怎么挑等保测评机构：资质核验与常见误区-等保测评网

单位做完等保定级和备案之后，下一步就是把等级测评落到具体机构上。这一步看起来只是"找家服务商"，实际决定了后面几个月的进度：报告有没有效力、整改做几轮、复测排到什么时候，都跟着这个选择走。不少单位的教训是，机构选错，报告在监管侧不被认可，前面花的钱和时间全部归零。

先弄清楚：谁有资格做等级测评

等级测评并不是任何一家安全公司都能承接的。按照《网络安全等级保护测评机构管理办法》（公信安〔2018〕765 号），测评机构实行推荐目录管理：由省级以上网络安全等级保护工作领导小组（协调）办公室，也就是通常说的"等保办"，按照统筹规划、合理布局的原则择优推荐。

这套安排有两层含义。第一，公安机关履行的是定级审核、备案受理和监督检查职责，不直接承担测评实施；具体测评活动由被推荐的社会第三方机构执行。第二，没有进入推荐目录的机构，即便技术能力不差，出具的测评报告在监管环节也不具备相应效力，等于白做一轮。

申请进入目录的门槛并不低，办法规定了九项基本条件，其中几条对企业来说尤其容易理解：

最后一条常被忽略：申请单位不得涉及网络安全产品开发、销售或信息系统安全集成等可能影响测评结果公正性的业务。这既是申请条件，也是挑选机构时最该问清楚的一件事。

核验资质不能只听对方介绍，也不能只看宣传材料里的扫描件。建议按下面四步走一遍。

查推荐目录。 在网络安全等级保护网公示的全国网络安全等级测评与检测评估机构目录中按机构全称检索；也可以对照公安部第三研究所认证中心公布的测评服务认证获证机构名录，以及属地省级公安网安部门的公示信息。
核对名称与登记信息。 逐字比对机构全称、证书编号、注册地址，与推荐证书上的记载是否一致。名称只差一两个字、实际是关联公司或挂靠团队的情形并不少见。
看证书还在不在有效期。 推荐证书有效期为三年，机构应在期满前 30 日内申请期满复审；等保办每年 12 月组织年审，国家等保办每年第四季度还会组织能力验证，未参加的视为未通过。过期、年审未通过或复审未通过的机构，不再具备承接资格。
确认服务范围与地域。 部分机构在多个省份开展业务，也有通过属地备案执业的情况，两者并不冲突，但现场响应速度和驻场安排会有差别，建议在合同中写清楚。

资质齐了，还有一个独立于资质之外的问题：同一家服务商能不能既做整改又做测评？

办法对测评机构的基本要求之一，就是不涉及可能影响测评结果公正性的业务。落到实务上，做安全产品、做系统集成、做整改建设的单位，不宜同时承担同一系统的等级测评——自己做的事由自己评价，结论的客观性很难站得住。

对被测单位来说，这条最容易被"打包更便宜"的话术绕过去。把整改与测评拆开是有代价的，但换来的是结论在整个监管链条里站得稳。如果实在考虑一体化服务，也要确认实施与测评分属不同的法人主体、不同的人员团队。

资质是准入门槛，真正决定合作体验的是下面几项。

行业匹配度。 医疗、金融、教育、工业控制、政务云的业务形态差别很大，监管关注点也不一样。要求对方提供近两年的同类案例，尤其是同等级、同系统类型的。
技术形态经验。 系统跑在公有云、专有云还是本地机房，测评方法完全不同。选择前可以先翻一翻等级测评实施的相关说明，对照自己的技术栈问清楚。
交付节奏。 从签约、进场、出具整改建议到提交报告，环节之间环环相扣。周期受系统规模、测评点数、整改轮次影响，一般从数周到数月不等，具体以属地要求为准。排期承诺明显短于常规区间时，反而要问清楚到底省掉了哪一环。
后续配合。 首次测评之后通常会有整改项，整改完成后还要复测。复测怎么排、加不额外收费、是否能出具整改建议清单，都应在签约前落到书面。

先缩小范围：在推荐目录中筛出业务范围覆盖本省、且等级覆盖自身系统的 3 至 5 家；接着核验资质：逐一确认推荐证书在有效期内、名称编号与公示一致、未被暂停业务；然后比能力：同类行业案例、云上或本地经验、团队规模与排期；最后谈细节：复测安排、整改建议颗粒度、报告交付节点。

整个过程快则一两周，慢则一个月，多数时间花在内部比价与流程审批上。价格用区间判断、条款要落到书面、周期以属地要求为准，做到这三条，选机构这件事基本不会出大的偏差。

等级测评是合规链条里投入最大的一环，选机构花的时间，通常会在后面的整改和复测环节省回来。