每次談到等保，總有企業(yè)負(fù)責(zé)人問(wèn)同一句話："不做會(huì)怎么樣？"

這個(gè)問(wèn)題值得認(rèn)真回答，因?yàn)樗皇?會(huì)不會(huì)被罰"這么簡(jiǎn)單。下面分三層算賬，都是實(shí)際會(huì)發(fā)生的事。

法律層：義務(wù)是明確的，罰則有明文

《網(wǎng)絡(luò)安全法》第二十一條規(guī)定，國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照等級(jí)保護(hù)要求履行安全保護(hù)義務(wù)，包括制定內(nèi)部安全管理制度、采取防范技術(shù)措施、留存網(wǎng)絡(luò)日志不少于六個(gè)月等。

第五十九條對(duì)應(yīng)的罰則是：不履行第二十一條、第二十五條規(guī)定的安全保護(hù)義務(wù)的，由有關(guān)主管部門責(zé)令改正，給予警告；拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處一萬(wàn)元以上十萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員處五千元以上五萬(wàn)元以下罰款。

這里有兩個(gè)容易被忽略的點(diǎn)：一是"責(zé)令改正"本身就是行政處罰措施，會(huì)留痕；二是"導(dǎo)致危害網(wǎng)絡(luò)安全等后果"是加重條件，一旦發(fā)生數(shù)據(jù)泄露事件，處罰幅度會(huì)往上走。

除《網(wǎng)絡(luò)安全法》外，《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》下的合規(guī)檢查，也常把等保備案與測(cè)評(píng)材料作為判斷是否履行安全保護(hù)義務(wù)的依據(jù)之一。

業(yè)務(wù)層：等保已經(jīng)變成一道準(zhǔn)入條件

這一層的影響比罰款更直接，也更常見(jiàn)。幾個(gè)具體場(chǎng)景：

招投標(biāo)。政府、國(guó)企、大型企業(yè)的信息化項(xiàng)目，招標(biāo)文件里寫明需要提供備案證明與測(cè)評(píng)報(bào)告的越來(lái)越多。沒(méi)有，連投標(biāo)資格都沒(méi)有。

應(yīng)用市場(chǎng)與渠道準(zhǔn)入。部分類目的審核會(huì)核驗(yàn)經(jīng)營(yíng)主體的合規(guī)材料，材料不齊會(huì)影響上架或后續(xù)巡檢。

支付與金融合作。接入支付通道、申請(qǐng)商戶資質(zhì)時(shí)，風(fēng)控審核會(huì)看安全合規(guī)情況。

甲方供應(yīng)商準(zhǔn)入。給大企業(yè)做服務(wù)商的，年度供應(yīng)商審核表里通常有安全合規(guī)一欄。

政務(wù)項(xiàng)目驗(yàn)收。前面講過(guò)，驗(yàn)收時(shí)缺材料就卡在Zui后一步。

行業(yè)檢查。教育、醫(yī)療、金融、物流等領(lǐng)域的主管部門年度檢查，會(huì)調(diào)閱等保材料。

這些場(chǎng)景的共同點(diǎn)是：不是"可能被罰"，而是"當(dāng)下就辦不成事"。對(duì)現(xiàn)金流依賴項(xiàng)目回款的公司來(lái)說(shuō)，這一層的損失往往遠(yuǎn)大于罰款。

風(fēng)險(xiǎn)層：出事之后，能不能證明自己盡過(guò)義務(wù)

這一層Zui容易被低估，但在實(shí)際案例中權(quán)重很高。

發(fā)生數(shù)據(jù)泄露或服務(wù)中斷事件后，監(jiān)管調(diào)查會(huì)看幾個(gè)問(wèn)題：系統(tǒng)有沒(méi)有定級(jí)備案、有沒(méi)有按期測(cè)評(píng)、測(cè)評(píng)發(fā)現(xiàn)的問(wèn)題有沒(méi)有整改、安全管理制度有沒(méi)有執(zhí)行記錄。

能拿出這些材料的，屬于"已履行義務(wù)但仍有疏漏"，處理上通常從輕；拿不出來(lái)的，屬于"未履行安全保護(hù)義務(wù)"，責(zé)任認(rèn)定和處罰幅度都會(huì)不同。

此外，融資盡調(diào)、并購(gòu)盡調(diào)、上市合規(guī)審查，技術(shù)合規(guī)都是標(biāo)準(zhǔn)項(xiàng)。等保材料缺失，會(huì)影響估值談判，也可能成為交割前置條件。

不做的成本，其實(shí)可以算出來(lái)

把三層折算成錢，大致是這樣：

直接成本：一次罰款的區(qū)間是 1 萬(wàn)至 10 萬(wàn)，加上整改投入；

機(jī)會(huì)成本：一次投標(biāo)資格喪失、一次上架延遲、一次驗(yàn)收卡住，損失通常以項(xiàng)目金額計(jì)；

風(fēng)險(xiǎn)成本：事件發(fā)生后的處置、賠付、聲譽(yù)修復(fù)，量級(jí)更高。

對(duì)比之下，一次等保測(cè)評(píng)與整改的投入，通常落在幾萬(wàn)元到十幾萬(wàn)元區(qū)間。這筆賬不難算。

還有一種"做了但等于沒(méi)做"

需要提醒的是，形式主義地做也不解決問(wèn)題：報(bào)告過(guò)期不管、不符合項(xiàng)不整改、制度寫了不執(zhí)行。這類情況在檢查時(shí)同樣會(huì)被指出，甚至因?yàn)?材料與實(shí)際不符"而加重印象。

等保的價(jià)值在于把安全狀況真實(shí)地量一遍，然后改掉該改的。材料齊全但系統(tǒng)裸奔，是Zui不劃算的狀態(tài)。

什么時(shí)候開(kāi)始Zui合適

結(jié)論很樸素：在需要之前做完。

需要的那一刻往往是有時(shí)限的——投標(biāo)截止、驗(yàn)收節(jié)點(diǎn)、甲方準(zhǔn)入審核。等保的完整周期通常一到三個(gè)月，從零啟動(dòng)大概率趕不上。

如果業(yè)務(wù)已經(jīng)在給大客戶供貨、準(zhǔn)備融資、或者用戶規(guī)模進(jìn)入快速增長(zhǎng)期，現(xiàn)在就是把定級(jí)備案做掉的時(shí)點(diǎn)。

河南早辦科技有限公司服務(wù)的客戶里，有相當(dāng)一部分是在投標(biāo)或驗(yàn)收前找到我們的。我們更希望企業(yè)把等保當(dāng)成常規(guī)合規(guī)動(dòng)作，提前一兩個(gè)周期安排，成本更低、選擇更多。公司2020年成立于鄭州，注冊(cè)資本100萬(wàn)元，服務(wù)全國(guó)客戶，多對(duì)一團(tuán)隊(duì)跟進(jìn)，從定級(jí)備案到測(cè)評(píng)報(bào)告全程協(xié)辦。