【项目背景】
稀土大厦里一家做本地生活服务的小公司，小程序用户十几万，收到监管通报：个人信息收集告知不充分、日志留存不达标，限期整改并完成等保二级备案。老板很意外："我们连服务器都是云上的，也要等保？"很多创业者以为等保是国企和政府机关的事，实际上《网络安全法》之下，等级保护义务跟着信息系统走、不跟着单位性质走——云上系统照样要定级备案，出了事通报上写的是你的名字，不是云厂商的。
【咨询设计】
先定级备案，再做差距自查——问题清单很典型。一，小程序授权弹窗把"同意隐私政策"和"单项目授权"混在一起，位置、手机号过度收集：按"最小必要"原则砍功能，没用到位置的服务场景把授权改成用时申请，收集项逐条对齐业务功能清单；二，隐私政策是抄的模板，与实际收集项对不上——重写，并做用户确认弹窗留痕；三，日志：云主机日志留存不足六个月，整改为访问日志、操作日志、数据库审计日志统一接入日志服务留存180天；四，传输与存储：全站HTTPS（TLS1.2以上），用户手机号加密存储，管理后台查询界面脱敏显示；五，应急预案成文、明确联络人，属地网安备案。
【施工规划】
云侧整改为主：WAF开启并调策略，安全组收敛——数据库实例撤出公网只留内网访问，管理后台加双因素认证；小程序侧新版本灰度发布，隐私合规项随版本生效；给全员补了一堂个人信息保护课——收数据的客服和运营，比服务器更需要知道红线在哪：哪些能收、哪些必须问、用户要求删除怎么办。
【安全补丁】
整改完做一轮渗透测试自证：小程序接口越权是这类系统的高频雷区——水平越权查他人订单、改参数看别人地址，重点测，果然测出两个越权点，当场修复复测归零。监管通报往往只是导火索，接口层的洞才是真雷，通报之前把它们挖出来，损失小十倍。
【验收交付】
复测通过，等保二级测评得分高于合格线，属地备案完成，监管销号。交付整改报告、合规清单和日志留存说明。老板说这钱花得比投广告踏实——广告是让用户来，合规是让业务能活下去。
【售后承诺】
等保一年一测评，合规要趁早不要趁查，我们承诺2小时上门，大年三十打17704868686也接，终身免费咨询，测评季前免费预自查一轮。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）