先明确：三级到底比二级多了什么
主要依据是 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，配套标准包括 GB/T 22240（定级指南）、GB/T 25058（实施指南）、GB/T 28448（测评要求）。三级并非"二级的加严版"，而是新增了几项二级没有的控制点。
| 控制域 | 二级 | 三级的主要增量 |
|---|---|---|
| 安全管理中心 | 不强制 | 强制要求集中管控：系统管理、审计管理、安全管理 |
| 身份鉴别 | 口令等一种或多种 | 应采用口令、密码技术、生物技术等两种或两种以上组合，且其中一种至少使用密码技术 |
| 安全审计 | 基本审计要求 | 覆盖到每个用户，记录重要用户行为与重要安全事件；审计记录防止被未预期删除、修改或覆盖 |
| 入侵防范 | 边界与主机基本要求 | 对重要网段与节点检测、对新型网络攻击行为检测、攻击行为记录与告警 |
| 剩余信息保护 | 无 | 鉴别信息、敏感数据所在存储空间在释放或重新分配前完全清除 |
| 个人信息保护 | 无 | 仅采集必要个人信息，禁止未授权访问和非法使用 |
上表为常见差异梳理，具体条款以标准原文及测评机构口径为准。
技术侧：六个高频不符合项
1. 安全审计覆盖不全
三级要求审计覆盖到每个用户、记录重要用户行为和重要安全事件，且审计记录要防止被未预期地删除、修改或覆盖。常见问题是只在应用层有日志，操作系统、数据库、网络设备日志没有集中留存，或者留存时长不足、无备份。
2. 身份鉴别没做到"两种技术组合"
管理后台和运维通道是最容易被抓的点。远程运维务必经过堡垒机并启用双因素认证，不要直接暴露 22 / 3389 端口；同时要保留登录失败处理与鉴别信息定期更换的配置证据。
3. 安全管理中心"形同虚设"
三级强制要求对分散设备做集中管理、对审计数据集中分析、对安全事件集中处置。只采购了工具但没有落地流程与责任人，是常见的判定不符合原因。
4. 入侵防范与恶意代码防范缺少"更新证据"
规则库 / 病毒库版本号、更新记录、告警处置闭环记录缺一不可。测评看的是证据链，不是"我们装了"。
5. 数据备份恢复没有恢复演练记录
要求定期备份并开展恢复演练。很多企业只能提供备份策略文档，拿不出最近一次的恢复演练记录与数据核对结论。
6. 剩余信息保护与个人信息保护被整块遗漏
设备报废、虚拟机释放、人员离职交接时，鉴别信息与敏感数据的清除动作要有可查记录；个人信息收集范围要与业务必要性对应，不能"顺手多收"。
管理侧：四类容易被忽略的要求
- 安全管理制度：不是"有文件"就够，要有发布、评审、修订记录，且制度内容与实际做法一致。制度里写了每季度演练、实际一次没做，反而成为扣分证据。
- 人员安全：录用背调、离职权限回收、安全培训与考核记录，尤其是运维与开发岗位。
- 系统建设管理：外包开发要签订安全协议、明确交付物，并在验收环节做安全确认；开发环境不得使用真实生产数据。
- 系统运维管理：变更管理记录、应急预案与演练记录、安全事件报告与处置记录、外包运维的审批与审计。
整改节奏：把测评周期和年度预算绑在一起
常规路径是"定级备案 → 差距分析 → 整改建设 → 等级测评 → 复测与持续改进"。三级系统通常需要每年至少开展一次等级测评，因此建议把测评与年度安全规划、年度预算绑定，而不是临近到期才启动。
首次测评若出现不符合项，需要整改后复测。实践建议至少预留 8-12 周整改窗口，涉及网络架构改造、堡垒机部署、日志平台建设或机房整改的项目，时间还要再放宽。先做差距分析再谈产品选型，比先买设备再补文档要省得多。
常见问题
Q：一定要买"等保一体机"吗？
A：不一定。等保是要求，不是产品清单。是否采购取决于差距分析结果，先用现有资源补齐管理侧的做法，往往能省下不少预算。
Q：云上的系统怎么定级？
A：云平台与云上业务系统分别定级，责任按"谁运营谁负责、谁使用谁负责"划分，云服务商承担平台侧责任，这些应在合同中明确。
Q：三级系统每年都要测评吗？
A：通常要求每年至少一次，具体以行业主管部门和属地监管要求为准。
Q：不做等保会有什么后果？
A：等级保护是《网络安全法》确立的法定制度。2026 年 1 月 1 日起施行的修正版《网络安全法》第二十三条仍要求网络运营者按等级保护制度履行安全保护义务，第六十一条相应规定：不履行义务的由有关主管部门责令改正、给予警告，可以并处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，并对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
结语
等保三级不是一次"过关考试"，而是一套需要长期运行的机制。把整改清单拆成可排期的任务、把证据链留在日常流程里，比测评前突击补材料轻松得多。
不确定自己的系统该定几级、差在哪？
我们可以先做一轮差距分析，输出可排期的整改清单，再决定投入顺序。