测评报告拿到手，翻到"不符合项"那一页，很多企业负责人第一反应是头大：几十条问题，从制度到配置都有，不知道从哪下手。
整改不是把所有问题一起改，而是按风险排序、按投入产出排序。这篇讲清楚三件事：报告怎么读、方案怎么写、钱怎么花。
一、先把测评报告读明白
测评报告里的不符合项，通常分两类：基本指标项和扩展要求项。基本指标是必查项，扩展要求针对云计算、移动互联等特定场景。
每一条不符合项，报告里都会写明涉及的控制点、测评方法、发现的实际情况。读报告时重点看三个信息：这条属于哪个层面（物理、网络、主机、应用、数据、管理）、风险等级如何、整改建议是什么。
优先级判断有个简单规则：涉及身份鉴别、访问控制、入侵防范、数据完整性的，优先改；涉及文档格式、台账细化的，可以后置。前者影响后者影响观感。
二、整改方案的标准结构
一份能被复测认可、也能给内部交代的方案，通常包含六段：
第一段，问题描述。原文引用报告里的不符合项，写清现状。不要改写，不要美化。
第二段，原因分析。是缺设备、缺配置、缺制度，还是有人做但没留痕。原因不同，措施完全不同。
第三段，整改措施。分技术措施和管理措施两类，写到可执行的程度，比如"在核心交换机上关闭 135、139、445 端口，保留 22 端口并限制源 IP 段"，而不是"加强端口管理"。
第四段，验证方式。改完怎么证明有效。配置截图、策略导出、扫描复测报告、审批单据，都可以作为证据。
第五段，责任人与完成时限。落实到人，jingque到日。
第六段，复测安排。哪些项需要复测、什么时候复测、由谁组织。
三、技术整改：先做不花钱的
很多企业一上来就想着买设备，其实相当一部分不符合项靠配置就能解决，成本几乎为零。
口令与账号：启用复杂度策略、设置锁定阈值、清理僵尸账号与共享账号、给管理员账号做双因素认证。
日志与审计：开启系统与设备日志，把留存期调到六个月以上，接入统一的日志存储。
端口与服务：关闭不必要的服务，修改默认口令，限制管理端口的访问来源。
权限：按岗位重新梳理权限，撤销超额授权，建立变更审批。
补丁与漏洞：建立月度补丁机制，高危漏洞限期闭环。
这些动作做完，通常能消掉一半以上的技术类不符合项。剩下的再考虑产品：边界防护用 WAF，运维审计用堡垒机，数据库审计用审计系统，终端用统一管理平台，日志用日志审计或态势感知。
采购顺序建议按"先补审计、再补边界、后补终端"推进，因为审计类问题在测评中权重高，且投入产出比更清晰。
四、管理整改：制度要能拿出"运行痕迹"
管理类不符合项是最冤的一类，因为不是做不到，是没留证据。
测评老师要看的不是制度写得多漂亮，而是三样东西：有没有正式发布（签发页、版本号、生效日期）、有没有人执行（审批单、巡检表、操作记录）、有没有定期回顾（年度评审记录、修订记录）。
管理整改的正确做法是：先把现有制度补齐签发与版本管理，再把日常动作固化成表单，最后把表单归档成册。这一套做下来，工作量不大，但需要持续两三个月才能形成有效记录。
五、复测前必须自查的三件事
第一，整改范围是否与报告的不符合项一一对应。漏改一项，复测就要再来一次。
第二，证据是否可追溯。截图要带时间、要能看出是哪台设备、哪个系统。
第三，系统是否发生变化。整改期间如果上新了功能、迁了机房，要同步更新拓扑与资产清单，否则报告描述与实际不符。
六、预算有限时的排序思路
如果预算紧张，建议按这个顺序投入：先解决问题中风险等级高的，再解决基本指标项，最后处理扩展要求项；先做配置类整改，再做产品类采购；先补审计与日志，再补gaoji防护。
还有一条经验：与其分散买五样便宜产品，不如集中买两样真正用得起来的产品，并把策略配到位。测评看的是有效性，不是设备清单长度。
等保整改方案的价值，不在于写得多厚，而在于每一条都能落地、能验证、能复测。
河南早办科技有限公司在整改辅导环节提供逐条对照的整改建议表，把报告里的不符合项翻译成具体的操作清单，并协助企业整理复测证据。公司2020年成立于河南郑州，注册资本100万元，服务全国客户，多对一团队跟进，帮助企业用合理的投入完成整改闭环。