做政府、教育、医疗、能源类物联网项目，等保是绕不过去的门槛。很多项目卡在验收前才想起这件事，发现要改的东西比预期多，工期往后拖两三个月。
等保 2.0 的技术要求分十类，落到物联网平台上，真正要动手改的集中在四块：身份、日志、传输、备份。这篇按这四块列出十二个必改项，都是三级要求（二级要求是它的子集）。
身份与访问（四项）
一、双因子认证
三级要求对管理用户进行两种或两种以上组合的鉴别。实际做法：账号密码 + 短信验证码，或账号密码 + 数字证书/USB Key。
注意范围：不只是后台管理员，所有能登录管理界面的人都算，包括运维人员、第三方集成商、审计员。很多项目只给超管加了短信验证，测评时被判不符合。
二、访问控制粒度到主体和客体
要求「对登录的用户分配账户和权限」，且「授予管理用户所需的最小权限」。实际操作：做角色-权限模型，角色按职能分（系统管理员、安全管理员、审计管理员），三个管理员必须分离，不能一个人兼任。
三权分立是最常被判不符合的一条。系统管理员能改配置但不能看日志，审计管理员只能看日志不能改配置，安全管理员管策略。小项目常常图省事全给一个人，测评直接扣分。
三、登录失败处理与会话管理
连续登录失败 5 次锁定账户（或延长间隔）、会话超时自动退出（一般 15-30 分钟）、会话 ID 不可预测。这几条技术上简单，但要真的实现，不能只在文档里写。
四、远程管理防窃听
远程运维必须走加密通道（SSH、VPN、堡垒机）。禁止 telnet、明文 HTTP 管理后台。这一条会查运维的实际操作方式，不只是查系统配置。
安全审计（三项）
五、审计覆盖每个用户
要求「对每个用户启用审计」，记录内容至少包括：日期时间、用户、事件类型、是否成功、来源 IP。重要操作（增删改、权限变更、配置修改、登录登出）都要记。
物联网平台的坑：设备接入、指令下发、规则变更这些操作也属于重要操作，容易漏。
六、审计记录保护与留存 6 个月
审计记录不能被删除、修改、覆盖。技术上要单独存储、只追加、有完整性校验（哈希链）。留存期不少于 6 个月。
6 个月的日志量要提前算。一个中等规模平台，每天几十万条设备数据 + 操作日志，6 个月可能几百 GB 到几 TB。存储成本要进预算。
七、审计记录备份与集中分析
三级要求把审计记录备份到其他存储设备，并做集中审计分析。实际落地通常是上一套日志审计系统（或 SIEM），把平台日志、系统日志、网络设备日志都汇进去。
数据安全（三项）
八、传输完整性
设备到平台、平台到客户端，两段都要保证完整性。设备侧常用 TLS 或国密，客户端侧 HTTPS。有条件的加校验码或签名。
难点在设备侧：大量存量设备不支持 TLS，尤其是老式仪表、PLC 网关。解决办法是在网关做加密代理，或划出独立的隔离区。
九、数据备份与恢复
要求提供本地备份与恢复功能，三级还要求异地备份（或至少同城异机房）。要有明确的 RTO/RPO 指标并定期演练。
物联网平台的数据分三类，备份策略不同：配置数据（全量+变更）、业务数据（增量）、时序数据（按天/周归档）。时序数据量最大，全量异地备份成本高，通常只备份聚合后的结果。
十、剩余信息保护与个人信息保护
身份鉴别信息、敏感数据在存储和释放时要清除（内存清零、存储覆写）。涉及个人信息的（人脸、车牌、身份信息）要单独做合规：告知同意、最小必要、脱敏展示。
视频类和门禁类项目在这里最容易出问题——人脸照片、身份证号明文存库、明文传输。这是等保和《个人信息保护法》的双重风险。
运维与供应链（两项）
十一、漏洞与补丁管理、恶意代码防范
要有漏洞扫描记录（至少每季度一次）、补丁更新流程、恶意代码检测机制。物联网平台的难点是设备侧补丁——很多设备厂商不提供固件更新，或者更新了会掉配置。这条要在采购阶段就在合同里约定厂商的补丁支持义务。
十二、供应链与集中管控
三级要求对分散在各处的设备做集中管控：统一监测、统一策略下发、统一日志收集。另外要提供产品/组件的供应链安全说明（来源、版本、已知漏洞）。
用开源组件多的平台要准备 SBOM（软件物料清单）。这是近年新增的检查点，很多老平台拿不出来。
费用与周期
| 项目 | 费用 | 说明 |
|---|---|---|
| 定级备案 | 0-2 万 | 专家评审、材料准备 |
| 差距测评 | 3-8 万 | 先测一遍看差多少 |
| 正式测评 | 8-20 万 | 按系统数量和复杂度，三级普遍 10-15 万 |
| 整改（软件） | 10-40 万 | 身份、审计、加密改造 |
| 整改（硬件） | 10-40 万 | 日志审计系统、堡垒机、WAF、备份存储 |
| 合计 | 30-100 万 | 不含等保要求带来的架构调整 |
周期：定级备案 1-2 个月，整改 2-4 个月，测评加出具报告 1-2 个月。整体 3-6 个月。如果是新建项目，等保要求应该在设计阶段就纳入，增量成本能降到 10-20%。
四个最容易卡住的环节
- 设备侧加密：存量设备不支持 TLS，要么加网关代理，要么划隔离区，工期和成本都超预期。
- 三权分立：小团队一人多角色，改起来要动整个权限模型。
- 日志留存 6 个月：存储和性能压力，尤其是时序数据。
- 厂商补丁支持：设备厂商不配合，这条基本无解，只能在采购时规避。
下一步
等保不是一次性动作，是持续运营。每年的测评和整改要进年度预算。看物联网平台自建还是买了解不同建设方式对合规的影响，看安防一体化平台的功能清单了解视频类系统额外的合规要求。
要估算含安全合规的整体项目预算，用物联网项目报价测算器。行业侧看智慧校园行业方案，教育类项目对等保要求最严。