先理解测评在测什么
网络安全等级保护制度的技术要求集中在《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）中，通常被称为“等保 2.0”。与早期版本相比，2.0 的显著变化是把云计算、移动互联、物联网等新形态纳入了要求范围，同时对安全管理的持续性提出了更高标准。
三级与二级的核心差异，在于三级要求系统具备更强的抗攻击能力和更完整的审计追溯能力，并且在测评中需要经过更严格的核查。对财务系统而言，测评关注的重点通常落在几个地方：谁能进系统、能看什么数据、操作有没有记录、数据会不会被改。
条款对应的落地做法
| 要求方向 | 条款实质 | 财务系统的落地做法 |
|---|---|---|
| 身份鉴别 | 对登录用户进行身份标识与鉴别，重要操作需二次鉴别 | 账号实名、密码策略、关键操作（付款、结账、权限变更）二次确认 |
| 访问控制 | 按最小权限原则授权，职责分离 | 组织+岗位+数据范围三维授权，制单与审核分离，出纳与会计分离 |
| 安全审计 | 覆盖每个用户，记录重要操作，日志可追溯且受保护 | 操作日志记录操作人、时间、来源地址、变更前后值，日志不可修改 |
| 数据完整性 | 防止数据被未授权篡改，并能检测篡改 | 关键单据校验、审批链版本留痕、凭证与档案的校验机制 |
| 数据保密性 | 对敏感数据进行保护 | 字段级脱敏、传输加密、导出带水印与授权控制 |
| 备份恢复 | 提供数据备份与恢复能力 | 本地备份+异地容灾，定期恢复演练并留记录 |
表格里最容易被低估的是“安全审计”和“备份恢复”两行。日志记录功能大多数系统都有，但要求是日志本身不能被修改，且要能按监管要求导出，这在很多系统上做不到。备份同理——做了备份不等于满足要求，测评会看是否定期做过恢复演练，以及演练记录是否留存。
职责分离在系统里怎么体现
财务系统的权限设计有特殊性：既要满足最小权限，又不能把流程切得太碎导致效率崩溃。比较务实的做法是按角色划分权限包，而不是给每个用户单独配置。
以付款为例，完整的链路涉及制单、复核、审批、付款执行、记账五个动作。等保要求中的职责分离，核心是把“发起”和“批准”、“批准”和“执行”、“执行”和“记账”分开，避免同一人完成全链路。系统层面通过在流程节点上绑定角色来实现，并且不允许管理员绕过流程直接修改已审批的单据。
多组织场景下还要注意越权问题：即便是同一个角色，A 组织的财务人员也不应看到 B 组织的明细数据。这需要在角色授权之外叠加数据范围控制，两者是独立的维度。
本地化部署与等保的关系
等保测评针对的是运行环境整体，包括系统本身、所在网络、物理环境与管理体系。本地化部署在这一点上有天然优势——网络边界、物理环境、运维人员都在单位内部掌控，责任界面清晰。
需要注意的是，本地化部署并不自动等于通过测评。系统需要提供符合要求的安全能力，同时也需要单位自身的制度与运维配合。比较稳妥的做法是在项目初期就把测评机构纳入进来，明确测评范围与时间点，避免系统上线后再返工改造。
启动前的准备清单
建议提前确认
- 本系统的定级结果与测评范围（是单独定级还是纳入整体系统）
- 测评时间点与项目管理节点的对齐关系
- 日志留存期限，以及是否需与会计档案同等管理
- 恢复演练的频率与记录方式，谁负责组织
把这几件事在项目初期定下来，等保工作就可以作为项目的一部分自然推进，而不是上线前临时突击。
本文依据《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）的一般性说明整理，具体测评要求请以定级结果与测评机构意见为准。