等保测评是持牌机构的活，但测评前那 80% 的基础工作，企业自己就能做，而且做完了能省一大笔返工。这里给的是自查口径，不是测评结论。
先说清楚场景
很多公司第一次做等保，是在测评机构进场那天才发现：账号是共用的、日志只留 7 天、机房没门禁记录。机构出一条不符合项，就得多花一轮整改和一次复测的钱。
其实等保的技术要求里，有相当一部分是「有没有做、有没有记录」，而不是「设备买多贵」。这类事情自己先查一遍，成本几乎为零，却能挡掉最常见的不符合项。
该看的几项
- 账号：是否一人一号、有无共用账号、离职账号是否已停用、管理员是否强身份鉴别。共用账号是最高频的不符合项。
- 日志：是否开启审计日志、留存是否满足要求（常见要求 6 个月）、是否有人定期看。开了不留、留了不看，等于没有。
- 访问控制：重要服务器和后台是否按最小权限授权，有没有「全员可读」的共享目录。
- 边界：公网能访问到的管理后台有哪些、是否改了默认端口、是否有登录失败限速。
- 备份：是否有异地或离线备份、是否做过恢复演练。没演练过的备份不算证据。
- 制度与记录：安全制度是否成文、是否有运维操作记录、是否有应急预案。评审看的就是这些纸面证据。
常见的两个误区
- 误区一：以为等保就是买设备。设备买齐了但没人管、日志没人看，照样不符合。评审看的是「有没有效」，不是「有没有买」。
- 误区二：把自查当成测评结论。自查只能发现明显的缺口，不能替代持牌机构的测评，也不能对外声称「已通过等保」。
按这个顺序做
- 先把上面 6 项按「做了 / 没做 / 不确定」打一遍勾，不确定的一律按「没做」处理——因为评审现场你也拿不出证据。
- 把「没做」的按代价排序：改一个共用账号是十分钟的事，补日志留存可能要动系统配置，先做便宜的。
- 每一项改完，留存一张截图或一份配置记录。等保评审要的不是你的记忆，是可核验的材料。
什么时候需要工具
自查做完，如果你想看更细的判定（比如账号五权、日志维度的具体项），可以先跑一遍免费自查，得到命中清单再决定要不要上工具。
可以继续看
以上为通用自查思路，不构成安全认证、等保测评结论或法律意见。具体实施请结合实际系统与业务判断；涉及取证、事故处置时请联系专业机构。