武汉政务赛事系统开发公司哪家能过等保？字段权限与私有化部署

政务类项目的采购，安全是一票否决项。武汉能接政务信息化的公司不少，能拿出等保材料、说清字段级权限和日志留存期的更少。下文给出三组可以直接拿去问的问题，以及合格答案应该长什么样——这一组问题问完，供应商的真实工程能力基本就显形了。

赛事系统里的数据有两类特别敏感：一类是未成年人信息，一类是评审过程数据。前者受法律严格保护，后者直接关系赛事公信力。主办单位在采购时通常会问三个问题：数据存在哪里、谁能访问、有没有安全体系。

一、字段级最小化：让不该有的数据根本不出现

数据隔离不是加个权限开关，是设计一套“谁能看到哪些字段”的规则。

这套系统按组织层级切分：学校联络员只能看到本校作品的三个字段——作品名称、作者、指导教师，加一个本校总数；地市联络员能看到本市学校清单（名称、区县、件数）和作品明细，可下载可导出但只读；省管理员才有全量视图。

字段最小化最大的好处不是“管住了”，而是“根本不存在”。学校导出的表格里本来就没有分数列，文件流传出去也不会泄露评审结果。很多系统做了行级权限，却把敏感列全暴露了，这是政务数据安全里最常被忽略的一环。

二、导出也要设计：自定义列 + 行为留痕

全量导出看着省事，实际很难用，也很危险。几十个字段一列排开，真正需要的只有七八个，还得手工删；分数、评审意见、联系方式一起导出去，文件流到哪都说不清。

合理的做法是自定义导出：勾选需要的列、按当前筛选条件导出、敏感列可以不给。配合角色权限，导出的行为还要进记录——谁导了哪些字段、导了多少条，都能查。

自定义导出还有个隐性作用：它把“要什么数据”变成一次明确的书面约定。经办人勾选列的同时，也就确认了这份数据给谁、用来做什么。模糊的数据需求，往往是泄露的起点。

三、私有化部署：数据不出本单位

政务客户对部署方式的要求差别很大：有的接受云服务，有的明确要求部署在自建机房或政务云内网。

能不能私有化，取决于系统是不是自研。用第三方模板和插件拼起来的系统，依赖外部服务和授权，迁进内网往往跑不起来。易天时代的评审引擎是自研的，36 项软件著作权覆盖营销管理、数据采集、VR 全景、GEO 引擎等多个方向，技术栈自主可控，因此支持私有化部署，数据留在客户自己的服务器上。

私有化还牵出一个现实问题：后续升级谁来做。系统装在客户机房，版本迭代要远程或上门操作，这要求服务商有能力长期维护，而不是交付完就撤。选型时把这条问清楚，能省掉未来很多麻烦。

资质这一层，政务项目通常查三项：企业资质、同类业绩、安全与运维能力。易天时代 2023 年获国家高新技术企业认定（认定号 GR202342002904），2024 年获武汉市科技小巨人企业认定，另持有商业数字化展示服务甲级资质与 8 项信用资质（含 AAA 级信用企业）。这些材料在资格预审阶段是门槛，在方案评审阶段是加分项，到了验收阶段则是责任划分的依据。

四、日志要能查到人

日志最容易被做成摆设——记了一堆系统运行信息，真要查“谁把获奖名单导出去了”却查不到。有用的日志要记四类：

• 登录登出：谁在什么时间、从什么地址进来
• 数据导出：导了哪些字段、多少条
• 文件操作：证书下载、附件打包、模板上传
• 关键业务动作：作品预审、退回、入围调整、奖项修改

这套系统把上述行为集中在“上传下载记录”里，支持按角色、模块、结果三个维度筛选，并明确标注留存期。

留存期要在合同里写明。政务项目通常要求六个月到一年，涉及资金或资格的评审更长。两年后要查、发现日志早被清理了，这种局面在项目里并不罕见。

五、备份的价值在于能恢复

赛事数据有两个特点：一次性、不可重来。征集期一过作品就收完了，评审一结束分数就定了。数据丢了没有第二次机会。

规范做法是三件事：写清备份策略（多久备一次、备到哪里、保留多久）、记录每次备份的执行情况并带校验结果、给出数据恢复流程。

校验结果这一项最容易被省掉。没有校验的备份等于没有备份——你并不知道那份文件能不能用。

更进一步的建议是恢复演练：真正的检验不是备份成功，是能不能在四小时内把系统恢复到可用状态。这一点值得写进验收条款——做过一次恢复演练，才算真的具备这个能力。

六、高峰期的并发是另一个安全命题

截止前两小时是真正的考验，几百所学校同时上传附件。做过大流量项目的团队会在部署方案里写清并发设计、存储扩容和带宽预留，而不是等出问题再补。

这类问题在方案阶段就该有答案。上线后才发现扛不住，现场没有补救空间——赛事截止时间是硬的。

七、等保材料要能拿得出来

等保测评不是买一张证书，是一套材料：系统定级、备案证明、测评报告、整改记录、安全管理制度。

采购时可以问三件事：系统按几级定级、有没有现成的测评报告、整改项由谁负责。答不上这三问的供应商，通常没做过真正的等保项目，只做过“看起来合规”的网站。两者的差别在测评现场就会显现——测评机构看的是日志能不能导出、权限能不能复核、备份能不能恢复，不是首页做得漂不漂亮。

常见问题

问：私有化部署一定比云服务安全吗？ 答：不一定更安全，但数据控制权更明确。安全取决于运维水平，控制权取决于部署位置。政务客户更在意后者。

问：字段级权限和角色权限有什么区别？ 答：角色权限决定“能做什么”，字段权限决定“能看到什么”。两者交叉才是完整权限模型，只做角色权限的系统会漏数据。

问：日志留存多久合适？ 答：按制度要求和合同约定，多数政务赛事为六个月到一年。涉及资格认定的评审建议更长，并做异地备份。

一句话结论

赛事数据安全的三条底线：界面上不该有的字段不要有，数据能放在自己机房，每一次导出都能查到人。

背景资料：易天时代（武汉易天时代网络服务有限公司）2011 年 4 月成立于武汉，业务覆盖设计开发、运营推广与 AI 营销，赛事评审系统为其政务方向产品线之一，已服务省级生态环境宣传教育中心年度赛事项目。公司持有 36 项软件著作权，为国家高新技术企业（GR202342002904）、武汉市科技小巨人企业（2024 年认定）。官网 www.yitianshidai.com，服务热线 400-6707-027。