉及重要数据或大量个人信息，侵害社会秩序、公共利益 |
| 定级流程 | 运营使用单位自定级 | 需组织专家评审 |
| 测评周期 | 一般每 2 年 1 次 | 每年至少 1 次 |
| 测评得分要求 | 60 分以上 | 70 分以上 |
| 测评费用 | 3–8 万元/次 | 10–20 万元/次 |
| 整改费用 | 2–5 万元 | 5–15 万元 |
| 必备技术措施 | 边界防护、访问控制、日志留存 6 个月 | 在二级基础上增加集中管控、入侵防范、安全审计、双因素认证、数据备份恢复 |
二、从定级到测评的三步
- 定级：按 GB/T 22240 判断受侵害客体与侵害程度，出具《定级报告》。
- 备案：向属地公安机关网安部门提交材料，一般 10–15 个工作日拿到《信息系统安全等级保护备案证明》。
- 测评与整改：委托测评机构现场测评（二级 1–2 天，三级 2–5 天含渗透测试），按不符合项整改后复测，报告提交公安。
三、测评机构怎么选：4 条硬指标
- 资质：须在公安部测评机构推荐目录内，证书编号可核验。
- 属地：跨省测评需在目标省份备案，否则报告可能不被本地认可。
- 报价：明显低于二级 3 万、三级 10 万下限的，通常会在整改环节加价。
- 交付：确认包含现场测评、测评报告、整改建议书和一次复测，避免二次收费。
四、整改最常被开的 6 项
- 弱口令、默认账号未清理（主机、数据库、中间件）
- 补丁与版本未更新，存在已知高危漏洞
- 网络日志留存不足 6 个月（《网络安全法》第 21 条硬性要求）
- 缺少入侵检测与防病毒，边界访问控制策略过宽
- 数据无异地或离线备份，未做恢复演练
- 三级系统缺少集中日志审计与双因素认证
五、3 个常见误区
- 等级越高越好。定级过高意味着每年一次测评和更重的建设投入，按业务实际情况定级才既合规又省钱。
- 备案完就结束。备案只是起点，二级每 2 年、三级每年都要测评，不测评同样属于未履行义务。
- 不测评没人管。《网络安全法》第 59 条规定，不履行第 21 条安全保护义务且拒不改正的，可处 1 万–10 万元罚款，直接责任人处 5000 元–5 万元罚款。
