要过等保，需要做安全测评的朋友，可以先看看这篇文章：https://www.freebuf.com/articles/security-management/186403.html，写得很实在。

我们在做的过程中有些收获：

  • https://www.freebuf.com/articles/security-management/186403.html 文章中的「测评经验」真的挺实在，接受测评前自己对照着看看，能避免一些问题；
  • 这不仅仅是技术评测，也是管理评测；
  • 除了管理制度，还需要「记录」，各种遵循管理制度而产生的记录文件，例如：变更记录、审批记录、培训记录等；
  • 对管理人员进行访谈时，可以适当灵活些，尽可能「真实客观」，有些可以快速改进的内容，访谈结束后直接改掉；
  • 如果采用云服务，可以看看云服务商提供哪些安全产品（防火墙、入侵检测、主机 IDS、堡垒机、Web 防火墙、漏斗扫描等），必要的话都可以上，而且建议不要临时抱佛脚，提前一点购买、上线，有业务数据和日志供审核；
  • 自己（或者请专业人士）从外部做一次漏洞扫描和渗透测试的尝试，把找到的问题处理掉；
  • 操作系统内的本地的管理策略问题——估计绝大多数团队都会存在很多细节缺陷，我们也是。根据检查结果改进就是。