拿到测评报告先看哪几页：结构与结论解读
先看四页就够
一份三级等保测评报告通常几十页，正文七章加九个附录，从第一页顺着读，很容易读到单项测评就失去方向。实际使用中先看四页即可：结论页、重大风险隐患页、附录 C 的单项结果汇总表，以及首页那串报告编号。其余章节是证据链，等需要核对某个具体控制点时再回查。
一、报告编号：四组数字说明这份报告是谁的
2025 版模板的报告编号由四组数字组成，读法固定：
- 第一组是系统备案表编号，分两段共 16 位，前 11 位为受理备案的公安机关代码加备案单位顺序号，后 5 位为系统编号。
- 第二组是年份，两位数字。
- 第三组是测评机构代码，取自测评与检测评估机构服务认证证书编号的末四位。
- 第四组是本年度该系统被测评的次数，两位数字。
这四组看完能确认三件事：报告对应哪个备案系统、哪一年出的、这家机构当年对这套系统做过几次测评。跨年度对比、中途更换机构复测，靠的都是这串编号，而不是文件名。
二、基本信息表与声明：两处最容易漏看的内容
基本信息表要与备案证明逐项对齐：被测对象名称、安全保护等级、备案证明编号、统一社会信用代码。等级写法是「第三级（S3A3）」，S 指业务信息安全保护等级、A 指系统服务安全保护等级，两个数字允许不同，但不按这个格式写就属于表述错误。
声明部分有两句话决定了报告能用多久、用在哪里：
- 报告给出的结论，只对被测对象当时的安全状态有效；
- 测评完成后，若被测对象发生变更、涉及的系统构成组件或子系统改变，原报告对该部分不再适用。
也就是说，报告不是长期有效的合格标识。系统扩容、迁移上云、架构调整、新增对外接口，都可能让原结论失效，需要重新定级或重新测评。另一条常被忽略的规则是：每个备案系统单独出一份报告，多套系统不能合并成一本。
三、结论只有三档，判断看两个变量
2025 版模板取消了百分制得分和优、良、中、差，等级测评结论只剩三档：符合、基本符合、不符合。判断依据是两个变量——符合率，以及是否存在重大风险隐患。
符合率的算法写在模板里：单项符合总项数 ÷（该级别要求总项数 − 不适用项数）× 100%。
三档的分界是：
- 符合率落在 90% 到 100%，且不存在重大风险隐患，判为符合；
- 符合率落在 60% 到 90%，或符合率超过 90% 但存在重大风险隐患，判为基本符合；
- 符合率低于 60%，判为不符合。
这里有个细节最容易看错：部分符合不进分子，但仍占分母。以某三级系统为例，通用要求 211 项、云扩展要求 46 项，合计 257 项，其中不适用 27 项、单项符合 210 项，符合率＝210÷（257−27）＝91.3%。那些判为「部分符合」的项，既不算符合项，也不能从分母里扣掉。报告里「部分符合」越多，符合率通常越低于直觉。
第二个变量是重大风险隐患。它不由符合率推算，而是独立判定，描述要求从相关性、严重性、高发性三个角度展开。一个高风险问题就足以把结论从符合压到基本符合，这也是为什么两份符合率相近的报告，结论可能不同。
四、正文七章各管什么
正文章节的顺序，其实是证据链展开的顺序：
- 测评项目概述：测评目的、依据、过程与报告分发范围，用来确认测评是否覆盖完整周期。
- 被测对象描述：定级结果、业务与技术形态、网络结构、测评指标与测评对象清单，用来判断报告评的是不是你手上这套系统。
- 单项测评结果分析：篇幅最大，按十个安全类逐项列出控制点、测评项、测评方法与结果判定，另含漏洞扫描与渗透测试的验证结果。
- 整体测评：控制点之间、区域之间的关联判断，把单点合规上升为系统整体判断。
- 安全问题风险分析：对不符合项给出高、中、低风险定级。
- 等级测评结论：符合率与最终结论。
- 安全问题整改建议：逐条给出整改方向。
附录里首先要看附录 C（单项测评结果汇总表）和附录 B（上次测评问题整改情况说明）。前者一页纸能看到全部不符合项，后者能看出上一轮整改是否真的落地。
五、不符合项描述怎么读
- 看它挂在哪个要求项上。报告会标注控制点编号，同一句描述挂在不同控制点下，整改方式完全不同。
- 看测评方法。访谈、核查、测试三种方法取得的证据强度依次上升，测试得出的结论最难协商。
- 看「不适用」用得是否合理。不适用项会直接缩小分母，把不适用项算多了，符合率会被抬高。
- 看风险等级与整改建议。建议是方向性的，具体怎么改仍要结合自身架构，照抄别家方案容易返工。
六、从结论到整改的排序
整改不宜按报告章节顺序推。先处理重大风险隐患，再处理高风险项，最后收其余不符合项。符合率由分子和分母共同决定，把不适用项核实清楚，有时比补一堆低风险项更有效。整改完成后需要复测，复测会重新出报告，旧报告作为过程材料留存，别拿旧结论当现状说明。
七、三个常见误读
- 把「基本符合」当成可以收工。它是结论，不是收尾信号，监督检查时仍需说明整改进度。
- 拿旧版报告的分数套新三档。百分制与符合、基本符合、不符合之间不存在换算关系。
- 直接抄别家的不符合项清单。等级相同，指标未必逐条相同，叠加扩展要求后差异更大。定级与选指标的规则可参考定级备案部分，报告指标的选取依据见标准体系。
读报告的目的不是看懂格式，而是拿到一张可执行的整改工单：哪些是硬伤、哪些是证据不足、哪些其实不适用。把这三类分开，整改实施的排期才排得动，测评流程下一轮也才走得顺。涉及具体时限与材料口径，各省受理要求存在差异，以属地要求为准。