等保2.0三级测评国企怎么准备？测评项清单和整改顺序

等保测评的通知下来，多数国企IT部门的反应是头大：测评机构要进场、几十个测评项要过、整改窗口只有一两个月。等保2.0三级是国企信息系统的常见定级，这篇文章把三级的测评框架、高频失分项、整改的优先顺序讲清楚，帮第一次迎测的团队少走弯路。

测评的通过逻辑一句话：技术项靠整改，管理项靠准备，分数靠两者的乘积。技术整改有周期，管理准备看细致，这篇文章按测评项分类给出准备清单和整改排序，照着排优先级，有限的时间花在分值最高的地方。

一、先搞清楚测评的游戏规则

等保测评不是抽奖，是标准化的考试：测评机构按国家标准逐项核查，给出符合、基本符合、不符合的判定，最后汇总成测评分。理解规则的几个要点。

• 测评对象是系统：定级备案的系统（比如集团的报送系统、OA系统），不是企业整体。一个企业多个系统分别定级分别测。
• 技术加管理双轨：测评项分技术类（安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心）和管理类（制度、机构、人员、建设、运维），分数权重各半。管理类的准备空间大，性价比高。
• 61分及格，但目标要定75+：测评结论分优（90+）、良（80-90）、中（70-80）、差（70以下），60分以上才算通过但"中"的结论在行业检查里不好看。目标定在良以上，整改清单按这个目标倒排。

二、技术类测评项的核查方式和准备

技术类的核查方式：看现场、查配置、做验证测试。五个层面逐个说。

• 安全物理环境：机房。核查门禁记录、监控覆盖、消防设施、UPS供电。高频失分：机房无门禁记录（有设备无台账）、气体灭火过期。准备：物理类的整改是花钱就能解决的，提前一个月动工。
• 安全通信网络：网络架构。核查网络拓扑图、内外网隔离、链路冗余。高频失分：拓扑图和实际不符（改了网络没更新图）、关键链路无冗余。准备：先做一次实际拓扑的核对，图物一致是底线。
• 安全区域边界：边界防护。核查防火墙策略、入侵检测、访问控制。高频失分：防火墙策略多年未梳理（含大量ANY ANY的历史策略）、无IDS/IPS或设备离线。准备：策略梳理是工作量大头，按"默认拒绝、按需开放"原则清洗一轮。
• 安全计算环境：主机和应用。核查身份鉴别、访问控制、数据加密、日志审计。高频失分：弱口令（测评现场用admin/123456能登录）、重要数据明文传输、日志留存不足六个月。准备：口令策略强制化、敏感链路加密改造、日志平台扩容，这三件事覆盖八成失分风险。
• 安全管理中心：集中管控。核查是否有集中监控平台、账号集中管理。这块多数企业偏弱，但准备周期短：部署一套堡垒机加监控平台（搭贝的集成能力可以把既有的监控数据接进来集中呈现），一两个月能成形。

三、管理类测评项的核查方式和准备

管理类核查的是文档和记录，"写你所做、做你所写"。

• 安全管理制度：制度的体系文件（总纲、管理制度、操作规程、记录表单四级文件）。高频失分：制度残缺（有总纲无细则）、制度和实际两张皮（制度写的季度审计，实际从没做过）。准备：制度文件对照测评要求逐条补齐，更重要的是让执行记录跟上（审计有审计报告、巡检有巡检记录）。
• 安全管理机构：安全领导小组、信息安全岗的设立文件和履职记录。高频失分：机构成立了无履职痕迹。准备：把年度的安全工作会议、安全检查记录归拢成册。
• 安全管理人员：人员录用离岗管理、安全培训、外部人员访问管理。高频失分：无安全培训记录、外包人员无保密协议。准备：培训计划和签到记录补做（组织真实的培训，别只造册子）、外包协议里的安全条款补签。
• 安全建设管理：系统建设周期的安全管理（定级备案、方案设计、产品采购、自行开发、外包开发、测试验收）。高频失分：定级备案证书缺失或过期、安全方案未经评审。准备：备案手续的补办要趁早（政务流程有周期）。
• 安全运维管理：日常运维的安全管理（资产管理、漏洞管理、密码管理、变更管理、备份恢复、应急预案）。高频失分：无漏洞扫描记录、应急预案无演练记录、备份无恢复测试记录。准备：这些记录都是"做过的才拿得出"，赶紧把该做的 routine 跑起来（季度漏洞扫描、年度应急演练、半年度恢复测试），记录同步归档。

四、整改的优先顺序：投入产出矩阵

测评整改清单下来通常几十项，不能平均用力。按"失分影响×整改成本"分四类处理。

• 高影响低成本（立即做）：弱口令整改、制度文件补齐、记录归档、拓扑图更新。这类占清单的一半以上，一两周内清完。
• 高影响高成本（排期做）：日志平台建设、堡垒机部署、链路加密改造。这类要立项排预算，测评前做不完的和测评机构沟通整改计划（有计划在途的失分项，结论阶段有商量空间）。
• 低影响低成本（顺手做）：标识标签完善、机房上墙制度、记录模板规范化。顺手清掉，积少成多。
• 低影响高成本（评估做）：异地灾备建设、部分冗余改造。这类结合企业实际风险决策，该缓的缓（说明风险接受的理由），别为测评片面上重装备。

五、测评过程的配合要点

配合还有个容易忽视的细节：现场的设备访问权限提前申请（测评师要登防火墙查配置，临时找密码审批权限，耽误的是自己的时间），测试环境的准备（渗透测试在哪个环境做、会不会碰生产，提前界定清楚并留书面确认）。现场配合顺畅的测评，周期比预期短一周不是稀罕事。

测评机构进场后的一周，配合质量直接影响判定结果。

• 材料预审：测评方会先发材料清单（制度文件、拓扑图、配置清单、记录样例），进场前把材料按清单备齐编目，别让测评师在现场等材料——等待产生的烦躁会体现在核查的严格度上。
• 现场核查的陪同：每个核查环节安排熟悉的人陪同（机房核查有运维、配置核查有网管、制度核查有安全岗），陪同人员知道"在哪能找到什么"，核查效率高，印象分好。
• 访谈环节的准备：对员工的访谈（知道自己的安全职责吗、密码多久换一次）是常态环节，提前做全员通识沟通（一页纸的应知应会），别让一线员工现场卡壳。
• 不符合项的现场沟通：测评师指出的不符合，能当场说明整改计划的当场说明（态度分），有争议的项提供补充证据而不是争执，测评师的专业判断大概率比企业的自我评估准确。

六、测评之后的持续合规

测评通过不是终点，等保是"常态化合规"的框架：每年自查、定期测评（三级系统每年一次）、变更重新报备。把测评准备变成日常管理：整改清单转成年度安全工作计划、测评项转成运维检查表（用搭贝搭个等保合规台账，测评项、责任部门、自查结果、整改状态一表管理），第二年的测评准备就是"从台账里打印材料"的轻松活。

安全建设的投入逻辑也别被测评绑架：测评是及格线，企业的实际风险场景（数据泄露、勒索、业务中断）要求的投入可能高于测评标准。合规之上的增量投入按风险算账，这才是安全管理的成熟姿态。

常见问题

Q：三级测评的费用和周期大概什么量级？
测评费用地区和系统规模差异大，三级系统单项测评的市场价大致两到五万，周期从进场到出报告一般四到八周（含整改时间）。加上整改投入（大头是设备和人力），整体预算按十万级预估比较稳妥（不含大型平台建设）。这笔钱在立项时就要留，临测挤预算很被动。

Q：上次测评没过，这次怎么翻身？
上次的不符合项是这次的必考题：逐项复核整改证据（上次扣分的点这次先自查一遍），测评机构对复测企业的历史问题是重点核查。翻身的正确姿势：把上次的整改报告做扎实（每项不符合的整改证据链完整），新暴露的问题按优先级处理，别让新失分项抵消整改成果。

Q：云上的系统怎么测？
云系统按云平台和租户系统分别定级：用公有云的平台侧合规由云商负责（要云商的等保证明），企业侧只测应用和数据的管理责任部分；私有云的整体自己扛。云系统的测评范围在合同和架构图里要提前厘清，别到测评现场才发现责任边界说不清。

Q：管理制度和实际执行不一致，测评师会深究吗？
会。制度与执行的一致性是管理类测评的核心方法：测评师拿制度条文抽查执行记录（制度说月度巡检，就要抽十二个月的巡检记录），拿记录反推制度（记录里出现了制度没定义的动作，一样是缺陷）。两张皮的做法在专业测评面前基本无所遁形，与其造记录，不如把制度改到和实际匹配（降低制度标准到可执行的水平，也是合规的路径）。

Q：等保和密评、关基检查什么关系？
三个合规体系各有侧重：等保管基础安全，密评管商用密码应用的合规（用了密码技术的系统要做），关基检查针对被认定为关键信息基础设施的系统（要求更高）。三者有重叠（都看边界防护和密码使用），整改可以统筹做（一次整改满足多个体系的要求），报告分别出。被列入关基的企业，等保要求自动升级（按关基的标准执行）。