等保测评前三个月，时间够做一轮完整整改，但不够推倒重来。合理的顺序通常是：先花两到三周把资产与边界摸清，再用剩余时间按风险排序逐项整改，最后留出两周做自测与材料归档。把资产梳理放在最前面，是因为漏掉一台对外提供服务的设备，后面所有加固动作都会出现缺口。
下面按场景对比三种常见的推进顺序，说明各自的代价与适用边界，文中的判断标准可以直接用于排期讨论。
方案一：先全面摸底，再统一规划整改
这种做法把前三分之一的时间用于资产梳理与定级确认，形成清单后再统一排整改任务。优点是整改动作之间冲突少，网络区域划分、主机加固、日志留存可以一次协调到位。
- 优点：资产清单完整，整改范围不容易遗漏，测评时系统边界清楚。
- 优点：统一采购与统一变更窗口，对业务中断的协调成本更低。
- 缺点：前期看不到明显产出，管理层容易焦虑。
- 缺点：如果资产梳理拖得过久，留给高危项整改的时间会被压缩。
适用边界：系统数量多、网络结构复杂、历史遗留设备说不清归属的环境。具体取决于资产能否在两到三周内收口，收不住就要及时切到方案二。
方案二：先高危项优先，边整改边补清单
不做全量盘点，先把明显的高危项处理掉，例如对外暴露的管理端口、弱口令、未打补丁的中间件，同时滚动补充资产记录。优点是见效快，缺点是容易出现改了又漏、范围反复的问题。
- 优点：短期内风险下降明显，便于向管理层汇报进展。
- 优点：整改动作贴近日常运维，执行阻力小。
- 缺点：资产清单与整改记录不同步，测评时难以自证覆盖范围。
- 缺点：可能重复劳动，同一类问题在不同网段反复出现。
适用边界：系统相对单一、对外暴露面小、团队对现有环境已有基本掌握的情况。若存在多个业务系统交叉访问，建议仍先做一轮简版资产梳理。需要把整改范围同步给业务方时，可以参考我们的软件定制开发与系统集成服务中的交付做法。
方案三：外包整改与自建整改混合推进
把主机加固、日志平台、漏洞扫描这类标准化工作交给外部团队，把涉及业务逻辑调整的部分留在内部完成。这种方式能缓解人力不足，但接口划分不清就会互相等待。政府与国企环境下，权责划分通常更敏感。
- 优点：标准化整改动作推进快，内部团队专注业务侧改动。
- 优点：外部团队通常带着现成的检查清单与操作规范。
- 缺点：责任边界不清时，问题会在双方之间反复流转。
- 缺点：外部团队不熟悉业务，涉及流程与权限的改动仍需内部配合。
适用边界：内部运维人力紧张、整改项以通用加固为主的情况。建议在启动前约定交付物清单与验收方式，避免只交操作记录、不交可复核的配置说明。同类交付经验见政府与国企国产化改造案例。
什么情况下不要选某一种方案
方案一看起来最稳妥，但不是所有环境都适合。存在明确的高危暴露面且短期内无法封堵时，不要先做全量盘点，应先止血再补清单。
方案二不适合系统之间调用关系复杂的场景。改一处端口策略可能影响上下游多个系统，边改边补清单会放大协调成本。另外，如果测评材料要求说明系统边界与数据流向，仅靠零散整改记录很难支撑。
方案三不适合把核心业务逻辑改动整体外包。涉及到权限模型调整、审批流程变更这类需要业务方确认的内容，外部团队一般只能提供建议，最终决策仍需内部完成。涉及系统间的接口开发与集成细节，可以参考更多技术实现细节中的实践说明。
三个月的时间怎么切分
一个可操作的切分方式是：第一到第三周做资产梳理与定级确认；第四到第八周按风险等级整改，每周固定一次变更窗口；第九到第十周做内部自测与配置复核；最后两周整理材料、补齐运维记录。这个顺序的取舍依据是，越靠后越需要完整清单支撑，所以清单必须先行。
- 资产梳理：按网络区域列出设备、系统、对外服务端口与责任人。
- 差距比对：对照测评要求逐项标注已满足、部分满足与缺失。
- 整改排期：高危项先做，涉及跨系统的改动集中在同一窗口。
- 自测复核：用扫描与配置核对验证整改结果，保留记录。
- 材料归档：把变更单、配置说明与运维记录整理成可追溯的文件。
整个过程里，资产梳理是唯一不能压缩的环节。时间紧张可以减少梳理深度，但不建议完全跳过，否则后面的整改与自测都缺少参照。
文字版对比清单
方案一：先摸底后规划 → 适合系统多、结构复杂、归属不清的环境 → 主要代价是前期投入时间与人力。
方案二：高危优先 → 适合系统单一、暴露面小、已有基本掌握的环境 → 主要代价是清单与记录可能不同步。
方案三：外包与自建混合 → 适合内部人力紧张、以通用加固为主的环境 → 主要代价是责任边界与协作成本。
自查清单
- 是否已列出所有对外提供服务的系统与端口，并标明责任人。
- 是否确认了定级结果与测评范围，边界有无遗漏。
- 高危项整改是否集中在约定窗口内完成，是否留有变更记录。
- 整改结果是否有可复核的配置说明，而不是仅有操作截图。
- 自测是否覆盖了日志留存、访问控制与补丁状态。
- 材料是否能在测评时按系统边界与整改项快速定位。
按这个顺序推进，测评前能完成一轮闭环整改与材料准备。如果涉及多系统集成与部署交接，需要具体实施方案时，可以参考我们的服务范围与交付流程。
