去年夏天，公司接到一个通知，需要我们完成某个信息系统的等级保护测评工作，这个项目后来成了我职业生涯里最磨人的一件事，也是让我真正理解“等空间业务”到底有多复杂的契机，以前我以为等级保护就是做一次测评，买几个防火墙，填几张表，但实际干下来才发现，它其实是一整套围绕信息系统的业务链路，从最开始的定级，到后来的建设整改，再到测评、到日常运维，每一步都有无数细节，今天写这篇文章，就是想把我们这一年的真实过程记录下来，给同样要做这件事的朋友一个参考，网上讲等保理论的文章很多，但真正讲怎么落地的、会遇到什么具体问题的，太少了,我争取说点干货。

先交代一下背景，我们公司做的是医疗软件，规模不大，但有几个系统需要过等保三级，医疗行业的客户对等保要求很严格，没有测评报告，产品根本进不了医院，所以这件事不是可做可不做，而是必须做，今年年初，老板把任务交给了我，我当时对等保的了解，仅限于知道有“等保2.0”这个说法，于是从零开始,边学边干。

第一步就是定级，我们原本以为定级很简单，按照业务重要性选个二级或三级就行了，但实际上，定级报告里需要写清楚系统的基本信息、业务描述、服务对象、依赖的硬件网络环境，还要分析一旦系统出问题，对公民权益、社会秩序、国家安全造成的影响，我们几个系统里有涉及患者数据的，按照标准至少是三级，定级过程需要组织专家评审，我们请了几个外部专家，开了一次评审会，专家的意见其实很有用，他们指出了我们原本忽略的一个点：系统与外部数据交换的接口如果没考虑清楚，定级就会偏低，我们后来补了一份数据流向说明，才把定级报告做扎实，这一步看起来简单，但后续的测评范围完全由定级决定，如果定级定错了，要么成本过高,要么不符合要求。

定级报告提交给公安机关备案，拿到备案证明后，就可以进入建设整改阶段了，这个阶段是整个等空间业务里最花钱、最耗时间的，我们需要对照等保要求的安全通用要求，逐项自查，说实话，第一次看那个控制项列表时，我整个人是懵的，因为里面的要求特别细，比如入侵防范、恶意代码防范、身份鉴别、访问控制、安全审计、数据完整性、保密性等等，我们当时真正有的安全措施，就是一个普通防火墙和一台装得十分简陋的杀毒软件服务端,这远远不够。

于是我们找了当地一家做等保咨询的服务商，让他们帮我们做了一次差距分析，服务商的人来了之后，拿着checklist一项一项查，查完了出一份整改建议，我印象最深的是，他们指着我们机房里的那台老旧的交换机说，这上面没有任何安全配置，trunk口和access口混在一起，而且进去不需要登录密码，这等于让攻击者可以直接摸到核心网络，我们听了很受触动，但没法反驳，那台交换机用了快十年了，平时根本没人管，后来我们重新规划了网络区域，把服务器区域、办公区域、管理区域分开，在交换机上限制了VLAN间的访问,还加了几台新设备。

在设备采购上，我们预算有限，没有全买高昂的硬件盒子，而是采用了订阅云安全服务的方式，比如日志审计，我们用了云端的日志审计平台，把各系统的日志集中打包过去，按月付费用，还有数据库审计，我们买了一台小型的软网关，对关键数据库的访问记录进行解析和分析，这样算下来，比全部买硬件节省了大概四成，不过这里有个问题，就是运维人员的能力要跟上，云服务部署和配置也需要学习，我们的运维同事一开始对策略配置很生疏，因为要写一些简单的SQL查询规则，后来我们参加了服务商提供的培训,才慢慢熟练。

在实际操作层面，还有几个细节值得单独拿出来说一说，比如我们在做安全计算环境测评时，测评机构要求我们提供所有服务器的账户列表和口令策略截图，这看起来简单，但因为我们公司有不少服务器是以前的技术人员手动部署的，账户混乱，有的甚至还有默认的guest账户，我们花了整整两天时间，逐台服务器清理多余的账户，设置密码有效期，还有一台服务器的管理员账户没有启用锁定策略，这意味着别人可以无限次尝试密码，我们赶紧在组策略里设置了连续五次失败锁定半小时，这些虽然是基础操作，但如果不做,测评就会亮红灯。

另外网络安全的防护在等空间业务中占比很高，我们一开始只有一道边界防火墙，后来按照等保要求，增加了入侵检测功能，我们没有买独立的入侵检测设备，而是在防火墙上开启了IPS模块，然后配置了几条关键规则，比如禁止外部扫描、防止SQL注入、检测暴力破解等，不过配置这些规则需要一些经验，因为规则过于严格会导致正常业务访问被拦，我们曾经在开启一条规则后，医院客户那边无法上传心电图数据，查了半天才发现是IPS把它误判为异常流量，后来我们调整了规则阈值，并加入了例外名单，才恢复正常，这个过程让我明白，安全策略不是越严越好,要结合实际业务场景不断调优。

日志管理方面，等保要求留存日志不少于六个月，我们的系统产生日志量很大，如果全部保存到本地磁盘，半年下来会占用上千GB空间，后来我们采用日志服务器加云存储的方式，把日志实时转发到云端，设置了按天的分目录，并开启了索引，为了节省成本，我们只保留了关键操作日志和系统安全日志，业务功能日志则筛选后保存，这里也要注意，日志格式要统一,否则后期审计时难以排查。

还有数据备份与恢复，等保三级要求每天备份数据，并且能恢复，我们以前只是定期导出数据库文件，但从来没恢复过，测评机构要求我们做一次恢复演练，我们才发现备份文件里的数据竟然是加密的，而解密工具因为老员工的离职，已经没人知道在哪里，那次折腾了半天，最后通过翻聊天记录才找到，后来我们建立了规范的备份管理制度，明确了备份责任人、备份周期、存储位置，并且每季度做一次真实恢复测试，所以建议大家，备份一定要定期演练，否则等于没有备份。 除了文档，还有人员安全，我们要对员工进行安全培训，包括如何识别钓鱼邮件、如何设置强密码、如何保护敏感数据，这个培训我们一开始是做给测评机构看的，但后来发现员工真的会上当，有一次我们内部发了一个测试性质的钓鱼邮件，模拟银行更新链接，结果有十几个员工点了，我们就拿这次测试结果作为培训的案例，让大家直观感受到风险，之后，我们规定新员工入职时必须参加安全培训，每年再全员复训一次，这些内容也会被测评机构抽查到,他们会要求提供培训记录和考核成绩。

应急响应这块，我们制定了网络安全事件应急预案，并且每年演练一次，第一次演练的时候，我们按照预案走流程，发现很多环节衔接不上，安全事件上报”这一步，定义不清晰，什么算事件？网络卡顿算不算？后来我们明确了事件分级，从一级到四级，每一级的响应时限和上报路径都写清楚，实际演练时，我们模拟了一个勒索病毒入侵的场景，从发现告警、隔离主机、上报领导、联系服务商，到分析溯源、恢复业务，整个过程持续了三个小时，演练结束后，我们总结了很多经验，并更新了预案，这些工作虽然繁琐,但确实提升了我们面对真实攻击时的反应速度。

整改过程中，最麻烦的其实是文档，等保测评需要看大量的管理文档，包括安全管理制度、操作规程、应急预案、网络安全事件处置方案等等，这些文档我们以前几乎没有，或者就算有也是拿来应付检查的，为了这次测评，我们专门组织各部门的人开会，要求每个部门把自己的职责范围内涉及安全的操作写下来，研发部写了代码安全规范，运维部写了服务器管理规范，行政部写了人员入职离职流程，这个过程真是反复修改，因为测评机构会抠字眼，应定期更改密码”这句话，他们就会问“定期”是多久，一个月还是一季度？你要写清楚，所以我们后来把所有“定期”都改成了具体的周期，类似这种细节,修改了不下十次。

到了申请测评的时候，我们提前跟测评机构沟通，确定了测评时间，测评机构来了三个工程师，待了整整两天，他们先查看我们的网络拓扑图，然后到机房实际检查设备配置，接着在服务器上运行漏洞扫描工具，还要抽查一些安全日志，我们以为准备得很充分了，但还是被找出不少问题，比如有一台测试用的服务器，开放了远程桌面端口，但没有任何访问控制措施，扫描结果显示存在弱口令漏洞，还有一台应用服务器，安装的中间件版本太老，存在已知漏洞，但官方补丁还没发布，我们只能先用厂商的临时规避方案，然后等待升级,测评机构把这些都记在了问题清单里。

测评结束后，我们拿到了测评报告初稿，结论是“基本符合”，但要求我们在规定时间内完成整改，我们用了三个星期去处理那些问题，弱口令的，我们强制修改了所有服务器密码，并且启用了密码复杂度策略；扫描发现的漏洞，该打补丁的打补丁，无法及时更新的，我们在外围防火墙添加了拦截规则；中间件问题，我们不断和开发沟通，最终降级了一个不常用的功能模块，算是临时解决了，整改完成后，测评机构重新验证，才给出了“符合”的结论，整个过程下来，我们的神经系统一直紧绷着,生怕哪个环节又冒出幺蛾子。

等空间业务到这里就结束了吗？并没有，拿到测评报告之后，我们以为可以松口气了，结果没过两个月，客户那边在一次安全巡检中，发现我们另一个系统没有做等保测评，虽然没有强制要求，但客户认为存在风险，要求我们尽快处理，于是我们又得启动新一轮的定级和测评，这时候我才意识到，等空间业务不是一个一次性的项目，而是一个持续的过程，每一个新建的信息系统，每一次重大变更，都可能需要重新评估，而且测评报告是有有效期的，通常是一年，一年后需要复测，也就是说,每年都要来一遍。

更现实的问题是，网络安全等级保护已经成了行业准入门槛，我们做医疗软件的，医院在招标时明确要求投标方必须提供在有效期内的等保测评报告，所以这个业务不是想不想做的问题，而是必须持续投入，我们的做法是，把等空间业务的工作内容固定下来，形成了一套内部流程，比如新系统上线前，我们会先对照等保要求自查；每个季度做一次漏洞扫描；每半年做一次安全应急演练；每年年初，预算里都会预留测评费用和整改费用，这样一来,工作开展起来就不像第一次那么手忙脚乱了。

在这个过程中，我也积累了一些自己的看法，等空间业务说到底，不是为了那一纸证书，而是为了真正确保系统的安全，但现实是，很多公司做等保就是为了拿证书，不去做实质性的安全建设，我们公司虽然也走过形式，但几轮下来，确实发现加强安全措施之后，系统稳定性比以前好了很多，以前我们经常业务被攻击导致卡顿，现在很少出现了，所以我建议大家做等空间业务时，别只盯着测评结果，多关注过程，安全能力提升了,测评自然就能过。

等空间业务非常考验跨部门协作能力，安全部门或者IT部门不能把所有事都包揽，必须争取管理层支持，让研发、运维、人力资源、法务都参与进来，我刚接手时，去催研发部门提交安全配置说明，他们觉得很烦，说这事跟我们没关系，后来我跟老板申请了专项激励，把等保工作纳入各部门的KPI，情况才好转，这不是推动工作,而是用制度来保障落实。

很多人问我，等空间业务到底怎么开始？我的回答是，先不要着急买设备，先对照等保要求做一次盘点，你可以从测评机构或者咨询公司那里拿到一份自查表，把系统里的主机、应用、网络设备、管理制度都列出来，每一项都打个分，这个盘点过程大概需要一到两周，通过盘点，你就能知道差距在哪里，然后才能排出优先级，优先级的原则是，先解决会直接被攻击的问题，比如弱口令、未授权访问、高风险漏洞，再解决管理规范问题，这样做的好处是，即使测评时间比较紧,你也已经抓住核心风险了。

说到服务商，我也有话要说，好的服务商能帮你少走很多弯路，但前提是你得分辨出谁在认真做事，有些服务商只会给你提一份大概的整改方案，然后让你买他们的盒子，可那些盒子与实际系统根本不匹配，我们换了两家服务商，第一家的工程师明显经验不足，连我们用的数据库类型都说不准，第二家虽然价格贵一些，但每次来现场，都会把整个架构摸一遍，还会陪我们写整改报告，所以预算允许的情况下,还是选口碑好的专业团队。

还有关于测评机构的选择，不同测评机构的严谨程度有差别，他们出的报告格式也可能不完全一样，我们当时对比了三家，从报价、案例、口碑、测评周期几个维度来选，有一个报价非常便宜，但网上评价不太好，说他们去过场，我们怕后面出问题没用，另一个报价适中，但是要排队两个月，我们等不了，最后选的这一家，报价比最低的贵了两成，但是可以协调时间，而且工程师经验丰富，测评过程中，他们也给了我们一些很实用的整改建议，比咨询公司还专业，所以费用上不要太省,一分钱一分货。

如果你用的是云服务器，比如阿里云、腾讯云，那么很多等保要求可以直接使用云平台提供的基础安全能力，比如云上的安全组、DDoS防护、主机安全客户端，这会大大减轻你的自建成本，我们有一个系统就在云端，直接买了云安全中心的高级版，开启了几项托管功能，然后配合云堡垒机使用，很快满足了大部分技术要求，不过需要注意的是，云上的数据所有权和责任边界要搞清楚，云厂商一般只负责物理环境安全，你在云上跑的系统的应用安全还是你自己的责任,这一点在等保测评里也会被问及。

在预算方面，等空间业务的成本很容易被低估，除了设备购买和测评费用，后面每年还有维修、硬件质保、云服务订阅、人员工资、培训费用，我们第一年花了大概二十万，第二年又花了几万用于设备到期续保和漏洞扫描工具授权，老板觉得这是无底洞，但没办法，行业要求摆在那里，我建议做预算时，把五年内的总拥有成本都算进去，而不是只看第一年，如果公司没有专职安全人员，可以考虑外包安全运营服务，每个月固定费用，让人帮你盯着日志和告警,这样比招一个全职的资深安全工程师要划算。

还有一个容易被忽略的点，就是等空间业务和等保测评是两回事，很多人以为找测评机构做测评就是全部，其实测评只是最后的一个验证环节，你需要在测评之前，通过内部的自查、整改、自我评估，确保系统已经达到了相应的防护水平，测评机构并不负责帮你建设，他们只是告诉你怎么做，或者测评后给你一个不通过的结果，所以一定要分清自己的责任和咨询公司、测评机构的分工。

我们当时为了省事，一度想让咨询公司直接包办所有事情，包括写文档、配设备、应付测评，但咨询公司只答应做技术指导，不直接操作我们的设备，因为怕担责任，所以最后还是自己动手比较多,这也让我学到了不少东西。

回想从最初的一头雾水，到现在能够独立规划整个项目，我最大的感受是，等空间业务并不神秘，它要求的更多是细致和耐心，你不需要一开始就成为高手，但要愿意去查文档、去问人、去试验，我记得为了搞清楚某个安全控制项的具体含义，我反复看了好几遍国家标准，又找了好几个技术群问才明白，这个过程很花时间,但值得。

我想对正准备做等空间业务的朋友说几句话，第一，不要拖延，定级备案越早越好，因为测评周期通常很长，我们第一次从定级到拿到报告，用了将近六个月，其中等待测评机构排期就等了一个多月，第二，一定要把文档当作和系统同等重要的事来对待，第三，做好资金和人力规划，别想着一次性解决，每年都要定期维护，第四，如果你们公司有多个系统，建议按重要性分批做，不要同时铺开，否则运维人员会被拖垮，第五，遇到拿不准的问题，多和同行交流，或者去网上搜一些案例分享，但要注意筛选信息,因为有些经验其实并不实用。

我们公司现在已经在做第三个系统的等保了，比起第一次，团队已经有了成熟的方法，我也从原来的完全不懂，变成现在能比较熟练地处理各种安全问题，回想这些年，等空间业务给我最大的感受就是，它不是一个可以一劳永逸的证书，而是一个需要长期经营的系统工程，真正投入进去之后，你会发现它对公司的整体安全水平提升帮助很大，希望我的这些记录,能给正在做或准备做等空间业务的朋友一些参考。