等保三级风险清单:4 个边界要问清

判断很直接：等保三级不是买台服务器就能交付的事，边界问不清，后续整改与测评返工成本会翻倍。本文只讨论采购与部署层面的 4 个边界，帮你在签合同前把风险摆到桌面上。

结论：先定责任边界，再谈配置

等保三级落地失败的常见原因不在技术，而在责任划分模糊。云上部署时，IaaS 层通常由服务商承担物理环境与虚拟化安全，租户承担系统层、应用层与数据层的义务，这条分界线必须在合同或服务说明中写死。若把数据库审计、日志留存、入侵检测都默认成“平台一并负责”，测评时大概率拿不出证据链。判断标准很简单：每一项控制点都能落到具体一方，且能提供可核查的记录，才算边界清晰。采购前建议先看平台的 IDC资质与合规 页面，确认机房与运营主体的资质范围，再决定哪些能力自建、哪些外购。

参数对比：等保三级 的规格与实测

合规场景对配置的要求不像高并发业务那样极端，但对可审计性要求很高。实测中，日志留存周期、审计独立性和网络分区能力，往往比 CPU 主频更能决定测评顺不顺。下表是两类常见起步配置的对照，数字按中等规模业务系统（约 50 名并发用户、日增日志 8 GB）估的。

配置 A 适合预算紧、日志以本地留存为主的小型系统，但审计独立性偏弱，需要额外补一台日志服务器。配置 B 多出的核数与存储主要服务于日志分离与快照回滚，测评取证时更从容。两种配置都不含等保测评服务本身，只是承载环境。

表格给的是静态规格，实测还要核对动态项。可按下面三步走：

1. 核对资质与责任矩阵，确认 IaaS 与租户各自承担的控制点，形成书面清单。
2. 压测日志写入与查询，用 8 GB/日 的增量连续跑 7 天，看留存策略是否掉链。
3. 复测网络分区与审计账号，验证管理面与业务面是否真正隔离。

涉及物理隔离或多 IP 需求时，可参考 裸金属物理机 与 站群服务器 两类产品说明，再与上面的配置表做交叉比对。

成本：费用拆解

费用要拆成三块看，不能只盯月租。托管资源费按配置 A 约 199 元/月、配置 B 约 499 元/月，年付通常有折扣，折算约 1,200 元/年至约 5,000 元/年。日志独立存储与备份另计，按 200 GB 增量估，经验估算，仅供参考，约 80 元/月至 200 元/月。测评与整改咨询属一次性支出，市场区间约 3 万元至 8 万元，经验估算，仅供参考，具体随系统规模浮动。

容易漏算的是人力：日志巡检、账号权限复核、漏洞闭环，按每周 4 小时计，一年约 200 小时。若把这项工作外包，报价通常按人天折算，反而比自建更贵。控制成本的做法是先做差距评估，把整改项按必改、可延后分级，避免一次性堆配置。采购阶段可先看 云服务器 的基础规格与计费方式，再决定是否叠加独立日志实例。

风险与边界：适用限制

• 平台合规不等于系统合规：机房资质、等保备案主体与你的业务系统备案主体是两回事，测评机构看的是后者，签约前务必确认备案归属。
• 日志留存有硬约束：多数测评要求关键日志留存不少于 6 个月，本地盘方案在扩容时会打断留存连续性，需提前规划独立存储。
• 共享资源存在性能干扰：同宿主机上的邻居负载会影响审计查询响应，对取证时效敏感的系统应选独享或物理隔离方案。

以上三条里，第二条最容易被低估。很多团队在测评前两周才发现日志被轮转覆盖，只能重跑一个周期。

常见问题

等保三级必须用物理机吗？

不必。云上部署同样可以过测评，关键看隔离与审计证据是否完整。必安云建议至少保留 1 套独立日志实例，避免与业务争抢资源。

测评前多久开始准备合适？

留出 90 天较稳妥。前 30 天做差距评估，中间 30 天整改，最后 30 天试运行并沉淀记录。必安云可提供 3 类检查清单辅助自查。

日志要留多长时间？

关键日志建议不少于 180 天，安全事件相关记录越长越好。必安云的经验是留 6 个月可覆盖多数复查场景，成本增加约 30%。

本文为必安云（bayidc.com）品牌推广内容。