外资企业在中国：如何满足等保2.0网络安全合规要求

根据等保2.0要求，在中国境内收集和产生的个人信息和重要数据必须在境内存储。如果外资企业的业务系统处理的中国用户数据部署在境外云服务商（如AWS新加坡、Azure香港），则不满足等保"数据境内存储"的要求。但如果使用境外云服务商的中国区节点（如AWS北京光环新网、Azure世纪互联），数据物理存储在中国境内，可以满足合规前提。建议在选型前确认云服务商的数据中心位置和合规认证情况。

等保二级和三级的主要差异在于控制项数量和强度：等保三级比二级多出约50个控制项，且要求更严格（如强制加密、实时监控、双人授权等）。定级依据是业务影响范围——如果系统被破坏后只影响企业内部运作，一般定二级；如果影响大量公民个人信息或重要行业业务，通常定三级。金融、医疗、教育等行业的特定系统通常直接要求三级。最终定级建议咨询专业机构或当地公安机关网安部门。

等保测评需要准备：系统拓扑图、资产清单、漏洞扫描报告、渗透测试报告、安全策略文档、应急响应预案、运维记录等。外资企业需要特别关注：1）中国境内数据存储和处理的证据；2）中国籍员工的信息安全管理职责说明；3）境外总部的安全策略与中国等保要求的一致性分析（如有不一致需要整改）；4）云服务或境外服务的使用情况说明。

不能简单替代。等保2.0要求安全责任不能外包给境外单位——数据管理权、访问控制权、安全审计权必须由在中国境内的机构实际行使。境外母公司可以提供技术支持，但不能替代境内机构的等保合规主体责任。建议外资企业在中国境内设立独立的安全管理团队，或委托中国本地安全服务商（如VISBAT）作为安全管理协作方，确保等保合规责任落到实处。

等保三级要求：1）通信传输应使用VPN或加密通道保护敏感数据；2）远程管理必须使用加密协议（SSH、HTTPS、SFTP等），禁止telnet、HTTP等明文协议；3）VPN设备应使用国密算法或国际通用算法（根据行业规定选择）；4）数据库、文件存储应启用加密（透明数据加密TDE或应用层加密）。对于金融行业，JR/T 0197等补充规定要求更严格的加密标准。建议使用国产或获得中国密码管理局认证的VPN和加密产品。

常见原因包括：1）访问控制不严格——管理账户共享、弱密码、无定期更换机制；2）日志不完整或未留存——审计日志缺失、留存时间不足6个月；3）漏洞未及时修复——高中危漏洞超过90天未处理；4）数据备份不规范——无异地备份或备份未经验证；5）安全管理制度缺失——应急预案未演练或职责分工不清。外资企业由于多使用总部统一管理的系统和策略，容易忽略中国本地合规的特殊要求，建议在年度审计前进行自查。

需要。等保备案和测评是持续性合规要求：二级系统每两年至少进行一次测评，三级系统每年进行一次测评。测评由公安机关认可的等保测评机构执行，测评报告需提交给受理备案的公安机关。测评不仅检查技术控制措施，还检查管理制度和执行记录。即使技术防护已到位，如果管理制度缺失或未执行（如应急预案未演练），测评分值也会受影响。持续合规是长期工作，而非一次性项目。

等保2.0（中国）、ISO 27001（国际）和GDPR（欧洲）有重叠也有差异：重叠在于技术控制措施（如访问控制、加密、审计日志）基本一致；差异在于等保2.0有公安机关监管、数据境内存储要求、特定控制项（如安全管理机构设置）。对于外资企业，建议以等保2.0作为基础框架，将其作为"必修课"；ISO 27001作为信息安全管理的补充，相同控制措施可复用；GDPR的跨境数据传输要求则需单独处理。可为企业开展等保及其他安全合规建设提供技术支持。