很多做安防、弱电工程的朋友第一次被甲方问「你们这个系统过等保了吗」，才发现等级保护已经成了项目验收和招投标里的硬门槛。这篇把等保 2.0 之下，一套安防/弱电系统从定级、备案、建设整改到测评的完整流程讲清楚：每一步找谁、交什么、踩什么坑，都是工程现场里反复被问的问题。

一、什么是网络安全等级保护

等级保护（业内俗称「等保」）是我国网络安全的基本制度：把信息系统按重要程度和受破坏后的危害程度分为一至五级，级别越高，安全要求越严、监管越细。等保 2.0 以 GB/T 22239-2019《网络安全等级保护基本要求》为核心标准，配套 GB/T 28448-2019《测评要求》等一整套国标。

安防和弱电系统为什么会被拉去测评？因为视频监控系统、门禁与出入口控制系统、楼宇自控、机房动环等，一方面承载大量视频与人员活动数据（个人信息密集），另一方面往往接入互联网或与业务系统互联，一旦被入侵，轻则隐私泄露，重则影响公共安全。越来越多的行业主管部门和甲方，把等保备案证明与测评报告写进了招标条件。

二、定级：五级怎么分，安防系统常落在哪一级

定级看两个要素：受侵害的客体（公民法人权益、社会秩序公共利益、国家安全）和侵害程度（一般损害、严重损害、特别严重损害）。组合起来是五级，绝大多数民用和行业系统落在二、三级。

经验参考：企业自建的视频监控、门禁系统多定二级；系统规模大、服务公共区域、承载敏感数据或行业主管部门有明确要求的（如交通枢纽、金融、医疗类项目）可能定到三级。定级不是拍脑袋，要出定级报告，必要时组织专家评审，最终以属地公安机关网安部门认可为准。

三、备案：找谁、交什么、多久办完

第二级以上系统要到属地设区的市级以上公安机关网安部门办理备案。依据《信息安全等级保护管理办法》（公通字〔2007〕43 号）：已运行的二级以上系统应在定级后 30 日内备案；新建系统应在投入运行后 30 日内备案。

常规材料清单：

• 网络安全等级保护备案表（一式两份，系统基本信息、拓扑、安全管理制度等）
• 定级报告与定级评审意见
• 系统安全保护总体设计方案或安全建设说明
• 营业执照、经办人身份证明等主体材料（各地要求略有差异）

材料齐全、审核通过后拿到备案证明。这纸证明是招投标和验收时最常被查验的文件，务必与实际系统信息保持一致——系统架构大改后要办理变更。

四、建设整改：GB/T 22239 的「一个中心、三重防护」

备案只是入场券，测评前通常要做一轮建设整改。等保 2.0 的技术框架可以概括为「一个中心、三重防护」：以安全管理中心为核心，实现安全通信网络、安全区域边界、安全计算环境的防护。对弱电和安防从业者，最常被开整改项的是下面这些：

一个实务提醒：安防设备本身是整改盲区。大量摄像机、NVR 出厂口令不改、固件多年不升，测评时几乎必被扫到。把设备口令治理和固件基线做进维保合同，是省心也省钱的做法（延伸阅读见文末维保专题）。

五、测评怎么做：流程、结论与分数线

测评由具备资质的等级保护测评机构执行，依据 GB/T 28448-2019。流程大致是：签合同与准备 → 现场访谈、核查、技术测试（漏洞扫描、渗透测试、配置核查）→ 出具测评报告。结论分四档，按现行测评报告模板的通行口径：

注意「中」这个档：它不等于通过。多数甲方和行业主管只认「良」以上，且不能存在高风险项——哪怕总分不低，只要命中高风险判据（如关键系统弱口令、日志未留存），结论就上不去。因此整改要以「高风险项清零」为第一目标，而不是刷分。

六、周期与费用逻辑

周期口径：通行的合规口径是第三级系统每年至少开展一次测评；二级系统的测评周期以属地公安网安部门和行业主管部门要求为准。系统发生重大变更（架构、部署、数据处理方式）时，应重新定级或及时复测。

费用一般由三块构成：测评服务费（与系统数量、等级、测评机构报价相关）、整改建设费（差距大小决定，弹性最大）、年度复测费。工程侧能控制的变量是整改这块——如果把安全要求前置到设计与施工阶段（隔离、准入、日志、口令基线一次做对），整改费可以压缩一个量级，这也是等保工作越早介入越省钱的根本原因。具体报价以测评机构与整改方案为准，文中不给虚数。

七、常见踩坑清单

• 定级过低：为了少花钱把该定三级的定成二级，后期被行业检查推翻，整改+重新备案+重测，三倍成本。
• 先建设后补等保：系统上线才想起等保，网络架构不支持隔离和审计，只能大改。
• 只管平台不管末端：平台和服务器做得很规范，摄像机、门禁一体机全出厂口令。
• 备案信息与实际不符：系统扩容、迁移后没办变更，验收时对不上。
• 报告当终点：测评完文档归档就再没人管，下一年复测漏洞清单原样复现。

八、全流程时间线（参考）

以上耗时为工程实践中常见的量级参考，具体以测评机构排期和属地网安部门流程为准。

常见问答

Q1：多大的系统才需要做等保？

等级保护不看「大小」，看定级。只要属于第二级以上就要备案，达到三级的每年要测评。很多甲方以为「就几十个摄像头不用做」，实际上只要系统承载了视频与人员数据并接入网络，定级备案的义务就存在，建议先做一次定级评估再决定投入。

Q2：等保测评和密评是一回事吗？

不是。等保测评依据 GB/T 28448，覆盖网络安全整体；密评（商用密码应用安全性评估）依据密码应用相关国标，聚焦密码技术使用的合规与有效性。部分行业两者都要求，测评机构通常会说明能否一并开展。

Q3：摄像头也要改口令、升固件吗？测评会查吗？

会。摄像机、NVR、门禁一体机属于「安全计算环境」层面的核查对象，出厂默认口令和老旧固件是测评中最常见的高风险命中项。把设备口令基线与固件升级纳入日常维保，是成本最低的过测方式。

Q4：测评不通过（差）会怎样？

结论为「差」意味着存在高风险项，需按报告整改并复测，期间系统在行业检查和招投标中会被认定为不合规。整改重点是先清零高风险项，再处理中低风险项拉分。

Q5：新建项目怎么把等保成本做低？

三件事做在前面：网络分区（监控网/办公网/互联网出口）在设计阶段定好；核心设备选型带安全功能（准入、审计、双因素）；日志与口令策略写入施工与维保合同。前期多花的设计时间，能省掉上线后 1–3 个月的整改施工。

小结：等保不是「买份报告」，而是一套可运营的安全基线。对安防与弱电工程方，最划算的做法是把等保要求前置到方案设计里，把设备口令与固件治理放进维保里。需要机房、监控或门禁系统的等保合规改造与维保支持，可联系波菲凯迪：010-60777639。

相关阅读：机房建设怎么做：从选址到验收的关键环节｜监控系统故障排查手册：20 类常见故障处置｜安防维保服务怎么做