等保测评被扣分，八成扣在“有设备没策略、有制度没执行、有备份没演练”这三类问题上。测评前按清单自查，能省下不少整改成本。
定级与备案先确认
先确认系统等级：一般企业管理系统多为二级，涉及大量公民个人信息或关键业务的可能到三级。定级报告、备案证明、拓扑图是测评的起点材料，缺一项就要来回补。
边界要画清楚：哪些服务器、哪些网段、哪些终端在范围内，测评机构按边界核查，边界模糊会直接影响评分。
主机与网络配置
常见扣分点：服务器开放了不必要的端口、数据库默认口令未改、远程管理直接暴露在公网、日志只保留 7 天。整改方向是关闭多余服务、修改默认口令、限制管理地址、日志留存 6 个月以上。
网络侧要确认边界防护设备的策略是否真的生效，而不是买了设备只开了透明模式。
备份与恢复演练
有备份不等于能恢复。测评会看备份策略、介质存放与恢复记录。建议每季度做一次恢复演练，把恢复时间与数据完整性写进记录。
备份介质不要和原数据放在同一机房，异地或云端保留一份。
制度文档要落地
安全管理制度、操作规程、应急预案、演练记录、培训记录，这些文档要有人签字、有执行痕迹。只写不做的制度在测评中一样会扣分。
整改建议按优先级分批做，先把高危项处理掉，再补制度与流程。