2026年等保三级测评：20项核心设备清单与部署要点解析

最近后台常被问及：“2026年等保三级测评，到底哪些设备是必装的？”“少装一项会不会直接导致合规失败？”

可以明确的是，2026年的等保三级测评要求只会更加严格，而不会放松。与往年“凑够设备就能蒙混过关”的情况不同，如今的测评机构会重点核查“设备实际防护效果”与“配套管理制度的执行情况”。尤其是以下20项核心设备，缺装任何一项都可能导致测评不通过，进而直接影响企业的业务开展。

本文梳理的设备清单，均严格依据《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019，即等保2.0核心标准），并结合了2026年最新的测评细则（包含金融、政务、医疗等重点行业的专项要求）。

等保三级的核心是构建“纵深防御”体系。设备采购仅是基础，配套的管理制度、人员培训和应急演练同样至关重要，切勿陷入“只买设备，不做管理”的常见误区。

等保三级谁必须做？2026年测评有何新变化？

在列出具体设备清单之前，有必要先厘清两个关键问题，这能帮助大家避免不必要的投入和走弯路：

1. 适用范围：根据GB/T 22240-2020《网络安全等级保护定级指南》，等保三级适用于“系统遭到破坏后，可能对社会秩序、公共利益造成严重损害，或对国家安全造成损害”的信息系统。典型场景包括：

   • 地市级以上党政机关门户网站、政务办公系统；
   • 三甲医院HIS、LIS、PACS等医疗核心系统；
   • 互联网金融、保险、证券等非银行金融机构核心业务系统；
   • 在线教育、物流、能源等跨省或全国联网平台；
   • 大型制造业、国企核心生产与运维系统。

2. 2026年测评新变化：结合近期各地发布的测评细则（以上海、广东等地最新要求为例），今年的测评呈现出3个核心变化，直接影响设备选型和合规落地：

   • 国产化要求趋严：金融、政务等重点行业，其核心安全设备需优先选用通过国家认证的国产化产品，若选用外资设备则需提供安全互认证明。
   • 供应链安全纳入必查项：对外采购的软件、硬件乃至AI模型，均需提供供应链安全审查报告，未覆盖此项将直接扣分。
   • 实战化测评加强：测评不再仅限于核查设备是否部署，更会测试设备的实际防护效果，例如漏洞扫描能力、攻击拦截成功率以及日志回溯的有效性。

明确了以上前提，我们再来审视下面这20项必装设备——每一项都对应着等保三级测评中73类测评项、近300条细则里的核心要求，缺一不可。

2026年等保三级必装设备清单（分5大类，附合规依据与实测要点）

以下按照等保2.0技术要求的5个层面（物理安全、网络安全、主机安全、应用安全、数据安全）进行分类整理。每一项均标注了“合规依据”、“核心用途”以及“缺装影响”，并结合了实测案例进行说明，力求为企业提供可直接对照的自查清单。

第一类：物理安全设备（8项，测评基础项，一票否决风险高）

物理安全是等保三级的“底线”，涵盖机房环境与设备防护。所有设备均应部署在独立机房（无独立机房的企业，需租赁符合要求的专用机房）。测评时会现场核查设备运行状态和日志，缺项将大概率导致物理安全层面测评失败。

1. 电子门禁系统

• 合规依据：GB/T 22239-2019 5.1.1.1（物理访问控制）
• 核心用途：实现机房区域的物理隔离与人员进出权限控制。需采用“刷卡+密码”或生物识别（指纹、人脸）等双重认证方式，并记录所有出入日志（包含人员、时间、事由），日志保存周期不少于6个月。
• 不装影响：物理访问控制项将被直接判定为“不符合”，属于高风险项。测评机构会要求立即整改，否则可能终止测评。
• 实测要点：避免只安装门禁却不记录日志，或日志保存周期不足。去年某政务单位就因门禁日志仅保存了3个月，被要求补充部署专用的日志存储模块，导致测评周期延误长达1个月。

2. 视频监控系统

• 合规依据：GB/T 22239-2019 5.1.1.2（物理访问审计）
• 核心用途：需覆盖机房全域，包括出入口、设备区域、操作区等，实现7×24小时不间断实时监控。录像分辨率应不低于1080P，存储周期不少于90天（重点行业要求不少于180天），并最好具备异常行为智能分析功能。
• 不装影响：物理审计项不达标，无法有效证明机房访问行为可追溯，将直接影响物理安全层面的测评结果。
• 实测要点：监控不能留有盲区，尤其是设备机柜的后方和角落。某医疗单位曾因机房角落无监控覆盖，被测评机构要求加装摄像头，额外增加了整改成本。

3. 防盗报警装置

• 合规依据：GB/T 22239-2019 5.1.1.3（防盗窃和破坏）
• 核心用途：应与视频监控系统联动，部署在机房门、窗及关键设备区域。当发生非法入侵时，能立即触发声光报警，并可将告警信息及时通知到安保或运维人员。
• 不装影响：将被判定为物理防护存在重大漏洞，属于高风险项，需限期整改后复测。
• 实测要点：报警装置需定期进行功能测试（建议每月1次），避免出现“报警失灵”的尴尬情况。实测中，不少企业因长期未测试，导致测评时装置无法正常工作而被扣分。

4. 气体灭火系统

• 合规依据：GB/T 22239-2019 5.1.2.1（防火）
• 核心用途：用于替代可能损坏电子设备的干粉灭火器。系统需配备温感、烟感双重探测器，在触发火灾警报后能自动释放灭火气体（如七氟丙烷），同时必须保留手动控制功能。
• 不装影响：防火项不达标，属于一票否决类高风险项，将直接影响整体合规结果。
• 实测要点：灭火气体储罐需定期检测压力（建议每季度1次）。此外，机房内严禁存放任何易燃易爆物品。某互联网企业曾因在机房存放酒精而被要求立即清理，并需补充提交气体灭火系统的年度检测报告。

5. 水浸检测设备

• 合规依据：GB/T 22239-2019 5.1.2.2（防水）
• 核心用途：部署在机房地面、空调下方、水管附近等可能漏水的位置。当检测到漏水时能及时触发报警，从而避免设备因进水损坏，保护数据安全。
• 不装影响：防水项不达标，测评时会判定为中高风险项，需补充部署后复测。
• 实测要点：水浸检测绳（或传感器）的部署需全面，尤其不能遗漏空调冷凝水管下方。某制造企业曾因空调冷凝水泄漏未被检测到，导致服务器损坏，不仅业务中断，等保测评也未通过。

6. 精密空调

• 合规依据：GB/T 22239-2019 5.1.2.3（温湿度控制）
• 核心用途：维持机房内温湿度稳定（通常要求温度控制在20-25℃，湿度40%-60%，误差±2℃），防止设备因过热或受潮而损坏。
• 不装影响：温湿度控制项不达标，长期运行易导致设备故障，测评时会要求补充部署。
• 实测要点：切勿用普通家用空调替代。精密空调需具备24小时不间断运行能力，定期清洁滤网（建议每月1次），并留存运行日志备查。

7. UPS不间断电源

• 合规依据：GB/T 22239-2019 5.1.3.1（供电）
• 核心用途：应对突发停电，保障机房核心设备（服务器、交换机、审计设备等）持续运行。后备续航时间应不少于4小时（重点行业需不少于8小时）。
• 不装影响：供电项不达标，无法保障业务连续性，属于高风险项，直接影响测评结果。
• 实测要点：UPS需定期进行充放电测试（建议每季度1次），以检查电池状态，避免停电时无法正常供电。某金融机构曾因UPS电池老化，停电后核心系统中断，不仅被监管部门约谈，等保复测也未通过。

8. 备用发电机

• 合规依据：GB/T 22239-2019 5.1.3.2（冗余供电）
• 核心用途：作为UPS的补充，应对超过UPS续航时间的长时间停电，保障机房设备持续运行。尤其适用于金融、医疗等核心业务不能中断的企业。
• 不装影响：冗余供电项不达标，测评时会判定为中高风险项。对于非核心行业可能限期整改，但对于核心行业则会直接影响合规结果。
• 实测要点：备用发电机需定期启动测试（建议每月1次），储备足够的燃油，并确保在停电时能快速启动。某三甲医院曾因备用发电机无法启动，停电后医疗系统中断，遭到通报批评。

第二类：网络安全设备（6项，纵深防御核心，实测高频核查项）

网络安全是等保三级“纵深防御”体系的核心，涵盖边界防护、访问控制与审计留痕。所有设备需形成联动防护体系，测评时会重点核查设备策略配置、日志完整性和实际的攻击拦截能力。

9. 下一代防火墙（NGFW）

• 合规依据：GB/T 22239-2019 5.2.1.1（边界防护）
• 核心用途：部署在网络边界（如内网与外网之间、内网不同安全区域之间），实现访问控制、流量检测、应用层协议识别、抗DDoS攻击、IPSEC VPN等功能。策略配置必须遵循“最小权限原则”。
• 不装影响：边界防护项将直接被判“不符合”，属于一票否决类高风险项，无法通过网络层面测评。
• 实测要点：避免用普通防火墙替代。下一代防火墙需支持应用层防护（如防SQL注入、XSS攻击），定期更新攻击特征库（建议每周1次），并留存完整的访问控制日志。某互联网企业曾因防火墙策略配置过宽，被测评机构要求整改，延误测评周期2周。主流设备可参考华为USG、深信服、绿盟等品牌。

10. 入侵检测/防御系统（IDS/IPS）

• 合规依据：GB/T 22239-2019 5.2.1.2（入侵防范）
• 核心用途：IDS负责实时监控网络流量，识别潜在安全威胁（如端口扫描、恶意攻击）并生成告警；IPS则在检测基础上，能自动拦截攻击行为。建议采用旁路镜像方式部署。
• 不装影响：入侵防范项不达标，无法及时发现和拦截网络攻击，属于高风险项，直接影响网络层面测评结果。
• 实测要点：IDS/IPS需与防火墙形成联动，定期更新攻击特征库（建议每周1次），并留存告警日志和拦截记录。实测中，不少企业因未开启IPS的主动拦截功能，被测评机构判定为“防护无效”，需整改后复测。主流设备可参考启明星辰、绿盟等品牌。

11. 负载均衡设备

• 合规依据：GB/T 22239-2019 5.2.3.1（网络冗余）
• 核心用途：部署在核心网络节点，实现流量分发，避免单一设备过载，保障网络链路和核心服务的连续性。设备本身应支持双机热备或集群部署。
• 不装影响：网络冗余项不达标，核心服务存在单点故障风险，测评时会判定为中高风险项。
• 实测要点：负载均衡设备需配置冗余策略，并定期测试故障切换功能（建议每月1次），确保单一设备故障时，流量能快速、平滑地切换至备用设备。某电商平台曾因负载均衡设备故障，导致业务高峰期服务中断，等保测评也未通过。

12. VPN设备（国密算法）

• 合规依据：GB/T 22239-2019 5.2.2.1（远程访问安全）
• 核心用途：供远程运维人员、分支机构安全访问内网核心系统。必须采用国密算法（如SM2/SM4）进行加密传输，实现严格的身份鉴别和权限控制，并记录所有远程访问日志。
• 不装影响：远程访问安全项不达标，远程访问链路存在数据泄露和非法入侵风险，测评时会要求补充部署。
• 实测要点：VPN设备必须开启双因子认证（如口令+U-Key），严格禁止使用弱密码，并定期清理无效的访问账号。某物流企业曾因VPN使用弱密码被破解，导致内网数据泄露，不仅遭到处罚，等保测评也未通过。

13. 堡垒机（运维审计系统）

• 合规依据：GB/T 22239-2019 5.2.4.1（安全审计 -> 运维审计）
• 核心用途：集中管理对网络/系统设备（服务器、交换机、路由器等）的运维操作。实现运维人员的身份鉴别、权限分级、操作过程录像和日志回溯。所有运维操作必须留痕，日志保存周期不少于6个月。
• 不装影响：运维审计项不达标，无法追溯运维操作，属于高风险项，直接影响网络与主机层面的测评结果。
• 实测要点：必须禁止运维人员绕过堡垒机直接登录核心设备。所有运维操作必须通过堡垒机进行，并需定期审计运维日志，及时清理闲置账号。某国企曾因运维人员直接登录服务器操作且无审计记录，被要求全面整改，整改周期长达1个月。

14. 日志审计系统

• 合规依据：GB/T 22239-2019 5.2.4.2（安全审计 -> 日志集中管理）
• 核心用途：集中归集内网所有安全设备及服务器（防火墙、IDS/IPS、堡垒机、操作系统等）的日志，实现日志的统一分类、分析、检索和备份。日志保存周期不少于6个月（重点行业需不少于12个月）。
• 不装影响：日志集中管理项不达标，无法有效进行安全事件追溯，属于高风险项。
• 实测要点：避免日志分散存储在各设备本地。日志审计系统最好支持基于规则的异常日志告警功能，并需制定定期备份策略（建议每日备份）。某制造企业曾因未规划好日志存储容量，导致关键的审计数据被覆盖丢失，被测评机构要求采用分布式存储架构进行整改。

第三类：主机安全设备（2项，终端防护核心，易被忽视但必查）

主机安全涵盖服务器和终端设备的防护，虽然必装设备数量不多，但均为测评必查项。实测中，不少企业因忽视主机安全，导致在等保测评中严重扣分甚至不通过。

15. 数据库审计系统

• 合规依据：GB/T 22239-2019 5.3.4.1（安全审计 -> 数据库安全审计）
• 核心用途：监控数据库的所有操作（查询、修改、删除等），实现操作留痕、异常行为（如批量下载、越权访问）告警和权限控制。应支持三权分立管理，审计日志保存周期不少于6个月。
• 不装影响：数据库安全审计项不达标，无法追溯数据操作行为，存在数据泄露和篡改的高风险。
• 实测要点：审计系统需覆盖所有核心业务数据库（如MySQL、Oracle），并重点监控对敏感数据（身份证号、银行卡号等）的操作，定期审计异常操作日志。某金融机构曾因缺失数据库审计，导致敏感客户数据被内部篡改，遭到监管部门处罚，等保测评直接不通过。

16. 网络版恶意代码防护设备（含EDR）

• 合规依据：GB/T 22239-2019 5.3.2.1（恶意代码防范）
• 核心用途：需部署在所有服务器和终端设备上，实现对病毒、木马、勒索软件等恶意代码的查杀、隔离和预警。应支持统一管理、病毒库同步更新（更新间隔不超过24小时）。终端检测与响应系统（EDR）需具备更高级的实时监控、行为分析和应急处置能力。
• 不装影响：恶意代码防范项不达标，终端设备极易成为攻击入口，属于高风险项。
• 实测要点：严禁使用个人版杀毒软件替代。网络版防护体系需实现终端全覆盖，定期进行全盘扫描（建议每周1次），并留存完整的查杀与处置日志。某医疗单位曾因终端未安装统一管理的杀毒软件，导致勒索病毒在内网传播，核心医疗数据被加密，业务瘫痪，等保测评也未能通过。

第四类：应用安全设备（1项，应用层防护，重点行业必装）

应用安全主要针对网站和核心业务系统。虽然此类必装设备仅有一项，但对于提供对外服务或拥有核心应用系统的企业而言，属于一票否决类项目。

17. 网页防篡改系统（针对网站/应用系统）

• 合规依据：GB/T 22239-2019 5.4.2.1（安全计算环境 -> 应用层防护）
• 核心用途：保护企业官网、对外服务平台等应用系统，防止网页被篡改、挂马。应实现实时监控、篡改后自动恢复、告警通知等功能，并记录所有篡改尝试日志。
• 不装影响：应用层防护项不达标，对外应用系统存在极高的安全风险。对于有对外网站或应用的企业，此项将直接影响应用安全层面的测评结果。
• 实测要点：防篡改系统需与Web应用服务器深度联动，定期备份网页源文件（建议每日备份），并确保实时监控功能处于开启状态。某政务单位曾因官网被篡改并发布不良信息，遭到通报批评，等保测评直接不通过，后续耗费大量时间进行整改。

第五类：数据安全设备（3项，2026年重点核查项，合规核心）

数据安全是2026年等保三级测评的重点方向，涵盖数据备份、加密和访问控制。所有设备均需满足数据分类分级和隐私保护的要求，缺项将导致数据安全层面测评失败，甚至可能招致监管处罚。

18. 数据备份设备

• 合规依据：GB/T 22239-2019 5.5.3.1（数据备份与恢复）
• 核心用途：实现核心数据（业务数据、客户数据、系统配置等）的定期备份。应采用“本地热备+同城冷备+异地灾备”的三级备份机制。本地备份建议每日全量，异地备份可每周全量，备份数据保存周期不少于1年。恢复点目标（RPO）应≤24小时，恢复时间目标（RTO）应≤4小时。
• 不装影响：数据备份与恢复项不达标，无法应对数据丢失或损坏的风险，属于一票否决类高风险项。
• 实测要点：必须定期测试备份数据的恢复能力（建议每月1次），确保备份数据完整、可用，避免备份设备成为摆设。某互联网企业曾因备份数据无法恢复，服务器故障后导致数据丢失，业务中断3天，不仅被处罚，等保测评也未通过。

19. 数据加密设备

• 合规依据：GB/T 22239-2019 5.5.2.1（数据完整性、保密性 -> 数据加密保护）
• 核心用途：对敏感数据（如身份证号、银行卡号、医疗记录）进行加密存储（采用AES-256或国密SM4算法）和加密传输（采用TLS 1.2+或国密SSL协议）。需实现严格的密钥分级管理与生命周期控制。
• 不装影响：数据加密项不达标，敏感数据存在泄露的高风险。对于金融、医疗、政务等重点行业，此项不通过可能直接导致测评失败。
• 实测要点：所使用的加密算法必须获得国家密码管理局的认可。需制定并执行密钥定期更换策略（建议每季度或每半年），并留存加密、解密操作日志。某医疗单位曾因敏感医疗数据以明文存储导致泄露，被监管部门罚款50万元，等保测评直接不通过。

20. 网络准入控制系统

• 合规依据：GB/T 22239-2019 5.5.1.1（数据完整性、保密性 -> 数据访问控制）
• 核心用途：控制终端设备接入内部网络。对接入设备进行身份鉴别和合规性检查（如是否安装杀毒软件、系统补丁是否齐全），禁止未授权或不合规的设备接入，从而保护内网数据安全。
• 不装影响：数据访问控制项不达标，内网数据面临来自非法接入设备的泄露和访问风险，属于高风险项。
• 实测要点：网络准入控制系统需与终端安全管理系统联动，定期审计并清理非法接入设备的记录，留存所有终端接入日志。某企业曾因非法设备接入内网，导致核心设计图纸泄露，等保测评未通过，事后不得不全面部署准入控制系统进行整改。

重点提醒：2026年等保三级实测常见误区

结合近期的实测案例，许多企业即便装齐了上述20项设备，却仍未通过测评。其核心原因往往是陷入了以下几个误区，尤其是第三、四点，几乎是所有企业的“重灾区”，务必避开。

误区1：只买设备，不做配套管理制度

等保三级测评遵循“技术措施与管理措施并重”的原则。设备只是基础，配套的管理制度同样是必查项。许多企业误以为设备到位就万事大吉，却未制定相应的安全管理制度、应急预案和人员培训计划，导致管理部分得分为零，被直接判定为“不符合”。
正确做法：至少制定并落实12份核心安全管理制度文件（涵盖安全策略、运维管理、应急处置、审计管理、人员安全等），并每年进行评审和更新。同时，需留存人员安全培训记录和应急演练记录（至少每半年开展1次）。

误区2：用一体机替代所有独立设备，忽视测评验证

近年来，一些集成了防火墙、WAF、审计、认证等多种功能的一体化安全设备因能降低部署和维护复杂度而受到青睐。但不少企业误以为一台一体机即可替代所有独立设备，且未向测评机构清晰说明其功能覆盖范围，导致测评时因某项具体防护功能（如深度入侵防御）不达标而被扣分。
正确做法：一体机可用于简化部署，但必须确保其功能模块完整覆盖等保三级的所有核心防护要求。在测评时，需主动向测评机构提供详细的产品功能说明及第三方验证报告，证明每一项要求的防护功能均可正常启用并有效工作。

误区3：设备部署后，不开启核心功能、不更新策略

实测中发现，很多企业部署了IDS/IPS、防火墙等设备，但却未开启攻击拦截、异常流量告警等核心防护功能，或者长期不更新攻击特征库、安全策略，导致安全设备沦为“摆设”，测评时被判定为“防护无效”。
正确做法：设备上线后，应立即根据业务需求配置并开启所有核心防护功能。制定严格的更新计划，定期更新攻击特征库、病毒库（建议每周1次），并每季度回顾和优化安全策略。所有策略变更和更新操作均需留存日志。

误区4：云平台已过三级，租户系统无需再整改

许多企业将业务部署在公有云上，并误以为云服务商通过了等保三级测评，自己作为租户就无需再进行安全整改。实际上，云平台的“等保合规”仅覆盖平台本身的IaaS/PaaS层（计算、存储、网络等），租户对其上的操作系统、应用软件、业务数据的安全负责（即“责任共担模型”）。
正确做法：云租户必须对自身使用的云上系统进行独立的安全建设和整改，部署必要的虚拟安全设备（如云防火墙、云WAF、主机安全Agent），并建立相应的安全管理流程。测评时，需提供能证明租户自身系统安全状况的合规材料。

误区5：忽视年度复测和重大变更重测

等保三级备案证明的有效期通常为3年，但这并不意味着通过一次测评便可一劳永逸。许多企业在通过测评后，忽视了每年度的安全自查与复测，或者在系统发生重大变更（如新增核心业务模块、网络架构调整）后，未及时申请重新测评，导致合规状态失效。
正确做法：必须建立持续合规的意识。每年至少开展1次全面的年度自查，并可邀请测评机构进行复测。当系统发生重大变更时，应在1个月内启动安全评估，必要时开展重新测评，并留存所有测评报告以备核查。

2026年等保三级自查与整改建议（实操指南）

对于尚未开展或正在准备等保三级整改的企业，结合2026年的最新要求，我们给出以下实操性建议，旨在帮助大家高效推进合规工作，避开常见陷阱。

1. 自查阶段（建议周期：1-2周）

对照本文的20项设备清单，逐一核查本单位设备的部署情况。重点记录“未部署设备”、“设备核心功能未开启”、“安全日志不完整”等项目。同时，检查配套的管理制度、人员培训记录和应急演练记录是否齐全。最终形成一份详实的《等保合规自查报告》，明确整改的重点项和优先级。

2. 整改阶段（建议周期：3-6周）

遵循“先高后低”的风险处置原则，优先部署和整改高风险项设备（如下一代防火墙、IDS/IPS、数据备份设备、气体灭火系统等），再逐步补充其他设备。同步完善所有必需的安全管理制度文档，确保所有已部署安全设备的核心防护功能全部开启，并立即更新至最新的病毒库和特征库。在此期间，应组织全员安全培训并开展应急演练，留存所有过程记录。

小贴士：中小型企业可优先考虑选购通过国家认证、性价比高的国产化安全设备。重点行业（金融、政务）则需提前规划，严格落实国产化替代要求，避免后期返工。预算有限时，可采用功能齐全的一体机方案来简化部署和降低初期成本。

3. 测评阶段（通常需1个月左右）

从国家认可的测评机构推荐目录中，选择具备中国网络安全审查技术与认证中心（CCRC）资质的测评机构。提前整理好自查报告、所有安全设备的运行日志、管理制度文件、应急演练记录等材料。积极配合测评机构开展现场测评工作，对测评过程中发现的问题，需迅速制定整改计划并落实，确保复测时能够通过。

4. 运维阶段（持续进行）

等保合规不是一次性的项目，而是持续的安全运营过程。必须建立常态化的安全运维机制，包括：定期检查安全设备运行状态、及时更新策略与特征库、每日审计安全日志、按计划开展安全培训和演练。最重要的是，每年都必须执行年度复测，以确保信息系统持续符合等保三级的安全要求。

总结

2026年，等保三级测评已全面进入“实战化、精细化”的新阶段。它不再是简单的“设备采购清单检查”，而是深度考察设备实际防护效果、管理制度是否切实落地、以及数据安全是否得到有效保障的综合评估。对于企业而言，理解这份核心设备清单只是第一步，更重要的是将其融入持续改进的安全管理体系之中。

希望这份结合了2026年最新要求的梳理，能为大家的等保合规之路提供清晰的指引。如果在具体的安全设备选型或运维审计实践中有更多疑问，也欢迎在云栈社区这样的技术论坛中进行深入的交流与探讨。