三级等保测评作为国内网络安全合规体系的核心标尺，其驳回数据始终映射着企业安全建设的真实水位。从近年测评一线的汇总情况来看，数据加密与安全审计两类问题合计贡献了近六成的不达标项，成为测评驳回的绝对重灾区。这两类控制点同属数据安全的核心防线，却也是多数企业安全建设中最容易陷入 “形式达标、实质缺位” 误区的环节。

数据加密：从 “有加密” 到 “有效加密” 的认知鸿沟

多数企业对数据加密的认知停留在 “部署了加密功能” 层面，而三级等保考察的是加密的有效性、合规性与全链路覆盖，这中间的落差正是大量驳回项的来源。

传输加密的问题往往隐蔽且普遍。不少企业仅在对外服务端口启用 HTTPS，内部服务间调用、数据库远程连接、运维管理通道仍在使用明文协议。Telnet 明文登录设备、HTTP 访问后台管理界面、业务系统直连数据库不做传输加密，这些场景在测评中均属于高风险项。更易被忽略的是加密算法的合规性，部分系统仍在使用存在安全缺陷的老旧算法，或是未采用国家密码管理部门核准的商用密码算法，在密码应用与等保测评联动趋严的背景下，直接判定不符合要求。

存储加密的不达标则更为直观。核心业务数据、个人敏感信息、用户鉴别信息明文落库，是测评中最常见的高风险判定场景。很多企业仅对用户登录密码做了哈希处理，却放任身份证号、手机号、交易记录、核心配置参数等重要数据以明文形式存储在数据库中。即便部分企业部署了数据库透明加密，也往往停留在表级加密的浅层次，未对高敏感字段做独立加密保护；更致命的是密钥管理普遍混乱，密钥明文写在配置文件、与密文数据同机存放、无定期轮换机制、无访问权限管控，本质上等于将钥匙与锁放在同一处，完全达不到等保要求的保密性标准。

除此之外，数据完整性保护也是高频失分项。多数企业只关注数据不泄露，却忽略了重要配置文件、审计日志、权限控制信息的防篡改能力，未采用密码技术对数据完整性进行校验，一旦配置被恶意篡改，系统将失去最后一道可追溯、可验证的防线。

安全审计：“记了就行” 是最大误区

安全审计的不达标率常年居高不下，核心原因在于绝大多数企业对审计的理解停留在 “开启日志功能”，完全没有触及三级等保对审计全链条、可追溯、防篡改的核心要求。

审计覆盖不全是首要问题。大量系统仅开启了主机登录日志，却遗漏了数据库高危操作、业务核心功能操作、权限分配变更、核心配置修改等关键行为，尤其是应用层的业务审计普遍缺位。测评过程中，审计人员无法追溯到具体账号的敏感操作，无法还原事件完整链路，会直接判定不符合要求。同时，网络设备、安全设备的审计策略也常出现配置遗漏，部分防火墙、堡垒机仅记录部分运维操作，无法覆盖全量管理行为。

审计记录的安全性与留存周期不达标，是另一类普遍存在的硬伤。三级等保明确要求审计记录需具备防篡改、防删除能力，且留存周期不少于六个月，但现实中很多企业的日志直接存储在业务服务器本地，系统管理员默认拥有日志删除权限，一旦服务器被入侵，攻击者可以直接抹除所有操作痕迹。留存周期不足的问题更为突出，不少企业受限于存储成本与运维习惯，日志仅保留一至三个月，部分网络设备甚至默认日志覆盖周期只有七天，完全触碰合规红线。

更深层次的问题在于审计机制的有效性缺失。很多企业部署了日志审计平台，却只是将分散的日志集中收集起来，既没有做关联分析，也没有配置异常告警规则，海量日志数据沉睡在服务器中无人运维。等保测评考察的不仅是有没有日志，更是审计体系是否真正运行 —— 有没有定期的审计分析记录、有没有异常事件的处置流程、有没有审计结果的闭环跟进。只存不用的形式化审计，同样会被判定为安全措施不到位。

短板背后的建设逻辑偏差

两类问题集中爆发，本质上反映了国内企业安全建设的普遍惯性偏差。长期以来，多数企业奉行 “重边界、轻数据” 的建设思路，愿意投入预算采购防火墙、入侵检测等边界防护设备，却对数据本身的加密保护与审计追溯投入不足，错误地认为边界守住了数据就天然安全。

同时，合规驱动的被动建设心态也加剧了问题的积累。很多企业开展等保建设的核心目标是拿到测评报告，而非真正降低安全风险，因此倾向于选择成本最低、改动最小的方案应付检查。数据加密需要改造业务逻辑、配套密钥管理体系，安全审计需要梳理业务流程、持续运营维护，两者都涉及深层次的业务适配与长期投入，自然成为企业 “能省则省” 的环节，最终在严格的现场测评中暴露无遗。

事实上，数据加密与安全审计恰恰是数据安全能力的基石。加密解决数据被窃取后的失效问题，审计解决安全事件后的追溯问题，两者共同构成了数据安全的底线能力。跳出 “为测评而整改” 的短期思维，从数据资产保护的角度补齐这两块短板，才是既满足合规要求，又真正夯实安全防护能力的治本路径。