等保 2.0 与安全基线
GB/T 22239-2019 三级要求基线项自查：身份鉴别、访问控制、安全审计、入侵防范、数据备份恢复、剩余信息保护等控制点逐项对表，含达标状态、证据与责任人。本页是立项与验收的硬门槛。
基线控制点
20项
覆盖 5 个层面 · 三级要求
完全符合
14项
占比 70.0%
基本符合
0项
有补偿措施，需补齐制度文件
部分符合
0项
门店端双因素 / 导出文件回收
基线符合率
70%
加权口径：基本符合按 0.8 计
距等保测评
47天
计划 2025-12-08 现场测评
i本页口径：等保 2.0 三级基线要求由《GB/T 22239-2019》规定，本表只做自查映射，不作合规结论。"符合"= 已实现且有可出示的证据；"基本符合"= 已实现但制度文件或覆盖范围有缺口；"部分符合"= 关键场景未覆盖。最终达标结论以具备资质的测评机构出具的测评报告为准。
基线项自查表（GB/T 22239-2019 三级）
每一行都必须有可出示的证据，否则视为未达标| 层面 | 控制点 | 要求编号 | 基线要求 | 本项目实现方式 | 达标状态 | 证据 | 责任人 | 差距 / 风险 |
|---|---|---|---|---|---|---|---|---|
| 安全物理环境 | 物理位置选择 | 8.1.1.1 | 机房应选择在具有防震、防风和防雨等能力的建筑内 | 托管于通过等保三级测评的 IDC（杭州 · 阿里云金融云机房） | 符合 | IDC 等保三级备案证明（备案号 330100xxxxx） | IT 基础设施组 | — |
| 安全通信网络 | 网络架构 | 8.1.2.1 | 应划分不同网络区域，并按方便管理和控制的原则为各区域分配地址 | 生产 / 办公 / DMZ / 数据区四区隔离，VPC + 安全组策略 | 符合 | 网络拓扑图 v2.3 · 安全组策略导出 | IT 网络组 | — |
| 安全通信网络 | 通信传输 | 8.1.2.2 | 应采用密码技术保证通信过程中数据的完整性 | 全链路 HTTPS（TLS 1.3）+ 接口签名（HMAC-SHA256） | 符合 | SSL 证书列表 · 接口签名规范文档 | 后端研发组 | — |
| 安全区域边界 | 边界防护 | 8.1.3.1 | 应保证跨越边界的访问和数据流通过边界设备提供的受控接口通信 | WAF + 下一代防火墙，仅放行 443 与运维堡垒机通道 | 符合 | 防火墙策略清单 · WAF 拦截日志 | IT 网络组 | — |
| 安全区域边界 | 入侵防范 | 8.1.3.4 | 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为 | WAF 规则库 + IDS 主机入侵检测 + 每日漏洞扫描 | 基本符合 | 扫描报告（周报）· IDS 告警记录 | 安全组 | 高危漏洞修复 SLA 未写入制度文件 |
| 安全区域边界 | 恶意代码防范 | 8.1.3.5 | 应在关键网络节点处检测、清除恶意代码，并保存恶意代码检测记录 | 主机层 EDR 全覆盖，容器镜像仓库接入镜像扫描 | 符合 | EDR 覆盖率报告 100% · 镜像扫描门禁配置 | 安全组 | — |
| 安全计算环境 | 身份鉴别 | 8.1.4.1 | 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性 | 统一账号中心，账号唯一且与 ERP 主数据账号一一映射 | 符合 | 用户表 · 账号对账报告 | 应用研发组 | — |
| 安全计算环境 | 身份鉴别 | 8.1.4.1 | 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术 | 双因素认证：口令 + 企业微信扫码；高权限角色强制 UKey | 部分符合 | IAM 双因素配置截图 | 应用研发组 | 门店端店员账号暂未强制双因素（待门店端上线后补齐） |
| 安全计算环境 | 身份鉴别 | 8.1.4.1 | 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数等措施 | 连续 5 次失败锁定 15 分钟；会话空闲 30 分钟自动登出 | 符合 | 登录策略配置 · 登录审计日志 | 应用研发组 | — |
| 安全计算环境 | 访问控制 | 8.1.4.2 | 应对登录的用户分配账户和权限，并及时删除或停用多余的、过期的账户 | RBAC 角色-功能权限 + 数据范围（品牌 / 区域 / 门店）；离职联动 ERP 自动停用 | 基本符合 | 角色权限矩阵 · 季度账号复核记录 | 安全组 | 历史遗留账号 3 个待清理（已挂待办） |
| 安全计算环境 | 访问控制 | 8.1.4.2 | 应授予管理用户所需的最小权限，实现管理用户的权限分离 | 三员分立：系统管理员 / 安全管理员 / 审计管理员互不兼任 | 符合 | 三员账号清单 · 权限分离配置 | 安全组 | — |
| 安全计算环境 | 安全审计 | 8.1.4.3 | 应启用安全审计功能，审计覆盖到每个用户，对重要用户行为和重要安全事件进行审计 | 补调改量、规则变更、导入导出、审批、权限变更五类行为全留痕 | 符合 | 审计日志表结构 · 日志样例（见下页 mon-log） | 应用研发组 | — |
| 安全计算环境 | 安全审计 | 8.1.4.3 | 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖 | 审计日志只追加不修改，独立库 + 每日异地备份 + WORM 归档 | 符合 | 备份策略 · 归档存储证明 | IT 基础设施组 | — |
| 安全计算环境 | 数据备份恢复 | 8.1.4.7 | 应提供重要数据的本地数据备份与恢复功能 | 本地：全量日备 + 增量 15 分钟；RPO ≤ 15 分钟 | 符合 | 备份任务清单 · 恢复演练记录 | IT 基础设施组 | — |
| 安全计算环境 | 数据备份恢复 | 8.1.4.7 | 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地 | 异地：杭州 ↔ 上海双活，RTO ≤ 30 分钟 | 基本符合 | 双活切换演练报告（2025-09） | IT 基础设施组 | 切换演练发现 1 项依赖未纳入 DNS 自动切换 |
| 安全计算环境 | 剩余信息保护 | 8.1.4.6 | 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除 | 口令仅存 bcrypt 哈希（cost 12），内存对象用后置零 | 符合 | 代码审计报告 · 口令存储规范 | 后端研发组 | — |
| 安全计算环境 | 剩余信息保护 | 8.1.4.6 | 应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除 | 数据导出文件 TTL 24h 自动删除；租户退租执行 7 步清除流程 | 部分符合 | 导出清理任务日志 | 后端研发组 | 用户本地下载的 Excel 无法技术回收（需制度 + 水印约束） |
| 安全计算环境 | 个人信息保护 | 8.1.4.8 | 应仅采集和保存业务必需的用户个人信息 | 仅采集姓名、工号、所属组织；不采集身份证号与手机号（考勤另系统） | 符合 | 个人信息字段清单 · 数据分类分级表 | 数据治理组 | — |
| 安全管理中心 | 集中管控 | 8.1.5.1 | 应对分散在各个设备上的审计数据进行收集汇总和集中分析 | 审计日志统一接入 SIEM，保留 180 天可检索 | 基本符合 | SIEM 接入清单 | 安全组 | 华南前置仓节点尚未接入 SIEM（计划 Q4） |
| 安全管理制度 | 管理制度 | 8.2.1.1 | 应建立由安全策略、管理制度、操作规程、记录表单构成的全面的安全管理制度体系 | 已有《信息安全管理办法》等 9 份制度文件，含本系统专项操作规程 | 符合 | 制度文件清单与签发记录 | 安全组 | — |
共 20 项 · 符合 14 / 基本符合 0 / 部分符合 0 · 建议按"层面 → 控制点"顺序逐项过会每页
按层面达标分布
自查结论
三级基线总体具备达标条件，3 项部分符合是测评前必须闭合的重点：门店端双因素、导出文件回收、华南前置仓 SIEM 接入。其余 2 项"基本符合"只需补齐制度文件与覆盖范围，不需要技术改造。
达标状态与测评准备
STEP 1
差距分析
已完成
STEP 2
整改
进行中
STEP 3
自测评
未开始
STEP 4
现场测评
2025-12-08
STEP 5
备案
未开始
- 测评机构
- 具备等保测评资质的第三方机构（已询价 3 家）
- 测评范围
- 本系统 + 其依赖的 ERP 接口与 WMS 通道
- 预计周期
- 现场 3 天 + 报告 10 个工作日
- 整改预算
- ¥180,000（含国密证书与 SIEM 扩容）
审计日志留存策略（G9 操作日志审计）
留存周期按业务价值与合规要求双重确定| 日志类型 | 记录内容 | 留存周期 | 写入约束 | 对应功能 |
|---|---|---|---|---|
| 补调改量（人工校正） | 补调单号 + 行号 + SKC + 原值 / 新值 + 原因码 + 操作人 + IP | 在线 1 年 / 归档 3 年 | 只追加 | G9 · E7 |
| 规则与参数变更 | 变更前后快照 + 审批链 + 生效时间 + 预演差异报告 | 在线 3 年 / 归档 5 年 | 只追加 + 版本化 | M12 · S3 |
| 导入 / 导出 | 文件名 + 行数 + 列范围 + 操作人 + 文件摘要 + 下载 IP | 在线 1 年 / 归档 3 年 | 只追加 | E5 · E6 |
| 审批动作 | 单据号 + 审批结论 + 意见 + 审批人 + 时间戳 | 在线 3 年 / 归档 5 年 | 只追加 | E2 |
| 权限与账号变更 | 账号 + 角色 + 数据范围 + 授权人 + 失效时间 | 在线 3 年 / 归档 5 年 | 只追加 | S1 |
| 登录与鉴权 | 账号 + 结果 + 双因素方式 + IP + 设备指纹 | 在线 180 天 / 归档 1 年 | 只追加 | S1 · X16 |
| 数据访问（敏感） | 查询条件 + 命中行数 + 导出标记 | 在线 180 天 / 归档 1 年 | 只追加 | X16 |
| 系统运行与接口 | 接口名 + 幂等键 + 耗时 + 返回码 + traceId | 在线 90 天 / 归档 1 年 | 只追加 | X13 · X17 |
共 8 类日志 · 全部只追加写入，独立库存储，每日异地备份 + WORM 归档每页
备份与恢复指标
- 本地备份
- 全量日备 + 增量 15 分钟
- 异地备份
- 杭州 ↔ 上海双活
- RPO（恢复点目标）
- ≤ 15 分钟
- RTO（恢复时间目标）
- ≤ 30 分钟
- 恢复演练
- 季度一次，最近 2025-09-20
- 归档介质
- 对象存储 WORM，不可篡改
入侵防范与安全监测
| 措施 | 覆盖范围 | 状态 |
|---|---|---|
| WAF（Web 应用防火墙） | 全部外部入口 | 启用 |
| IDS / IPS | 生产网段 | 启用 |
| 主机 EDR | 全部服务器与容器 | 100% 覆盖 |
| 漏洞扫描 | 每周一次全量 | 高危 0 项 |
| 堡垒机运维通道 | 全部运维操作 | 强制双因素 |
| 代码安全扫描 | CI 流水线门禁 | 阻断级 0 项 |
待闭合项与责任人
测评前必须全部闭合| 事项 | 责任人 | 期限 |
|---|---|---|
| 门店端店员账号强制双因素 | 应用研发组 | 2025-11-15 |
| 导出文件 TTL 与数字水印落地 | 后端研发组 | 2025-11-20 |
| 华南前置仓接入 SIEM | 安全组 | 2025-11-30 |
| 高危漏洞修复 SLA 写入制度文件 | 安全组 | 2025-11-10 |
| 3 个历史遗留账号清理 | 安全组 | 2025-11-05 |
权限最小化说明（S1 用户 · 角色 · 数据权限）
权限最小化：默认拒绝 + 双维度收敛| 角色 | 功能权限 | 数据范围 | 明确禁止 | 最小化校验 |
|---|---|---|---|---|
| 商品运营（总部） | 决策表查看 / 改量 / 生成单据 / 导出 | 全品牌 · 全区域 · 全门店 | 不可改规则参数、不可改权限 | 达标 |
| 商品运营（区域） | 决策表查看 / 改量 / 生成单据 | 本区域门店 | 不可跨区域查看与操作 | 达标 |
| 门店店长 | 门店库存查看 / 收货确认 / 异常反馈 | 本门店 | 不可看其他门店、不可看成本 | 达标 |
| 物流 / 仓管 | 单据拣货 / 发货 / 回执 | 本仓 + 配送范围门店 | 不可改补调量 | 达标 |
| 财务 / 审计 | 日志查询 / 报表查看 / 导出 | 全量只读 | 无任何写权限 | 达标 |
| 系统管理员（三员之一） | 账号 / 角色 / 参数维护 | 不含业务数据读写 | 不可查看与修改审计日志 | 达标 |
| 安全管理员（三员之一） | 安全策略 / 权限审批 | 不含业务数据读写 | 不可维护账号本身 | 达标 |
| 审计管理员（三员之一） | 审计日志查看与导出 | 仅日志 | 不可修改日志内容 | 达标 |
共 8 个基础角色 · 权限 = 功能权限 ∩ 数据范围，二者同时命中才放行（默认拒绝）每页
i设计说明：等保自查表最容易做成「勾选表」—— 全部打勾、无人复核。本页要求每一行都绑定证据与责任人，并且把「基本符合 / 部分符合」单独计数，而不是混进「符合」里。测评机构看的是证据链，不是勾。