機房是等保測評里Zui"硬"的一塊，因為它涉及實體環(huán)境，改起來不像改配置那樣幾分鐘搞定。評分又是企業(yè)Zui看不懂的一塊，明明感覺做得不錯，結(jié)論卻是"中"。

這篇把兩部分拆開講：機房到底查什么，分?jǐn)?shù)到底怎么算。

機房（物理環(huán)境）到底查什么

標(biāo)準(zhǔn)里對物理環(huán)境的要求，可以歸為十個方面：

位置選擇：機房應(yīng)避免設(shè)在頂層或地下室，避免用水設(shè)備的下層或隔壁，遠離強振源、強電磁場。

防盜防破壞：有防盜設(shè)施，有出入登記，重要區(qū)域有監(jiān)控。

防雷擊：有防雷保護措施，配電與通信線路有浪涌保護。

防火：有滅火設(shè)備，有火災(zāi)自動報警，三級還要求采用氣體滅火等不影響設(shè)備的滅火方式。

防水防潮：有防水檢測或漏水報警，有除濕措施。

防靜電：有防靜電地板或防靜電手環(huán)，接地良好。

溫濕度控制：有精密空調(diào)，有溫濕度監(jiān)控與報警。

電力供應(yīng)：有 UPS，關(guān)鍵設(shè)備雙路供電，三級要求供電冗余。

電磁防護：電源線與通信線隔離鋪設(shè)，關(guān)鍵設(shè)備有電磁屏蔽措施。

監(jiān)控與門禁：三級要求設(shè)置門禁系統(tǒng)，對重要區(qū)域?qū)嵤┮曨l監(jiān)控，記錄保存一定期限。

二級和三級的機房差異

二級關(guān)注"有沒有"：有沒有滅火設(shè)備、有沒有 UPS、有沒有出入登記。

三級關(guān)注"有沒有效"：滅火方式是否適合電子設(shè)備、UPS是否覆蓋關(guān)鍵設(shè)備并定期測試、門禁是否有權(quán)限分級和記錄留存、視頻監(jiān)控是否覆蓋全部出入口并留存足夠時長。

實際測評中，三級項目在機房環(huán)節(jié)Zui常見的三個不符合項是：視頻監(jiān)控存儲時長不足、門禁記錄無法導(dǎo)出、UPS未做放電測試且無記錄。

已經(jīng)上云，機房這一塊怎么交代

業(yè)務(wù)跑在云上的企業(yè)，物理環(huán)境由云服務(wù)商負(fù)責(zé)。測評時不需要自建機房材料，但要提供三樣?xùn)|西：

云服務(wù)商的等保測評報告或合規(guī)證明（在有效期內(nèi)）；

云服務(wù)商關(guān)于機房物理安全的說明或白皮書章節(jié)；

責(zé)任劃分說明，明確物理環(huán)境條款由云平臺承擔(dān)。

如果企業(yè)還保留了自建機房或托管機柜，用于辦公、測試、災(zāi)備，那么這部分仍要單獨提供材料。很多企業(yè)漏掉的就是這個"小機房"。

評分是怎么算出來的

等級測評的結(jié)論不是拍腦袋，是算出來的。

基本邏輯是：把測評指標(biāo)按層面和權(quán)重分配，逐項判定符合、部分符合、不符合、不適用，換算成得分，再加權(quán)匯總成綜合得分。

綜合得分的結(jié)論對應(yīng)關(guān)系，通常是這樣：90 分及以上為優(yōu)，80 分及以上為良，70 分及以上為中，70 分以下為差。

但分?jǐn)?shù)不是唯一依據(jù)。如果存在高風(fēng)險問題（比如存在可直接獲取數(shù)據(jù)的漏洞、身份鑒別機制形同虛設(shè)），或者關(guān)鍵控制點整體缺失，即使總分達標(biāo)，結(jié)論也會被下調(diào)。這就是為什么有些企業(yè)"分?jǐn)?shù)看著還行，結(jié)論卻不好看"。

哪些項Zui容易扣分

從實際項目看，扣分集中的地方有這么幾處：

身份鑒別：口令策略不嚴(yán)、無登錄失敗處理、管理員賬號未做雙因素。

訪問控制：權(quán)限過大、無Zui小授權(quán)、離職賬號未清理。

安全審計：日志未開啟或留存不足六個月、無審計分析。

入侵防范：無入侵檢測、漏洞未及時修復(fù)、暴露高危端口。

數(shù)據(jù)完整性/保密性：傳輸未加密、敏感數(shù)據(jù)明文存儲。

安全管理：制度未發(fā)布、無執(zhí)行記錄、無演練。

備份恢復(fù)：有備份無驗證、備份數(shù)據(jù)未異地存放。

這些項在不同等級中的權(quán)重大致相同，屬于"通用失分區(qū)"。先把這幾塊補齊，得分提升Zui明顯。

分?jǐn)?shù)之外，還要看什么

報告里除了分?jǐn)?shù)和結(jié)論，還有幾樣?xùn)|西值得關(guān)注：

不符合項清單。這是整改的直接依據(jù)，條目越具體越好用。

風(fēng)險分析。高風(fēng)險項即使只有一條，也要優(yōu)先處理。

測評范圍說明。寫清這次測了哪些系統(tǒng)、哪些區(qū)域，后續(xù)新增系統(tǒng)要單獨安排。

復(fù)測建議。有些報告會給出復(fù)測關(guān)注點，提前看能少走彎路。

等保測評的評分，本質(zhì)是把安全狀況量化。理解它的算法，就能把有限的預(yù)算投在得分效率Zui高的地方，而不是平均用力。

河南早辦科技有限公司在測評前會先做一輪預(yù)評估，按評分邏輯模擬一次打分，把可能失分的項提前補上，再進入正式測評。公司2020年成立于鄭州，注冊資本100萬元，服務(wù)全國客戶，多對一團隊跟進，幫助企業(yè)把機房整改和評分提升這兩件事一次做對。