等保 2.0 三级要买哪些安全设备：一份按控制项对齐的采购清单

做等保三级最贵的不是设备，是「买了设备但控制项没覆盖」——测评时被开整改项，等于钱花了两遍。正确顺序是：先按控制项列功能，再按功能找设备，最后才谈品牌和型号。

一、按控制项对齐的五类设备

控制项依据 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》第三级安全通用要求；具体项目以测评机构的差距分析结论为准。

二、最常被漏掉的三件事

第一，日志留存 6 个月。 这是《网络安全法》第二十一条的硬要求，测评必查。日志审计系统的存储容量要按「日均日志量 × 180 天」倒推，很多项目按 3 个月配，第一次测评就被开整改。

第二，双因素认证覆盖到运维与管理员。 只给普通用户做了短信验证码，运维账号还是口令直连，一样不合格。堡垒机的双因素、网络设备的管理口认证都在检查范围内。

第三，密码应用单独算（密评）。 等保测评通过不等于密评通过。密评看的是密码使用的合规性、正确性、有效性，需要密码机 + 签名验签 + 传输加密三类设备配合，还要有密钥管理制度与调用日志。

三、预算怎么切：先买边界和内网审计

同样叫「等保三级」，不同单位的实际预算能差 5 倍，原因是资产规模与业务暴露面不同。给一个可执行的分配顺序：

1. 边界防护（防火墙 + IPS）：先保证能挡住，这是测评权重最高的部分
2. 内网审计（堡垒机 + 日志审计 + 数据库审计）：三级必查，且几乎不可能用软件凑
3. 密码设备（密码机 + 签名验签 + VPN）：密评必配，价格弹性最大，按业务量定档
4. 终端与漏洞管理：按终端数采购，可以先用软件方案过渡
5. 数据类（备份、脱敏、DLP）：按行业监管要求，金融医疗最严

四、把清单变成可比较的参数

这份清单只是起点。真正决定成败的是每个格子里的型号与参数——同是「下一代防火墙」，全威胁吞吐可能差 5 倍；同是「堡垒机」，并发可能差 6 倍。建议做法：每一类设备先在本站找出 2～3 款有公开政采参数的型号，用产品对比横向拉齐，再拿对比结果去写招标技术参数。

本站可对比的型号

深 深信服下一代防火墙深信服 · 安全 全威胁吞吐量1Gbps网络层吞吐量4–35Gbps应用层吞吐量9Gbps 参数 → 齐 RIS-ACA 访问控制审计系统（堡垒机）齐治科技 · 安全 资产数央行项目含无限制设备管控授权；软件版按资产数授权字符并发1,200/ ≥400 指令并发/ 800图形并发200/ ≥200/ 160 参数 → 格 服务器密码机格尔软件 · 安全 SM2签名速率≥90,000 TPS/ ≥6,000 TPSSM2验签速率≥42,000 TPS/ ≥4,800 TPS算法支持SM1/SM2/SM3/SM4/SM7/SM9，兼容 RSA、AES 等国际算法 参数 → 格 签名验签服务器格尔软件 · 安全 SM2签名速率≥51,000 TPSSM2验签速率≥25,000 TPS参考价格¥135,000/台 参数 → 天 天融信VPN系统天融信 · 安全 SSL并发用户6,000/ 1,200/ 100算法支持SM1/SM2/SM3/SM4 及其协议+ 国际算法IPSec吞吐量3.5Gbps ESP 吞吐/ 150Mbps/ 70Mbps 国密 参数 →

五款覆盖边界、内网审计、密码三类主力设备，全部带政府采购或厂商公开参数，可作为技术参数编写时的对标样本。

分类延伸阅读：网络安全品类页、审计与日志品类页、堡垒机怎么选、密码机怎么选。