什么是等保 2.0？景区票务系统定级备案的基本要求
等保 2.0 指《信息安全技术 网络安全等级保护基本要求》2019 年发布后的新标准。它要求网络运营者按系统重要程度定级、备案、整改、测评，景区票务系统通常按二级或三级执行。
一、标准定义与由来
等保是网络安全等级保护的简称。核心逻辑是"按重要程度分级保护"，不同等级对应不同的安全要求与测评频次。
等保 2.0 的"2.0"指标准体系的一次整体更新，2019 年发布后替代了此前的标准。新标准把保护对象从信息系统扩展到网络基础设施、云计算、移动互联、物联网等。
对景区来说，这意味着票务系统、官网、小程序、闸机网络、云平台都可能纳入保护范围，而不仅是机房里的服务器。
等保工作包含五个规定动作：定级、备案、建设整改、等级测评、监督检查。五步走完才算完成一轮。
五个动作中，定级与备案是行政环节，建设整改是技术环节，测评是验证环节，监督检查是持续环节。景区常把重心放在测评上，其实整改质量才决定结果。
需要说明的是，本文只介绍基本概念与管理思路，不引用具体条文编号。实际执行要求应以现行国家标准与属地公安网安部门的意见为准。
对景区而言，等保的实际意义有两层：一层是合规，避免因未履行义务承担责任；另一层是能力，把账号、日志、备份这些基础工作做实，系统本身也更稳。
很多景区在做完等保整改后发现，日常故障率下降了。原因不复杂：权限收敛了、日志有了、备份验证过了，问题自然少了。
需要说明的是，等保不是一次性的项目。系统升级、人员变动、业务变化都会带来新的风险点，需要定期复查与调整。
二、按等级分类
等保分五个等级，景区票务系统通常涉及二级与三级。
二级适用于受到破坏后会对公民、法人合法权益造成严重损害，或对社会秩序和公共利益造成损害的系统。多数景区票务系统按此定级。
三级适用于受到破坏后会对社会秩序和公共利益造成严重损害，或对国家安全造成损害的系统。承载大量个人信息、或作为区域统一平台的系统可能被定为三级。
定级不是自行决定的，需要经过专家评审与主管部门审核，并以备案结果为准。
| 等级 | 受损影响 | 测评频次 | 景区常见情形 |
| 一级 | 影响较小 | 自主保护 | 极少涉及 |
| 二级 | 损害合法权益或公共利益 | 建议定期测评 | 多数单景区票务系统 |
| 三级 | 严重损害公共利益 | 每年测评 | 区域平台、大量个人信息 |
| 四级及以上 | 损害国家安全 | 按监管要求 | 一般不涉及 |
三、按保护对象分类
等保 2.0 把保护对象分成几类：传统信息系统、云计算平台、移动互联、物联网、工业控制。
景区票务系统通常同时涉及前三类：票务系统本身属于传统信息系统，若部署在云上则涉及云计算安全要求，小程序属于移动互联。
闸机、摄像头、自助机等终端构成物联网部分，其网络接入与设备管理也在考察范围内。
这意味着等保不是只管软件，还要管网络架构、终端接入、边界防护。景区在做整改时，往往需要网络与设备方一起参与。
实践中的一个难点是责任边界。票务系统由厂商提供、网络由运营商提供、终端由设备商提供，出了问题容易互相推。建议在合同阶段就把边界写清。
边界写清的好处不只是出事好追责，日常维护也更顺。谁负责打补丁、谁负责看日志、谁负责备份验证，明确了就不会漏。
| 保护对象 | 景区对应内容 | 常见缺口 |
| 传统信息系统 | 票务系统、官网 | 账号权限、日志留存 |
| 云计算 | 票务系统所在云平台 | 云上安全责任划分 |
| 移动互联 | 小程序、App | 接口鉴权、数据加密 |
| 物联网 | 闸机、自助机、摄像头 | 终端接入控制、弱口令 |
四、与相邻概念的区别
| 概念 | 性质 | 范围 | 主要差别 |
| 等保 2.0 | 合规要求 | 网络与信息系统 | 分级保护、定期测评 |
| 数据安全法 | 法律 | 数据处理活动 | 侧重数据分类分级与责任 |
| 个人信息保护法 | 法律 | 个人信息处理 | 侧重告知同意与权益 |
| ISO 27001 | 管理体系标准 | 信息安全管理体系 | 国际标准、自愿认证 |
等保与数据安全法的关系是"技术与管理"的配合。等保解决系统层面的安全能力，数据安全法解决数据处理活动的合法性。
等保与 ISO 27001 的区别在强制性。等保是法定要求，必须做；ISO 27001 是自愿认证，多用于对外证明能力。
五、应用示例
示例一，单景区票务系统按二级定级。景区完成定级备案后，按二级要求整改：账号实名、权限分级、日志留存六个月以上、数据定期备份、边界防护到位。
示例二，区域统一票务平台按三级定级。平台承载多个景区数据，个人信息量大，按三级要求增加了双因子认证、入侵检测、安全审计、应急预案演练。
示例三，混合部署场景的责任划分。票务系统在本地机房、核销终端在景区内网、部分服务在云端，需要明确各部分的定级归属与责任边界。
三个示例说明，等保的难点不在技术，而在责任划分与持续执行。定级备案只是开始，日常管理才是主体。
三个示例中，示例三的复杂度较高。混合部署下，各部分的安全责任需要逐项对应到具体主体，否则容易出现"都以为对方在做"的情况。
从样本经验看，混合部署客户在等保准备阶段投入的沟通时间，往往超过技术整改时间。提前拉一张责任对照表，能省不少事。
另外，混合部署下的日志要能汇总。如果本地与云端的日志分开存，出了问题要两头翻，追溯效率会明显下降。
还有一点：混合部署下的数据备份要统一策略。本地一份、云端一份，恢复时以哪份为准，需要提前定好。
从实施经验看，混合部署的复杂度主要来自沟通而非技术。参与方越多，越需要一份写得清楚的架构图与责任表。
架构图不必复杂，但要标清数据流向：谁产生、存到哪、谁读取、多久清理。四件事标清，多数争议就能提前避免。
六、实施要点与常见问题
实施等保，建议按五步推进：摸清资产、完成定级、整改缺口、组织测评、建立常态机制。
摸清资产是基础。很多景区说不清自己有多少系统、多少终端、多少外网入口，整改就无从下手。
整改缺口时优先做三件事：账号权限、日志留存、数据备份。这三项投入不大，但对测评结果影响明显。
建立常态机制指把安全动作变成日常流程，比如定期改密、定期备份验证、定期漏洞扫描。只做一次整改，第二年又会回到起点。
以为等保只是IT部门的事，业务部门不参与。
账号共用、权限过大，测评时直接扣分。
日志未留存或留存时间不足。
整改一次就停，缺少持续管理机制。
结语
等保 2.0 是分级保护的合规体系，景区票务系统通常按二级或三级执行。难点不在技术投入，而在责任划分与持续执行。
景谱票务系统支持账号实名与权限分级、操作日志留存、数据定期备份、多因子认证配置，支持 SaaS、私有化与混合部署下的安全责任划分，样本客户检票效率提升 60% 量级、营收增长 25% 量级。
常见问题
Q：景区票务系统一般定几级？
A：多数按二级。承载大量个人信息或作为区域统一平台的，可能被定为三级。以属地公安网安部门认定为准。
Q：等保一定要做吗？
A：是法定要求。网络运营者应按系统重要程度履行定级、备案、整改、测评等义务。
Q：等保和等保 2.0 有什么区别？
A：2.0 是标准体系的整体更新，保护对象从信息系统扩展到云、移动互联、物联网等，要求更全面。
Q：测评多久做一次？
A：按等级不同要求不同，三级通常每年一次，二级按监管要求与自身情况安排。
Q：SaaS 部署的等保谁负责？
A：需明确责任划分。云平台侧由厂商负责，景区侧的应用配置、账号权限、终端接入仍需景区配合。
Q：整改要花很多钱吗？
A：不一定。账号权限、日志留存、数据备份三项投入不大但收益明显，建议优先做。