华为云等保三级不符合项自检-等保测评网

在华为云上做等保三级，很多单位第一反应是先买齐 WAF、主机安全、堡垒机。产品到位只是及格线，真正被判不符合的往往是安全组规则、日志保留期、账号权限这类配置细节。下面按四条技术线加一条管理线拆开讲，并给出自查顺序。

先厘清口径：2025 版模板已不看分数

讨论"扣分"前先更新规则。按《网络安全等级测评报告模板（2025 版）》，以报告出具日期为准，2025 年 3 月 20 日之后出具的报告按新模板执行：原先"优、良、中、差"的得分体系取消，结论改为"符合、基本符合、不符合"。

判定看两个量：符合率与重大风险隐患数量。符合率＝单项符合总项数 ÷（该级别要求总项数－不适用项数）×100%。符合率在 90% 以上且无重大风险隐患，判"符合"；60% 到 90% 之间判"基本符合"；低于 60% 判"不符合"。

关键在最后一条：符合率超过 90% 但存在重大风险隐患，结论也只能是"基本符合"。重大风险隐患按相关性、严重性、高发性三原则判断，可能由单个高风险问题触发，也可能是若干高中低问题叠加，判定依据是《网络安全等级测评高风险判定实施指引》。自查的重点不是"能得多少分"，而是"有没有触发项"。

最常见的一处：安全组入方向对 0.0.0.0/0 开放 22 或 3389，理由通常是"方便运维"。这同时踩两条——访问控制粒度过粗、远程管理未做限制。做法是管理端口只放通堡垒机所在子网，日常运维统一走云堡垒机 CBH，会话可录像、可审计。

第二处是只靠安全组当边界。安全组是实例级白名单，做不了入侵检测，也没有流量视图。三级系统在区域边界上通常还要有云防火墙 CFW 承担南北向流量的检测与阻断，对外提供 Web 服务的再加 WAF，有公网出口的配 DDoS 防护。

第三处是 VPC 内网没有分层。生产、测试、办公混在一个子网，一台测试机被攻破就能横向移动。按业务域划子网、子网间用 ACL 隔离即可。

主机安全装了但没配，是另一个高频项。企业主机安全 HSS 有资产管理、漏洞管理、入侵检测和基线检查，装了不开基线策略，等于只买告警不看告警。测评看的是基线核查结果与漏洞修复记录，不是控制台上有没有这个产品。

弱口令与默认口令属于高风险判定的常客。数据库、中间件、运维后台的初始口令必须改，口令策略要落到 IAM 或系统层面，不能只写在制度里。

数据库这层常漏掉审计。数据库安全服务 DBSS 记录访问与高危操作，测评查的是重要数据操作有无审计记录。数据加密服务 DEW 与云备份 CBR 分别对应存储保密性和备份恢复，三级一般都要有。

这是云上最集中的不符合项：云审计服务 CTS 只保留最近 7 天操作记录，超过即自动删除，且不可延长。而《网络安全法》第二十一条要求日志留存不少于六个月。

所以只开 CTS 不配转储，日志这项基本判不过。整改是给追踪器配转储：转对象存储 OBS 长期归档，或转云日志服务 LTS 便于检索。LTS 日志组存储周期可按天设置，新建默认 30 天，要按六个月调，可选范围以控制台为准。

集中审计还要求分散各处的审计数据能汇总分析：安全云脑 SecMaster 做事件关联分析，云监控 CES 做资源状态监测，两者不能互相替代。

主账号当日常账号用，是很多中小团队的通病。主账号权限不可限制，密钥泄露等于整个云账户失守。规范做法是主账号只用于实名认证、充值和开通服务，日常操作走统一身份认证服务 IAM 的子用户，按用户组授权，并强制开启多因素认证。

第二处是权限给大了。给开发同学管理员权限图省事，测评时就是未按最小粒度授权。IAM 策略可细到单个服务和资源，按岗位配读写删三类权限即可。

第三处是人走了权限还在。离职、转岗、外包退场要有回收记录，这条既查配置也查留痕。多账号可用组织 Organizations 统一治理，避免各管一套。

技术项补完，管理项仍可能拉低符合率。2025 版模板强化了对制度执行效果的核查：应急预案是否真的演练过、供应链与外包协议有没有安全条款、变更有没有记录。

常见的三处脱节：制度文件写的是两年前的架构；演练记录只有签到表；外包人员的权限申请单找不到审批人。这些不算技术整改，但补起来同样要时间，别留到测评当周。

按触发风险的严重程度排，不必按报告章节走：

把"不适用"项写清理由也很关键：符合率的分母扣掉了不适用项，但乱标会被要求补充说明，反而拖长周期。整改加测评的整体周期通常在 2 到 6 个月区间，涉及跨部门协调或系统改造的会更久，具体进度以属地要求为准。

三级系统原则上每年做一次等级测评，二级一般两年一轮，各地口径存在差异，仍以属地公安机关和行业主管部门要求为准。前置流程可先看等级保护定级和等保备案，再对照等级测评流程安排时间；技术项整改汇总在等保整改，华为云方案细节可翻华为云等保栏目。