等保测评进场之前，站点这边要先把哪些事做完

收到测评通知，很多企业第一反应是赶紧找测评机构。真正决定能不能一次过的，往往不是机构，而是站点这一侧的准备工作做得够不够细。测评看的是证据，证据来自日常。

先把定级对象划清楚

等保是按系统定级，不是按公司定级。官网、会员系统、后台管理、对外接口，是一个对象还是几个对象，要先和测评机构对齐边界。边界不清，后面列的资产清单永远对不上，测评现场也会反复解释。GB/T 22240-2020 给出的是定级方法与流程，具体级别仍由运营单位确定，不是服务商能替企业拍的。

资产清单要能对上

域名、解析记录、公网地址、开放端口、中间件与框架版本、第三方组件、云主机与 CDN、证书，一样一样列。清单不是写给测评看的，是给自己整改用的。版本号写不准，后面的漏洞比对就失去意义，补丁也就无从谈起。

账号与权限先收一遍

后台管理员是否一人一号，离职人员账号是否停用，还有没有共享账号，运维是否长期使用最高权限，第三方服务商的账号是否独立。这几项最容易出问题，也最容易改。测评时调一份账号列表和最近的登录记录，很多事就清楚了。

日志得真的能查

访问日志、后台登录与操作日志、安全设备日志，是否开启、留存多久、能不能按时间与来源检索。日志缺失是最常见的不符合项之一，而它恰恰补不回来。发现得晚，只能从今天开始记。

边界与补丁

防护设备是只记录还是真的拦截，后台是否限制访问来源，测试环境有没有直接暴露在公网，组件是否存在已知高危漏洞未修。这几条在 GB/T 22239-2019 的范围内属于常规检查项，平时做过巡检的站点，这一关通常不难。

文档和演练

网络拓扑、部署说明、备份策略、恢复演练记录、应急预案。测评既看文档，也问实际操作，问的是“上一次恢复是什么时候做的”，不是“有没有制度”。

测评之后才是重点

不符合项整改一般有时间窗口，改完还要复核。把整改项拆成可验收的条目，落到人和日期，比写一份漂亮的整改报告有用得多。整改过程中动到线上配置的，先备份，再改，改完复查。

小结

等保测评考的是平时的功夫：边界清楚、资产齐全、权限收敛、日志完整、补丁及时、文档可用。这六件事做到位，测评只是把做过的事再确认一遍。冉冉科技在承接站点运维与改版时，会按这套清单先做一次自查，把能提前补的补上。

关于冉冉科技

江苏冉冉信息科技有限公司（品牌“冉冉科技”）成立于2017年，位于江苏省常州市新北区，是一家从事互联网信息服务、电子商务应用与企业应用系统开发的技术服务企业。公司业务涵盖网站建设、网页设计、SEO优化、竞价包年、域名注册、虚拟主机、企业邮箱、整合营销及企业形象策划等，以“只做有效果的网络营销”为服务主张，累计完成三千余起网站建设与服务。