云上业务合规要求越来越细，安全体系由应付检查转变为常态化运营。等保2.0是基本的参考框架，落地路径可以分成三条线。
合规线按照等级来推进。定级备案为起点，第二级和第三级在测评频率和控制项数量上差异很大，费用、工期按等级进行规划。技术方面主要涉及访问控制、边界防护、数据加密以及备份恢复四个方面的控制项，云服务本身已经具备了一部分能力，租用合规云资源可以继承其测评结果，从而减少自建投入；应用侧的漏洞管理、权限最小化和审计留痕还需要站点自己去做。差距清单在测评之前进行自查一次，整改的时间更加充裕。
勒索防御线重副本。攻击成功之后损失的大小取决于可以恢复的副本数量以及副本的新鲜程度，本地、异地、离线三份备份不共用账号和凭据，重要副本设置不可变存储策略，覆盖与删除需要额外的授权。入口面收敛是另一半工作：远程管理端口不暴露公网、口令定期轮换、补丁灰度及时更新，被利用的通常是长期未动的旧弱点。
审计线讲留存。系统日志、访问日志以及安全设备日志统一收集，按照法律法规的规定保留一定的时间长度，并且单独存放，防止和业务流程一起被删除；异常登录、批量下载和权限变更设置实时告警，事后追溯依靠台账而不是记忆。
三条线每年进行一次复核，在架构和法规发生变化时一并更新差距清单。