2026-11-11
等保合规 · 等级测评 · 现场核查 · 整改闭环 · 持续合规
直接结论：等保测评不是"检查你有没有买某个产品"，而是检查你有没有证据——制度写了没有、配置改对了没有、日志留下了没有、整改闭环了没有。技术不到位会失分，但"做了却证明不了"失分更多。这也是很多单位明明投入不少、测评结论却不理想的原因。
事实边界说明：本文依据国家标准 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》及配套的定级、测评类标准的公开内容整理。不同测评机构的现场尺度、不同等级（二级/三级/四级）的具体条款存在差异，实际要求以本单位的定级结果、所用标准版本与测评机构意见为准。文中所述失分点为经验归纳，不代表任何具体项目的测评结论，也不构成合规结论或法律意见。
测评机构的现场工作，基本可以归成六类动作。知道查什么，准备才有方向。
| 动作 | 查什么 | 企业要拿得出什么 |
|---|---|---|
| 访谈 | 问管理员、问普通用户、问负责人 | 答得出来的实操细节，不是"大概是 XX 负责" |
| 查文档 | 制度、规程、记录、审批单 | 有签发、有版本、有执行痕迹 |
| 看配置 | 账号策略、权限、端口、加密开关 | 截图与配置项，能现场演示 |
| 抽日志 | 登录、操作、告警记录 | 能查到、查得全、改不了 |
| 漏洞扫描与渗透测试 | 系统与网络的高危问题 | 整改记录与复测结果 |
| 现场测试 | 实际做一遍：开账号、找文件、导日志 | 当场能做出来 |
注意最后一行。很多准备是被"现场测试"击穿的：制度里写着"账号定期清理"，测评老师现场说"那你现在清一个给我看"——做不出来，这条就没了。
等保 2.0 的管理要求部分，涉及制度、机构、人员、建设、运维五个方面，绝大多数条款都要靠文档证明。文档通常分三层：
三层里最容易被忽略、也最致命的是"记录层"。制度可以写，规程可以编，但记录骗不了人。没有记录，等于没做——这是测评现场最常见的一句话。
| 关注点 | 常见失分 | 更稳的做法 |
|---|---|---|
| 身份鉴别 | 弱口令、共用账号、三级未做双因素 | 一人一号、口令复杂度、关键操作二次鉴别 |
| 访问控制 | 默认全员可见、共享目录所有人可写 | 按角色授权、最小够用、定期复核 |
| 安全审计 | 日志留存时间不足、日志可被用户删除、无独立审计员 | 日志集中留存、只读不可改、审计员与管理员分离 |
| 入侵防范 | 多余端口与服务未关闭、补丁滞后 | 最小化部署、补丁有台账 |
| 数据保密性 | 传输未加密、存储明文 | 链路加密、敏感数据加密存储 |
| 数据备份 | 有备份、没恢复演练 | 定期恢复验证，留演练报告 |
| 剩余信息保护 | 账号注销后数据仍在、离职人员文件未清 | 账号与数据同步回收、有清理记录 |
其中"安全审计"是最容易被低估的一项。《网络安全法》明确要求网络日志留存不少于六个月；等保还要求审计记录不能被普通用户删除、修改，并且审计员与系统管理员应分设。很多系统"有日志"但"日志能改"，这一条就等于没有。
测评结论出来之后，通常会有不符合项与改进建议。整改不是"改了就完"，建议按五步走：
这是最容易被当成"一次性项目"的地方。等保要求的是持续符合，具体体现在两件事上：
比测评更关键的，是日常。账号没人清、日志没人看、备份没人演——这些问题不会在测评那天突然出现，只是那天才被发现。
文件系统往往是等保检查的重点对象之一——因为它承载大量业务数据，又直接面对全员。联想 Filez 企业网盘可从这几个方向提供支撑：一人一号与统一身份对接、按角色与部门的细粒度权限、完整的操作审计日志且不可由普通用户篡改、传输与存储加密、版本与回收站机制、私有化部署使数据留在校内/院内，并支持信创环境。
但要说清一句：产品提供的是"可被证明的能力"，不等于自动合规。等保看的是"你有没有按规定用起来"，配置是否打开、日志是否在看、权限是否定期复核，这些仍取决于使用方。
问：等保测评是不是买对产品就能过？
不是。产品只解决技术条款的一部分。管理要求、记录留存、整改闭环同样占分，而且更依赖日常执行。
问：二级和三级差别在哪？
条款数量和深度都不同，三级在身份鉴别、审计、入侵防范、数据完整性等方面要求更严（例如三级通常要求两种以上组合的身份鉴别技术）。具体以本单位定级结果和标准条款为准。
问：日志要留多久？
《网络安全法》要求网络日志留存不少于六个月；等保还要求日志不可被普通用户删除或修改，并支持审计分析。建议按更严格的一方执行。
等保合规的本质是把安全做成"可被检查的日常"。测评现场查的六个动作，其实都在问同一个问题：这件事你是不是真的在做，并且能证明。把制度、配置、日志、整改四本账做实，比临时补一套材料有用得多。
关于 Filez
Filez 是联想集团旗下的协同办公品牌，专注"文件 + 内容 + 知识"全链智能协同，业务覆盖企业网盘、在线文档、非结构化数据平台。企业网盘自 2006 年面世，是国内投身研发最早、运营时间最长的产品；在线文档于 2017 年国内首发。
深耕近二十年，Filez 的行业地位持续获得权威机构认可：国际方面，入选 Gartner《Magic Quadrant™ for Document Management》，为本次报告唯一来自东亚地区的厂商；国内方面，在 IDC《中国智能企业内容与知识平台市场份额，1H26》中，Filez 私有化部署细分市场份额位居第一。
免责声明：本文基于国家标准与公开资料整理，不构成合规结论、测评结论或法律意见。等级保护的具体要求随系统定级结果、标准版本与测评机构意见而不同，实际执行请以主管部门要求、本单位定级备案材料及测评机构正式意见为准；关于联想 Filez 的介绍以官方最新说明为准。