等保二级是中小企业最常碰到的一道门槛。做差距分析做多了，会发现卡住大家的其实是那么几项，跟买多少设备关系不大。
第一项是网络区域边界的访问控制。很多公司出口设备就是一台家用级路由器，没有访问控制策略，也没有审计。这一项基本都要加防火墙。
第二项是身份鉴别。设备还在用默认口令、几个管理员共用一个账号、没有密码复杂度要求，这些都是一查一个准。改起来不花钱，但要做。
第三项是安全审计。日志要开、要留存、要能查。不少设备默认没开日志，或者存三天就覆盖了。二级一般要求留存六个月。
第四项是数据备份。有备份不算，要能恢复。我们做整改时会现场做一次恢复演练，把记录留下来。
第五项是管理制度。这一项最容易被忽略，等保看的不只是设备，还有制度文件、人员管理、应急预案这些纸面东西。
需要说明的是，等保测评结论由具备资质的测评机构出具，我们能做的是差距分析和整改落地，不代办测评。
