第二章 网络安全等级保护发展历程
系列名称： 网络安全等级保护初级测评师学习指南（2026版）
本章关键词：
等级保护等保2.0网络安全法GB/T22239GB/T28448
📚 本章目标
学习完本章以后，你应该能够回答下面几个问题：
- 什么是等级保护？
- 为什么我国要实行等级保护制度？
- 等保1.0 和等保2.0 有什么区别？
- 为什么 GB/T 22239 与 GB/T 28448 如此重要？
- 等级保护在整个网络安全体系中处于什么位置？
📖 为什么学习这一章？
很多刚接触等级保护的人，第一反应都是：
"是不是把 GB/T 22239 背下来就可以了？"
答案是否定的。
学习等级保护之前，我们首先要理解：
为什么会有等级保护制度？
如果不知道制度建立的背景，那么学习后面的标准时，很容易陷入"只会背，不会理解"的状态。
因此，本章的目标不是记忆标准，而是建立整个知识体系。
📑 本章知识导图
一、什么是网络安全等级保护？
网络安全等级保护（简称"等保"）是我国网络安全工作的基础性制度。
它的核心思想可以概括为一句话：
根据网络（信息系统）的重要程度，确定安全保护等级，并按照相应等级建设安全防护能力，再通过测评验证是否满足要求。
简单来说，就是：
可以发现：
等级保护并不是一次性的工作，而是一个持续改进的过程。
二、为什么需要等级保护？
假设有两个系统：
① 公司官网
② 银行核心业务系统
如果它们采用完全相同的安全措施，显然是不合理的。
原因在于：
不同系统的重要程度不同，一旦发生安全事件，造成的影响也不同。
因此：
系统越重要，
安全要求越严格，
安全投入也越高。
等级保护制度正是基于这一思想建立起来的。
三、等级保护的发展历程
我国等级保护制度经历了不断完善的发展过程。
随着云计算、大数据、物联网等技术的发展，传统等级保护体系已经不能完全满足新的安全需求。
因此，等保2.0应运而生。
四、什么是等保2.0？
很多人认为：
"等保2.0 就是一部新的标准。"
实际上并不是。
"等保2.0"通常是对一系列新版国家标准及配套要求的统称，它适应了云计算、移动互联网、大数据、工业控制系统、物联网等新技术环境下的安全需求。
相比早期体系，它更加关注：
- 云计算安全
- 大数据安全
- 移动互联安全
- 工业控制安全
- 物联网安全
因此，目前绝大多数等级保护建设和测评工作，都围绕等保2.0相关标准开展。
五、整个等级保护体系是什么样的？
可以把整个体系理解为下面这张图。
其中：
国家标准就是我们后面重点学习的内容。
六、本书重点学习哪些标准？
整个初级测评师考试主要围绕两份国家标准展开。
GB/T 22239-2019
主要回答：
系统应该满足哪些安全要求？
例如：
- 身份鉴别
- 访问控制
- 安全审计
- 入侵防范
- 数据保护
它关注的是：
如何建设。
GB/T 28448-2019
主要回答：
如何验证系统是否满足安全要求？
例如：
- 如何制定测评方案
- 如何开展现场测评
- 如何收集测评证据
- 如何分析风险
- 如何编写测评报告
它关注的是：
如何测评。
七、两份标准之间的关系
很多考生容易混淆。
实际上，它们之间可以理解为：
一句话总结：
GB/T 22239 告诉我们"应该做什么"，GB/T 28448 告诉我们"如何检查是否做到"。
💼 测评实践
假设今天需要测评某医院信息系统。
测评人员通常不会直接问：
"你符合 GB/T 22239 吗？"
而是会依据测评方案，通过查看配置、查阅文档、访谈人员、验证安全措施等方式，判断系统是否满足相关安全要求。
这就是为什么理解标准与理解测评流程同样重要。
🧪 软件测试视角
对于软件测试工程师来说，学习等级保护不仅仅是为了考试。
例如：
- 登录失败锁定账户；
- 密码复杂度要求；
- 操作日志记录；
- 权限分级管理；
- 数据备份恢复；
这些都可能成为测试用例的一部分。
理解等级保护，有助于从"功能测试"扩展到"安全要求验证"。
⭐ 考试重点
★★★★★
必须掌握：
- 等级保护制度的核心思想
- 等保2.0的背景
- GB/T 22239 与 GB/T 28448 的定位
- 两份标准之间的关系
⚠ 易错点
❌ 误区一：
认为等级保护就是一部标准。
✔ 正确理解：
等级保护是一项制度，由法律法规、国家标准、测评流程等共同组成。
❌ 误区二：
认为等保测评就是漏洞扫描。
✔ 正确理解：
漏洞扫描只是测评工作的一部分，还包括配置检查、文档审查、人员访谈、证据收集等内容。
🤖 AI 学习助手
可以将下面的 Prompt 输入 ChatGPT、Claude 或 DeepSeek：
请以初学者能够理解的方式，解释我国网络安全等级保护制度的发展历程，并总结：1. 为什么需要等级保护；
2. 等保2.0的特点；
3. GB/T 22239 与 GB/T 28448 的区别；
4. 用 Mermaid 绘制知识导图；
5. 输出 10 道模拟选择题及答案。
📝 本章练习
-
什么是网络安全等级保护制度？
-
为什么不同系统需要不同等级保护等级？
-
等保2.0主要适应了哪些新技术场景？
-
GB/T 22239 与 GB/T 28448 分别解决什么问题？
-
为什么等级保护不是一次性工作？
📚 本章总结
本章建立了整个等级保护体系的整体认知。
你应该能够理解：
- 等级保护是什么；
- 为什么需要等级保护；
- 等保2.0的发展背景；
- GB/T 22239 与 GB/T 28448 的作用；
- 两份标准之间的关系。
后续章节将在这一框架基础上，逐步学习网络安全基础知识以及等级保护标准中的具体控制要求。
➡ 下一章
第三章：《网络安全法律法规体系——网络安全法、数据安全法与个人信息保护法》
下一章，我们将了解等级保护制度背后的法律基础，以及这些法律与等级保护之间的关系，为学习标准建立更加完整的知识框架。