信息安全选型与采购指南

这份指南写给正在考虑第一次采购安全服务，或对过去采购效果不满意的企业决策者。安全服务市场术语多、差异大，同样的"安全评估"四个字，不同服务商交付的东西可能天差地别。以下内容基于常见的企业场景整理，帮您把需求对准服务，把预算花在能被验证的地方。具体服务内容见服务项目页。

一、先盘点，再谈采购

最常见的错误顺序是先找供应商再想需求。正确的起点是弄清自己有什么：多少套在线系统、多少个对外域名、哪些服务器暴露在公网、由谁维护。很多企业盘完之后会发现有早已没人管的测试系统还挂在公网上——这类资产恰恰是最常被攻破的入口。如果内部没有能力完成盘点，资产梳理是一项专门的起步服务，产出一份可维护的台账。有了台账，后续任何服务的范围和报价都有了依据，比拍脑袋采购可靠得多。

二、扫描和渗透测试是两件事

这两项最容易被混为一谈。漏洞扫描是自动化工具加人工复核，广度优先，适合周期性例行排查，成本低、周期短；渗透测试是人在约定范围内模拟攻击，深度优先，验证漏洞能否被真实利用、影响范围多大，成本高但结论对决策更有价值。预算有限的常见做法是：扫描按季度做，覆盖全部资产；渗透测试每年做一到两次，集中在核心业务系统。两者不可互相替代——只做扫描会发现大量需要人工判断真伪的结果，只做渗透则覆盖不了长尾资产。

三、对比：不同投入档位的常见组合

四、验收标准怎么写

合同里最值钱的往往不是服务内容而是验收条款。建议至少写清三点：其一，报告每条结论须附复现步骤或核查证据，不接受无证据的风险描述；其二，整改复测逐项销号，未通过项须说明原因与遗留风险；其三，交付物清单明确到文档名称。如果服务商对"可复现""逐项销号"这类要求面露难色，这本身就是筛选信号。反过来，一份几十页但没有一条能照着复现的报告，验收时应当拒收。

五、三个常见误区

误区一：把等保当成一次性考试。等级保护要求的是持续符合，测评通过后系统一改版、人员一变动，差距又会拉开，把它当作年度体检加日常维护的框架更实际。误区二：认为买了设备就等于有了安全。防火墙、态势感知解决各自层面的问题，但配置错误、弱口令、代码缺陷不在设备的管辖范围内，仍需要人来查。误区三：只看报价单比较服务。同样叫"渗透测试"，有人交付的是工具导出加包装，有人交付的是逐条验证的结论，价格差异背后是工作量差异，比较时请把验收标准一并放进询价函。

六、下一步

如果您读完仍拿不定从哪项开始，可以从最便宜可逆的一步做起：一次基础漏洞扫描加一次结果讲解，做完您对自身风险会有具体认识，再决定要不要深入。更多决策场景的问题见常见问答；准备好了可以通过联系页面发来您的资产概况，我们据此给出建议方案。