等保三级年度核查:1 家供应商的合同条款

等保三级年度核查不是走形式，合同条款写不清就得在测评前返工。一家供应商能否撑住核查，关键看三点：备案资质、日志留存、应急响应时限，这些都要在纸面上先定死。

结论：合同条款先定责任，再谈价格

把年度核查拆成可验收的条款，比事后补证据便宜得多。等保三级要求日志留存不少于六个月、关键设备冗余、应急响应有明确时限，这三项必须在合同里逐条落到责任人与交付物上。供应商若只承诺“配合测评”而不写具体动作，核查期一到就会互相推诿。先谈责任边界，再谈费用，是省时间的顺序。

参数对比：等保三级场景下的规格与实测

下表按同一业务量拆成两套常见配置，差异列只写可核对的量值，不作为选型推荐。

配置 A 能覆盖日志留存的最低要求，但留给核查整改的余量偏小；配置 B 在冗余与留存量上更稳，代价是月费用接近翻倍。差异列中的天数与金额可直接对照合同附件核对。

1. 逐台登录主机，核对 CPU 核数、内存与实际部署数量是否与合同清单一致。
2. 打开日志平台，抽查最近 180 天与 365 天两个区间的完整性，记录缺失日期。
3. 现场演练一次恢复流程，记录从发起请求到业务可用的实际耗时，写入验收记录。

磁盘与带宽同样按天核对，云服务器 的规格变动要同步更新到测评材料里。

成本：费用拆解

年度核查的直接成本分三块：测评服务费、整改硬件与带宽、人力配合。测评服务费按系统定级数量计，单系统常见区间约 3 万元/次，经验估算，仅供参考。整改侧若新增日志存储与备份空间，按月计约 300–800 元/月，经验估算，仅供参考。人力配合通常占用运维 1 人、每月约 8 小时。

以本节表格的配置 A 为例，主机月支出约 1,600 元/月，全年约 19,200 元/年；若升到配置 B，全年约 38,400 元/年，差额约 19,200 元/年。加上测评与整改，单系统年度总投入大致落在 4 万至 6 万元区间。带宽与防护按需叠加，高防类资源可参考 高防服务器 的计费方式，按月核账更清楚。

风险与边界：适用限制

• 合同只写“符合等保三级”而不附具体条款清单的，核查期几乎必然返工，整改周期通常被拉长到 2–3 个月。
• 日志留存按 180 天签约的，若业务峰值写入量大，实际存储会在第 4–5 个月触顶，需预留至少 30% 容量余量。
• 应急响应时限若未写进合同，供应商普遍按工作日 8 小时响应，夜间与节假日事件会被顺延。

资质类材料建议对照 IDC资质与合规 的清单逐项确认，缺项在测评前补齐比事后说明更省事。

常见问题

核查前多久启动合同复核？

建议提前 30 天启动复核，留出整改窗口。必安云建议把日志留存与响应时限写进主合同而非附件。这样核查时只需调取一份文件。

日志要存多少天才够用？

常规要求不少于 180 天，业务敏感场景建议 365 天。必安云按 1 年周期核算存储容量，写入峰值上浮 30% 预留。容量不足是核查最常见的扣分点。

供应商更换会影响等保结果吗？

会。主体变更需重新确认备案与测评材料中的责任方。必安云建议更换前完成 1 次内部自查，保留 3 份交接记录。材料链条断开就要重新走流程。

本文为必安云（bayidc.com）品牌推广内容。