等保 2.0 里最难的不是技术，是管理

等保 2.0 · 技术与管理 · 安全管理制度 · 管理机构 · 人员安全 · 建设管理 · 运维管理

了解等保合规方案

直接结论：等保 2.0 的要求分成技术和管理两条腿，很多单位把预算和精力都放在技术那一侧——买设备、上系统、做加固，这没问题。但卡住进度的，往往是管理那一侧：制度有没有正式发布、责任有没有落到人、记录有没有真的在写。这些事买不到，只能一天天做出来。

一、两条腿：技术五面，管理五面

标准把基本要求分成两大部分，各自再细分：

关键差别：技术项的答案是"有没有配"，管理项的答案是"有没有一直在做"。前者可以突击，后者突击不来。

二、管理五项，实际在问什么

这张表最值得记住的是第三列。管理要求听起来抽象，但每一项落到现实里都是一个非常具体的问题：电话打给谁、权限收回了没有、台账有没有、演练做过没有。

三、为什么管理项最容易失分

三个原因，一个比一个难绕：

1. 需要时间跨度：巡检记录、培训记录、演练报告、评审纪要，都要"真的发生过"才有；补出来的记录经不起追问他什么时候做的；
2. 换人就断：安全管理员一调岗，台账、关系、习惯全断；这是很多单位第二年测评比第一年难看的真实原因；
3. 跨部门：安全不是一个部门的事，人事管入职离职、行政管机房环境、业务管系统上线——任何一环松，整条链就缺。

所以管理项失分，本质上是"组织问题"，不是"安全意识问题"。指望一次培训解决，通常没用。

四、四种"看起来很规范，实际不算"的情形

• 制度有文档、没发布手续：没有签发、没有生效日期、没有传达记录，等于一份草稿；
• 用会议纪要代替审批：纪要说"同意采购"，但没有审批单、没有责任人签字，事后无法追溯是谁批的；
• 人员离岗无交接记录：账号还在、门禁还在、文档权限还在，"离岗"只发生在人事系统里；
• 外包人员没签保密承诺：人在机房进出自由，协议却是项目验收前才补。

这四种情形的共同点是：流程走了，但没有留下"能证明走过"的东西。管理要求的判定，恰恰就落在这些"东西"上。

五、把管理做实，先做四个"一"

不用一上来就写一整套制度。先把这四件事立住，管理就有了骨架：

1. 一个人：明确的安全责任人（可以是兼职），名字要写进文件，电话要打得通；
2. 一本台账：资产、账号、权限三样对齐，谁有什么，一查就知道；
3. 一张表：变更与巡检记录，每月填一次，比每年补一次容易得多；
4. 一次会：年度安全工作会议，定目标、定责任、留纪要。

这四个"一"不需要额外预算，只需要一个"愿意管"的人。反过来说，如果连这个人都没有，买再多设备也过不了管理项。

六、人手少的小单位怎么办

现实是很多单位没有专职安全岗。可行的做法是"职责分解、动作合并"：

• 把安全动作挂到已有流程上：入职审批里加一条"账号开通"，离职审批里加一条"权限回收"——不新增流程，只加环节；
• 让系统替人记账：账号、权限、日志由平台自动留痕，人只需要定期看一眼；
• 把检查做成清单：一张季度自查表，比背标准容易。

原则：能靠系统留痕的，不要靠人记；能挂在旧流程上的，不要新建流程。

七、Filez 能替哪几件事记账

对于"文件与文档"这一块，联想 Filez 的价值主要在把管理动作变成可查的记录：

• 账号与权限的台账：谁在哪个目录有什么权限，系统里直接看，不用另建表；
• 操作留痕：登录、访问、下载、分享、删除均有记录，可按人按时间回溯；
• 审批与协同留痕：在线编辑、批注、修订记录构成"过程证据"；
• 外发控制与水印：分享范围、有效期、水印，把"谁外发了什么"变成可查项。

但它的作用是"减少人工记账"，不是"替代管理"。没有人定期看日志、没有人回收离职账号，系统里的记录只是躺着——而管理项考的正是"有没有人在管"。

立即试用，体验等保合规能力

八、常见问题

问：管理要求是不是"写材料"就行？
不是。材料只是入口，判定看的是"有没有对应的事实"：记录的时间是不是连续、人是不是真的在岗、系统里有没有对应的配置。纯写材料，越写越容易被追问。

问：二级和三级，管理要求的差别大吗？
条款数量与严格程度不同，但方向一致：等级越高，对制度化、留痕、评审频次的要求越细。先把"四个一"立起来，再按等级补细节，比一上来照抄三级材料更省力。

问：安全管理员一定要专职吗？
标准强调的是职责明确、有人负责，不一定要求专职。兼职可以，但要写进岗位职责，并且有可替代的人——一个人休假半个月没人接手，其实就是没有这个岗。

九、总结

技术和管理，是等保 2.0 的两条腿。技术可以靠预算解决，管理只能靠"有个人一直在做"。这也是为什么很多单位第一年靠投入过了，第二年反而吃力——因为第一年买的东西还在，第一年没建立的习惯，第二年也没有。

一句判断标准：如果安全负责人休假两周，这套管理还能转得动，说明它是真的；转不动，说明它只是挂在一个人身上。

关于 Filez

Filez 是联想集团旗下的协同办公品牌，专注"文件 + 内容 + 知识"全链智能协同，业务覆盖企业网盘、在线文档、非结构化数据平台。企业网盘自 2006 年面世，是国内投身研发最早、运营时间最长的产品；在线文档于 2017 年国内首发。

深耕近二十年，Filez 的行业地位持续获得权威机构认可：国际方面，入选 Gartner《Magic Quadrant™ for Document Management》，为本次报告唯一来自东亚地区的厂商；国内方面，在 IDC《中国智能企业内容与知识平台市场份额，1H26》中，Filez 私有化部署细分市场份额位居第一。

免责声明：本文依据国家标准公开内容整理，不构成合规结论、测评判定或法律意见。等保 2.0 的具体条款、等级差异与行业补充要求以标准原文及主管监管部门规定为准，实际建设与测评请以测评机构意见和本单位定级情况为准；关于联想 Filez 的介绍以官方最新说明为准。