三级等保适用于面向公众的核心业务系统、企业核心生产经营系统，核查强度与深度明显高于二级。以下按网络、主机、应用、数据四大维度梳理核心要求与高频扣分项，可直接对照整改。

一、网络安全

✅ 必做要求

互联网出入口部署防火墙，策略精确到端口、源目 IP，遵循最小权限原则；面向公众的 Web 业务边界部署 WAF

按业务重要程度划分独立安全域，核心交易区、数据存储区单独隔离，域间访问控制粒度到具体业务

边界部署入侵防御系统（IPS），具备攻击实时阻断能力；攻击特征库定期更新，留存告警记录

核心网络设备日志统一存储至独立日志服务器，禁止存储在被审计设备本地；日志留存不少于 6 个月，具备查询追溯能力

网络设备、安全设备修改默认账号口令，限制管理访问源 IP，禁止公网直接管理设备

⚠️ 高频扣分项

防火墙策略粗放，按网段放行，未做最小权限精细化配置

仅部署入侵检测（IDS），只有告警无阻断能力

日志存储在本地设备，可被管理员删除修改

二、主机安全

✅ 必做要求

启用强密码策略，明确复杂度与更换周期要求；远程管理必须启用双因素认证，禁止单纯密码远程登录

严格执行最小权限原则，普通业务账号禁止授予系统管理员权限；定期审计账号权限，及时回收冗余权限、清理离岗账号

高危系统漏洞在规定期限内完成修复；服务器部署终端检测响应软件（EDR）；定期开展漏洞扫描，留存扫描报告

操作系统、数据库全面开启审计，覆盖登录、权限变更、数据增删改全行为；审计日志独立存储，不可篡改

⚠️ 高频扣分项

远程管理只用密码，无二次身份校验

普通业务账号拥有系统管理员权限

高危漏洞长期未修复；数据库审计未开启

三、应用安全

✅ 必做要求

登录增加验证码校验；设置会话超时自动退出；重要业务操作增加二次身份验证；具备会话防劫持机制

全面防范 SQL 注入、跨站脚本、文件上传、命令执行等 Web 高危漏洞；系统上线前开展安全测试，留存测试报告

全站采用 HTTPS 加密传输，禁止明文 HTTP；加密算法符合安全要求，禁用弱加密套件

对外服务接口必须做身份鉴权，禁止未授权访问；接口输入参数做安全校验

⚠️ 高频扣分项

无验证码、会话永不过期、重要操作无二次确认

登录页加密、业务页面明文传输，存在混合内容

对外接口无鉴权控制

四、数据安全

✅ 必做要求

重要业务数据采用本地 + 异地备份方式；定期开展备份恢复演练，每年至少一次，留存完整演练记录

敏感数据加密存储；个人信息等敏感数据在展示、导出时做脱敏处理

敏感数据访问、批量导出操作单独审计，留存完整操作记录；具备数据泄露追溯能力

⚠️ 高频扣分项

只做备份从不做恢复演练，备份可用性无法验证

敏感数据明文存储；批量导出无审计记录

整改优先级提示

第一优先级清零高风险一票否决项（高危漏洞、明文传输、无备份验证）；第二优先级补齐基础合规项，提升整体符合率；最后做优化提升项。避免重设备采购、轻策略配置，避免重技术、轻管理留痕。

天下信安可提供三级等保差距分析、整改指导、正式测评全流程服务，帮助企业核心业务系统高效通过三级测评。