SaaS产品要不要做等保？客户尽调迟早会问，早做早主动

做 SaaS 的团队，往往是被客户推着走向等保的：销售谈下一个大客户，客户安全部门发来一份供应商安全评估表，第一栏就是"请提供贵司系统的等保备案证明与测评报告"。

SaaS 产品的等保有鲜明的行业特点：多租户、数据混存、客户对安全的要求千差万别。这篇讲清 SaaS 做等保的特殊考虑。

一、为什么 SaaS 几乎逃不开等保

三个原因叠加：

你的客户要做等保。企业客户的系统过等保时，使用的第三方 SaaS 服务会被纳入其供应链安全管理，客户需要你提供合规证明。

销售场景需要。政企客户、金融客户、大中型企业的采购流程里，供应商安全资质是标准评估项。

监管趋势。SaaS 平台处理的数据规模大、行业广，本身就在监管视野内。

SaaS 的等保不是"要不要做"，是"什么时候做、做到几级"的问题。

二、定级：按平台整体，还是按租户？

SaaS 的定级对象是 SaaS 平台本身，不是每个租户的系统。这点要先明确。

平台定几级，看两个因素：处理的客户数据类型（是否含个人信息、是否含客户的生产经营数据）和服务的行业（客户里有政务、金融的，要求会传导下来）。

多数 B 端 SaaS 平台按三级考虑，尤其是客户群里有大型企业或公共部门的。

三、多租户的数据隔离，是测评的核心

SaaS 与单租户系统最大的差别就在这里。测评关注四个层面：

逻辑隔离：租户之间的数据在数据库层面是否有租户 ID 强制过滤，越权访问是否可能；

权限隔离：平台运营人员能否查看租户数据，查看是否有授权与审计；

备份隔离：租户数据的备份与恢复是否可区分；

导出管控：租户数据的批量导出是否有权限控制与日志。

"平台客服能看任意租户的完整数据"是 SaaS 系统最典型的不符合项。整改方向是字段级脱敏、查询授权与操作审计。

四、客户尽调材料包，提前准备好

SaaS 的销售环节经常被客户安全部门要材料。建议把下面这些整理成一份标准材料包，随取随用：

等保备案证明与测评报告；

测评报告页与不符合项整改说明；

数据安全说明：数据存储位置、加密方式、备份策略、留存期限；

隐私政策与数据处理协议模板；

应急响应流程与历史演练记录；

供应商与子处理方清单。

这份材料包能明显缩短客户安全评估的周期——SaaS 的成单瓶颈经常不在产品，在客户的安全审核。

五、与 ISO27001 等体系认证的关系

不少 SaaS 团队在做 ISO27001。两者的关系：27001 是管理体系认证，等保是国家法定制度加测评，客户通常两者都认，但等保有法律强制属性，不能互相替代。

材料上可以复用：制度文件、风险台账、内审记录，两个体系共用一套底稿。建议统筹编写，避免两套人马写两套制度。

六、版本迭代快，材料怎么跟

SaaS 迭代频繁，等保材料容易过期。两个建议：把数据流向图和资产清单做成活文档，每次上线新模块同步更新；年度测评前做一次全面差距分析，把一年的变化集中核对一遍。

有条件的话，把安全评审嵌入版本发布流程，新功能上线前过一遍数据采集与权限影响，材料就能始终保持与系统一致。

河南早办科技有限公司服务过多家 SaaS 团队的等保项目，熟悉多租户隔离的测评要点与客户尽调材料包的组成，可以按销售场景倒推合规准备。公司2020年成立于郑州，注册资本100万元，服务全国客户，多对一团队跟进，帮 SaaS 团队把安全合规变成销售加分项。