等保不是一张"安全合格证"，而是一套分级的安全建设与测评机制。本文说明五个等级的区别、三级要过哪些关，以及景区在采购时该核对什么。

 

一、等保是什么，不是什么

等保全称网络安全等级保护，核心逻辑是"按重要程度分级、按级别配防护、定期测评"。它由公安机关监督，测评由具备资质的第三方机构执行。

 

需要先纠正三个常见误解。

 

· 误解一：等保是一次性认证。实际是按周期复测，系统架构或业务范围有大变化时要重新定级或重新测评

 

· 误解二：过了三级就等于万无一失。测评是基线检查，不等于没有漏洞，也不覆盖运营管理中的全部风险

 

· 误解三：等保只跟大企业有关。只要系统处理一定规模的个人信息，就可能被要求定级

 

二、五个等级，景区通常落在哪一级

等保分五级，逐级提高要求。一级为自主保护，二级为指导保护，第三级为监督保护，第四级为强制保护，第五级为专控保护。票务系统通常落在第二级或第三级。

等级监管强度测评要求典型对象票务系统适用情形
一级自主保护一般不需测评内部一般系统极少适用
第二级指导保护建议测评，按周期一般业务系统小型景区、数据量有限
第三级监督保护每年至少一次测评涉及较多个人信息或重要业务中大型景区、多景区集团、含支付与会员体系
第四级强制保护更严格，专项要求关键信息基础设施相关一般不涉及
第五级专控保护特殊管理特殊领域不涉及

具体定级由运营使用单位结合业务影响确定，并以公安机关备案结果为准。景区作为运营者，服务商作为技术支撑方，双方要共同完成定级与整改。

 

三、三级要过哪些关

三级测评的检查项分布在技术和管理两个维度，检查项通常超过 100 条，常见的重点包括以下几方面。测评周期为每年至少 1 次，复测不过关需要重新整改。

 

技术维度

· 安全通信网络：网络架构分区、通信传输加密、带宽与冗余

 

· 安全区域边界：边界防护、访问控制、入侵防范、恶意代码防范

 

· 安全计算环境：身份鉴别、访问控制、入侵防范、数据完整性与保密性、数据备份恢复、剩余信息保护

 

· 安全管理中心：集中管控、审计管理、安全管理

 

管理维度

· 安全管理制度、安全管理机构、安全管理人员

 

票务系统功能界面

 

· 安全建设管理、安全运维管理

 

落到票务系统的具体动作，通常包括：全站 HTTPS、后台登录双因素、数据库敏感字段加密存储、操作日志留存不少于 6 个月、每日增量备份与定期恢复演练、第三方组件漏洞跟踪。这些不是纸面工作，测评时会查配置、查日志、查记录。

 

四、景区采购时该核对什么

核对一：测评对象是否覆盖你要用的系统

有的测评报告只覆盖某个子系统，不含新上的模块。要确认报告中的系统名称、版本、部署环境与你要采购的一致。

 

核对二：结论页与整改项

测评结论通常分为优、良、中、差几档，同时会列出不符合项。要看的是不符合项有没有完成整改，而不是只看结论。

 

核对三：谁承担测评与整改成本

首次测评、整改、复测都会产生费用与工期。这部分要在合同中明确责任划分，避免上线前临时追加。

 

核对四：共享环境下的责任边界

如果采用 SaaS 模式，机房、网络、虚拟化层的安全由服务商负责，账号权限、业务数据内容由景区负责。这个边界要在合同的数据处理条款里写清楚。

 

五、等保与日常运营的关系

测评通过只是起点。真正影响安全水平的是日常执行：离职人员账号是否及时回收、共享账号是否存在、备份是否真的能恢复、日志是否有人看。

 

一个务实做法是把等保要求转成可执行的检查表，每月自查一次，每年演练一次。景谱在交付时会提供一份运维检查清单，包含账号、备份、日志、补丁四类共二十余项，景区可据此做日常自查。

 

六、常见的不符合项与整改做法

从实际测评看，不符合项分布比较集中。下面五类占了多数，整改动作也不复杂，关键是有没有人持续跟。

 

· 日志留存不足：要求不少于六个月，实际只留三十天。整改动作是调整日志策略并扩容存储

 

· 备份未做恢复验证：有备份文件，但从没试过恢复。整改动作是每季度做一次恢复演练并留记录

 

· 账号权限过宽：多人共用一个管理员账号。整改动作是拆分为个人账号，按角色授权

 

· 补丁更新滞后：中间件与数据库长期未打补丁。整改动作是建立补丁台账，按季度更新

 

票务系统运营管理

 

· 边界防护缺失：后台管理端口直接暴露公网。整改动作是收敛访问来源，加访问控制策略

 

这五类问题有一个共同点：都不需要重构系统，只需要把日常动作固定下来。反过来说，如果服务商在测评前才临时补这些记录，通常说明日常运维没有真正执行。

 

景区在验收阶段可以要求提供上述五项的执行记录，比看测评结论更能判断实际水平。记录不必精美，但要连续、可追溯、有责任人。

 

结语

等保的价值不在于那张纸，而在于它强制把一个含糊的"应该安全"变成了可检查的条目。景区在选型时，不妨直接问一句：测评报告的不符合项整改完了吗，能不能给我们看整改记录。

 

常见问题

Q：等保二级和三级差别大吗？

 

A：差别明显。三级在访问控制粒度、审计留存、入侵防范、数据备份恢复等方面要求更细，且要求每年至少测评一次。对中大型景区，尤其是有会员体系和在线支付的，三级更常见。

 

Q：景谱的等保情况如何？

 

A：景谱票务业务系统已通过等保 2.0 三级测评。具体测评报告结论页、测评机构名称与测评时间可在商务对接阶段索取核对。

 

Q：用了 SaaS 还需要自己做等保吗？

 

A：需要明确责任划分。基础设施层的安全由服务商承担，景区作为数据控制者仍需履行自身义务，包括账号管理、权限审批、数据使用规范。建议在合同中约定双方责任矩阵。

 

Q：等保测评要花多少钱、多久？

 

A：费用与系统规模、测评机构、整改工作量相关，差异较大。周期上，从差距评估到整改完成再到正式测评，通常需要 1 到 3 个月。具体以测评机构报价与整改排期为准。

 

Q：测评不通过怎么办？

 

A：按不符合项整改后复测。常见不符合项集中在日志留存时长不足、备份未做恢复验证、账号权限过宽、补丁更新不及时这几类，整改工作量通常可控。

 

Q：小程序和后台都要测评吗？

 

A：通常作为一个业务系统整体定级，小程序前端、后台服务、数据库都纳入测评范围。如果部署在不同云环境，要确认边界划分与测评范围是否覆盖。

 

Q：等保和 ISO 27001 哪个更该看？

 

A：两者定位不同。等保是国内监管要求，与合规直接相关；ISO 27001 是管理体系认证，偏重流程。国内景区项目里，等保的实用价值更直接。