等保证书拿完就一劳永逸？三级系统年度复测与日常安全清单

不少企业拿到等保证书和公安备案证明后，就把材料锁进抽屉，以为安全合规到此「办完了」。实际上，等级测评是一项周期性义务：三级系统每年都要复测，二级系统一般每两年一次（以属地公安机关要求为准）。证书只是起点，日常安全和周期复测跟不上，下一轮测评照样会出问题。

复测是周期性义务，不是一次性动作

等保 2.0 框架下，测评报告反映的是「测评时点」的安全状态。系统上线后的每一次变更——新增模块、开放接口、迁移上云——都可能改变风险面。而在监管检查、客户尽调和投标场景中，对方看的往往是最近一次的测评报告：报告过期，采信度会明显下降。

三级与二级的复测节奏

日常运维清单：复测不丢分的关键

复测丢分的系统，多数不是败在架构，而是败在日常管理。建议对照以下清单自查：

• 日志留存：网络与安全日志按规定期限留存，关键操作可追溯；
• 漏洞管理：定期扫描、及时修复补丁，整改过程留痕；
• 账号权限：人员离职即回收权限，坚持最小权限原则，定期清理僵尸账号；
• 应急预案：预案要有演练记录，演练结果与预案保持一致；
• 文档同步：网络拓扑图、安全制度与系统实际状态保持一致，避免「两套皮」。

把复测当体检：提前规划不慌张

建议以首次备案日期为锚点建立年度提醒：复测前约 1~2 个月启动准备，先做一轮内部自查和小整改，再预约测评机构现场测评，整体周期以测评机构排期与属地公安要求为准。复测中发现的个别不符合项，按整改建议闭环处理即可，一般不影响整体结论；但若长期放任积累，下一轮复测的风险就会集中爆发。

如果拿不准自家系统的复测节奏或整改重点，可以先做一次差距自查再决定是否需要外部支持，也可参考等保证书服务说明，或获取参考报价。