小程序、APP 要不要做等保？通报里这类案例

济南一家科技公司的小程序后台被扒了，数据直接泄露。公安一查，没制度、没培训、技术措施全空着。青岛那家更惨，平台被黑客拿去打诈骗电话。防火墙没装、日志没留、管理员账号还带着漏洞。泰州智慧停车小程序也一样，高危漏洞把车牌和轨迹全漏了。很多人以为小程序在微信里跑，等保就归微信管。大错特错——微信过的是它自己的测评，根本盖不住你的业务系统。定级备案的主体是你自己。那到底要不要做？看三条就够：一、收不收个人信息。手机号、身份证、住址、人脸、行踪轨迹，只要收，它就不是"内部工具"。二、对外不对外提供服务。缴费、挂号、点单、停车、报修，只要是给单位以外的人用的，就在等保范围里。三、沾不沾资金。支付、退款、开票，沾一样就跑不掉。三条占一条，就落在要定级的范围里，一般从二级起步；涉及大量个人信息或公共服务，还可能往三级走。三条都不占——纯内部、不联网、不存个人信息的展示页——才可能暂时不用做。短信接口最容易出事。南昌某中心的小程序接口没加限制，被人刷了14万多条涉赌短信。泉州共享茶室连身份核验都没有，未成年人绕进去参与赌博。最容易被罚的其实是日志。成都一家公司因为没把网络日志存够六个月，直接挨了通报。今天就能问开发三件事：短信接口一分钟能调多少次？日志存够半年了吗？咱们这套到底该定几级？别等出事了才想起来，你的小程序从来不是"小玩意儿"。
📌 回复「自查」，领《等保二级自查清单（135 项通用要求）》。关注「等保那点事」，每周 3~4 篇能直接抄的等保实操。