两者的区别与衔接
等保测评以条款核查为主，渗透测试按需开展：它是验证边界防护有效性的补充手段，须取得书面授权并限定范围，由专业团队实施。两者在目标、依据、输出与用途上都不同——测评输出合规结论与问题清单，渗透输出漏洞与利用链，用于安全加固与风险验证。实践中常用渗透先发现深层问题，再用测评确认条款落实情况。
基本信息
| 测评性质 | 核查条款落实情况，输出合规结论 |
|---|---|
| 渗透性质 | 验证可利用漏洞与防护有效性 |
| 依据差异 | GB/T 22239 与 28448；授权范围与测试合同 |
| 输出差异 | 测评报告（结论 + 问题）；渗透报告（漏洞 + 利用链） |
| 授权要求 | 渗透测试须书面授权，明确目标与时间窗 |
| 衔接方式 | 高危漏洞按应急流程处置后再复测 |
典型使用场景
- 测评前的边界防护有效性验证
- 上线前的安全测试安排
- 高危漏洞整改后的复测验证
- 与测评机构确认是否需要渗透测试
- 第三方渗透服务的授权与保密约定
授权要点
授权要点
# 授权范围：目标域名、IP、系统与可测试时间窗
# 禁止项：拒绝服务类测试、越界数据访问
# 应急约定：发现高危漏洞的通报路径与处置时限
# 数据保护：测试数据不外带，报告按密级流转对比
| 维度 | 等保测评 | 渗透测试 |
|---|---|---|
| 目标 | 核查条款落实情况 | 验证可利用漏洞与防护有效性 |
| 依据 | GB/T 22239 与 28448 | 授权范围与测试合同 |
| 输出 | 测评报告（结论 + 问题） | 渗透报告（漏洞 + 利用链） |
| 用途 | 合规判定与整改 | 安全加固与风险验证 |
渗透测试须取得书面授权并限定范围；测试发现的高危漏洞应按应急流程处置，不能只写进报告。
把渗透测试当等保必选项是常见误解：等保测评以核查为主，渗透测试按需开展，且需要单独授权与单独预算。