等保合规不是测评当天熬夜补材料就能过关的事，它更像服务器日常运维漏洞要常扫、日志要常看、权限要常审、演练要常做，证书只是阶段性的体检报告。
等保三级测评多久做一次？持续维护把“年检”变“日检”
很多运维在等保测评前疯狂补漏洞、改配置，等证书到手就松劲，可下次检查或真实攻击不会等到你准备好，根据《信息安全等级保护管理办法》，三级系统每年至少测评一次，注意“至少”那只是底线，不是完整安全周期。
三级系统的固定动作
- 每年一次：法定等级测评，拿证书。
- 每半年或每季度：内部漏洞扫描、渗透测试。
- 每月：账号权限复核、配置基线核查。
- 每日：日志集中分析、异常登录监控。
把测评项变成日常检查表
比如三级系统中“安全审计”这项，不能只在测评前导出几份日志应付，每天下午登录堡垒机，先跑一遍常用命令：
- `last -n 30` 查看最近登录，发现凌晨三点跳板机有陌生IP就要追。
- `grep "Failed password" /var/log/auth.log | tail -50` 统计爆破尝试。
- `netstat -tunlp` 核对监听端口，多出的进程马上查。
这些动作花不了十分钟，但能让你在测评前不用临时翻半年日志，配置基线也一样，/etc/ssh/sshd_config 里禁 root 登录、改默认端口、限制密钥登录，每月抽一次核查，别等测评机构指出“远程管理不满足身份鉴别要求”。
等保二级和三级区别在哪？持续维护预算完全不同
很多单位纠结“等保二级和三级区别在哪”，表面看是分数和测评频次，实际是运维投入的天壤之别，三级系统的持续维护压力来自每年必测和监管通报，二级系统虽然测评频率低，但安全威胁不会因为级别低就绕道。
| 维度 | 二级系统 | 三级系统 |
|---|---|---|
| 法定测评频次 | 通常每两年一次 | 每年至少一次 |
| 日志留存 | 至少6个月 | 至少6个月且强调集中审计 |
| 运维人力 | 可兼职 | 建议专人或安全团队 |
| 应急预案 | 有即可 | 必须定期演练并留存记录 |
二级系统别以为“两年一次”就能躺平
一个地市级门户网站做过二级测评后，两年没更新中间件，某天被挂上博彩页面，网警通报时才发现 Struts2 漏洞从半年前就暴露在公网，二级系统不用每年测评，不代表不用每月补丁，日常维护清单可以比三级短，但漏洞扫描、备份恢复、弱口令排查这三项不能省。
等保测评费用一般多少？持续维护成本比测评费更该算清
“等保测评费用一般多少”是很多单位问的第一句，测评费本身受等级、系统数量、地域影响较大，上海等保测评机构的人工成本高，报价通常比中西部高出一截；医疗、金融等强监管行业因为系统复杂，也会上浮，但真正容易被忽视的是持续维护成本。
一次性测评费 vs 全年安全运维费
等保测评费用一般多少？第三方机构只做“体检”，整改和日常维护得自己兜底，比如三级系统，每年除了测评费，还要考虑：
- 漏洞扫描器或云安全订阅，按资产数量计费。
- 日志审计系统或 SIEM，开源方案要人力，商业方案要授权。
- 堡垒机、终端准入等合规刚需设备。
- 应急响应服务，真出事后按次或按年购买。
近年来越来越多单位发现，持续维护投入通常是单次测评费的数倍，如果只按测评费做预算，后面要么安全设备吃灰,要么等出通报再补救。
上海等保测评机构怎么选？持续服务能力比报价更重要
上海等保测评机构数量不少，但别只看报价单，有的机构测完发报告就结束，有的会帮你复核整改项，甚至后续提供复测提醒，一个实用的筛选标准：问问对方能否在测评后三个月内免费复查一次整改情况，行业共识认为，能提供的机构对持续维护理解更深，还要看他们是否熟悉你所在行业的监管要求，比如医疗行业的数据分类分级。
医疗行业等保测评后的持续维护场景
医疗行业等保测评有其特殊场景，HIS、LIS、PACS 等系统每天承载大量患者隐私和诊疗数据，测评通过后，最大的持续风险不是黑客炫技，而是勒索软件和内部人员违规查询。
勒索软件加密影像文件
多数医院把 PACS 影像放在内网，但内网终端插 U 盘、带病毒笔记本接入的情况不少，持续维护要把 PACS 归档区的只读策略、终端杀毒、访问控制列表每月核查，命令示例：在 Linux 归档服务器上执行 `find /archive -mtime -1 -type f` 查看最近被修改的文件，异常修改通常意味着权限失控或感染。
防统方与患者隐私保护
统方是医疗行业的老问题，数据库审计不能只靠测评时开几天，而要全年开启，持续维护每天看审计报表，抓取非工作时间的批量查询，比如凌晨两点某个药房账号查询了上万条处方记录，就要提交纪检或信息科处理，这种日常动作，比测评前突击清理有效得多。
持续维护每周清单：把合规拆成可执行步骤
如果不想把等保做成“一年焦虑一次”，就把维护拆到每周，下面是一份适用于三级系统的周清单，二级系统可适当减半。
周一：账号与权限
- 在堡垒机里导出本周新增账号、离职未禁用账号。
- 检查特权账号是否双人保管，密码是否定期更换。
- Windows 域控执行 `net user /domain` 核对异常账号。
周三：漏洞与补丁
- 扫描器输出新增高危漏洞，24 小时内确认是否误报。
- 关注中间件官方安全公告，优先修复暴露在公网的组件。
- Linux 执行 `yum update --security` 或 `apt list --upgradable` 查看待更新安全包。
周五：日志与备份
- 集中日志平台查看近 24 小时告警，确认是否关闭了无关告警源。
- 备份任务是否成功，恢复测试是否随机抽验一次。
- 防火墙策略变更记录是否留痕，`iptables-save > /etc/iptables/rules.v4` 导出当前规则做版本对比。
每月固定：演练与复盘
- 模拟某个系统被勒索，走一遍应急预案，记录 RTO 和 RPO 是否达标。
- 把本月漏洞、权限、日志问题汇总，形成整改清单。
- 更新等保测评材料包，包括拓扑图、管理制度、运维记录。
等保证书不是保险箱，而是一张需要持续充值的会员卡，把“下一次测评”当成日常维护的自然结果，而不是需要突击的考试,合规才会从成本变成保障。
等保合规持续维护常见问题
等保三级测评多久做一次？
根据《信息安全等级保护管理办法》，第三级系统每年至少开展一次等级测评，但日常漏洞扫描、日志审计、权限复核等持续维护工作，应按周或按月执行，不能等同为年度测评。
等保测评费用一般多少？
测评费根据系统数量、等级、地域差异较大，上海等保测评机构报价一般高于中西部，持续维护成本另计，包括漏洞扫描工具、堡垒机、日志审计、应急响应等，单位在做预算时，不宜只按单次测评费规划全年安全投入。
等保二级和三级区别在哪？
主要区别在测评频次、技术要求和运维投入，三级系统每年至少测评一次，二级通常每两年一次；三级对审计留存、实时监控、应急预案演练要求更高，持续维护的强度也随等级递增。