先看法规原文。

"不连外网，黑客进不来"——这个逻辑在2010年之前可能还成立。但现在的实际情况是：

• U盘摆渡攻击：一个U盘插进去，恶意程序就进来了。斯登维尔事件（震网病毒）就是靠U盘攻破了伊朗完全物理隔离的核设施内网

• 内部人员风险：离职员工、不满员工、外包人员，都在内网里面，你的数据对他们是不设防的

• 供应链攻击：你采购的软件、设备、运维工具，都可能携带后门或漏洞，从内部突破

• 横向移动：一旦内网中一台机器被攻破（比如通过U盘或运维工具），攻击者可以在内网横向扩散

• 操作系统几年不打补丁（"反正外网进不来"）

• 数据库用默认账号弱密码（sa/123456）

• 内网传输不加密，抓包就能看到数据

• 没有日志审计，出事了查不到谁干的

• 没有数据备份，硬盘坏了数据直接丢

• 终端安全防护缺失，杀毒软件都没装

• 技术类：物理安全、网络安全、主机安全、应用安全、数据安全

• 管理类：安全制度、人员管理、建设管理、运维管理

说了这么多"要做"，那内网系统做等保，跟公网系统有什么区别？测评要求会不会少一些？

• 情况一：内网系统处理个人信息或敏感业务数据→ 通常定为二级或三级，必须做测评

• 情况二：内网系统只做内部办公（如OA、文件共享），数据敏感度低→ 可能定为一级，自主保护，不强制测评

• 情况三：内网系统虽不对外，但服务于关键业务（如生产控制系统、财务系统）→ 根据业务影响定级，二级起步，可能三级

用几个实际场景帮你对号入座：

• 场景1：公司内部OA系统，只在内网用，存了员工信息

• 场景2：工厂的车间生产管理系统，完全不接外网

• 场景3：财务系统，内网部署，存储公司财务数据

• 场景4：内部文件共享服务器，存的都是公开资料

• 场景5：开发测试环境，内网部署，用的是脱敏数据

把上面的分析浓缩成一张表：

一句话：等保看的是"你的系统出了事谁受损"，不是"你的系统连不连外网"。

​六、给内网系统做等保的实操建议

如果你确认你的内网系统需要做等保，这几点提前准备：

1. 先定级再决定—— 别自己拍脑袋说"不用做"，找测评机构或专业顾问帮你评估，定级报告写错了后面全白做
2. 重点补管理项—— 内网系统的技术项往往差距不大（因为没有公网攻击面），真正扣分多的是管理类：制度有没有、人员培训有没有、应急预案有没有
3. 别忽略数据备份—— 内网系统最大的风险不是被黑，是硬盘坏了数据丢了。备份是等保测评的必查项，也是你自己的救命稻草
4. 终端安全别松懈—— 内网安全的关键节点在终端。U盘管控、杀毒软件、补丁更新，这三件事做好，内网安全水平能上一个台阶
5. 访问日志必须有—— 内网出事大多是内部人干的。没有日志，出事了查不到人；有了日志，既是等保要求，也是你的管理工具

阅读原文：原文链接