合规咨询与项目统筹
确定范围、目标等级、责任分工、里程碑与外部协同关系，避免多方各说各话。
适合这些场景新系统上线监管或甲方要求测评前整改证书到期复测
5个规定动作
逐阶段推进
逐阶段推进
2条整改主线
技术 + 管理
技术 + 管理
1份责任清单
避免边界模糊
避免边界模糊
∞持续安全运营
测评不是终点
测评不是终点
先把决策信息说清楚预算、周期、材料，
预算、周期、材料，
启动前就能理出头绪
很多项目不是卡在标准本身，而是范围不清、责任人未定、材料散落。先用三个实用入口缩小问题，再决定是否需要咨询。
从当前问题出发
你现在，卡在哪一步？
不需要先弄懂所有标准。告诉我们系统状态和目标，我们先把下一步、参与方与准备材料说清楚。
快速路径评估
回答 5 个问题，
回答 5 个问题，
先找到正确起点
这不是正式定级或测评结论，而是帮助你缩小咨询范围，减少第一次沟通中的信息往返。
- 01识别当前阶段定级、备案、整改还是测评准备
- 02生成建议路径提示优先动作和应准备的信息
- 03自动带入咨询无需在表单里重新描述一遍
请勿在公开表单中填写账号密码、密钥、真实 IP、漏洞细节或未脱敏日志。
五个规定动作从一张系统清单，
从一张系统清单，
走到持续安全运营
真实项目并非机械串行，备案准备、差距分析和部分整改可能交叉推进。我们把依赖关系、责任人与证据要求放进同一张计划。
-
01STEP 01
定级
梳理系统边界、业务信息、服务对象与受破坏后的影响，形成初步定级建议。
- 系统边界与资产范围
- 定级报告/说明材料
- 专家评审准备（如适用）
-
02STEP 02
备案
结合属地要求准备备案表及附件，跟踪补充材料与信息一致性。
- 备案材料清单
- 表单填写与附件校验
- 反馈问题协同处理
-
03STEP 03
建设整改
围绕技术和管理要求做差距分析，按风险、依赖与成本排定整改优先级。
- 差距分析与风险清单
- 技术整改与制度体系
- 证据材料同步沉淀
-
04STEP 04
等级测评
配合具备相应资质的测评机构开展正式测评，快速响应并闭环发现项。
- 测评前自查与预演
- 现场访谈和证据配合
- 测评问题整改跟踪
-
05STEP 05
监督检查与运维
结合变化管理、日常巡检、年度自查和复测要求，保持控制措施持续有效。
- 巡检与漏洞管理
- 应急预案与演练
- 年度自查/复测准备
不是交一摞模板把要求翻译成
把要求翻译成
能执行、能验证的动作
从组织职责到网络边界，从账号权限到日志审计，整改结果既要在系统里真正生效，也要能形成一致、可核验的证据。
技术差距分析
检查网络与通信、设备与计算、应用与数据、物理环境等控制落实情况。
管理体系建设
结合真实组织和流程完善制度，避免文档与日常运维脱节。
整改落地支持
按优先级推进配置调整、能力补充、流程实施和证据留存。
测评配合与持续运营
在正式测评前做自查，在测评中协调信息与证据，在测评后继续管理变化、漏洞、事件与周期性复核。
二级 vs 三级等级不是套餐，
等级不是套餐，
不能先看价格再选择
初步等级主要根据系统受破坏后的影响对象与影响程度判断，不应按企业人数、预算或“想做得更高”随意决定。
L2常见于一般系统场景
网络安全保护等级 · 第二级
系统受到破坏后，可能对公民、法人和其他组织的合法权益造成严重损害，或对社会秩序和公共利益造成损害，但不危害国家安全。
- 定级关注
- 业务边界、服务对象、影响程度
- 工作重点
- 建立基础技术控制与管理制度
- 后续动作
- 定级、备案、建设整改、测评等按适用要求推进
L3更高影响与监管关注
网络安全保护等级 · 第三级
系统受到破坏后，可能对社会秩序和公共利益造成严重损害，或对国家安全造成损害。定级、建设与测评要求通常更严格。
- 定级关注
- 重要业务、较大服务范围和社会影响
- 工作重点
- 身份、审计、边界、数据、制度与人员的系统化控制
- 后续动作
- 结合属地与行业要求确认评审、备案及测评安排
上述描述用于一般性理解。具体系统等级、备案材料和监管要求，应结合业务事实、属地公安机关、行业主管部门及测评机构意见确认。
政府、事业单位与国企
关注主管部门要求、跨部门边界、重要业务连续性与监督检查准备。
互联网、软件与 SaaS
关注云上责任边界、快速迭代、租户隔离、账号权限和客户合规要求。
医疗健康
关注诊疗业务连续性、敏感数据、第三方接入和行业监管要求。
教育与培训
关注师生信息、互联网应用、校内系统边界和多角色访问管理。
金融与平台业务
在等保基础上同步识别行业标准、数据安全和业务连续性要求。
制造、物联网与工控
关注 IT/OT 边界、老旧设备可用性、网络分区和停机窗口约束。
交付可核验每一步，都要留下
每一步，都要留下
下一步用得上的证据
交付物以项目范围和书面方案为准。我们关注文档之间、文档与系统配置之间、现场访谈与实际执行之间的一致性。
01边界与资产清单SCOPE / ASSET
02定级备案材料CLASSIFY / FILE
03差距分析报告GAP / RISK
04建设整改方案PLAN / REMEDIATE
05制度与运行记录POLICY / EVIDENCE
06测评问题闭环VERIFY / CLOSE
先调研，再报价
系统数量、等级、差距和周期不清楚时，低价或固定周期都可能失真。
角色与责任写清楚
明确客户、咨询团队、整改实施方、云服务商与测评机构各自负责什么。
不以承诺替代证据
不承诺“包过”。通过有依据的差距判断、有效整改和证据复核提高准备度。
不能只按公司规模判断。通常要结合系统服务对象、业务重要性，以及系统受破坏后对公民、法人、社会秩序和国家安全可能造成的影响，由运营使用单位提出初步等级，并按要求完成审核或专家评审。
周期取决于系统数量、目标等级、现状差距、备案协同和整改采购。完成边界确认与现状调研后，才能形成可信排期；不建议在调研前承诺固定天数。
上云不等于免除运营使用单位的安全保护责任。云平台能力可以承载部分基础安全控制，但应用、账号权限、数据、制度、运维和责任边界仍需结合实际系统评估。
不是。备案是流程中的一个阶段，后续仍需按相应等级落实安全建设整改、开展等级测评，并持续做好自查、事件处置、变化管理与监督检查配合。
不能作出“包过”承诺。测评结论由具备相应资质的测评机构依据标准和现场证据独立形成。咨询与整改服务的价值是尽早识别差距、推进闭环并减少反复。
企业咨询
先把现状说清楚，
先把现状说清楚，
再给你一条可执行路径
填写系统所处阶段与目标，我们会据此准备第一次沟通。正式范围、周期、交付物和费用以调研后的书面方案为准。
- ✓只收集首次沟通所需信息
- ✓不在公开表单接收敏感资料
- ✓先确认范围，再确定项目安排