2019年5月13日，网络安全等级保护2.0标准正式发布，同年12月1日正式实施。等保2.0在1.0时代标准的基础上，注重主动防御，从被动防御到事前、事中、事后全流程的安全可信、动态感知和全面审计，实现了对传统信息系统、基础信息网络、云计算、大数据、物联网、移动互联网和工业控制信息系统等级保护对象的全覆盖。

一年来，整个信息安全行业需求迎来了重要的边际改善，新机遇、新趋势、新挑战成为了企业合规建设的关键词，过等保成为了企业合规运营的必经之路。

在为用户提供等保测评相关的产品、服务和解决方案的过程中，葫芦娃集团发现企业想要更高效、平稳地通过等级保护2.0，并将安全能力转化为自身的发展助力，必须纠正如下几个误区，切实履行好相关的安全保护义务。

误区一：“三同步”不同步。

等保2.0强调“同步规划，同步建设，同步运维”， 定级指南里明确要求必须过了三级系统测评之后才可以上线，但是在实际操作中，等保1.0时期遗留的等到系统建完之后再去打补丁的误区现在依然存在。

误区二：重技术，轻管理。

在等保1.0时代，技术和管理是两大类，是分开要求的，但在等保2.0时代，不再把技术和管理分类，技术和管理同等重要地位。但大部分用户建设，谈的多是技术，却忽略了管理。

主要原因有二：第一是用户的能力不够、意识不够，第二是用户不愿意花这么多钱去提升管理能力，因为这是短期内见不到直接效益的。

误区三：把等保的技术要求理解成产品要求。

等保的基本要求叫技术要求。以边界安全里的访问控制为例，很多产品都能实现这个功能，防火墙、IPS、安全网关，甚至路由器都能做，没有要求必须用哪个特定的产品，只要能实现技术要求，用什么产品都是可以的。

误区四：等保建设的目的是通过测评。

测评只是一个检查的手段，不是等保的目的。等保1.0在评分的时候只有基本符合和不符合，而等保2.0测评的结果分为优良中差，90分以上是优，70分以下就是差，差就是不合格，仍需要整改来提升安全性。

误区五：只要过了等保、拿到检测证书，以后就不需要整改了。

拿到检测证书之后，根据评分高低，还有很多问题是需要整改的。等保测评是起点，而不是终点。在对系统风险有了更清楚的认识后，我们才能通过管理和技术对其不断优化完善。

做好等保合规建设工作，既需要安全与业务系统同步规划、同步建设、同步运维，也需要结合运维管理、客户业务、行业属性等进行系统建设。等保2.0是一个规划、建设与运维、测评、整改的循环过程。

等保测评是一种安全服务，包括漏洞发现、漏洞通报、漏洞情报共享、漏洞验证等安全服务，用户要充分利用安全服务以检验自身存在的安全威胁和风险。同时，还应做好应急预案。在受到攻击的时候及时取证，再按照预案先恢复什么，再恢复什么，既不会误操作毁灭证据，又能以最快的速度恢复业务。

【版权提示】葫芦娃集团尊重并保护版权。部分图片/素材来源于网络，如有侵权请及时告知我们处理。