等保到底在“保”什么？

在信息时代，等保评级成为衡量企业信息安全水平的重要标准。那么，什么是等保评级呢？等保合规到底保的是什么呢？一起来看看吧。

等保评级，会从七个维度进行测评。

1.物理安全

物理安全包含物理位置的选择、物理访问控制、防火、防盗、防破坏、防雷击、防水防潮、防静电、温湿度控制、电力供应电磁防护。

简单的举个例子，网站的服务器不能随意放置，机房必须具备防震、防风、风雨等功能，最次的也要符合当地的抗震设防标准。而且位置不能在地下室、也不能在顶层。

再比如机房的入口有没有安排专门的人员值守、控制、鉴别和记录进出的人员等等。

这些都是物理安全的评测范围。

2.网络安全

网络安全包括结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护几项。

这一部分比较容易理解。业务高峰期，必须拥有足够的带宽，保证服务器不会宕机。对网络系统中的网络设备运行状况、网络流量、用户行为等进行记录等等。

3.主机安全

主机安全包括身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等。

这一部分要求企业应对登录操作系统和数据库的用户，进行身份标识和鉴别，启用访问控制功能，控制用户对资源的访问。

还要能够检测和记录对重要服务器的入侵行为，如入侵的源IP、攻击类型、攻击目的、攻击事件等等。

4.应用与数据安全

包含应用安全和数据安全及备份恢复。

要求企业提供异地数据备份、本地数据备份等，还规定了备份频率，满足灾难恢复策略的要求。

5.制度与人员安全

这一部分是总体要求，对于安全相关的各类活动都要有相应的制度规范，比如机房管理、保密制度等。

6.系统建设管理

这一部分企业能做的不多。虽然企业可以自己组织专家组为系统定级，但由于成本和复杂度等因素，一般会聘请第三方专家来为系统定级。

第三方专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划等进行论证和审定。

7.系统运维管理

等保要求企业要制定专门的人员，对机房供配电、空调等设施进行维护管理，保护机房安全。具体所需要的要求也非常多。

以上七个部分的内容，只是简单的提了一下，实际上真正的等保测评非常复杂，而且事无巨细。

等保一共分五个等级，一般来说企业做最多的是二级等保和三级等保。毕竟很少有企业会涉及到国家安全层面。

总的来说，等保评级是对企业信息安全水平的全面评估。通过进行等保评级，企业可以更加了解自身的信息安全状况，发现安全漏洞和隐患，及时采取措施加以改进，提高信息系统的安全防护能力。同时，等保评级也是企业履行社会责任和法律规定的重要体现，可以增强企业的社会形象和信誉。