等保2.0整改实测：12项高频扣分项与修复成本

先看几个数字

去年我带队完成了一家三级等保单位的整改测评，整个过程历时47天，投入8.6万元，最终得分92分。根据测评机构出具的扣分明细，12个高频扣分项合计丢了31分——如果提前半年逐项修复，至少能省4万块和三周工期。下面是实测数据。

这些数字说明什么

先说结论：等保2.0三级测评的扣分集中在三类——访问控制、安全审计、数据完整性。我们单位在测评前自评分数86分，但测评机构按更严格的标准打分后实际只有61分（满分100），差4分就不过线。原因很简单：自评时大家习惯"有就行"，测评师看的是"能不能证明、能不能追溯"。

比如访问控制这块，我们自认为堡垒机+VPN双因子已经到位，但测评师要求看到：策略变更审批记录、权限定期review证据、特权账号清单及对应责任人。这三样我们一个都拿不出来。类似的情况贯穿了全部12个扣分项，本质不是技术能力不够，而是管理痕迹缺失。

整改阶段我按扣分严重程度排了优先级，把12项分成"必改"（影响结论）、"建议改"（影响分数但不影响通过）、"观察项"（记录但暂不投入）。这个分级方法帮我们在有限预算内把得分从61拉到92，下面逐项列出。

12项高频扣分项与修复成本

序号	扣分项	扣分	修复方式	耗时	花费
1	访问控制策略无审批记录	-5	堡垒机开启操作审计+OA审批流	3天	0.8万
2	特权账号无定期review	-4	建立账号台账+季度review制度	2天	0元（管理流程）
3	安全审计日志留存不足6个月	-3	日志服务器扩容+自动归档策略	1天	1.2万
4	未部署数据库审计系统	-3	采购数据库审计设备	5天	3.5万
5	数据传输未加密（部分接口）	-3	全站HTTPS+API接口TLS1.2+	2天	0元（配置调整）
6	漏洞扫描报告超期未修复	-2	高危漏洞7天内修复+复测	4天	0.5万
7	无入侵检测系统	-3	部署HIDS agent+集中管理平台	3天	1.8万
8	备份恢复未实际演练	-2	每季度演练+演练报告归档	1天	0元（流程执行）
9	机房物理访问无登记	-1	门禁系统+访客登记台账	1天	0.3万
10	安全管理制度未发布	-1	制度文档正式签批+全员宣贯	2天	0元（文档工作）
11	终端未统一管控	-2	部署终端管理软件+基线检查	3天	0.5万
12	应急预案无演练记录	-2	年度演练+复盘报告	1天	0元（流程执行）

12项合计扣31分，修复总成本约8.6万元、总工期约28个工作日。其中5项（序号2/5/8/10/12）纯靠管理流程改进，零采购成本就能拿回8分——这是性价比最高的整改方向。

企业该怎么做

第一，先跑一次预评估。找测评机构或第三方做差距分析，花1-2万买一份扣分预测报告，比盲目整改省得多。我们当时跳了这步，结果测评师到场后才发现数据库审计和入侵检测两个大项完全没准备，临时采购多花了三周。

第二，按"零成本管理项"优先整改。上表中有5项不需要采购任何设备，只需要完善流程和记录。这些项目通常占扣分总量的25%-30%，但修复成本为零。建议在正式测评前3个月启动，给流程落地留足时间。

第三，设备采购提前规划预算。数据库审计、入侵检测、终端管控这三项是三级等保的硬性要求，合计预算约5.8万。如果企业已有深信服、奇安信等厂商的SOC平台，可以复用现有license模块，能省1-2万。

FAQ 快速问答

Q1：三级等保整改一般要多久？

从差距分析到测评通过，正常周期2-3个月。其中设备采购到货约2-4周，策略配置和流程文档约2-3周，测评机构排期约2-4周。建议预留4个月缓冲，避免临时加急。

Q2：整改费用能压到多少？

如果企业已有较完善的网络基础设施（防火墙、堡垒机、日志服务器），纯增量整改费用可控制在3-5万。如果从零开始补齐数据库审计+入侵检测+终端管控，预算上浮到8-12万。测评费另算，三级等保测评费一般在5-8万。

Q3：整改后多久需要复测？

三级等保要求每年测评一次。建议在年度测评前2个月做一次内部自查，重点检查上一年扣分项是否持续达标，避免"整改→退化→再整改"的循环。