阿里云等保实施方案要点：从资产梳理到测评
不少单位上云之后会有一个默认判断：阿里云自己都过了等保，我们跑在它上面的业务应该也算合规了。这个判断只对了一半。云平台和云租户是两个定级对象，各自的等级、备案、测评都要分别完成，平台那一份材料只能覆盖你责任范围内的那一段。
真到落地时，租户侧要做的动作很具体：把账号里的资源整理成台账、把安全组从"能通就行"改成"按需放行"、把日志从"出问题再翻"改成"留够六个月"。
先划清边界：平台管一段，你管一段
云上等保的责任划分沿用一条老原则——谁运营谁负责、谁使用谁负责。放到阿里云的具体场景里，大致是这样切分的：
- 云平台侧：机房物理环境、服务器与网络设备、虚拟化层、平台自身的管理系统，由云服务商定级、备案、测评；
- 租户侧：ECS 上的操作系统、中间件、应用系统、账号权限、数据、日志，全部由使用方自己负责；
- 可复用部分：物理环境、部分网络与安全管理类的测评结论，可依据监管口径在租户测评时复用。
有个细节容易被忽略：租户系统的备案级别一般不会高于所在云平台的备案级别。业务按规则应到三级，而资源池只备到二级，这个组合在备案环节就会被问住。选云之前先确认资源池的合规状态，比事后补材料省事。
采购或续约时，可向服务商索取三类材料：平台备案证明、测评报告关键页、安全产品销售许可证明，这三样是租户测评时最常被要求出示的旁证。备案材料与受理时限可参考等级保护备案，各地网安部门口径略有差异。
第一步：资产梳理，把资源清单变成定级台账
资产梳理不是把控制台里的资源数量导出来就完事。等保看的是"系统"，不是"实例"。同一台 ECS 上跑着三个互不相干的业务，应该拆成三个定级对象；反之，五台 ECS 加一个 RDS 共同支撑一套业务，就要合并成一个对象来定。
台账建议至少包含这几列：
| 字段 | 说明 |
|---|---|
| 系统名称 | 对外可识别的业务名，不要写"生产服务器 3" |
| 业务与数据 | 承载什么业务、涉及哪类个人信息或经营数据 |
| 责任部门 | 明确到人，测评时会问 |
| 暴露面 | 是否对公网开放、走哪条链路进来 |
| 拟定等级 | 二级或三级，附判定理由 |
| 备案状态 | 已备案 / 待备案 / 无需备案 |
容易漏掉的有几类：OSS 桶、CDN 回源、函数计算、消息队列、堡垒机自身，以及各类运维跳板。这些资源不承载业务流量，却是测评时"资产不全"的主要扣分点。定级方法可对照等级保护定级里的客体与侵害程度两条线推导。
第二步：网络与安全组，别把边界做成纸糊的
云上边界最典型的失分是安全组。为了联调方便，把 22 或 3389 端口对 0.0.0.0/0 放开，事后忘了收回——这类规则在测评现场几乎一查一个准。
几条实操建议：
- VPC 按用途拆分，生产、测试、办公各走各的，跨环境访问走对等连接并留记录；
- 公网入口收敛到负载均衡，前面挂 Web 应用防火墙，后端 ECS 不再直接持有公网地址；
- 数据库只允许应用层网段访问，白名单精确到具体地址，不开全通；
- 运维入口统一走堡垒机，安全组里只放行堡垒机的地址段。
测评机构进场后通常会索要安全组规则清单和公网地址清单，两份材料对不上，说明台账没维护住。这一步做完，等保整改的工作量能压掉一大半。
第三步：日志审计，六个月这条线怎么落地
《网络安全法》要求网络日志留存不少于六个月，这是硬性条款，也是云上最容易踩空的一条。云产品的默认保留期往往只有几天到一个月，不主动改配置，到期就自动滚动删除了。
云上有三处日志要分别确认：
- 平台操作日志：操作审计记录谁在控制台做了什么，属于账号层面的行为留痕；
- 主机与应用日志：日志服务采集系统日志、中间件日志、业务访问日志，保留期按六个月设置；
- 网络侧日志：VPC 流日志或云防火墙日志，用于回溯异常连接。
三个常见坑：只开采集不改保留期；日志里只有 IP 没有账号，追溯时对不上人；各机器时间不同步，务必统一时钟源。这条线打通，测评里的"安全审计"和"集中管控"两项基本就稳了。
第四步：主机与身份，租户侧真正的深水区
平台把底层兜住了，剩下的漏洞、弱口令、过期组件全在租户自己的机器上。
主机侧看三件事：基线配置是否收敛（多余服务、默认账户、口令策略）、补丁是否跟上、有没有统一的恶意代码防护。云安全中心能承担基线检查与漏洞发现，修复动作仍要自己排期。
身份侧比主机更容易出事。主账号的访问密钥长期硬编码在代码里，是云上事故的高发原因。合理做法是：日常运维全部使用子账号，按最小权限授权，开启多因素认证，密钥定期轮换；人员离职当天回收权限。数据侧则要确认对象存储不是公共读、数据库开启了加密与自动备份、备份做过恢复演练——只备不恢复，等于没备。
第五步：测评准备，材料齐了才谈得上顺利
测评不是进场才开始。建议提前一到两个月准备，材料清单大致包括：定级报告、备案证明、网络拓扑图、资产清单、安全管理制度、应急预案及演练记录、上一次测评的整改说明。
其中云平台那部分材料要向服务商提前申请，内部流程往往要几天到两周。测评机构确定后，先做一轮自查或差距分析，把明显不合规的项改掉再进场，比现场被开一堆整改项更省时间。
周期和费用方面：从启动到拿到测评报告，通常在两到四个月之间，取决于整改量和机构排期；测评费用按系统个数与等级计，单个系统常见在数千到数万元区间，云资源与整改投入另计。各地监管节奏不同，具体时限与收费标准以属地要求为准。想先估算整体预算，可以参考等保费用的分项拆法。
云上做等保，难的从来不是买产品，而是把责任边界、资产台账、日志留存这三件基础工作做扎实。这三件做完，测评更多是核对，而不是救火。