等保测评前先自查访问控制与审计留痕

等保测评前的自查工作，核心是抓住访问控制与审计留痕两大主线，先解决账号权限和日志完整性问题，能规避测评中相当一部分高风险项。

等保测评不是临时抱佛脚就能过关的，测评机构的工程师带着检查表进场，第一个翻的就是访问控制配置和审计日志记录，这两块如果存在明显短板，后续整改成本会成倍增加，与其等测评报告出来再补救，不如在测评进场前,用一天时间按下面的逻辑做一轮深度自查。

等保测评前自查访问控制要注意哪些细节

访问控制是等保测评的必查项，也是扣分重灾区，很多单位以为装了防火墙就是访问控制到位了，实际上测评机构看的是身份鉴别、权限分配、登录限制三个维度的具体落地情况。

账号权限分配是否遵循三权分立原则

系统管理员、安全保密管理员、安全审计管理员三种角色必须分离，这是等保二级以上测评的硬指标，自查时登录核心业务系统后台，看当前账号列表里是否存在一个账号同时具备用户管理、安全策略配置、日志查看三种权限的情况，行业共识认为,三权分立不彻底是导致访问控制项直接判不合格的首要原因。

具体操作路径：进入用户管理模块，逐个检查角色分配情况，确认超级管理员账号仅保留系统配置权限，安全审计员账号只能查看日志不能修改策略，安全保密管理员负责用户授权但不能配置系统参数，如果发现某账号权限过大,立即调整并记录操作日志。

默认口令和弱口令是否彻底清理

测评机构进场后第一件事就是尝试用弱口令登录系统，检查所有网络设备、服务器、数据库、应用系统的默认账号是否已禁用或修改，例如厂商预设的admin、root、test等账号，自查时需要逐一登录设备，在全局配置中查看是否存在闲置的默认账号,并测试密码复杂度策略是否生效。

登录口令长度不小于8位，包含大小写字母、数字、特殊字符中至少三种类型，且90天内强制更换一次，可以通过在系统安全策略中查看密码策略配置来核实。首次登录是否强制修改初始密码这个细节,多数测评机构会重点关注。

登录失败策略和超时退出机制是否启用

连续输错密码5次锁定账号15分钟，这是较常见的基线要求，自查时打开系统的安全策略配置界面，检查账号锁定阈值、锁定时间、解锁方式是否满足要求，同时查看Web应用系统的会话管理配置,确认闲置超时退出时间设置在15分钟以内。

远程管理方面，检查防火墙策略中是否限制了管理端口的源IP地址，是否只允许运维人员办公网段的IP才能访问管理接口,测评机构会检查设备配置文件中是否有限制远程登录来源的ACL规则。

双因素认证是否覆盖核心系统

等保三级要求对关键运维操作采用双因素认证，自查范围包括堡垒机、核心数据库、核心网络设备的管理登录，如果目前只使用账号加密码的单因素认证，需要在测评前部署OTP动态令牌或USB Key认证方式。

等保测评前审计留痕怎么查才算完整

审计留痕是测评机构另一大重点检查方向，访问控制做得再好，如果日志不完整、存储不规范，同样面临扣分风险，自查审计留痕时，把关注点放在日志记录范围、日志留存时间、日志保护措施三个层面。

日志记录范围是否覆盖所有关键操作

登录日志、操作日志、安全事件日志三类必须要有,自查时分别查看各核心系统的日志模块：

• 系统登录日志：记录登录时间、用户账号、来源IP、登录结果
• 操作审计日志：记录增删改查操作、配置变更内容、操作人账号
• 安全事件日志：记录入侵尝试、病毒查杀、异常流量告警等事件

重点检查应用系统和数据库的审计功能是否开启，不少单位操作系统日志有记录，但业务应用的审计日志功能常年处于关闭状态,这是自查中最常见的疏漏点。

日志留存周期是否满足等保要求

等保二级要求日志留存不少于6个月，三级要求不少于6个月且建议延长至一年，自查时需要实际查看日志存储空间用量和最早日志的日期,确认日志未因存储空间不足被自动覆盖删除。

具体操作路径：登录日志服务器或查看应用系统的日志存储配置，查看当前日志文件总量空间占比和日志滚动策略，确认已达6个月期限的日志依然可查询，如果发现日志只保存了3个月,需要调整日志滚动策略或扩充存储空间。

审计日志本身是否受到完整保护

测评机构还会检查日志是否防篡改、防删除，自查时确认审计日志的写入权限已做限制，只有审计管理员账号具备日志删除权限，且日志删除操作本身会生成一条新的审计记录，部分系统需要配置远程日志服务器进行日志实时同步,防止本地日志被篡改后无据可查。

时钟同步也是容易被忽略的细节点，查看所有设备和系统的NTP时钟同步配置，确认与权威时间源同步且时区设置为UTC+8，日志记录的时间戳如果不准，影响审计追溯的可用性,测评机构在核查时会抽查日志记录时间与实际时间的偏差。

等保标准和差距分析报告是否提前准备

测评机构进场后会先看单位的安全管理制度文件和最近一次风险评估报告，自查阶段提前按照等保标准整理制度汇编，包括安全策略文档、运维操作规范、应急响应预案等，同时对照等保标准做一份初版的差距分析报告,主动让测评机构了解当前安全现状。

很多单位在等保测评价格上讨价还价，但忽视了一个事实：首次测评如果不合格，复测费用通常在原价的50%到70%之间，花费一天时间完成自查整改，能有效降低复测概率，整体成本反而更低，本地测评机构通常能在测评前提供一次预沟通机会,建议主动联系对方确认本次测评的重点对象范围。

自查中最容易被忽略的细节死角

大型政务系统或企业核心业务系统往往设备数量众多，自查中一些边缘环节容易被忽视,但恰恰是这些死角在测评中最容易暴露问题。

• 测试环境、开发环境的账号是否关联到真实用户身份，是否存在共用账号



• 打印机、门禁系统等物联网设备的登录认证和日志记录情况
• 云平台上的安全组规则是否与本地防火墙策略保持一致
• 外包运维人员的账号权限是否在项目结束后及时回收
• 堡垒机自身的审计日志是否纳入了整体审计范围

测评机构在查看等保二级审计日志保留多久这一项时，会实际抽查历史日志中的登录记录与当前系统用户列表进行比对，如果发现某个已离职员工的账号仍有登录日志记录,大概率会在报告中形成中风险项。

自查结果如何整理才能让测评机构快速认可

完成上述自查项后，需要将结果整理成结构化的自查报告，测评机构不关心自查过程多么细致，他们只关注最终状态是否满足标准要求，整理报告时按照测评标准条款逐项对应，每一条款下列出当前状态、符合性判断、佐证材料路径,方便测评工程师快速核验。

设备名称、IP地址、整改责任人、完成时限四项信息必须明确，所有自查中发现的问题都要在测评进场前完成整改，并在报告中标明整改前后对比截图，测评机构核验时能直接看到整改痕迹,这比口头解释更有说服力。

自查的核心原则是：让每一项访问控制措施都有明确的配置依据，让每一次操作行为都有完整的日志可追溯。

Q&A

等保测评前自查需要多长时间？

视系统规模而定，单一系统通常需要半天到一天，包含几十台设备的中型网络环境建议预留两到三天,重点放在账号权限梳理和日志完整性验证两个环节。

等保二级审计日志保留多久算合规？

不低于6个月，自查时从日志管理后台导出最早一条日志的日期，向前推算是否覆盖了完整的6个月周期,同时确认日志覆盖过程中无断档。

没有专职安全人员的单位如何完成自查？

优先检查设备默认口令是否修改和系统登录日志是否开启两个最基础的项，其余配置项可以联系设备厂商或运维服务商协助核查,将自查结果作为等保测评项目的输入材料提供给测评机构。