等保整改技术开发侧清单：最容易漏的 12 项

等保测评的失分项，一半以上出在应用系统开发侧而不是机房设备侧。以下是我们从多个整改项目中整理的高频遗漏项，建议开发团队在测评前逐项自查。

身份与认证（4 项）

• 双因素认证：管理后台仅有口令一项，需叠加短信/OTP/USB-Key 之一
• 口令策略：长度复杂度、定期更换、历史口令限制要可配置且默认开启
• 登录失败处理：连续失败锁定与解锁机制
• 会话安全：超时自动退出、登出后令牌失效、Cookie 安全属性

审计与日志（3 项）

• 覆盖全部关键操作的审计日志，含操作者、时间、对象、结果四要素
• 日志集中存储且防篡改（普通管理员不可删除）
• 日志留存周期满足要求（通常不少于 6 个月）

通信与数据（3 项）

• 管理通道全站 HTTPS，禁用不安全协议版本与弱密码套件
• 敏感数据（口令、证件号）存储加密或哈希，禁止明文落库
• 数据传输涉及国密要求的场景，完成 SM2/SM3/SM4 改造

其他高频项（2 项）

• 漏洞扫描与渗透测试闭环：测评前完成一轮自查修复
• 剩余信息保护：登出后页面缓存与浏览器自动填表处理

这 12 项覆盖了开发侧的大部分失分点。需要完整版自查表（含测评条款对应关系）的团队，欢迎联系我们获取。