系统上线没两年，突然被要求补一份等级保护整改说明；或者自查时发现账号能长期共用、日志查不到人、备份没做过恢复验证——这类情况在自建管理系统里并不少见。等保2.0的约束对象是系统而不是采购方式，自研、外包定制、买来再二次开发的管理系统都要按同一套要求评估。
下面按「现象—可能原因—排查方向—预防措施」展开，最后给一份可直接照着做的问题清单。
现象：系统跑得挺稳，为什么还要整改？
等保2.0（GT/T 22239-2019 系列标准）在《网络安全法》框架下把等级保护从推荐性要求推向法定义务，公安机关负责备案与监督检查。企业常误以为「系统没出过事故」就等于合规，实际上检查看的是制度、配置与记录是否齐备。
另一个常见误解是把等保等同于买设备。现实中大量整改项落在账号管理、日志留存、变更流程这些工程管理环节，与系统是不是自研没有直接关系。
排查方向一：定级备案与系统边界是否清楚
先确认这套管理系统定了几级、备案主体是谁、边界里包含哪些组件。自建系统容易漏掉数据库、文件服务、定时任务节点，边界画不清，后面的整改就没有落点。
- 是否有定级报告与备案证明，定级对象与实际运行的系统的对应关系是否说清楚；
- 系统边界是否覆盖应用服务器、数据库、对象存储、运维跳板与第三方接口；
- 与ERP、HR、财务的对接是走内网还是公网，是否形成新的暴露面。
边界不清时，建议先画一张部署拓扑图，把每个组件标注责任方。涉及多系统集成的项目，这部分工作量往往不集中在代码上，具体交付方式可以参考软件定制开发与系统集成服务的说明。
排查方向二：账号、权限与身份鉴别
共用账号、离职不回收、超级管理员长期在线，是检查时最容易被指出的问题。原因多为系统建设时只做了功能权限，没有把组织与岗位变化纳入流程。
整改通常不只是改代码，还要配合组织与权限体系梳理。国产OA二次开发中常见的做法是把账号生命周期与人事流程绑定，自建管理系统可以借鉴同样思路，不必重复造轮子。
- 导出全部账号，核对在职状态与岗位，标记长期未登录账号；
- 检查是否存在多人共用账号、测试账号未下线；
- 确认管理员账号是否有独立身份、是否限制了登录来源；
- 核对密码策略与登录失败处理是否在系统侧生效，而不是只写在制度里。
排查方向三：日志审计与数据备份
「日志有，但查不到谁改的数据」是高频现象。原因一般是只记录登录日志，业务操作日志缺失，或者日志与应用同机存放，出问题一起丢。
审计要求关注的是可追溯：谁、什么时间、对哪条数据做了什么。整改建议从关键业务表入手，先覆盖流程审批、权限变更、数据导出三类操作，再逐步扩展。
备份方面体检的是恢复能力而不是备份文件数量。可以挑一套非生产环境做一次实际恢复，记录耗时与遇到的问题，这比写在文档里的备份策略更有说服力。
排查方向四：接口、第三方组件与运维通道
自建系统往往对接了短信、支付、地图、单点登录等外部服务，接口不做鉴权或密钥硬编码在代码里，都会成为检查关注点。第三方组件版本过旧也属于常见遗留项，但具体升级到哪个版本要结合厂商公告判断，不宜照抄清单。
运维通道包括远程登录、数据库客户端、文件传输。建议收敛到统一入口并保留操作记录，开发与运维的权限分开。涉及云上部署的，安全组、白名单与快照策略通常一并核对，可参见服务范围与交付流程中运维交接部分的做法。
逐项排查的执行顺序
整改项多时容易一头扎进技术细节，建议按先管理后技术的顺序推进，避免返工：
- 确认定级结果与备案信息，划定系统边界与责任方；
- 盘点资产清单，包括服务器、数据库、域名、证书与接口；
- 清理账号与权限，处理共用账号、离职账号与管理员入口；
- 补齐日志采集与留存，验证关键操作可追溯；
- 做一次备份恢复演练，记录结果与问题；
- 收敛接口鉴权与运维通道，关闭不必要的公网访问；
- 整理制度文档与记录表，与上述技术措施逐条对应。
既有系统改造前，建议先做一次现状评估再排期，不要在排查未完成时就大面积动生产环境。
预防：把安全要求前置到建设与验收环节
整改成本高的根源多是建设阶段没写进需求。新建或重构管理系统时，把账号生命周期、日志字段、备份策略写进需求文档与验收标准，后续检查会轻松很多。
- 需求阶段明确等保级别对应的安全要求，避免上线后再补；
- 开发阶段把权限模型与审计日志作为独立模块设计，而不是零散埋点；
- 上线前安排一次安全自查，把发现项纳入验收条件；
- 交接时移交账号清单、日志位置、备份方案与恢复步骤。
我们参与过的政府与国企类项目，在交付环节会把上述材料一并整理移交，可参考政府与国企国产化改造案例了解大致做法。
可直接照做的整改问题清单
- 系统定级报告、备案证明是否与实际运行系统一致，边界图是否更新过？
- 资产清单里是否包含数据库、存储、证书、域名与全部对外接口？
- 是否存在共用账号、测试账号或离职员账号仍可登录？
- 管理员账号是否独立、是否限制登录来源与时段？
- 关键业务操作是否记录了操作人、时间、对象与结果？
- 日志留存周期是否满足要求，是否与生产机分离存放？
- 最近一次备份恢复演练是什么时候，有无记录？
- 对外接口是否都做了鉴权，密钥是否存放在配置文件或代码中？
- 远程运维是否经过统一入口，操作是否留痕？
- 安全制度、应急预案与检查记录是否与技术措施逐条对应？
清单之外，把握一个判断标准：每一条要求既要有技术落地，也要有可出示的记录。两者缺一，检查时都会被问到。需要评估既有系统的整改工作量时，可通过联系我们沟通具体场景。
