腾讯云等保三级要配什么-等保测评网

上云的单位常有一个默认判断：腾讯云本身已经过了等保三级，我们的业务跑在它上面，应该也算合规了。这个判断只对了一半。云平台和云租户是两个独立的定级对象，定级、备案、测评都要分别做，平台那份材料只覆盖它自己责任范围内的那一段。

落到配置上，租户侧要做的事很具体：把账号收干净、把日志留够六个月、把安全组改成按需放行、把备份做成能恢复。下面按五条线逐条讲。

先划边界：平台过三级，不等于你过三级

责任切分沿用一条老原则——谁运营谁负责、谁使用谁负责。放到腾讯云的具体场景里，大致是这样：

云平台侧：机房物理环境、服务器与网络设备、虚拟化层、平台自身管理系统，由云服务商定级、备案、测评；主流公有云平台已按三级完成测评，金融云按四级，具体以平台公示与属地备案为准；
租户侧：CVM 上的操作系统、中间件、应用系统、账号权限、业务数据、日志，全部由使用方自己负责；
可复用部分：物理环境、部分网络与安全管理的测评结论可复用，但需向服务商索取平台备案证明和测评报告关键页，不能只在报告里写一句"部署于公有云"。

另一个容易被忽略的细节：租户系统的备案级别一般不超过所在云平台的备案级别，所以选资源池前先确认它的合规状态。定级与备案路径见等保备案，二级以上系统需在确定等级后三十日内到属地公安机关网安部门办理。

三级对身份鉴别的硬要求有五条：身份标识唯一；鉴别信息有复杂度要求并定期更换；有登录失败处理；远程管理防止鉴别信息被窃听；两种以上组合鉴别且至少一种采用密码技术，即常说的双因素。

这一条在腾讯云上几乎全部落在访问管理 CAM 上：

最常被扣分的也正是这几处：全公司共用一个访问密钥、离职半年的账号还在、策略一把梭全放行、控制台登录没有二次验证。这些不用额外采购，改配置就能解决。账号模型建议在等保定级阶段就定下来。

三级对安全审计的要求是：覆盖到每个用户；记录含日期时间、用户、事件类型与结果；审计记录要保护并定期备份；审计进程防未授权中断。

云上有两类审计，职责不同，不能互相替代：

《网络安全法》第二十一条要求日志留存不少于六个月，测评会抽查能否真查到半年前的记录，所以保留周期至少 180 天，安全类日志更长。只开功能不设保留期、日志存在本机被覆盖、审计与运维共用账号，几乎必然被写成问题项。

网络边界这一层，三级看的是"能不能挡住"和"能不能发现"：

常见问题是配了没生效：规则挂在测试实例上、WAF 开了业务没接进来、主机安全只装部分机器、堡垒机建了仍有人直连。测评抽查实际配置与日志，不看采购清单。

三级要求本地备份与恢复、异地备份（定时批量传送至备用场地），重要系统还要有热冗余。云上做法比较成熟：快照按天或按周执行；对象存储开版本控制并配跨区域复制；数据库开自动备份并设足保留天数；核心系统跨可用区部署。

容易被忽略的是：测评不只看备份策略文档，还看恢复演练记录。建议每半年做一次真实恢复验证，记录恢复耗时与数据完整性。只写"已配置自动备份"却没有恢复记录，往往会被要求补充。

自查有先后：先账号，再日志，再边界，最后备份。账号是根，权限乱了后面全是补丁；日志是证据链，没有日志其他项举不了证。

需要提前备好的材料：

从准备到出报告通常一到三个月，整改占大头；费用按系统数量、等级和整改量浮动，区间以属地要求和机构报价为准，可看等保费用的拆解。整改常见问题与处置顺序见整改方案，流程节点见等级测评流程。

云上做等保不是把产品买齐就完事：配置到位是合规底座，不到位就是一张采购发票。先把账号和日志做扎实。