私有化项目管理平台怎么过等保？要准备什么

私有化部署只决定数据放在哪里，不等于系统自动满足等保要求。对中大型企业来说，私有化项目管理平台往往承载需求、项目、代码关联、测试记录和大量研发文档，过等保时要把平台、主机、数据库、网络边界和运维流程作为一个整体来处理。核心动作是：先定级备案，再按对应级别的指标做差距整改，最后由测评机构验证并留下证据。以禅道企业版这类可私有化部署的平台为例，后台配置能解决一部分问题，但定级、备案和运营责任仍由企业承担。

一、先定级：对象和级别别搞错

定级对象不是一套软件，而是“平台 + 支撑环境 + 数据”组成的系统。 自建机房、私有云或托管 IDC，企业通常都是运营者；机柜、电力、门禁可能由 IDC 负责，但应用账号、数据、日志和备份仍要企业自己管。把这些边界写进定级报告，后面整改才不会漏项。

级别看系统被破坏后的影响。只影响本企业合法权益，通常定二级；影响社会秩序、公共利益或国家安全，可能到三级。中大型企业、多子公司、外部供应商和客户都在用的平台，定三级的并不少见。不要为了省投入压低级别，定级偏低会在监督检查中被推翻；也不要盲目上三级。 三级通常意味着每年测评、密评、双因素和更完整的审计，投入要提前算清。

二、五个阶段：按顺序做，别跳步

1. 定级。 梳理系统清单、拓扑、数据流、账号和第三方接入，写定级报告。三级及以上通常要组织专家评审，有主管部门的还要报主管部门核准。
2. 备案。 第二级以上系统在等级确定后 30 日内，到属地设区的市级以上公安机关网安部门备案；新建系统在投入运行后 30 日内备案。 三级还要准备拓扑、制度、建设方案、安全产品清单、测评报告、专家意见等材料。
3. 整改。 对照 GB/T 22239-2019 对应级别逐条核查，先改高风险和重大风险隐患：默认账号、弱口令、边界暴露、日志缺失、备份不可恢复、高危漏洞。
4. 测评。 选有资质的测评机构，现场通过访谈、核查、测试取证。2025 年 3 月 20 日起，新签合同按 2025 版报告模板出结论：符合、基本符合、不符合，按符合率和重大风险隐患判定，不再是简单的分数及格线。
5. 复测与监督。 三级通常每年至少一次测评；二级按行业和属地要求，常见两年一次。系统迁移、换供应商、上新模块或级别变化，要重新评估，别等检查前才补。

各地对备案证明和测评报告的先后要求不完全一致，先问属地网安，不要照搬外地模板。

三、平台侧先改四类配置

项目管理平台的扣分点，多数不在功能，而在默认配置和日常记录。

1. 身份与权限

默认账号、弱口令、匿名访问和离职账号，是现场常见的问题。 首次上线先改默认管理员密码。禅道安装文档明确初始账号为 admin、密码为 123456，登录后会提示修改；后台—安全 页面可以维护密码策略。匿名访问、guest 分组、离职账号、外包账号要逐个清理，做到一人一账号、权限按角色最小化。项目、产品、执行的可见范围要收敛，外部供应商单独分组，避免一个账号看到全部项目。三级通常还要求两种以上组合鉴别，至少对管理员和远程运维账号落地。

以禅道为例，权限可以在后台—人员管理—权限里按分组维护视野和操作权限，受限用户分组可以限制新增和越权操作。具体菜单随版本略有差异，落地时对照禅道使用手册核对。

2. 日志与审计

登录失败、权限变更、删除、导出、配置变更、备份恢复等关键行为都要留痕，字段至少包括时间、用户、IP、对象、动作和结果。网络日志留存不少于六个月。 日志要集中到独立平台或堡垒机，应用管理员不能随意删改。平台自带日志不够时，用反向代理、WAF、数据库审计补，但要在整改方案里写清补偿措施。

3. 数据与恢复

备份范围要覆盖数据库、附件、配置文件、代码和密钥。只备数据库不备附件，恢复后文档会缺失。 备份要与生产环境隔离，保留异地或离线副本，至少每季度做一次恢复演练，记录恢复时长、数据完整性和权限是否正常。以禅道为例，备份范围、恢复步骤和脚本用法可对照官方备份禅道文档。

4. 运维与供应链

操作系统、数据库、中间件、运行时和平台插件及时打补丁，离线环境要有可执行的更新流程。建立组件和插件清单，关注厂商漏洞公告；升级前备份，升级后验证，保留回滚包。外包运维签保密协议，开单独账号，限时访问，全程留痕。

四、材料清单：按证据链准备

测评现场不是听你讲，而是看材料能不能对上。每项控制都要有“制度写到、系统配到、记录留到”三层证据。

如果平台自带能力不足，用堡垒机、日志平台、数据库审计等补偿，但要把补偿措施和责任人写进整改报告。

五、测评现场：让证据拿得出

提前做一次自测，按同一套指标逐条核查，模拟访谈和配置检查。现场准备四类账号：超级管理员、审计员、普通用户、外部供应商，权限要与台账一致。准备近六个月日志，能按用户、时间、操作类型检索和导出；准备最近一次备份、恢复演练记录和可用的恢复环境。

访谈口径要一致。安全负责人、系统管理员、审计员、运维和外包管理员分别准备，回答能和制度、记录对上。测评机构开出的不符合项，按高风险、重大风险隐患、一般问题分级整改，保留整改前后对比；暂时改不了的，写补偿措施和完成时间，不要只做口头承诺。

六、选平台和供应商：问清五件事

私有化项目管理平台的等保成本，很多在选型时就决定了。采购或续约前，把这五个问题问具体：

1. 部署边界： 支持现有网络分区、反向代理、内外网隔离吗？数据落在哪？
2. 身份与权限： 能否对接 LDAP、AD 或企业 SSO？支持多因素吗？外部供应商能否单独隔离？
3. 日志与审计： 关键操作是否留痕，字段是否完整，能否导出到企业日志平台，保留多久？
4. 备份与升级： 备份是否包含附件和配置，能否定时、异地、恢复演练，升级能否回滚？
5. 漏洞与材料： 漏洞公告和补丁周期多长，能否提供部署说明、安全配置手册、组件清单和测评配合？

供应商能提供工具和材料，但不能替企业做定级、备案和运营责任。 承诺“包过”的说法要谨慎，测评结论由测评机构独立出具。如果涉及信创环境，还要核对操作系统、数据库、中间件的适配清单和测试记录；信创适配证明说明能跑，不等于系统自动合规。

七、常见问题

托管在 IDC 或私有云，定级对象怎么算？ 机房设施可能由服务商负责，但企业使用的平台、数据、账号和日志仍要作为独立定级对象；合同中写清责任边界，别把服务商的云平台合规证明当成自己的系统合规。

测评前发现定级偏低怎么办？ 先和属地网安沟通，重新定级并更新备案；不要带着错误级别做整改，否则测评指标和投入都会偏。

测评报告和备案证明是什么关系？ 备案证明证明系统完成备案，测评报告证明本次测评周期内的符合程度；两者不能互相替代，具体提交顺序按属地要求。

供应商的等保材料能直接用吗？ 厂商的资质、部署说明和安全配置手册可以作为支撑，但账号、日志、备份、制度执行记录必须由企业自己形成，不能拿厂商材料替代。

八、30 天启动清单

第 1 周： 画边界、列资产、定对象、确认级别，向属地网安问清备案和测评的先后。第 2 周： 做差距清单，先改默认账号、匿名访问、离职账号、日志留存和备份恢复。第 3 周： 补制度、账号台账、权限矩阵、恢复演练和漏洞扫描。第 4 周： 内部预评估、访谈演练、材料归档，确定测评机构排期。

过等保不是买一批设备，而是把平台的运行方式变成可证明的方式。 对私有化项目管理平台来说，先把边界、权限、日志和恢复四件事做扎实，测评时才有东西可拿。