天翼云等保测评排期：什么时候启动、要走几步
系统部署在天翼云上之后，等保项目真正卡住的往往不是技术，而是排期。很多单位把测评当成"最后一道手续"，临近检查才启动，结果整改来不及、材料凑不齐，只能临时延期。更稳的做法是倒过来做计划：先确定报告必须在哪一天之前落地，再往前推节点。本文围绕天翼云这类公有云环境，把排期该怎么排、每个节点大概要多久、中间要准备哪些材料讲清楚。
一、排期先倒推：从"哪天必须拿到结果"往前算
等保不是一个单点动作，而是一条有前后依赖的链条，后面每一步都建立在前面完成的基础上。倒推时要留出的余量主要在三处：
- 整改周期不可压缩。差距摸底之后列出的整改项，涉及网络策略调整、日志补齐、制度编写、设备采购的部分，都需要实际工期，采购流程本身就可能占去数周。
- 测评机构排期。正式测评需要机构派人进场，机构自身也有排期，旺季常常要提前两到四周预约。
- 首次测评不等于结束。多数系统在首次测评后会留下需要整改的问题项，改完再复测，这一来一回至少再留出两到四周。
比较稳妥的经验值是：三级系统从启动到拿到报告，整体留出三到六个月；二级系统相对轻一些，一般两到四个月。这只是常见区间，具体到每个系统差异很大，实际以属地要求为准。
二、五个节点分别要做什么、大概要多久
按等保 2.0 的通行做法，一条完整链路可以拆成五个节点。
- 系统定级。先确定被测系统的边界——哪些云主机、数据库、中间件、应用属于这个系统，再依据业务重要性与受侵害后果确定等级。云上系统最容易在这里出错：把多个业务混在一起定级，或者漏掉某个实际承载业务的实例。定级结果需要组织评审并留存记录。这一步通常一到两周。
- 定级备案。定级确定后向属地公安机关网安部门备案，取得备案证明。多数地区要求在定级完成后三十日内提交，材料清单与格式各地略有差异，以属地要求为准。云上系统备案时，常被要求补充云平台侧的说明材料。这一步一到三周。
- 差距摸底（初测/自评）。对照对应等级的要求逐项自查，找出缺失项，形成整改清单。云上环境这一步重点是租户侧配置：安全组策略、账号与权限、日志留存、备份恢复、运维审计。一到两周。
- 整改建设。按整改清单逐项补齐，属于云上配置类的可以较快完成，涉及制度体系、硬件采购、应用改造的耗时较长，一般一到三个月。
- 正式测评与复测。机构进场测评，出具测评结论；有问题项则整改后复测。现场测评本身通常一到两周，加上报告编制与复测，整体三到六周。
需要注意的是，等级不同，后续复测频率也不同：三级系统原则上每年测评一次，二级系统原则上两年一次，具体执行口径以属地要求为准。
三、云上系统要提前向云平台索取的证明材料
这是云上等保与自建机房最大的区别之一：物理与环境、部分网络与设施类要求由云平台承担，测评时需要用平台的材料来证明，而不是租户自己写说明。建议在项目启动第一周就同步发起索取，因为这部分材料的获取周期不由租户控制。常见需要准备的有：
- 云平台自身已通过等级测评的证明材料，以及对应的备案证明。
- 安全责任分担说明，写清平台侧与租户侧各自承担哪些安全职责，这是划分整改范围的依据。
- 云平台所在地域、机房可用性等相关说明，用于回答物理位置与基础设施类问题。
- 天翼云侧可提供的安全能力说明，如云防火墙、Web 应用防护、堡垒机、日志与审计、备份等服务的开通情况与配置说明，产品名称与能力以现网为准。
拿到这些材料后再做差距摸底，可以避免把平台侧已承担的要求误判成自己的整改项，白做一轮工作量。相关定级与备案的材料细节可以参考站内等级保护定级与等保备案两个板块的说明。
四、周期与费用大致落在什么区间
费用没有统一价，它与系统等级、规模（云主机与数据库数量、应用数量）、整改量、是否需要采购设备强相关。市场上常见的区间大致是：二级系统整体投入多在数万元量级，三级系统多在数万元到十余万元量级，涉及大规模整改或需补充安全设备的项目会更高。这个区间只是估算参照，不同地区、不同机构的报价差异明显，最终以属地要求为准，建议按实际整改清单逐项询价后汇总。
时间上要特别注意两类"看不见的消耗"：一是跨部门协调，制度类整改需要业务部门配合，往往比技术整改更慢；二是采购流程，走完审批再到货安装，常常是整条链路中最不可控的一段。排期时把这两项单独标出来，比单纯压缩测评环节更有效。整改阶段的常见做法与优先级排序，可对照站内等保整改板块的内容。
五、排期最容易踩的三个坑
- 把备案当成结束。拿到备案证明只是起点，后面的整改工作量才是主体，按备案完成就"松一口气"来排期，几乎必然延期。
- 云上系统照搬自建机房的整改清单。云环境里物理与环境类要求由平台承担，照搬会多出一批无效整改项；反过来，如果忽略责任分担说明，把平台侧要求也算到自己头上，同样会做无用功。
- 不留复测余量。首次测评后留有整改项是很常见的情况，排期时把复测时间预留出来，比事后压缩整改更现实。
六、一份可以直接用的排期建议
如果系统还没有启动，可以按这个节奏安排：第一个月完成定级与备案并同步索取云平台材料；第二个月完成差距摸底并启动整改；第三到第四个月完成整改并预约机构进场；最后留三到四周做正式测评、复测与报告。若要在检查节点前留出缓冲，整体再往前推两周起步。
需要强调的是，以上节点与耗时都是常见情况下的估算，各地公安机关网安部门对备案材料、整改期限、复测要求的规定并不完全一致，实际执行时请以属地要求为准。