🛡️ 等保合规咨询服务选型指南
专业渗透测试公司团队提供Web渗透测试、网络渗透测试、API安全测试服务，通过模拟真实攻击发现系统安全漏洞，出具详细渗透测试报告并提供修复建议。
等保 2.0 是什么，谁必须做
网络安全等级保护 2.0（简称等保 2.0）的正式标准是 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，2019 年 12 月 1 日实施。它的法律依据是《网络安全法》第二十一条：网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。
「谁必须做」这个问题，法律口径是所有网络运营者。实际执行中，以下场景基本是刚性要求：
- 政府机关、事业单位的信息系统
- 金融、能源、交通、水利、医疗、教育等重点行业的核心业务系统
- 涉及大量公民个人信息的企业系统（电商、社交、SaaS 平台）
- 云服务商、IDC、CDN 等基础设施提供方
- 参与政府项目投标、需要提供等保证明的企业
等级分五级，实际工作中绝大多数企业涉及的是二级和三级。三级系统的认定通常与「涉及公民个人信息超过一定规模」「一旦遭到破坏会对社会秩序和公共利益造成严重损害」相关，具体由主管部门和专家评审确定。
2026 年等保要花多少钱：三笔钱，别混着算
很多企业以为「等保就是交个测评费」，实际支出由三块构成，且后两块往往是大头：
| 费用类别 | 付给谁 | 二级参考 | 三级参考 | 说明 |
|---|---|---|---|---|
| 咨询服务费 | 等保咨询机构 | 1–3 万元 | 3–8 万元 | 差距分析、整改方案、材料编写、测评陪同 |
| 等级测评费 | 具备资质的测评机构 | 2–5 万元 | 5–15 万元 | 由测评机构独立报价，按系统数量和复杂度浮动 |
| 整改建设费 | 安全产品厂商 | 3–15 万元 | 15–80 万元 | 补齐技术措施的采购支出，差异最大的一块 |
总投入的市场参考区间：二级系统约 3–5 万元起，三级系统约 8–20 万元起。这个区间跨度很大，原因在于整改建设费取决于企业现状——一个已经部署了防火墙、WAF、堡垒机、日志系统的企业，整改可能只需补一两项；一个从零开始的企业，光产品采购就可能超过二十万。
政府采购渠道的价格明显更低。公开的政府采购成交记录里，等保二级测评服务的成交价常见在 1–1.98 万元区间，三级测评服务在 2.5–2.8 万元区间。这是因为政府项目通过集中采购压低了单价，企业自主采购通常拿不到这个价格，但可以作为议价的参考锚点。
另一个容易被忽略的成本是时间成本。完整的等保流程从定级备案到拿到测评报告，顺利的情况下 3–6 个月，遇到整改项多、测评排期紧的情况可能拖到一年。如果是为了赶项目投标，必须提前规划。
五个阶段，每一步做什么
第一阶段：定级与备案
先确定系统的安全保护等级（二级或三级），组织专家评审，然后到属地公安机关网安部门备案。定级的关键判断依据是「受侵害的客体」和「侵害程度」——系统里存了谁的什么数据、被破坏了会影响到谁。定级错了后面全错，这一步不能省。
备案需要提交的材料通常包括：定级报告、专家评审意见、备案表、系统拓扑图、安全管理制度清单。各地公安的要求略有差异，以属地要求为准。
第二阶段：差距分析
对照 GB/T 22239-2019 对应等级的控制项逐条检查现状，找出不符合项。三级系统大约有 200 多个控制项，二级约 170 多个。差距分析输出的是「整改项清单」，这份清单直接决定整改要花多少钱。
这一阶段最考验咨询机构的水平：合格的咨询机构能给出「哪些必须改、哪些可以用管理制度补、哪些可以用现有措施等效替代」的判断；不合格的机构只会把所有不符合项都翻译成「买产品」。
第三阶段：整改建设
按整改项清单补齐技术措施和管理制度。技术措施主要是安全产品部署（下一节展开），管理制度包括安全管理制度、人员安全管理、系统建设管理、系统运维管理四大类文档。很多企业技术措施做得很到位，栽在管理制度文档不全上。
第四阶段：等级测评
委托具备资质的测评机构做正式测评。测评机构会做文档审查、配置检查、漏洞扫描、渗透测试、访谈，最后出具测评报告，结论分为「优、良、中、差」或「符合、基本符合、不符合」。三级系统要求测评结论达到「良」以上（部分行业要求「中」以上即可，以主管部门要求为准）。
重要提示：测评结论由测评机构依据标准和现场情况独立作出。任何咨询机构或服务商都不得打包票，这类承诺本身就不符合行业规范。选服务商时应关注其方法论和过往案例，而不是听承诺。
第五阶段：监督检查与持续运营
三级系统要求每年测评一次，二级系统建议每两年一次。日常还要做安全监测、漏洞管理、应急演练、日志审计。等保不是一次性项目，是持续运营。
二级和三级的核心差异
| 控制项 | 二级要求 | 三级要求 |
|---|---|---|
| 身份鉴别 | 口令复杂度、定期更换 | 两种或以上组合鉴别技术（双因子） |
| 访问控制 | 按角色分配权限、最小权限 | 三权分立（系统管理员、安全管理员、审计管理员） |
| 安全审计 | 审计重要用户行为和安全事件 | 审计记录留存不少于 6 个月，防删除防修改 |
| 入侵防范 | 漏洞扫描、补丁管理 | 漏洞扫描 + 渗透测试、入侵检测与阻断 |
| 边界防护 | 边界访问控制 | 边界访问控制 + 非法外联监控 + 无线网络管控 |
| 数据完整性 | 重要数据传输和存储完整性校验 | 增加密码技术保障、数据备份与恢复演练 |
| 备份恢复 | 本地备份 | 异地备份、热冗余 |
| 测评频率 | 建议每两年 | 每年至少一次 |
从二级升三级，最容易被卡住的三条是：双因子认证、三权分立、审计日志 6 个月留存。这三条都直接对应产品采购——双因子要堡垒机或统一身份认证，三权分立要堡垒机和数据库审计，日志留存要日志服务或日志审计系统。
整改要买什么：按控制项对产品
这是企业最关心的部分。下面这张表把常见整改项和技术产品对应起来，价格是公开刊例价的入门档参考：
| 整改项 | 对应产品 | 入门价格参考 |
|---|---|---|
| 边界访问控制、入侵防范 | 云防火墙 / 下一代防火墙 | 2,800 元/月起 |
| Web 应用攻击防护 | WAF | 980 元/月起 |
| 运维操作审计、双因子、三权分立 | 堡垒机 | 1,520 元/月起 |
| 数据库操作审计 | 数据库审计 | 12,000 元/月起（或 RDS 内置审计按量） |
| 日志集中留存 6 个月 | 日志服务 / 日志审计系统 | 百元级/月起（按量） |
| 漏洞扫描、渗透测试 | 漏洞扫描服务 / 渗透测试服务 | 千元级 / 3 万元级 |
| 流量型攻击防护 | DDoS 高防 | 按保底带宽报价 |
| 数据备份恢复 | 云备份 / 容灾服务 | 按存储量计费 |
一个典型的二级系统整改组合：云防火墙高级版（2,800 元/月）+ WAF 基础版（980 元/月）+ 堡垒机基础版（1,520 元/月）+ 日志服务（按量约 300 元/月），月度支出约 5,600 元，年化约 6.7 万元。加上测评费和咨询费，第一年总投入在 12–15 万元区间。
一个典型的三级系统整改组合：云防火墙企业版（9,600 元/月）+ WAF 企业版（9,800 元/月）+ 堡垒机企业版（4,600 元/月）+ 数据库审计高级增强版（12,000 元/月）+ 日志服务（约 1,000 元/月），月度支出约 3.7 万元，年化约 44 万元。这解释了为什么三级等保的总投入区间能到 8–20 万元起——如果企业已有部分产品，只补缺口，实际支出会低很多。
降本的关键不是压产品价格，而是盘清存量：企业已有的安全产品能不能等效满足控制项、能不能用云平台自带能力替代、管理制度类的不符合项能不能靠文档补齐。把这三件事做扎实，整改预算通常能压掉 30%–50%。
怎么选咨询机构和测评机构
测评机构必须有资质
等级测评必须由具备《网络安全等级保护测评机构推荐证书》的机构实施。这个资质由公安部第三研究所（或省级公安）认定并公示，可以在官方渠道查询机构名单。没有资质的机构出具的测评报告不被认可。
咨询机构和测评机构不能是同一家（原则上）
为了避免「既当教练又当裁判」，行业惯例是咨询和测评分开。部分机构同时具备两种能力，但同一项目的咨询和测评通常需要回避。选型时要问清楚。
看方法论，不看口头说法
合格的咨询机构会先做现状调研、出差距分析报告、和企业一起排整改优先级，而不是一上来就给产品清单。可以要求对方提供：过往同行业案例、差距分析报告模板、整改方案样例。
确认是否含测评陪同和复测支持
测评现场会有大量问答和材料核对，咨询机构是否派人陪同、首次测评不通过后是否免费协助整改和二次测评，这些都要写进合同。有些低价咨询报价不含这些服务，后期加钱。
警惕三类报价陷阱
- 低价中标后加项：报价只含咨询不含整改方案，或者差距分析报告另收费
- 打包票：不符合行业规范，且往往通过隐瞒不符合项来「达成」
- 绑定产品：要求必须采购某品牌产品，实际是用咨询费换产品销售利润
五个常见误区
误区一：以为买了产品就过了等保
等保测评查的是「能力是否具备」，不是「产品是否买了」。买了 WAF 但规则没配、日志没开，一样不符合。管理制度、人员安全、运维流程这些非技术项占评分比重不小，很多企业栽在这里。
误区二：定级定低了省钱
定级是法律行为，不是自选动作。定低了在监督检查中会被要求重新定级，前期投入全部作废，还要重新走流程。判断依据是数据的敏感程度和影响范围，不是预算。
误区三：等保是一次性项目
三级系统每年测评，二级建议两年一次。更重要的是日常的安全运营——漏洞管理、日志审计、应急演练。测评通过只是证明「那一刻是合规的」。
误区四：只看测评费不看整改费
测评费通常几万元，整改费可能是它的十倍。做预算时必须先做差距分析，摸清整改缺口，再倒推总预算。只问「测评多少钱」是问错了问题。
误区五：只挑报价低的测评机构
测评机构的报价差异主要来自服务深度。报价过低的机构可能压缩现场工作量、减少测试项，出的报告在监管检查或上级审计时经不起推敲。选机构要看资质、看案例、看服务内容清单，不是只看价格。
常见问题
等保二级和三级怎么判断？
核心看「受侵害的客体」和「侵害程度」。系统被破坏后，如果影响的是公民、法人和其他组织的合法权益（且程度一般），通常是二级；如果影响社会秩序和公共利益，或者涉及大量公民个人信息，通常是三级。最终由专家评审和主管部门确认，不能自行拍定。
整套流程要多久？
顺利情况下 3–6 个月：定级备案 1–2 个月、差距分析和整改 1–3 个月、测评和出报告 1–2 个月。整改项多、测评机构排期紧的情况下可能拖到一年。赶项目投标的必须提前规划。
云上系统和自建系统要求一样吗？
控制项要求一样，但责任划分不同。用云平台时，部分控制项（如物理环境安全、基础设施安全）由云服务商承担，企业承担应用和数据层的责任。云服务商通常会提供等保合规证明和「云上系统等保测评指引」，能显著降低企业的测评工作量。
测评不通过怎么办？
测评机构会出具整改建议，企业整改后可申请复测。复测通常需要额外付费，费用在合同里约定。这也是为什么要在正式测评前做充分的差距分析和自查——一次通过能省下复测的时间和费用。
咨询机构能打包票吗？
不能，也不应该。测评结论由测评机构依据国家标准和现场情况独立作出，任何机构打包票都不符合行业规范。听到这类承诺要提高警惕，往往意味着对方打算隐瞒不符合项或者与测评机构存在不当关系。
等保测评报告有什么用？
三个主要用途：一是应对监管检查（公安网安部门的监督检查）；二是政府项目、国企采购投标的资质证明；三是行业主管部门（金融、医疗、教育）的合规要求。部分行业还把等保等级作为业务准入条件。
三级系统的「三权分立」具体怎么做？
把系统权限拆成系统管理员、安全管理员、审计管理员三个角色，互相制约：系统管理员管运维但不能改安全策略，安全管理员配策略但不能看审计日志，审计管理员只能看日志不能操作业务。落地通常靠堡垒机的角色权限体系加数据库审计的独立审计账号。
可以用开源产品做整改吗？
技术上可以，但测评时需要提供完整的功能证明和配置证据。开源产品的难点在于「证明能力」——比如开源堡垒机的双因子、录屏审计、三权分立要能出具可核查的证据。有技术团队、愿意承担额外材料准备工作的情况下，开源方案能显著降低成本。
等保和密评是一回事吗？
不是。等保是网络安全等级保护，密评是商用密码应用安全性评估。部分行业（金融、政务）同时要求等保和密评。密评关注密码技术的合规应用，是另一个独立的评估体系，需要单独预算。
整改预算怎么压？
三个方向：一是盘清存量（已有产品能否等效满足）；二是用云平台自带能力替代独立产品（如云防火墙替代硬件防火墙）；三是区分「必须技术整改」和「可用管理制度补齐」的项。做好这三件事，预算通常能压 30%–50%。不建议在测评机构资质和测试深度上省钱。
相关内容
主流等保合规服务商对比
等保合规不是填表，是把安全建设理顺
很多企业接触等级保护，是从一份测评整改通知开始的。测评机构列出几十条不符合项，要求限期整改，技术团队拿着清单一条条对，不知道先做哪个、为什么做、做完能解决什么问题。结果往往是买了设备、配了策略、勉强过线，第二年测评又是同样的问题。这种情况的根因不是投入不够，而是缺少整体规划：安全域怎么划分、边界在哪里、哪些系统定几级、整改的优先级怎么排，这些前置问题没有答案，后面的动作就只能是被动应付。
合规咨询的价值在于把这些前置问题先想清楚。它通常从现状调研开始，梳理业务系统与数据流向，确定定级对象和等级，对照标准找出差距，再给出分阶段的建设路线。路线里会明确哪些是测评必查项、哪些是长期优化项，让有限预算花在能同时解决合规风险和真实风险的地方。
还有一层是持续性。等保不是一次性的验收动作，系统变更、业务扩展、等级调整都会触发重新评估。咨询方如果只交付一份报告，后续每次变化都要重新找人；能把制度、流程、责任分工一起落地的方案，才能真正减轻企业的长期负担。
选型要看哪些维度
- 对定级与备案流程的熟悉程度：能否协助完成定级论证、专家评审、备案材料准备，这些环节的经验直接影响推进速度。
- 差距分析的颗粒度：是给一份标准条款对照表，还是能落到具体系统、具体配置、具体责任人的整改项。后者才具备可执行性。
- 技术落地能力：咨询方是否同时具备技术实施能力，能否在策略配置、日志接入、审计留存这些细节上给出具体方案。
- 行业经验：医疗、教育、金融、政务的监管口径和业务特点差异明显，同行案例能显著降低沟通成本。
- 交付物完整度：是否包含安全管理制度、操作规程、应急预案、记录表单等配套文档，测评时这些是必查项。
- 后续支撑：年度复测、系统变更评估、监管检查应对能否持续承接。
三家服务方的差异
腾讯云的等保合规咨询服务在互联网、教育、医疗类客户中实践较多，交付流程比较标准化，对云上系统的整改路径设计较为熟悉，适合业务主要跑在云上、希望快速完成定级备案与整改的中小团队。
奇安信在等级保护方向参与标准研究与大型项目较多，体系化程度高，能把合规要求拆成可执行的年度工作计划，适合集团型组织、多系统多分支需要统一规划的场景。
绿盟科技在技术检测与整改实施上有较深积累，咨询服务往往与渗透测试、漏洞治理、安全运营结合交付，适合已经有一定安全基础、希望把合规与技术加固一起推进的企业。
三家都能覆盖定级备案、差距分析、整改建议、测评配合的完整链条，差别主要体现在交付团队的行业背景和整改实施的深度上。
不同场景怎么选
- 首次做等保的中小企业：优先选流程标准化、能带着走完定级到测评全过程的服务方，重点是省心。
- 多系统并存的集团：需要统一规划定级范围与建设路线，避免各下属单位重复投入。
- 业务快速变化的公司：重点看能否提供持续评估与变更支撑，而不是一次性交付。
- 已上线但整改困难：优先选技术实施能力强的服务方，把整改方案做到可执行。
常见误区
把过测评当成目标。测评是手段，真正的目标是降低业务风险，只求过线的整改通常经不起一次真实攻击。
先买设备再找咨询。采购在前、规划在后，容易造成设备与需求错配，预算花了但差距项依然存在。
忽略制度与流程。技术措施到位但制度文档缺失、责任人不明确，测评时同样会被判不符合。
