等保三级是什么？

等保三级是什么？

等保三级是网络安全等级保护制度（等保 2.0）中的第三个级别，

适用于一旦遭到破坏会对国家安全、社会秩序或公共利益造成严重损害的重要信息系统，金融、医疗、教育、政务等行业的核心业务系统一般定级为三级。

三级的强制性体现在：运营者需要完成定级、备案、安全建设整改、等级测评四个环节，且每年至少开展一次等级测评。

技术层面，三级测评覆盖安全物理环境、通信网络、区域边界、计算环境、管理中心五个方面，其中通信网络的完整性、保密性要求直接落到 HTTPS/TLS 加密与 SSL 证书部署上。本文梳理等保三级的定级依据、测评流程、与 SSL 证书相关的整改要点，以及不落实等保义务的后果，供相关系统负责人对照自查。

接到通知，说公司的业务系统要过等保三级，很多人第一反应是：等保是什么？要做什么？花多少钱？这些问题的答案，直接影响采购 SSL 证书、买安全设备时的预算和节奏。

等保三级的基本概念

网络安全等级保护制度（简称等保）是国家对网络和信息系统按重要程度分级管理的基本制度，依据《网络安全法》设立。系统按等级分为五级：一级最低，五级最高。绝大多数企业涉及的是二级和三级。

三级对应的定位是"重要系统"——一旦遭到破坏，会对国家安全、社会秩序或公共利益造成严重损害。典型的三级系统包括：地市级以上机关门户、金融核心业务、三甲医院信息系统、高校核心业务、大型企业 ERP 等。

判定一个系统要不要定三级，不取决于公司大小，取决于业务的重要性和影响范围。拿不准时可以咨询当地公安网安部门或测评机构。

定级、备案、测评的流程

等保三级的落地流程是四个环节，顺序不能乱：

1. 定级。按系统重要性确定等级，填写定级报告和备案表。
2. 备案。二级及以上系统需到当地公安机关网安部门备案，取得备案证明。
3. 安全建设整改。对照等保要求补安全措施，包括加密传输、访问控制、日志审计等。
4. 等级测评。由有资质的第三方测评机构开展，出具测评报告。三级系统每年至少测评一次，这是硬性要求。

测评不通过不直接处罚，但有整改要求；长期不整改或发生安全事件的，按《网络安全法》可处以罚款，情节严重的责令停业整顿。

三级测评主要查什么

等保 2.0 的三级要求（GB/T 22239-2019）分技术和管理两大块。技术层面五个方面：物理环境、通信网络、区域边界、计算环境、管理中心；管理层面五个方面：制度、机构、人员、建设、运维。

与 HTTPS 和证书直接相关的主要在三处：

• 通信网络的安全通信传输：要求保证通信过程完整性和保密性，落地方式就是全站启用 HTTPS/TLS 加密。
• 计算环境的身份鉴别：登录口令要有复杂度、失败锁定，重要系统鼓励采用密码技术（证书、国密算法）做身份鉴别。
• 数据保密性：传输和存储的数据要加密，传输加密同样是 HTTPS/TLS。

整改时常见的问题是：系统虽然配了 HTTPS，但部分页面、接口还在走 HTTP，或者证书用的自签名、浏览器报错。这类问题在测评中属于通信传输保密性不达标。整改可以按网站启用 HTTPS 的改造步骤逐项排查，自测时用HTTPS 配置检测工具确认全站没有明文链路。

SSL证书在等保三级里的角色

等保不强制指定某个 CA 品牌，也不强制要求公网证书，要求的是"采用密码技术保证传输保密性"，底层依赖的就是数字证书的加密原理。所以私有 CA 签发的内网证书、公网 DV 证书都能满足基本要求；政务和金融专网如果明确要求国密，需要单独部署国密算法证书。

选证书时要注意验证级别和系统敏感度匹配。登录、支付类页面建议 OV 或 EV，地址栏显示企业身份，测评时身份鉴别环节更有说服力；纯展示型页面 DV 就够。各验证级别的差异可以看OV、EV 证书的验证深度。

预算上，等保整改通常不止证书一项，还有防火墙、堡垒机、日志审计等设备和安全服务，证书只是其中一环。SSL 证书的采购成本可以单独核算，整体预算建议按整改清单逐项列。

常见问题解答

二级和三级有什么区别？

主要是测评频率和严格程度：三级每年至少测评一次，二级没有强制年度测评；三级的测评要求和整改范围也更广。备案方面，二级和三级都需要到公安机关备案。

等保三级一定要用国密证书吗？

不强制。等保要求的是采用密码技术，RSA 证书同样满足。国密证书主要用于有明确国密合规要求的政务、金融专网等场景。

测评不通过会怎么样？

测评机构出具符合性结论，不通过会列整改项，限期整改后复测。长期不落实等保义务且发生安全事件的，面临行政处罚。

个人网站需要过等保吗？

一般不需要。等保对象是重要信息系统和网络运营者，个人展示类网站风险等级低，通常定不到三级。

等保三级解决的是"重要系统该用什么强度的防护"的合规问题，传输加密是其中明确且高频的整改项：全站 HTTPS、证书信任链有效、敏感系统用高验证级别证书，这三件事做扎实，通信传输部分基本不丢分。测评通过与否不取决于证书品牌，取决于加密措施是否真实落地、可验证。把定级、备案、整改、测评四个环节按顺序走完，比事后补救成本低得多。