MLPS 2.0 全称 Multi-Level Protection Scheme 2.0，即网络安全等级保护2.0制度，简称“等保2.0”，是我国网络安全领域的核心强制性国家标准体系，也是国内所有网络运营者、信息系统使用及服务提供主体必须遵守的合规准则，替代了2008年发布的等保1.0体系，全面升级了网络安全防护与监管规范。
一、发布背景与实施时间
2019年5月10日，国家标准化管理委员会正式发布核心标准GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，该标准于2019年12月1日正式实施，标志着MLPS 2.0制度全面落地。
此次升级核心是适配《网络安全法》的法定要求，解决等保1.0仅覆盖传统IT系统、防护维度单一、无法适配新兴数字技术的短板，构建全覆盖、全周期、立体化的网络安全防护体系，填补云计算、物联网、工业控制、大数据等新兴场景的安全合规空白。
二、核心核心架构：一个中心，三重防护
MLPS 2.0 摒弃了1.0碎片化的防护模式，确立了“一个中心，三重防护”的整体安全架构，成为所有系统合规建设的核心准则，实现安全体系化闭环防护：
一个中心：安全管理中心。作为整体安全管控核心，负责集中安全审计、风险监测、权限管控、日志分析、应急调度，实现全网安全状态可视、可管、可控，是安全运营的中枢节点。
三重防护：涵盖区域边界防护、通信网络防护、计算环境防护。三层防护层层嵌套，分别针对网络传输链路、系统边界、服务器/终端运行环境建立分层防御机制，彻底改变传统单点防护、被动防御的模式，形成纵深防御体系。
三、相较于MLPS 1.0的核心升级
1. 覆盖范围全面扩容
等保1.0仅聚焦传统服务器、网站、办公系统等基础信息系统；MLPS 2.0 将合规范围全面延伸至云计算、物联网、工业控制系统、移动互联网、大数据平台、智慧城市、关键信息基础设施等新兴场景，实现所有网络空间载体全覆盖，无合规盲区。
2. 防护理念迭代升级
从1.0时代的“被动合规、事后整改”，升级为主动防御、动态防护、全域感知、持续运营的安全理念。新增可信计算、动态监测、风险预警、持续评估等先进安全机制，要求安全建设贯穿系统规划、建设、运行、销毁全生命周期。
3. 管控维度更加完善
构建技术+管理双维度十大安全域体系，包含物理环境、通信网络、区域边界、计算环境、安全管理中心五大技术域，以及管理制度、管理机构、人员安全、建设管理、运维管理五大管理域，杜绝重技术、轻管理的合规漏洞。
4. 监管力度大幅强化
将传统线下年度测评的单一监管模式，升级为备案审核、定期测评、远程监测、现场核查、事件溯源、责任追责的全流程监管机制，对违规主体可依法下达整改通知、行政处罚，合规强制性、严肃性大幅提升。
四、安全等级划分标准
MLPS 2.0 延续五级等级划分体系，根据信息系统的重要程度、遭受破坏后的危害范围（公民、社会、国家）和损失程度划分，等级越高，安全防护要求越严格：
一级：自主保护级。适用于普通个人、小微企业非核心系统，由主体自主开展安全防护，无需强制备案测评。
二级：指导保护级。适用于一般企事业单位办公系统、非核心业务系统，需完成备案，定期自主开展安全整改，按需测评。
三级：监督保护级。适用于政府部门、金融、医疗、能源、交通等关键行业核心业务系统，是企业最常涉及的等级，需每年强制测评、常态化合规整改，接受监管部门监督。
四级：强制保护级。适用于重要国家政务系统、关键基础设施核心系统，安全要求极高，需每半年开展测评，实行严格管控。
五级：专控保护级。适用于国家级核心涉密、关键信息系统，由国家专项管控，极少企业涉及。
五、新兴技术专项安全要求
针对五大新兴技术场景，MLPS 2.0 在通用安全要求基础上，增设专属差异化合规条款，解决新技术的安全特殊性问题：
云计算：重点规范云租户隔离、数据隔离、云平台权限管控、虚拟化安全、云端日志留存等；
物联网：聚焦终端接入安全、设备身份认证、数据采集合规、终端漏洞防护、物联网网关安全；
工业控制系统：保障工业生产、工控设备、生产网络的稳定性，杜绝工控漏洞引发生产事故；
移动互联网：规范APP安全、移动终端接入、移动数据传输、移动端权限管控；
大数据：强化数据采集、存储、传输、共享、销毁全流程安全，落实数据分级分类、隐私保护、数据防泄露要求。
六、标准合规核心流程
MLPS 2.0 合规是常态化闭环工作，核心流程分为五步，适用于二级及以上系统：
等级定级：梳理系统业务属性、影响范围，自主判定安全等级，完成定级备案；
差距整改：对照国标要求排查安全漏洞，完成设备部署、制度完善、人员培训、流程优化；
等级测评：委托具备资质的第三方测评机构开展合规测评，出具官方测评报告；
监督检查：接受公安、网信、行业主管部门的常态化抽查、远程监测；
持续运维：建立长效安全运营机制，定期复测、整改升级，保障持续合规。
七、制度价值与意义
1. 法定合规底线：作为《网络安全法》《数据安全法》的落地配套标准，是国内网络运营主体合法经营的基础要求，规避行政处罚、业务关停风险。
2. 系统化防护升级：帮助企业摆脱零散的安全设备堆砌，构建体系化、常态化的网络安全防护体系，有效防范黑客攻击、数据泄露、系统瘫痪等安全风险。
3. 适配数字发展：针对性覆盖新兴数字技术场景，为云计算、物联网、大数据等数字化业务的安全稳定运行提供标准化规范，平衡数字化发展与网络安全。
4. 国家网络安全基石：统一全国网络安全防护标准，规范各行业网络安全建设，筑牢国家关键信息基础设施和网络空间安全防线。
八、MLPS 与 CCPS 的关系详解
CCPS 全称 China Cybersecurity Classified Protection System，即中国网络安全分级保护体系，是国内等级保护制度的官方标准英文统称；而 MLPS（Multi-Level Protection Scheme）是等级保护体系的传统经典英文译名，二者指代同一套制度、完全同源、无本质差异，仅为英文命名迭代与使用场景区别。
1. 核心从属关系
CCPS 是新版官方统一英文名称，为适配我国网络安全对外标准化表述、接轨国际合规场景，近年由主管部门统一规范使用，泛指整套中国网络安全分级保护制度体系（包含等保1.0、等保2.0全阶段）。MLPS 是传统通用英文名称，长期用于国标翻译、测评文档、行业报告，日常所说的 MLPS 2.0 就是 CCPS 体系下的 2.0 版本落地规范。简单总结：CCPS 是制度总体系，MLPS 是该体系的经典别称，MLPS 2.0 = CCPS 2.0。
2. 二者细微使用差异
MLPS：侧重技术标准与落地实施层面，多用于测评、整改、合规建设、设备参数、行业科普等场景，是政企网安人员最常用的叫法，MLPS 2.0 专指 GB/T 22239-2019 现行等保标准。
CCPS：侧重制度体系、顶层合规、对外官方表述，多用于政策文件、国际交流、合规体系定义、监管口径，是当前国家主推的标准化英文定名。
3. 常见认知误区澄清
二者不是两套制度、无新旧体系更替、无合规差异，不存在 CCPS 替代 MLPS 的情况，仅为英文译名规范化统一。所有 MLPS 2.0 的安全要求、等级划分、合规流程、防护架构，与 CCPS 2.0 完全一致，企业合规建设、等级测评、监管检查均不受命名差异影响。
九、知名互联网大厂 MLPS 2.0（等保 2.0）定级总览
- 几乎所有头部互联网公司的核心业务、公有云平台统一为三级（监督保护级），这是互联网行业标配；
- 依据定级规则：海量用户、收集上亿条个人信息、面向全国公众服务、故障会严重扰乱社会公共秩序，强制定级三级
- 头部云厂商核心基础设施配套部分关键节点达到四级
- 极少数基础设施、国家级清算 / 通信骨干网会到四级；
- 全国性跨网云基础设施、国家级数据枢纽： 阿里云 / 腾讯云 / 华为云国家级骨干数据中心、跨区域调度集群；
- 国家级支付清算、电信互联系统：网联、银联线上清算平台、运营商互联网骨干交换节点；普通 APP、电商、社交软件不会定级四级。
- 互联网企业不存在五级系统；
- 企业内部小型官网、辅助办公系统会单独定级为二级。
- 同一公司内不同系统可分开定级，不强制全公司统一等级：
- 企业静态展示官网、品牌宣传站；
- 内部行政 OA、财务报销、小型内部 ERP；
- 区域线下门店管理系统（仅本地少量数据）；
- 小型内部测试平台、非对外辅助工具。
