等保测评那 8 周:我们做了什么
等保三级(国家信息安全等级保护三级)是我们 2026 年的重要里程碑。2 月开始准备,4 月初通过测评,前后 8 周。
这篇记录我们做了什么、踩了什么坑、最终怎么通过的。给同行做参考。
为什么做等保三级
2025 年下半年,有 3 家银行客户想采购我们的 AI 数字员工方案,但合规要求是"等保三级及以上"。我们的方案当时没做等保,被刷下来了。
这 3 家银行加起来一年潜在订单 300 万,丢单代价很大。所以我们决定 2026 年做等保三级。
前 4 周:差距评估与方案设计
我们请了一家沈阳本地的等保测评机构(沈阳网安,化名)做差距评估。
差距评估报告出来后,我们发现要补的差距有 47 项,主要在 5 个方面:
- 物理安全:机房要装门禁、监控、温湿度控制、防雷
- 网络安全:要部署下一代防火墙、入侵检测、网闸
- 主机安全:服务器要装杀毒、补丁管理、日志审计
- 应用安全:AI 数字员工系统要做渗透测试、代码审计、权限管理
- 数据安全:客户数据要加密存储、加密传输、备份恢复
方案设计阶段,我们请了 2 个外部安全顾问,加 3 个内部工程师,花了 2 周。
第 5-6 周:采购与部署
硬件采购清单:
- 下一代防火墙 1 台:12 万
- 入侵检测系统 1 套:8 万
- 日志审计系统 1 套:5 万
- 门禁 + 监控 + 温湿度:6 万
- 加密存储 + 备份设备:4 万
- 合计:35 万
软件采购:
- 代码审计工具:3 万/年
- 渗透测试服务:2 万/次
- 合计:5 万
实施 + 测评费:8 万。
总投入:**48 万**。比我们预期的多 12 万,主要差在"物理安全"——我们原本以为有现成的机房,结果评估发现机房门禁和监控不达标,必须重新装。
第 7 周:文档准备与自测
等保测评需要提交大量文档:
- 系统安全方案
- 网络安全管理制度
- 主机安全管理制度
- 应用安全管理制度
- 数据安全管理制度
- 应急预案
- 风险评估报告
- 漏洞扫描报告
- 渗透测试报告
- 代码审计报告
这些文档,我们 4 个工程师花了 5 天写完。
写完之后,我们做了一次"自测":用工具扫一遍系统,看有没有"明显的安全漏洞"。扫出来 7 个小问题(主要是密码复杂度不够、日志保留期不够),全部修了。
第 8 周:正式测评
测评机构沈阳网安派了 3 个工程师来现场,做了 2 天测评:
- 第 1 天:物理检查 + 网络渗透测试
- 第 2 天:主机检查 + 应用测试 + 文档审查
测评结果:**通过**。
测评机构给了 1 个"建议整改项":我们的日志审计系统保留期是 6 个月,他们建议改成 12 个月(虽然法规最低 6 个月,但金融行业建议 12 个月)。我们决定改,多花 2 万升级。
4 月 8 日,正式拿到等保三级证书。
我们踩过的坑
回顾 8 周,有 3 个坑我们踩了,希望同行能避开:
坑 1:测评机构没选好。我们最初咨询了 3 家测评机构,报价分别是 6 万、9 万、12 万。我们选了最便宜的 6 万那家,签合同后才发现这家测评工程师经验不足,差距评估报告里漏了 11 项差距,导致后期返工。**最终我们选了报价 8 万的中间那家**(他们后来给我们加了 1 万做了补救),这才把流程理顺。
坑 2:客户数据加密做得太晚。我们以为"数据加密"是个配置项,实际上一开始就要从系统设计层面考虑。结果我们 6 周才加,影响了前面的渗透测试进度。如果第 1 周就考虑,后面会顺很多。
坑 3:文档用了 AI 生成,被测评机构看出来了。我们的系统安全方案文档里有几段是用 AI 生成的"模板话术",测评工程师一看就知道是机器写的,要求我们重写。重写花了 2 天。
教训:**等保文档必须"看起来像人写的"**,这点跟 SEO 文章一样。
等保三级的实际价值
4 月拿到证书后,我们立刻开始用等保作为销售卖点。
效果出乎意料地好:
- 5 月:某城商行签订 AI 客服员采购合同,150 万
- 6 月:某保险公司询问等保详情,我们提供了证书,客户从"问问"变成"上方案"
- 7 月:某省级政务平台咨询,对方明确说"必须等保三级"——以前我们被这一条筛过
48 万的投入,**回本周期 6 个月**。
给同行的建议
如果你也在考虑做等保,3 个建议:
- 不要选最便宜的测评机构,选"做过 AI 类系统"的
- 从第 1 周就把"数据加密"纳入系统设计,不要后补
- 文档必须真人写,模板话术会被看穿
等保三级不是"花钱买证",是"真的把安全做一遍"。这 8 周虽然累,但我们产品安全性提升了一个台阶,这个价值远超 48 万本身。
——辽宁天龙发科技 CTO 李工(化名) 整理