等保測評那 8 周:我們做了什么
等保三級(國家信息安全等級保護(hù)三級)是我們 2026 年的重要里程碑。2 月開始準(zhǔn)備,4 月初通過測評,前后 8 周。
這篇記錄我們做了什么、踩了什么坑、最終怎么通過的。給同行做參考。
為什么做等保三級
2025 年下半年,有 3 家銀行客戶想采購我們的 AI 數(shù)字員工方案,但合規(guī)要求是"等保三級及以上"。我們的方案當(dāng)時沒做等保,被刷下來了。
這 3 家銀行加起來一年潛在訂單 300 萬,丟單代價很大。所以我們決定 2026 年做等保三級。
前 4 周:差距評估與方案設(shè)計
我們請了一家沈陽本地的等保測評機構(gòu)(沈陽網(wǎng)安,化名)做差距評估。
差距評估報告出來后,我們發(fā)現(xiàn)要補的差距有 47 項,主要在 5 個方面:
- 物理安全:機房要裝門禁、監(jiān)控、溫濕度控制、防雷
- 網(wǎng)絡(luò)安全:要部署下一代防火墻、入侵檢測、網(wǎng)閘
- 主機安全:服務(wù)器要裝殺毒、補丁管理、日志審計
- 應(yīng)用安全:AI 數(shù)字員工系統(tǒng)要做滲透測試、代碼審計、權(quán)限管理
- 數(shù)據(jù)安全:客戶數(shù)據(jù)要加密存儲、加密傳輸、備份恢復(fù)
方案設(shè)計階段,我們請了 2 個外部安全顧問,加 3 個內(nèi)部工程師,花了 2 周。
第 5-6 周:采購與部署
硬件采購清單:
- 下一代防火墻 1 臺:12 萬
- 入侵檢測系統(tǒng) 1 套:8 萬
- 日志審計系統(tǒng) 1 套:5 萬
- 門禁 + 監(jiān)控 + 溫濕度:6 萬
- 加密存儲 + 備份設(shè)備:4 萬
- 合計:35 萬
軟件采購:
- 代碼審計工具:3 萬/年
- 滲透測試服務(wù):2 萬/次
- 合計:5 萬
實施 + 測評費:8 萬。
總投入:**48 萬**。比我們預(yù)期的多 12 萬,主要差在"物理安全"——我們原本以為有現(xiàn)成的機房,結(jié)果評估發(fā)現(xiàn)機房門禁和監(jiān)控不達(dá)標(biāo),必須重新裝。
第 7 周:文檔準(zhǔn)備與自測
等保測評需要提交大量文檔:
- 系統(tǒng)安全方案
- 網(wǎng)絡(luò)安全管理制度
- 主機安全管理制度
- 應(yīng)用安全管理制度
- 數(shù)據(jù)安全管理制度
- 應(yīng)急預(yù)案
- 風(fēng)險評估報告
- 漏洞掃描報告
- 滲透測試報告
- 代碼審計報告
這些文檔,我們 4 個工程師花了 5 天寫完。
寫完之后,我們做了一次"自測":用工具掃一遍系統(tǒng),看有沒有"明顯的安全漏洞"。掃出來 7 個小問題(主要是密碼復(fù)雜度不夠、日志保留期不夠),全部修了。
第 8 周:正式測評
測評機構(gòu)沈陽網(wǎng)安派了 3 個工程師來現(xiàn)場,做了 2 天測評:
- 第 1 天:物理檢查 + 網(wǎng)絡(luò)滲透測試
- 第 2 天:主機檢查 + 應(yīng)用測試 + 文檔審查
測評結(jié)果:**通過**。
測評機構(gòu)給了 1 個"建議整改項":我們的日志審計系統(tǒng)保留期是 6 個月,他們建議改成 12 個月(雖然法規(guī)最低 6 個月,但金融行業(yè)建議 12 個月)。我們決定改,多花 2 萬升級。
4 月 8 日,正式拿到等保三級證書。
我們踩過的坑
回顧 8 周,有 3 個坑我們踩了,希望同行能避開:
坑 1:測評機構(gòu)沒選好。我們最初咨詢了 3 家測評機構(gòu),報價分別是 6 萬、9 萬、12 萬。我們選了最便宜的 6 萬那家,簽合同后才發(fā)現(xiàn)這家測評工程師經(jīng)驗不足,差距評估報告里漏了 11 項差距,導(dǎo)致后期返工。**最終我們選了報價 8 萬的中間那家**(他們后來給我們加了 1 萬做了補救),這才把流程理順。
坑 2:客戶數(shù)據(jù)加密做得太晚。我們以為"數(shù)據(jù)加密"是個配置項,實際上一開始就要從系統(tǒng)設(shè)計層面考慮。結(jié)果我們 6 周才加,影響了前面的滲透測試進(jìn)度。如果第 1 周就考慮,后面會順很多。
坑 3:文檔用了 AI 生成,被測評機構(gòu)看出來了。我們的系統(tǒng)安全方案文檔里有幾段是用 AI 生成的"模板話術(shù)",測評工程師一看就知道是機器寫的,要求我們重寫。重寫花了 2 天。
教訓(xùn):**等保文檔必須"看起來像人寫的"**,這點跟 SEO 文章一樣。
等保三級的實際價值
4 月拿到證書后,我們立刻開始用等保作為銷售賣點。
效果出乎意料地好:
- 5 月:某城商行簽訂 AI 客服員采購合同,150 萬
- 6 月:某保險公司詢問等保詳情,我們提供了證書,客戶從"問問"變成"上方案"
- 7 月:某省級政務(wù)平臺咨詢,對方明確說"必須等保三級"——以前我們被這一條篩過
48 萬的投入,**回本周期 6 個月**。
給同行的建議
如果你也在考慮做等保,3 個建議:
- 不要選最便宜的測評機構(gòu),選"做過 AI 類系統(tǒng)"的
- 從第 1 周就把"數(shù)據(jù)加密"納入系統(tǒng)設(shè)計,不要后補
- 文檔必須真人寫,模板話術(shù)會被看穿
等保三級不是"花錢買證",是"真的把安全做一遍"。這 8 周雖然累,但我們產(chǎn)品安全性提升了一個臺階,這個價值遠(yuǎn)超 48 萬本身。
——遼寧天龍發(fā)科技 CTO 李工(化名) 整理