测评机构进场第三天，问到远程接入怎么管。客户的 IT 负责人说”我们有 VPN，有密码，有审批”，测评老师接着问：”审批记录在哪？三个月前的登录日志能调出来吗？”会议室安静了十几秒。
等保测评里，远程接入几乎每次都会被问到。不是因为它是最大的风险点，而是因为它最容易”有做法、没证据”。
下面按测评会看的四个方向，把要准备的材料列一遍。
先说清楚：测评看的是证据，不是能力
很多公司其实做对了，只是拿不出东西。测评的判据很朴素：
- 说有限制 → 那就看限制规则在哪、谁改的；
- 说有审批 → 那就看审批单，不是口头说”跟领导说过”；
- 说有审计 → 那就看日志能不能查、能查多久、谁在查。
所以准备的重点不是临时补技术，而是把已经在做的事留痕。
方向一：身份鉴别，要的是台账
要准备的材料：
- 远程接入账号台账：谁、什么岗位、什么时候开的、对应哪台设备或哪个系统；
- 账号变更记录：开、停、改权限，各是什么时间、谁操作的；
- 口令策略的配置截图或导出：长度、复杂度、更换周期、失败锁定。
最容易出问题的是”共享账号”。一个账号三个人用，台账上写谁都不对，测评基本会判不符合。宁可多开几个账号。
方向二：访问控制，要的是规则和范围
要准备的材料：
| 材料 | 常见缺口 |
|---|---|
| 授权清单 | 只有”能访问内网”，没写能访问哪一段、哪个系统 |
| 远程接入策略配置 | 给了全网段权限，实际业务只需要一个系统 |
| 外部人员审批单 | 供应商、外包工程师进内网，只有微信聊天记录 |
| 最小权限说明 | 没人能解释为什么这个岗位要这么宽的权限 |
把权限从”整段网段”收到”具体系统”，不仅能过测评，平时也少出事。具体怎么按人按应用授权，可以看这份按人授权的验收清单。
方向三：安全审计，要的是能查得到
要准备的材料：
- 登录日志样本：能看出谁、从哪台设备、什么时间、连了哪里；
- 日志保留策略：保留多久、存在哪、谁会导出；
- 异常处理记录：有过登录失败、异常IP访问的记录和处理结果。
测评常做的一个动作是：现场让你查一条三个月前的记录。查不出来，前面说的都白说。
另外要注意日志本身别是空的。只记”登录成功”一条，说不清访问了什么，通常会被认为审计不完整。
方向四：通信与边界，要的是配置证据
这一块不用讲技术细节给测评听，给配置和说明就行：
- 远程接入走的是加密通道，配置里能看到；
- 管理入口不对公网开放，或只对指定地址开放；
- 总部与分支之间，哪些流量走内网、哪些走公网，有说明；
- 设备固件或软件版本的更新记录。
第 2 条最容易被抓。很多公司的路由器管理口直接挂在公网上，只是为了”方便远程改配置”。测评一问就露。
一份材料清单，照着装订
| 编号 | 材料 |
|---|---|
| 1 | 远程接入管理制度（含审批流程、回收要求） |
| 2 | 账号台账（现有 + 近一年变更） |
| 3 | 权限矩阵（岗位 ↔ 可访问系统） |
| 4 | 外部人员临时授权单（近半年，抽 3~5 份） |
| 5 | 登录与访问日志样本（含一次现场查询演示） |
| 6 | 设备与系统配置截图（加密、管理口、版本） |
| 7 | 离职与外部人员回收记录 |
测评前两周能补的三件事
- 把共享账号拆开，一人一个，哪怕只改名字；
- 把权限从整段网段收到具体系统，改完截个图存档；
- 现场演练一次”查三个月前的登录记录”，别到测评当天第一次点。
常见问题
问：只有十几个人的公司也要准备这些吗？
答：要看是否在测评范围内。但只要远程接入被问到，上面这七份里至少有五份是躲不掉的。
问：零信任能不能直接顶掉 VPN 那套要求？
答：它解决的是同样的问题——谁能进、能进到哪、有没有记录。测评看的是结果，不看用了什么技术。
问：日志存在设备本地算不算？
答：能查到就算，但要考虑设备损坏或被人清掉的情况。比较稳妥的是另外集中存一份。
关于作者
sTrust 由北京思文力得科贸有限公司研发和运营。公司 2011 年成立，办公地在北京市顺义区汇海南路 1 号院 3 号楼 9 层 3-1002，同时提供企业 IT 运维外包与羽信安 SD-WAN 异地组网。持有 ISO 9001、ISO 20000 和《增值电信业务经营许可证》（编号 B1-20252821）。咨询电话 400-686-2011。
小结：等保问远程接入，问的是证据链。账号台账、权限矩阵、临时授权单、日志样本、配置截图五样凑齐，现场能查到三个月前的记录，基本就稳了。