等保三级测评的现场，往往是企业安全建设最真实的照妖镜。漏洞扫描报告里那几十条中危项或许还能靠解释扛过去，但一旦出现高危项，基本意味着整改周期要按周计算。我们团队在过去一年参与过47个等保三级项目的整改，今天把那些真正值得警惕的高风险项拿出来拆解。

身份鉴别与访问控制：最容易被忽视的致命伤

很多企业以为上了堡垒机就万事大吉，但测评机构最常抓的第一个高风险项就是双因素认证缺失。别信开发人员说的"我们内网很安全"，2023年某央企子公司的教训还热乎着——运维账号被撞库后横向渗透，整个数据库被拖走。实际操作中，哪怕只是给VPN和核心服务器加个动态令牌，都能让风险等级从高降为中。

另一个高频问题是默认口令和弱口令。我们曾在一家智能制造企业扫出37个设备仍使用admin/admin，包括两套工控系统。整改方案没什么科技含量，但执行起来要命——需要建立口令策略强制轮换，配合安防系统工程里的集中账号管理平台，把密码生命周期管起来。

数据安全与加密：别等泄露才想起密钥管理

等保三级对数据加密的要求分为传输和存储两层。传输层相对好办，全站HTTPS加国密算法基本能过关；但存储加密是重灾区，尤其是数据库里的敏感字段。去年有个客户自认为做了TDE透明加密，结果测评时发现备份文件完全裸奔——备份未加密同样算高风险。

密钥管理更是一团乱麻。见过不少企业把密钥硬编码在配置文件里，或者所有系统共用一把主密钥。整改建议是引入独立的密钥管理系统(KMS)，按业务域拆分密钥，并设置定期轮换机制。这属于网络安全软件开发范畴，如果内部没有相应能力，建议直接采购成熟商用产品，比自研省心得多。

安全审计与日志留存：90天红线别踩

日志留存不足6个月是等保三级的硬指标，但很多企业栽在日志完整性保护上——日志文件可以被管理员随意修改删除，这在测评师眼里和没做审计一个样。稳妥的做法是部署日志审计系统，开启防篡改功能，同时把日志同步到独立的存储服务器或云端。

另一种情况是审计范围覆盖不全。我们遇到过一家信息系统集成商，只对数据库开了审计，但应用中间件的操作日志完全没接。整改时建议按照"谁访问了数据、谁改了配置、谁执行了特权命令"三条主线梳理日志源，宁可多采不可漏采。这里有个数据供参考：合规项目平均需要接入12-18个日志源，少于这个数基本会被质疑。

• 高危：三权分立未实现（系统管理员、安全管理员、审计员混岗）
• 高危：远程管理未限制源IP，直接暴露公网
• 中危：安全技术防范措施如入侵检测/防御系统规则库超期未更新

最后说两句实在的。等保三级整改不是一锤子买卖，测评通过后的持续符合性才是关键。建议每季度做一次内部核查，重点关注设备配置漂移和人员权限变更。我们的经验是，把整改动作嵌入到日常运维流程里，比突击补课有效得多。如果你们正在准备复测，不妨从上述三个方向先自查一遍，能省不少来回折腾的时间。