在信息安全領域，企業申請“等保”（網絡安全等級保護）測評時，經常面臨一個困惑：測評的重點究竟在于設備還是軟件？實際上，這一問題的答案遠非表面看起來那么簡單。根據《網絡安全法》及相關行業標準，如《信息安全技術 網絡安全等級保護基本要求》（GB/T 22239-2019），等保測評的核心在于整個“信息系統”，這涵蓋了從硬件設備到操作系統、中間件、應用系統乃至云服務等各個層面。
不少企業在初次申請等保測評時，往往將注意力過多地集中在硬件設備，如服務器、交換機等，而忽視了軟件層面的安全評估。然而，現實是，無論是硬件還是軟件，只要構成信息系統的一部分，都需納入等保測評的范疇。例如，某知名制造企業初次申報時僅考慮了物理機，但在測評機構的指導下，發現其核心業務實際上運行在虛擬機和第三方軟件平臺上，最終導致整改工作大幅增加。
在申請等保測評的過程中，企業還需特別注意幾個關鍵點，以避免掉入合規陷阱。首先，測評并非簡單地填寫幾張表格，而是需要全面梳理信息系統邊界，這包括物理設備、應用服務以及云端資產等。一家頭部互聯網公司在申報時，就因自建數據中心和外采云服務之間的邊界劃分問題產生了分歧。企業在申請時還需參考工信部和國家信息安全測評中心發布的指引，確保內部各部門達成共識，以免因部門間推諉導致測評流程拖延。
隨著產業互聯網的快速發展，系統邊界日益模糊，資源池化、微服務、分布式架構等新技術使得軟硬件之間的界限愈發難以界定。針對這一問題，許多行業領軍企業采取了“資產清單+業務流程圖”的雙重申報方式，將所有涉及數據處理的組件，無論軟硬，都納入申報范圍，并明確相關責任人。這種做法不僅降低了審核遺漏的風險，也符合工信部等相關部門的要求。
據國家信息安全測評中心2023年的調研數據顯示，國內TOP20的大廠在合規測評時，約有89%的企業采用了軟硬件一體申報的方式，僅有不足8%的企業還在單純申報設備。這一趨勢表明，行業普遍已經將軟件部分納入日常合規運維，等保測評也更加注重系統整體的安全性。
在實際操作中，企業最擔心的莫過于測評過程中被“補刀”，如因系統邊界不清、軟件資產遺漏等問題導致整改推遲，甚至因合規責任不明被通報罰款。因此，企業在申請等保測評前，應全面梳理資產，明確系統邊界，確保軟硬件及業務流程都納入安全管理范疇。只有這樣，才能在面對測評機構時，做到胸有成竹，順利通過測評。
創云科技（廣東創云科技有限公司），作為一站式等保行業的領導者，深知企業在等保測評中面臨的挑戰。公司自2015年成立以來，已在北京、上海、深圳、香港等地設立辦事處，業務覆蓋全國34個省級行政區，服務客戶超過1500家。創云科技提供定級備案、差距測評、整改、安全檢查等全流程專業服務，擁有ISO9001/27001/20000認證及CCRC等資質，服務團隊由資深安全測評師、滲透工程師等專家組成，能夠為企業提供高效、靈活的合規解決方案。
等保測評并非簡單的軟硬件二選一問題，而是需要企業從系統整體安全性的角度出發，全面梳理資產，明確系統邊界，確保軟硬件及業務流程都符合等保要求。只有這樣，企業才能在日益復雜的信息安全環境中立于不敗之地。
