等保测评没通过，IT 负责人拿着报告看到"网络安全"一栏的失分项时，第一反应通常是："防火墙买了呀，怎么还不合规？"
问题在于，等保 2.0 对网络层的要求不是"有没有设备"，而是"能力是否形成体系、日志是否完整、策略是否可审计"。下面
按三级等保的控制项逐一拆解。
一、通信传输安全
等保要求 | 组网落地方案 | 常见失分点 |
通信数据完整性/保密性 | 站点间传输国密加密（SM3/SM4）+加密隧道 | 用了加密但算法不合规（如仅用国际算法且未备案场景） |
密钥管理 | 密钥集中管理+定期自动轮换 | 密钥长期不换、各站点人工分散管理 |
二、区域边界安全
等保要求 | 组网落地方案 | 常见失分点 |
边界防护 | 各节点部署下一代防火墙（NGFW），应用识别+访问控制 | 只有总部有防火墙，分支"裸奔"直连 |
入侵防范 | IPS 入侵防御，特征库持续更新 | IPS 装了但特征库三年没更新 |
恶意代码防范 | 网关层防病毒+Web过滤 | 只靠终端杀毒，网关层无过滤 |
高频失分场景：多分支企业的分支节点没有任何边界防护，流量直接进出。测评时分支被判定为"无边界防护能力"，一票否
决式的失分。
三、访问控制与身份鉴别
等保要求 | 组网落地方案 | 常见失分点 |
身份鉴别 | 多因素认证（账号+设备/动态口令） | 仅账号密码单因素 |
访问控制 | 按角色最小权限、按应用授权 | 权限按网段粗放划分，人人可访核心服务器 |
远程接入安全 | 零信任接入，持续验证 | 远程 VPN 无审计、账号多人共用 |
四、安全审计（最容易被忽视的一项）
等保要求 | 组网落地方案 | 常见失分点 |
网络行为审计 | 全网点到点流量日志、访问记录留存≥6个月 | 日志只存在设备本地，设备故障即丢失 |
审计记录保护 | 日志集中存储+防篡改 | 日志可被管理员随意删除 |
定期审计分析 | 月度安全报表+异常行为告警 | 日志存了但从没人看过 |
五、组网服务商能帮上什么
企业做等保整改时，网络层的整改往往涉及"换设备、改架构、补日志"三类动作。一个合规的 SD-WAN 组网方案可以一次性
覆盖大部分控制点：
l 传输层：站点间国密加密+密钥集中轮换——覆盖通信传输项；
l 边界层：每节点 CPE 内置 NGFW+IPS——覆盖边界防护项；
l 访问层：零信任接入+应用级授权——覆盖访问控制项；
l 审计层：管控平台集中日志存储+自动报表——覆盖安全审计项。
云杰通信的组网方案按等保 2.0 三级要求预置合规模板，与飞塔、华为安全体系深度集成，可为企业提供"测评失分项→网络整
改方案"的对照评估。
