等保二级自查评分

按六个方面逐项勾选落实情况，自动算出自查得分并列出未落实项，用于快速定位合规短板。

共 36 项检查要点，按六个方面组织。每项选择实际落实情况，页面底部会给出自查得分与薄弱环节提示。

本表用于内部自查定位短板，不是测评机构的正式结论。实际定级与测评结论以备案地和测评机构意见为准。

检查项	自查结论
机房出入口有专人值守或门禁记录机房应设置门禁，出入有记录，非授权人员不得进入
机房门窗有防盗与防破坏措施门窗加固，有防盗报警或监控
机房有温湿度控制设施配备空调，温湿度在设备允许范围
机房有防水防潮措施无水管穿过机房顶部，有漏水检测
机房配备灭火设备有气体灭火或适用的灭火器材，在有效期内
机房供电有冗余配备 UPS，关键设备双路供电
机房有防雷接地有防雷装置和接地系统
通信线缆敷设于隐蔽处线缆走线槽或地板下，不易被破坏

检查项	自查结论
网络区域划分合理按业务重要性划分安全区域，区域间有访问控制
关键网络设备有冗余核心交换、路由设备有备份或冗余配置
通信传输采用加密管理数据与业务数据传输使用加密通道
带宽满足业务高峰需求有带宽监控，高峰时段不出现明显拥塞

检查项	自查结论
边界部署访问控制设备在互联网边界部署防火墙，策略按最小必要配置
外部攻击有检测与阻断部署入侵防御或 WAF，规则库保持更新
非授权设备接入有控制对内网接入设备有准入控制或登记管理
边界访问日志留存不少于六个月按网络安全法要求留存网络日志
无线网络有接入认证无线接入需认证，访客网络与内网隔离

检查项	自查结论
身份鉴别采用两种以上组合重要系统采用口令加动态口令或数字证书等方式
口令有复杂度与更换要求有口令策略，长度、复杂度、更换周期有规定
登录失败有处理机制连续失败锁定或延迟，有告警
访问控制按最小权限配置账户权限按岗位分配，定期复核
重要数据存储加密敏感数据加密存储，密钥单独管理
系统有恶意代码防范服务器安装防病毒或部署主机防护
漏洞与补丁及时修复有漏洞扫描机制，高危漏洞在规定时限内修复
数据备份与恢复重要数据定期备份，有恢复演练记录
剩余信息保护设备回收或维修前清除存储数据
个人信息保护收集使用个人信息有告知同意，展示脱敏

二级与三级的差别在哪

二级和三级不是简单的项目数量差别，而是防护思路的差别。二级以「自主防护、自主管理」为基本要求，强调边界防护和基础管理制度的建立；三级在此基础上增加了集中管控、强制访问控制、更严格的审计留存和入侵防范要求，并且要求对关键操作做双人复核。

落到具体建设上，二级通常需要边界防火墙、入侵防御、日志审计、终端防护和基本的管理制度；三级往往还要加上堡垒机、数据库审计、漏洞扫描、集中管控平台，以及对密码技术应用的合规要求。

自查的价值在于定位差距，不在于算出一个分数。建议按这个顺序处理：先把「未落实」且属于基本要求的项补上，比如日志留存、访问控制、备份恢复，这几项在测评中权重高且整改成本可控；再处理「部分落实」的项，通常是制度有了但没执行记录，补齐记录比新增设备更省事；最后才考虑需要采购设备才能解决的项。

如果自查发现差距较多，建议先做一次差距分析，把整改拆成「立即可改」「需要预算」「需要流程调整」三类，再排优先级。一次性全面整改往往推不动。

自查得分多少算通过？▼

没有统一分数线。等保测评是符合性判断，不是打分制，每一项都要看是否符合要求。本工具的百分比只是帮助判断整体差距，90 分以上说明基础条件基本具备，但仍可能因为某一关键项不符合而不通过。

二级一定要做等保测评吗？▼

二级系统按要求应定期开展测评，具体周期由行业主管部门和备案地要求确定，常见做法是每两年一次。涉及公共服务、民生类的系统要求更严。建议以备案时的告知为准。

不适用项该怎么处理？▼

选择「不适用」即可，不计入分母。但要注意，不适用需要有合理理由，比如系统不涉及无线网络，则无线接入认证项可以不适用。测评时可能会被要求说明理由。

自查发现差距大，先补哪些？▼

先补日志留存不少于六个月、访问控制最小权限、数据备份恢复、口令策略这四类。这几项权重高、整改成本相对低，且多数不需要采购新设备。需要采购的项放在后面统一规划。

云上系统还需要自查物理环境吗？▼

物理环境责任由云服务商承担，租户侧通常选择不适用。但要在制度中明确责任边界，并保留云服务商的安全资质和测评报告作为依据。