\"你们单位等保怎么做的？\" 一位甲方负责人的全过程复盘

慧等保
慧等保

悟安

2026年10月19日 22:29
北京

去阅读

上个月在行业群里，一位同行私信我：\"你们单位等保怎么做的？我们今年也要测。\"

同样的问题我被问过四五次，干脆写下来，把我们走过的路、踩过的坑一次说清楚。

背景交代：一家做工业软件的甲方公司，三百来号人，ERP 和一套客户服务平台定的是三级，去年拿到的报告。牵头的是我，行政兼 IT，公司没有专职安全团队。

第一个坑：想省钱定二级

我最初的想法很朴素——二级便宜、流程短，能过就行。拿着这个想法去问人，被一句话顶了回来：定级不是你觉得自己该定几级，而是看系统一旦遭到破坏，对业务信息和系统服务造成的危害程度。我们那套客户服务平台存着两百多家制造企业的工艺参数，真出事不是自己赔钱的问题，是要被上游追责的。最后定的三级，专家评审一次过。

现在回头看，幸亏没在这步省钱。三级每年要复测，投入是二级的两三倍；但该定三级却定成二级，属于定级不准，监管查到照样要整改。

定　级GB/T 22240备　案公安机关审核建设整改GB/T 22239-2019等级测评符合 / 基本符合监督检查三级每年复测甲方投入重点：定级别省钱　·　材料别卡补正　·　先预测评再买设备　·　高危项清零　·　台账常年在线等保不是\"一测了之\"——每年回环，常态运营关键判定：符合率 ≥90% 且无重大风险隐患 =「符合」；有重大风险隐患，一票否决为「基本符合」

第二个坑：先买设备，后做摸底

这是最亏的一步。我听信了\"先买齐盒子再测\"的说法，云防火墙、堡垒机、数据库审计一口气上了三样，二十多万。结果正式测评前的预测评里，扣分最狠的几条是：管理员还在用初始口令、日志只留了 30 天、重要数据没有异地备份——这些一分钱不用花，改配置就能解决；反倒是我买的设备里有两台策略没调优，测评时被判\"配置未生效\"。

正确的顺序是先预测评，再动手。对照 GB/T 22239-2019 做一遍差距分析，把问题分三档：重大风险隐患必须排掉、一般不符合项优先改配置改策略、剩下的排进下一年的预算计划。

再补一句云上的事：我们一半系统跑在公有云上。云厂商只管底层基础设施，操作系统、应用、数据这一层仍是租户自己的活儿。这个责任边界一开始没搞清楚，整改清单来回改了两遍。

第三个坑：以为拿到报告就结束了

自 2025 年 3 月 20 日起，测评报告启用新版模板，不再打分，只判\"符合 / 基本符合 / 不符合\"。规则很硬：符合率 ≥90% 且没有重大风险隐患，才是\"符合\"；哪怕符合率过了 90%，只要存在重大风险隐患，也只能落到\"基本符合\"——一票否决。

我们第一次送测拿的就是\"基本符合\"，卡在日志留存不足六个月。补了两个月日志、把备份改成同城加异地双份，复测才拿到\"符合\"，来回多花六周。

第二年还有个更隐蔽的坑：台账。账号怎么审批、变更怎么留痕、离职人员权限怎么回收，测评老师翻台账一问一个准。去年 11 月有个开发离职，账号忘了回收，差点被扣掉一整项。

后来我们怎么解决的

第二年我们找了慧等保做全流程托管。说实话，最值钱的是三件事：一是定级把关和备案代办，材料我们只负责盖章；二是预测评，正式测评前把高危项排干净，没再返工；三是整改排进业务低峰窗口——我们的系统不能随便停，堡垒机和日志集中都放在周末灰度切换，一次业务投诉都没有。

他们的等保一体机（云防火墙、WAF、堡垒机、数据库审计、日志审计、主机安全）我们是按差距分析的结果选了三件，不是全买，这块完全可以谈。

给同行的三条建议

1. 先定级再谈钱。

定错级，后面全是白干。
2. 先预测评再买设备。

花钱的顺序错了，钱就白花了。
3. 把等保当运营，别当项目。

三级每年复测，制度台账要常年在线，最好每季度自查一次。

今年开始还多了一层压力：新修订的《网络安全法》自 2026 年 1 月 1 日起施行，未履行安全保护义务的罚款上限提到一千万元，直接负责的主管人员最高一百万元。等保已经从\"做不做\"变成\"做不好要罚多少\"，没有观望空间了。

如果你今年也要测，别急着问报价，先把两件事摸清楚：这套系统该定几级，现在有没有踩中重大风险隐患。这两件事清楚了，剩下的都好谈。

本文为甲方复盘，涉及慧等保的部分仅为实际服务记录。慧等保做等保测评、整改与常态化运维，从定级到复测一条龙兜底。