等保整改清单：六类常见不符合项与对应措施

测评报告拿到手，最后一页往往是一张密密麻麻的不符合项清单。真正头疼的不是"问题多"，而是不知道从哪条下手——先买设备，还是先改配置？

下面按六类摊开常见不符合项与处置方向，最后说清整改顺序。清单可以照着核对，但顺序不能照抄。

一、先看清"改什么"：211 个要求项里的六类

三级系统的测评指标是 71 个控制点、211 个要求项，二级是 68 个控制点、135 个要求项。这些要求项分布在十个层面，实务中可合并成六类：

• 物理环境：10 个控制点、22 个要求项
• 通信网络与区域边界：9 个控制点、28 个要求项
• 计算环境：11 个控制点、34 个要求项
• 安全管理中心：4 个控制点、12 个要求项
• 管理制度、机构与人员：13 个控制点、33 个要求项
• 建设管理与运维管理：24 个控制点、82 个要求项

按 2025 版报告模板的口径，结论不再是百分制，而是三档：符合率≥90% 且无重大风险隐患为"符合"，60%–90% 为"基本符合"，低于 60% 为"不符合"；符合率再高，只要有重大风险隐患，也只能判"基本符合"。这解释了为什么有些系统"改了七八成"仍过不去——分数不是唯一的尺子，高风险项能单独把结论拉下来。版本差异可对照等保2.0和1.0差在哪。

所以第一步不是排计划，而是把清单分成两堆：高风险项与普通不符合项，前者先动。

二、物理环境：花小钱就能补的一类

这 22 项多是"有没有"的问题，不是"好不好"，成本反而可控。现场最常见：

• 机房出入口只有机械锁，没有电子门禁与出入登记
• 有监控但没有防盗报警，或录像留存不足
• 市电单路，UPS 后备时间撑不到安全关机
• 没有温湿度监控，漏水检测缺失
• 防雷接地做过，但拿不出检测报告

对应措施：门禁加登记、监控延长留存、动环覆盖温湿度与漏水、UPS 按实际负载核算后备时间、防雷接地每年检测并归档报告。花费多在数千到数万元区间，以属地要求为准。性价比在所有类别里最高——投入小、判定直接。

三、通信网络与区域边界：架构问题最难补

这一类的不符合项大多不是"少买一台设备"，而是网络没分层：

• 重要业务区与办公网同网段，无 VLAN 或防火墙隔离
• 互联网出口策略全放行，或策略过期无人清理
• 边界没有入侵防范能力，也没有补偿措施
• 三级系统缺少对内部发起攻击的检测手段
• 通信传输未用密码技术保障完整性与保密性
• 核心网络设备单机部署，链路无冗余

处置顺序是先画图、再落策略、最后买设备。拓扑与安全域没定，设备买回来只能堆在出口。选型跟着业务走：对外提供 Web 服务的，WAF 与抗 D 优先；纯内网系统，入侵检测与流量探针更实用。采购加调优整体排 1–3 个月较现实。

四、计算环境：不符合项最密集的一块

34 个要求项集中在服务器、数据库、中间件和终端上：

• 默认口令或弱口令仍在用，口令策略未强制复杂度与定期更换
• 三级系统远程管理无双因素鉴别，运维绕过堡垒机直连
• 审计未开启，或日志留存不足六个月（《网络安全法》第二十一条）
• 系统与数据库补丁长期滞后，高危漏洞未闭环
• 防恶意代码未部署，或病毒库长期不更新
• 备份做了但没有恢复演练，也没有异地备份
• 退役硬盘直接报废，未做剩余信息清除
• 页面与接口展示个人信息未脱敏

这类整改要讲方法：先做基线核查，形成可批量执行的配置脚本，再统一下发。逐台手改，改到第十台就开始漏。日志建议一次性归集到统一平台，既满足留存，也让审计有数据可查。留存六个月是法律要求，需要提前规划存储容量，事后补不回来。

五、管理中心与管理类要求：别当成"写材料"

管理中心的 12 项核心是集中管控：三类管理员是否分离、时钟是否同步、能否对分散设备集中审计。不少单位设备买齐了，三个角色却由一人兼着，这条照样不满足。

管理制度、机构与人员这 33 项，以及建设管理、运维管理那 82 项，问题形态高度相似：

• 制度是从网上抄的模板，与本系统不符
• 制度有，但没有发布与评审修订记录
• 岗位职责写在制度里，却没有任命文件
• 第三方运维进出没有审批与陪同记录
• 应急预案有，但没有演练记录
• 系统上线前没有安全测试报告

关键不是"再写一份文件"，而是让记录长出来。制度、操作规程、记录表单配齐，日常照着做并留痕，测评时才有东西可查。临时补记录最容易露馅——时间戳、签字人、版本号对不上。

六、整改顺序怎么排：三段式

把清单摊平后按三段推进：

• 第一段（1–2 周）零成本项：清理冗余账号与默认口令、开启审计、收紧边界策略、核对备份、补齐制度与任命文件。不花钱，但能清掉相当一部分条目。
• 第二段（1–3 个月）采购部署：边界防护、堡垒机、日志平台、备份扩容、动环监控。受采购流程制约，越早立项越好。
• 第三段（贯穿全程）架构与流程：安全域划分、双因素改造、异地备份、应急演练。改动牵涉业务，需要窗口期。

工期上，配置与制度为主的轻量整改通常 1–2 个月；涉及架构调整或系统改造，3–6 个月更现实，以属地要求为准。整改完成后申请复测，一般只针对原不符合项及关联项，不必全量重来，流程可参照等级测评要多久、走几步。

预算差别很大，建议拆出"必须采购"与"可以配置解决"两本账，再对照等保费用怎么算做区间估算。整改方案的整体写法可参考等保整改方案怎么写；备案材料是否有缺项，对照等保备案材料清单核一遍——不少单位整改做完才发现材料不齐，白等一轮。