第二章 网络安全等级保护发展历程

系列名称： 网络安全等级保护初级测评师学习指南（2026版）

本章关键词：

等级保护 等保2.0 网络安全法 GB/T22239 GB/T28448

📚 本章目标

学习完本章以后，你应该能够回答下面几个问题：

什么是等级保护？

为什么我国要实行等级保护制度？

等保1.0 和等保2.0 有什么区别？

为什么 GB/T 22239 与 GB/T 28448 如此重要？

等级保护在整个网络安全体系中处于什么位置？

📖 为什么学习这一章？

很多刚接触等级保护的人，第一反应都是：

"是不是把 GB/T 22239 背下来就可以了？"

答案是否定的。

学习等级保护之前，我们首先要理解：

为什么会有等级保护制度？

如果不知道制度建立的背景，那么学习后面的标准时，很容易陷入"只会背，不会理解"的状态。

因此，本章的目标不是记忆标准，而是建立整个知识体系。

📑 本章知识导图

mindmap

root((网络安全等级保护))

为什么提出

发展历程

等保1.0

等保2.0

国家法律

国家标准

GB/T22239

GB/T28448

等级测评

持续整改

一、什么是网络安全等级保护？

网络安全等级保护（简称"等保"）是我国网络安全工作的基础性制度。

它的核心思想可以概括为一句话：

根据网络（信息系统）的重要程度，确定安全保护等级，并按照相应等级建设安全防护能力，再通过测评验证是否满足要求。

简单来说，就是：

flowchart LR

A[确定等级]

-->

B[安全建设]

-->

C[等级测评]

-->

D[发现问题]

-->

E[整改提升]

-->

F[持续运行]

可以发现：

等级保护并不是一次性的工作，而是一个持续改进的过程。

二、为什么需要等级保护？

假设有两个系统：

① 公司官网

② 银行核心业务系统

如果它们采用完全相同的安全措施，显然是不合理的。

原因在于：

不同系统的重要程度不同，一旦发生安全事件，造成的影响也不同。

因此：

系统越重要，

安全要求越严格，

安全投入也越高。

等级保护制度正是基于这一思想建立起来的。

三、等级保护的发展历程

我国等级保护制度经历了不断完善的发展过程。

timeline

title 网络安全等级保护发展

2007 ： 等保1.0实施

2017 ： 网络安全法正式施行

2019 ： 等保2.0国家标准发布

2021 ： 数据安全法实施

2021 ： 个人信息保护法实施

随着云计算、大数据、物联网等技术的发展，传统等级保护体系已经不能完全满足新的安全需求。

因此，等保2.0应运而生。

四、什么是等保2.0？

很多人认为：

"等保2.0 就是一部新的标准。"

实际上并不是。

"等保2.0"通常是对一系列新版国家标准及配套要求的统称，它适应了云计算、移动互联网、大数据、工业控制系统、物联网等新技术环境下的安全需求。

相比早期体系，它更加关注：

云计算安全

大数据安全

移动互联安全

工业控制安全

物联网安全

因此，目前绝大多数等级保护建设和测评工作，都围绕等保2.0相关标准开展。

五、整个等级保护体系是什么样的？

可以把整个体系理解为下面这张图。

flowchart TD

A[法律法规]

-->

B[等级保护制度]

-->

C[国家标准]

-->

D[安全建设]

-->

E[等级测评]

-->

F[整改完善]

其中：

国家标准就是我们后面重点学习的内容。

六、本书重点学习哪些标准？

整个初级测评师考试主要围绕两份国家标准展开。

GB/T 22239-2019

主要回答：

系统应该满足哪些安全要求？

例如：

身份鉴别

访问控制

安全审计

入侵防范

数据保护

它关注的是：

如何建设。

GB/T 28448-2019

主要回答：

如何验证系统是否满足安全要求？

例如：

如何制定测评方案

如何开展现场测评

如何收集测评证据

如何分析风险

如何编写测评报告

它关注的是：

如何测评。

七、两份标准之间的关系

很多考生容易混淆。

实际上，它们之间可以理解为：

flowchart LR

A[GB/T22239]

-->

B[提出安全要求]

-->

C[系统建设]

-->

D[GB/T28448]

-->

E[开展测评]

-->

F[整改优化]

一句话总结：

GB/T 22239 告诉我们"应该做什么"，GB/T 28448 告诉我们"如何检查是否做到"。

💼 测评实践

假设今天需要测评某医院信息系统。

测评人员通常不会直接问：

"你符合 GB/T 22239 吗？"

而是会依据测评方案，通过查看配置、查阅文档、访谈人员、验证安全措施等方式，判断系统是否满足相关安全要求。

这就是为什么理解标准与理解测评流程同样重要。

🧪 软件测试视角

对于软件测试工程师来说，学习等级保护不仅仅是为了考试。

例如：

登录失败锁定账户；

密码复杂度要求；

操作日志记录；

权限分级管理；

数据备份恢复；

这些都可能成为测试用例的一部分。

理解等级保护，有助于从"功能测试"扩展到"安全要求验证"。

⭐ 考试重点

★★★★★

必须掌握：

等级保护制度的核心思想

等保2.0的背景

GB/T 22239 与 GB/T 28448 的定位

两份标准之间的关系

⚠ 易错点

❌ 误区一：

认为等级保护就是一部标准。

✔ 正确理解：

等级保护是一项制度，由法律法规、国家标准、测评流程等共同组成。

❌ 误区二：

认为等保测评就是漏洞扫描。

✔ 正确理解：

漏洞扫描只是测评工作的一部分，还包括配置检查、文档审查、人员访谈、证据收集等内容。

🤖 AI 学习助手

可以将下面的 Prompt 输入 ChatGPT、Claude 或 DeepSeek：

请以初学者能够理解的方式，解释我国网络安全等级保护制度的发展历程，并总结：

1. 为什么需要等级保护；

2. 等保2.0的特点；

3. GB/T 22239 与 GB/T 28448 的区别；

4. 用 Mermaid 绘制知识导图；

5. 输出 10 道模拟选择题及答案。

📝 本章练习

什么是网络安全等级保护制度？

为什么不同系统需要不同等级保护等级？

等保2.0主要适应了哪些新技术场景？

GB/T 22239 与 GB/T 28448 分别解决什么问题？

为什么等级保护不是一次性工作？

📚 本章总结

本章建立了整个等级保护体系的整体认知。

你应该能够理解：

等级保护是什么；

为什么需要等级保护；

等保2.0的发展背景；

GB/T 22239 与 GB/T 28448 的作用；

两份标准之间的关系。

后续章节将在这一框架基础上，逐步学习网络安全基础知识以及等级保护标准中的具体控制要求。

➡ 下一章

第三章：《网络安全法律法规体系——网络安全法、数据安全法与个人信息保护法》

下一章，我们将了解等级保护制度背后的法律基础，以及这些法律与等级保护之间的关系，为学习标准建立更加完整的知识框架。