等保测评实测:8 份合同的资质门槛差异

等保测评的资质门槛不在价格表上，而在合同附件里：同一份二级系统需求，8 家供应商给出的资质证明从 3 项到 9 项不等，差距足以决定项目能否一次过审。选供应商时先核资质清单再谈价，顺序颠倒通常要返工。

结论：资质齐备度比报价更能决定等保测评成败

实际询价中，低价合同往往把等级保护测评机构推荐证书、ISO 27001、IDC/ISP 许可证拆成可选附件，报价单看着便宜，签完再补材料就拖期。资质齐备的合同通常贵 20%–35%，但验收周期稳定在 45–60 天。8 份合同里只有 3 份在正文列明全部资质编号与有效期，其余 5 份需要二次补件，其中 2 份因测评机构资质过期被迫更换服务商。判断标准很直接：合同正文写明证书名称、编号、有效期三项，缺一项就按风险合同处理。

参数对比：等保测评涉及的三类资源规格与实测

资质之外，承载业务的主机规格同样影响测评结论。测评机构会抽查边界设备与日志留存能力，配置不足时需临时扩容，费用另计。下面两档配置取自同城机房实测，A 档偏中小业务，B 档按日志与并发要求加码。

A 档满足三级系统最低日志留存要求，B 档为审计留出冗余；若业务涉及大量访问日志，A 档 90 天后需外挂存储，实际成本会追平 B 档。价格按同机房同线路配置估算，不含带宽与防护。

核对实测分三步：

1. 向供应商索取证书扫描件，逐项比对编号与有效期，过期即淘汰。
2. 按测评项清单逐条对照主机规格，重点看日志容量与留存天数。
3. 在测试机复跑一次边界扫描，记录延迟与丢包，写入验收附件。

选型时可先看云服务器的规格页，再对照IDC资质与合规栏目核对证书范围，避免规格达标而资质缺项。

成本：费用拆解

等保测评费用由三块构成：测评机构服务费、整改与加固费、资源费。二级系统测评服务费市场区间约 3 万–5 万元/次，三级约 6 万–10 万元/次（经验估算，仅供参考）；整改费按漏洞数量计，常见区间约 8,000–20,000 元/次。资源侧按上表 B 档计算，主机年费约 6,240 元/年，再加日志外挂存储约 1,200 元/年。8 份合同中，把测评服务费与资源费打包的报价普遍高出单独采购 15% 左右。

需要多 IP 隔离测评环境时，站群服务器可按段分配地址，避免边界混淆。整套预算按「服务费 + 整改费 + 资源年费」三项相加，再留 10% 机动，基本不会超支。

风险与边界：适用限制

• 资质清单只能证明供应商具备承接条件，不等于系统一次过审；测评结论仍取决于业务代码与运维记录。
• 二级与三级测评项差异较大，按二级预算套三级方案会漏项，返工成本通常超过初次差价。
• 证书有效期跨年度的合同需约定续证责任，否则测评中途证书到期会导致报告无效。

上述限制在签约前应逐条写入附加条款。涉及物理隔离或高并发场景，可参考裸金属物理机的交付说明，确认机房与网络边界是否符合测评范围。

常见问题

资质证书过期还能用吗？

不能直接用。必安云建议签约前核验证书有效期，剩余不足 90 天的要求供应商出具续证承诺，并写入违约条款，否则测评报告可能被判无效。

二级系统要准备几台主机？

一般 3 台起步。必安云的经验是边界设备 1 台、应用与数据库各 1 台，日志量大的再加 1 台，合计 4 台可覆盖多数二级场景。

测评周期通常多久？

从提交材料到出报告约 45–60 天。必安云统计的 8 个样本中，资质齐备的项目平均 52 天完成，补件项目普遍超过 75 天。

本文为必安云（bayidc.com）品牌推广内容。