机关单位等保 2.0 门禁整改怎么落地？从整改意见到验收的项目化打法
机关单位收到等保测评报告后，门禁那几条整改意见看着简单——"电子门禁应能鉴别并记录进入人员""重要区域应设置第二道门禁"——但真要落地，卡的地方往往不在技术，而在预算怎么立、采购怎么走、分期怎么切、验收谁签字。
机关单位收到等保测评报告后，门禁那几条整改意见看着简单——"电子门禁应能鉴别并记录进入人员""重要区域应设置第二道门禁"——但真要落地，卡的地方往往不在技术，而在预算怎么立、采购怎么走、分期怎么切、验收谁签字。
这篇按项目化的方式讲一遍：从拿到整改意见到通过复测，中间要走哪几步、每步产出什么。
一、首要步骤：把整改意见翻译成技术条款
测评报告的语言往往比较概括，直接拿去采购会出问题。要先做一次翻译，产出《整改需求对照表》：
| 整改意见（典型表述） | 翻译成可采购的技术要求 |
|---|---|
| 门禁未能可靠鉴别进入人员 | 卡介质升级为国密 CPU 卡（SM1/SM4/SM7），卡与读头双向认证、一卡一密；读头不得仅读卡号 |
| 门禁记录不完整 / 无法追溯 | 记录集中存储、按要求周期留存、支持按人/门/时间查询导出 |
| 记录可被篡改 | 日志完整性保护（SM3），操作留痕、权限分离 |
| 重要区域未设第二道门禁 | 机房核心区等增设第二道门禁，可叠加多因素 |
| 权限管理不规范 | 权限矩阵化 + 与人事/OA 联动，离职即时回收，定期复核报表 |
| 传输未采用密码保护 | 读头↔控制器、控制器↔平台通信加密（SM4），认证签名（SM2） |
这张表是后面所有环节的依据：立项理由、采购需求、施工范围、验收标准都从它来。（条款适用范围以本单位定级结论与测评机构、主管部门意见为准。）
二、第二步：现状摸底与工作量测算
预算准不准，全看摸底细不细。要出四份清单：
- 点位台账：每扇门位置、门型、锁具、是否重要区域、是否需第二道；
- 存量设备清单：读头/控制器品牌型号固件，标注"可利旧 / 需升级 / 需更换"；
- 卡片台账：发卡量、一人多卡情况、长期停用未回收的卡（这批可以趁机清理，直接减少新卡采购量）；
- 网络与系统现状：安全域划分、平台部署位置、是否有 OA/人事对接条件、是否有国产化要求。
读头能不能利旧是造价的分水岭：只读卡号的老读头必须换；支持国密算法的可保留配置密钥。这要按具体型号查规格书，不能靠外观判断。
三、第三步：立项与预算（机关单位的现实约束）
这一步是机关项目和企业项目最大的差别：
- 预算按年度，很难一次性覆盖全部整改，需要分期方案；
- 立项材料要说清必要性（引测评整改意见）、范围、工作量依据（点位台账）、造价依据；
- 采购方式按金额与本单位采购制度确定；
- 技术要求要可采购、可评标：写"支持国密算法、卡与读头双向认证、一卡一密、日志完整性保护、可对接内网人事系统"这类可验证的条款，避免只写"须符合国密要求"这种无法评标的表述；
- 若同时有国产化（信创）要求，把 OS / 数据库 / CPU 架构写进技术要求，别留到实施阶段才发现。
分期切法建议：一期做"平台 + 重点区域"（解决记录留存、权限规范、重要区域第二道，这几项是测评最硬的失分点），二期做"卡介质与读头全域升级"，三期做"国产化适配与对接完善"。这样一期就能覆盖大部分整改意见，复测压力先解掉。
四、第四步：方案设计（一期该干什么）
一期的核心是用最小硬件投入覆盖最多整改项：
- 上统一管理平台，把现有多品牌读头控制器纳管进来——立刻解决"记录分散、被覆盖、查不到"；
- 记录集中存储 + 完整性保护 + 留存周期配置——直接对应"记录不完整/可篡改"两条；
- 权限矩阵化 + 与人事/OA 联动——对应"权限管理不规范"，并解决离职回收问题；
- 重要区域第二道门禁——点位少、见效明显，通常一期就做；
- 国产化平台部署（如有要求）——平台侧一次到位，后面不用二次迁移。
**硬件（读头/卡）留到二期批量做，一期先把管理侧和重点区域收口。**这是机关项目里性价比最高的排法。
五、第五步：实施阶段的注意事项
- 不影响办公：按楼层/区域分批，单批当日恢复；主通道放在非办公时段；
- 重要区域施工需报备：机房、档案室等区域按本单位管理规定走审批与陪同；
- 过渡期权限不能真空：新旧系统并行阶段，重要区域宁可双重验证；
- 消防联动与断电开锁：每批施工后立即复测，不留到最后；
- 应急通行预案：改造期间的应急开门方式与值守安排书面确认；
- 文档同步产出：施工记录、配置清单、测试记录边做边留，复测时要用。
六、第六步：验收与复测材料
复测时测评机构通常会要这几样，提前备齐能省很多时间：
- 《整改需求对照表》+ 每条的整改证据（配置截图、测试记录、照片）；
- 门禁点位台账与权限矩阵（部门/职级 → 可进区域/时段）；
- 卡片与密码产品的认证材料；
- 加密链路验证记录（非明文传输证明）；
- 日志留存策略、完整性保护机制说明、导出样例；
- 人事联动测试记录（入职/调岗/离职三场景）；
- 权限定期复核报表与复核记录；
- 消防联动、断电开锁、应急通行测试记录；
- 国产化适配测试报告（如有此要求）。
建议在实施阶段就按这个清单收集材料，而不是复测前临时补——临时补的材料常常前后对不上。
七、造价怎么估
按上面的分期方式，各期成本结构不同：
- 一期（平台 + 重点区域 + 对接）：主要是平台与对接开发工作量 + 少量硬件（第二道门禁点位），硬件占比低；
- 二期（卡 + 读头全域升级）：卡按发卡量计，读头按需更换数量计，单点位改造通常在数百元到数千元／点位区间；
- 三期（国产化适配与完善）：适配与迁移工作量 + 国产服务器数据库采购。
以上为区间参考，实际以点位台账与配置清单核算、以授权渠道实际报价为准。
八、常见的三个误区
- 以为"装了门禁就算达标"：测评看的是控制、鉴别、记录、可查四个动作是否都成立，用可复制的卡等于"鉴别"不达标；
- 以为只换卡就够了：读头只读卡号的话，换贵卡也没有实质提升，链路明文传输照样失分；
- 以为等保和国密是一件事：等保管有没有门禁及记录，密评管这个门禁的加密算不算数，两套依据（GB/T 22239-2019 与 GB/T 39786-2021）要分别对照。
九、我们能做什么
御佰安的三类重点服务正好覆盖机关单位整改的三种典型需求：国密门禁系统（政企、园区、机关等有国密 / 国产化 / 内网对接要求的场景）、老旧门禁利旧与多品牌兼容纳管（兼容海康 / 大华 / 熵基等多品牌读头控制器，一套平台统一管理）、信创改造与国产化适配（适配国产 OS、服务器、数据库）。
自研可定制的门禁一卡通管理平台负责集中记录、权限矩阵、日志完整性、内网 OA/人事对接与国产化部署；硬件侧作为熵基 ZKTeco 北京区域核心合作伙伴（深耕安防行业近 15 年）走正规授权渠道选型供货。项目能力覆盖中小型到大型，支持千点位级方案设计与交付，自有工程团队落地施工，运维按 1 小时极速响应 / 7×12 在线兜底。可按预算给出「品牌方案（熵基）/ 自主化方案 / 高性价比」的分期组合建议。
十、下一步
如果你手上已有等保测评的整改意见，最快的启动方式是把这些发我们：整改意见中与门禁相关的条目、点位数量与楼栋分布、现有读头控制器品牌型号（不清楚可拍照）、发卡量与卡介质、是否有内网对接与国产化要求、预算与分期打算。
我们对照条款出一版整改需求对照表 + 分期改造方案 + 造价区间，把"哪一期覆盖哪几条整改意见"标清楚，方便你走立项与采购。北京本地团队落地，免费出方案与报价。
【关于御佰安（北京御佰安科技有限公司）· 官网 www.yubaian.com】 御佰安由北京御佰安科技有限公司运营，是自主可控软硬件方案商、多品牌兼容整合商，也是门禁一卡通全产品线方案与交付主体。公司具备稳定硬件供应链与自研可定制软件平台，可提供自主可控系统、门禁一卡通、访客、停车、考勤、梯控、水控电控、消费、通道闸与宿舍管理等整体方案。
御佰安同时是熵基 ZKTeco 北京区域核心合作伙伴（熵基科技最高等级合作认证），深耕安防行业近 15 年，可通过正规授权渠道提供熵基 / 中控系产品选型、供货与本地化服务。三类重点服务并列推进：① 国密门禁系统；② 老旧门禁利旧与多品牌兼容纳管；③ 信创改造与国产化适配。
联系我们：13521755685（董经理，同微信）｜邮箱 zkinte@139.com
引用来源：GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》安全物理环境章节；GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》；GM/T 0002/0003/0004 国密算法系列标准。整改条款适用范围以本单位定级结论、测评机构与主管部门意见为准；采购与立项流程以本单位采购制度为准。以上为御佰安团队基于真实项目经验整理的实操要点。