跟测评机构、监管、老板开会，最容易卡在词上。
定级、备案、裸测、复测、整改、复评……这些词各自管什么、谁来做、什么时候做，很多人是混着用的。
20 个词，一次讲清，可直接拿去给团队对齐。
上周旁听了一场等保对齐会议，我把这 20 个词的出处逐条核验了一遍：每个词标了来源，谁来做、什么时候做都写清。
一、定级与备案：先搞清保护谁、报给谁
等保（等级保护）：我国网络安全领域的基本制度，一句话——按系统的重要性分级，分级做防护。
等保 2.0：以 2019 年 12 月 1 日《信息安全技术 网络安全等级保护基本要求》（GB/T 22239—2019）实施为标志的新一版体系，区别于等保 1.0。
定级对象：你要保护的那个东西。通常是“信息系统”或“业务系统”，不是“公司”——一套独立业务系统，通常就是一个定级对象。
自主定级：等级由你们自己确定，再报公安备案。“自主”不等于“随便”，要有定级报告说明理由；公安监督检查发现定级不当的，可要求重新定级。
定级报告：说明“为什么是 X 级”的正式文件，项目起点材料。
备案（公安备案）：定级后把材料报属地公安机关。二级及以上通常都需要备案。
属地：你所在地区的对应机构。备案按属地走：省去省公安网安总队，市去市网安支队，县先去区县大队再转市支队。测评机构也建议选属地，差旅成本低。
五步（法定环节）：定级→备案→建设整改→等级测评→监督检查。记住这五步，等保的全貌就都在了。
二、整改与测评：钱主要花在这两段
建设整改：按标准补齐差距。注意，整改不等于买设备——10 个安全类里有 5 个是管理类，靠制度和流程解决。
差距评估（预评估）：拿标准条款对照现状，列出“差在哪、差多少”的清单，费用通常 1–3 万。我认为这是投入产出比最高的一笔钱，不做就先去买设备，是最常见的冤枉钱。
安全类 / 控制点 / 要求项：三个层级。二级 10 个安全类（5 技术 + 5 管理），每个安全类下有若干控制点，控制点下是具体要求项；二级通用要求 135 项，三级 211 项。
通用要求 / 扩展要求：通用要求所有系统都要满足；扩展要求是特定场景额外加的——云计算、移动互联、物联网、工业控制，以及 2026 年 2 月 1 日新实施的大数据、IPv6、区块链、边缘计算。关键是：扩展要求必须和通用要求“结合使用”，不能单独作为建设依据。
密评：商用密码应用安全性评估。和等保是两条线，涉及的系统有一定重叠但要求不同，别被“做了等保就不用密评”或反过来忽悠。
等级测评：由有资质的第三方测评机构对系统做检测评估、出报告。你自己说自己合格不算。
裸测：行业黑话，指不整改就直接约测评，只出一份报告，报告里通常写满不符合项。这个词常被用来暗示“便宜”，但报告的价值也打折。
复测：第二次及以后的测评，一般按首次的 60%–80% 报价（市场惯例）。
测评周期：二级每 2 年至少 1 次，三级每年 1 次，四级每半年 1 次。这是持续性支出。
符合 / 基本符合 / 不符合：2025 版测评报告模板的三级制结论。符合率高于 90% 且无重大风险隐患，是“符合”；60%–90%、或高于 90% 但有重大风险隐患，是“基本符合”；低于 60% 是“不符合”。我的判断是：中间那一行最值得读懂——符合率刷得再高，只要踩中“重大风险隐患”，结论就是“基本符合”。
重大风险隐患：判定看相关性、严重性、高发性三条原则。它不一定来自单一问题，可能是多个高、中、低问题叠加，所以“单项都还行”不等于安全。
三、监管与话术：检查随时会来，这几句要反问
监督检查：公安等主管部门的日常检查，可能随时来。
护网：公安机关开展的网络安全专项行动的简称。2026 年各地在推进的行动中，重点排查方向包括高危端口、高危漏洞、弱口令。
关基（关键信息基础设施）：比等保更高一层的保护要求，覆盖能源、交通、金融、公共服务等核心系统。关基通常也要做等保，且等级较高。
三权分立：三级要求的安全管理机制——系统管理员、安全管理员、安全审计管理员分设，不得兼任。这条对只有一两个 IT 的公司最难，常见解法是把部分职能上收或委托，但必须真实落地，不是写进文件就算。
一中心三重防护：三级常用架构——安全管理中心 + 安全通信网络、安全区域边界、安全计算环境。
打包价：多系统打包确实能便宜，但要问清是一份报告还是多份报告、涵盖哪几个定级对象。
另外两句记得反问：只按 GB/T 22239 做够不够？裸测的不符合项会不会影响投标？
还有什么词是你一直没搞明白的？ 留言告诉我，我补充到下一篇里。
本文术语解释依据 GB/T 22239—2019、GB/T 28448—2019 及相关标准与公开政策文件整理；测评结论判定规则依据 2025 版测评报告模板；测评周期依据《信息安全等级保护管理办法》第十四条（办法未对二级强制，每两年为监管建议口径）。部分词汇为行业惯用简称，非标准术语，解释仅供参考。
本文为政策解读，不构成法律意见。
📌 定二级还是三级？3 个问题就能判
想要《定级 3 个问题判定法》：关注「等保那点事」，回复「定级」直接拿。不用转发、不用留邮箱。
第一次来的朋友，点标题下方蓝字「等保那点事」关注后就能发消息。这里只写能落地的等保实操——定级怎么定、备案怎么备、测评前补什么、被检查时怎么答。每个数字都标了出处，能自己核。
有具体场景的问题，留言说一句——我会挑典型的写成下一篇。
