采购前你会问的十二个问题
这些问题来自真实的采购决策场景：价格怎么形成、周期怎么估、验收怎么把关、能不能定制。答案尽量写到可操作的粒度。如果你关心服务本身的范围，请先看服务项目；采购方法层面的建议在选型与采购指南里。
- 渗透测试的价格是怎么算的？
- 计价基于三个变量：测试目标的数量与复杂度（一个官网和一个带内网的业务系统工作量差异很大）、测试深度（只测外部入口还是包含内网横向）、以及是否包含报告讲解与修复复测。我们会在方案里逐项写明计价构成，确认后才报价，不存在事后追加。公开页面不标统一价格，因为不同项目之间工作量可能相差一个数量级，标一个数字只会误导判断。
- 整个服务周期大概多久？
- 方案与授权阶段通常需要几个工作日，取决于双方确认范围的效率；测试执行阶段小型网站类目标 3–5 个工作日，中型系统加内网资产 1–2 周；报告编写另需数个工作日。等保咨询类项目以月计，与整改节奏相关。全部周期都受资产可达性影响，如果测试环境经常断连或缺少配合人员，时间会顺延。
- 测试发现高危漏洞，会不会被立刻利用？
- 不会。测试期间的发现属于受控环境内的信息，我们不会在未经你确认的情况下披露或留存在测试范围之外。发现高危问题后我们会第一时间通过约定渠道同步，你可以决定是立即修复还是等报告一起处理。所有测试数据在项目结束后按保密约定删除或归还，泄露风险由流程与合同双重约束。
- 怎么验收一次渗透测试做得好不好？
- 三个可操作的验收标准：第一，抽查报告里两到三条漏洞，让开发按复现步骤走一遍，能复现的才可信；第二，看报告是否区分了风险等级并给出具体修复建议，而不是泛泛的「加强防护」；第三，约定复测并验证高危项确实闭环。如果报告里的发现你的团队一条都复现不了，这份报告的价值需要重新评估。
- 服务能不能按我们的情况定制？
- 可以，而且定制是常态。九项服务是能力清单，实际项目往往按需求组合：比如等保咨询常与安全加固打包执行，因为整改方案里的技术项需要落地；渗透测试可以只针对即将上线的单个系统做发布前把关。定制的关键是范围清晰，我们在方案阶段会把定制内容逐条写进授权书，避免执行时口径不一致。
- 我们规模很小，有必要做安全服务吗？
- 规模小不等于风险低，小企业的系统往往防护更弱，而攻击者批量扫描时并不区分目标大小。建议的路径是：先做一轮成本较低的漏洞评估摸底，拿到清单后再决定哪些风险需要花钱处理。很多情况下几项配置修改就能消掉大部分高风险项，未必需要大投入。关键是用评估结果决定投入，而不是凭感觉买设备。
- 等保测评没过，你们能帮整改吗？
- 可以。我们先看测评报告里的问题清单，区分技术项和管理项：技术项由工程线执行加固或开发配合整改，管理项由咨询线补齐制度文档与流程记录。整改完成后可以安排一轮预检，按测评口径逐条核对，确认问题闭环后再约正式复评。预检的目的很直接：不让第二次测评再出意外。
- 出现安全事件时你们怎么介入？
- 联系时请在邮件标题注明「应急」，并附上已知现象：哪些机器异常、发现时间、是否已有勒索信息或异常外联。我们按取证、定位、隔离、恢复、复盘的顺序处理，优先保业务可用，再查根因。处置结束输出事件时间线报告，说明攻击是怎么进来的、影响范围多大、还有哪些遗留风险需要处理。
- 你们支持常州以外的地方吗？
- 支持。公司位于常州，长三角范围内的现场支持成本较低；更远的地区以远程方式执行大部分工作，涉及应急响应或加固实施等必须现场的环节再安排差旅。远程执行对渗透测试与代码审计几乎没有影响，因为这些工作本来就以线上协作完成，只是需要客户保证测试环境的网络可达与配合人员在线。
- 测试期间需要我们配合什么？
- 主要有四件事：确认测试范围与授权书、提供测试账号或环境访问方式、指定一名对接人保持沟通、在约定时间窗口内保证目标系统可用。渗透测试的效果很大程度取决于配合质量——如果测试账号权限不足或环境频繁变动，很多攻击路径将无法验证，报告结论的覆盖面会随之缩水。
- 报告交付后还提供支持吗？
- 提供。报告讲解会包含在项目内，修复期间的开发答疑持续到项目收尾，项目结束后还有为期一个季度的答疑支持窗口。这段时间里修复实施遇到的任何技术疑问都可以联系原项目负责人，不需要重新走商务流程。超过支持期的长期咨询可以另行约定成年度服务。