企业系统
晋能控股招标采购平台（二期）数据安全审计
晋能控股集团山西工程咨询有限公司委托，合同额 116 万元。把数据安全从「事后检查」变成「实时监测」——部署日志审计与数据库审计，对平台数据库和用户行为做实时监测与预警。
约束 · 为什么难
01
安全要落到「看得见」
数据安全评估容易做成一份报告交差，但甲方要的是能实时发现异常行为的能力。评估与平台必须一起交付，否则报告写完就过期。
02
两个月要同时交付评估和平台
合同约定自签订之日起两个月内，同时完成数据安全风险评估服务与用户行为监测审计平台的部署。评估要做分级分类，平台要完成部署与联调，两条线并行。
03
质保三年，等于承诺长期可用
验收合格后质保三年。这意味着部署的不只是「能跑起来」，还要能在三年里持续产生审计价值。
判断与动作
判断 01
把合同拆成两条可验收的线
116 万的合同如果只当成一个整体来管，验收时会说不清「做到什么程度算完成」。所以先按合同自身的分项拆开。
01数据安全风险评估（15 万）——数据安全风险体系建设规划、数据分级分类建设规划、数据安全风险评估
02用户行为监测与审计平台（101 万）——部署 AiLog 大数据日志审计与分析平台、明御数据库审计与风险控制系统
03支付与验收对齐——评估部分按「体系建设完成 30% / 评估完成 60% / 一年后无问题付尾款」分段验收
判断 02
从「日志堆积」到「异常可查」
招标采购平台的核心风险是谁在什么时候动了哪条数据。日志审计如果只是存下来，等于没做；必须能对数据库操作和用户行为做实时监测、分析与预警。
01数据库层——数据库审计覆盖敏感表的增删改查，记录操作人、时间、来源 IP 与 SQL 内容
02行为层——用户行为监测识别异常访问模式，如非工作时间大批量导出、越权查询
03预警闭环——异常触发告警后进入处置流程，而不是只留一条日志
结果
合同额
116 万
含税，税率 6%；不含税 109.43 万元
分项
15 + 101
数据安全风险评估 15 万 + 用户行为监测审计平台 101 万
交付
2 个月
自合同签订之日起完成评估服务与平台部署
质保
3 年
验收合格后三年
复盘
这个项目让我意识到，安全类项目的验收标准和普通信息化项目完全不同：普通项目验收「功能有没有」，安全项目验收「风险能不能被发现」。前者可以演示，后者只能靠一次真实的异常被拦住来证明。