等保整改费用为什么差好几倍：五个变量与三类支出

同一栋写字楼里的两家企业，系统都定三级。一家整改花了三万出头，另一家报了二十多万。不是谁被坑了，是两家的差距清单根本不是一回事。

问"三级整改要多少钱"，很难得到有用的答案。因为等保整改从来不是按等级报价，而是按差距报价。同样一句话背后，可能是一套已经上了防火墙、堡垒机、日志审计的系统，也可能是一台塞在办公室角落、连补丁都没打全的服务器。

先弄清：整改不是买设备，是补差距

等保整改的依据不是等级，是差距。测评机构进场做差距分析，或者自己先做一轮自查，产出一张问题单；整改就是逐项把"不符合"变成"符合"。所以预算的第一个决定因素，是这张单子的长度和构成。

这也解释了为什么服务商的报价能差几倍：有的报"设备+集成"，有的报"咨询+制度+陪跑"，根本不是同一个商品。比价之前，先把报价对齐到同一张清单。

三类支出：缺失、配置、制度

把差距项按"要花什么"归类，其实只有三类，三类的成本曲线完全不同。

三类里最容易被低估的是配置类：单价低，但项数多、耗时长，常占掉整改周期的一半。制度类看着文件一大堆，实际是照着自己的组织架构改写，不是从零发明。

变量一：现有基础决定起点

云上和自建机房是两条路。用公有云，云平台侧已按等级做过测评，网络、物理环境、虚拟化层的不少要求可以由平台承担，需要补的主要是主机、应用、数据和管理侧；自建机房则要加上门禁、视频监控、消防、UPS、防雷接地这些物理项，还要算机房改造的施工费。

另一个隐性起点是历史投入。有没有堡垒机、有没有日志平台、之前做没做过等级保护，决定这次是"补考"还是"从零建"。

变量二：等级与扩展要求决定清单长度

二级和三级不是"多几项"的关系。按 GB/T 22239-2019 通用要求统计，二级约 135 项、三级约 211 项，多出来的部分集中在安全审计、入侵防范、集中管控、可信验证、剩余信息保护这些"要设备、要平台"的条款上，也就是最花钱的那一段。

云计算、移动互联、物联网、工业控制系统还有各自的扩展要求。三级云平台在通用要求之外还有四十多项扩展条款，经常被漏算，等测评现场才发现就晚了。

变量三：边界与数量；变量四：谁来做

定级对象划多大，直接决定清单多长。一个门户和一套交易系统如果分别定级，就是两套备案、两份报告、两轮整改；合并成一个对象，边界内的关联资源又都要纳管。多系统打包做，边际成本会降，但总价不会降。

谁来做，是另一个价格分水岭。自己团队承担配置类和制度类、把缺失类和集成外包出去，通常比整体外包便宜，前提是内部有人能读懂问题单；整体外包省心，报价里则含着项目管理和多方协调的成本。

变量五：复测与工期

测评机构一般提供一次差距测评和一次验收测评，额外的复测要另计。整改不彻底就要复测，复测既产生费用，也把工期往后拖；工期一长，人力成本又回来了。所以"便宜但要多测两轮"的方案，总账往往更高。

测评环节的钱其实有公开参考。个别地方把测评服务纳入了政府框架协议，比如淮南市 2025—2027 年度就把二级、三级测评统一到 1.72 万元、3.1 万元。但整改环节没有这种统一价——设备品牌、系统规模、现有基础千差万别，只能按差距项逐条估。这正是"整改费用差好几倍"的根本原因。

钱该先花在哪：算边际收益

2025 版测评报告模板把结论分成符合、基本符合、不符合三档，核心指标是符合率。符合率的算法有个容易被忽略的细节：不适用项不计入分母，而"部分符合"既不算进分子，又照样占着分母。

举个官方示例的量级：三级云平台通用要求 211 项加云扩展 46 项，不适用 27 项，符合 210 项，符合率是 91.3%。如果那批"部分符合"里有十项补成"符合"，符合率立刻上一个台阶。

所以预算排序不该按"哪类设备贵"，而该按"改一项能换回多少分母"：

• 先把"部分符合"改成"符合"——多数落在配置类，投入小、见效快；
• 再消高风险项——一个高风险就可能把"符合"压成"基本符合"，这类项的性价比最高；
• 最后买缺失的设备——金额大、周期长，可以分批，优先选能同时覆盖多条要求的设备，比如带审计能力的堡垒机，一项设备能抵几项条款。

预算三段式与常见区间

一份能落地的整改预算，通常分三段来排：先是差距分析与整改方案，用小钱把清单做实，避免拿着模糊清单比价；再是实施，设备、集成、配置、制度按上面的优先级排期；最后是复测与收尾，写进合同，明确含几次复测、超次怎么计。

市场观察到的量级（不含大额设备采购）：以配置类和制度类为主的整改，多落在数千元到 2—3 万元；含部分设备补缺的中小系统，常见 5—15 万元；自建机房需物理环境改造、或多个系统同时整改的，20 万元以上并不少见。这些只是量级参考，实际以属地要求、系统规模和现有基础为准，分项口径可对照等保二级和三级费用差距和等保费用怎么算。

要配多少控制点、十个层面各自要求什么，等保通用要求框架里有逐层说明；测评结论怎么读、报告里哪几页最该看，另见拿到测评报告先看哪几页。

把"三级整改多少钱"换成"我们的差距清单有几项、分哪几类、哪些是配置类"，报价才真正可比。