[等保] 有没有参与过等保认证的朋友

[RickoNoNo3]

楼主团队现在手里有个可能能拿到的项目。软件系统都好说，问题在于标书要求有等保二级，以前没接触过这个，想问一下怎么 DIY ？

有下面几个问题：

1. 纯软件项目能过等保吗？还是说必须要部署到特定硬件/操作系统上才行？
2. 开发到什么质量/什么程度就可以去联系申请认证了？联系谁？
3. 认证的花销大概得多少？
4. 有没有什么和交付方沟通的经验？

[ge00111]

要部署，有代理公司，服务费+设备费 ，我们做三级等保的时候 差不多要 30w 左右。

[RickoNoNo3]

@ge00111 项目总经费可能才 30~40W ，是不是过等保的要求有点太高了。感觉买安全设备然后再部署给甲方也是一笔很大的开销啊。

[RickoNoNo3]

甲方已有的设备如果能复用就能省一笔了。

[iloy]

@RickoNoNo3 二级就几万块钱

[iloy]

@RickoNoNo3 这个不能 DIY ，做等保的公司需要有资质才能给你出认证

[njmaojing]

二级 3 年一次，每次 3w 我记得，然后如果你部署在公有云的话，主要就是安全类产品采购：waf ，防病毒，堡垒机等等，软件层面其实是最好解决的，涉及到安全的比如加密方式，日志保留 6 个月，SSL 证书，剩余信息保护等。如果你在线下机房申请认证，需要把成本转嫁给甲方，不然你这 30w 根本不济事。另外，是需要找专业的评测公司的。

[RickoNoNo3]

那看来二级还是能做的。我先去和甲方商量部署形式吧。

[xavi818]

我理解你们是软件项目，标书要求你们软件过了等保二级？部署公有云做等保投入会小一些，如果是线下机房部署等保评测，可能投入就大了

[EthanV2]

等保就是交钱拿证书，和一套完整的解决方案，需要堡垒机，日志留痕，等一系列安全放哪，一般二级 5 万，三级 10 万以上，而且是每年都收

[ge00111]

应该是项目做完后，再做等保。软件开发方只需要配合就行了，不用付钱。

[Kae86]

可以给等保机构说让他们给你们想办法过了等保二级不买设备让他们给想想办法，如果你有决定权许诺一个等过了等保之后把等保的项目签给他们来长期做，如果你没有决定权的话可以先跟领导简单讲一下，然后你再隐晦的给等保机构许诺，主要看是那个机构给你们做，电科院还是北京卓识

[skyyan]

之前我们做过等保三级 ，还是找代理商更快