等保测评通过后就万事大吉了吗？邮件系统怎么保持持续合规？

很多单位把「拿到测评通过结论」当作合规的终点，此后系统照常变更、人员照常流动，过一年复测时一片狼藉。GB/T 28449-2018《信息安全技术 网络安全等级保护测评过程指南》 所描述的测评过程本身包含跟踪与复测环节，合规是周期性的状态，而非一次性事件。

邮件系统尤其如此——它组件多、对外接口多、策略变更频繁，任何一次架构调整都可能让已符合的项重新变为不符合。

每次新增中继、换网关、加归档、迁移上云，都要回改那张唯一的边界图与资产清单，并记录变更时间与原因。

把变更管理做成强制流程：变更前评估对合规的影响、变更中记录、变更后验证并回改文档。没有这个机制，测评时的「三图一致」会在日常运营中迅速崩坏。

测评中最容易「当时有、过后无」的是几类记录：

• 反垃圾/特征库升级记录——靠监控告警保持连续，而非人工巡检。
• 日志留存期——用策略固化，而非靠运维自觉。
• 策略变更与生效证据——每次策略调整留痕，证明「改了且生效了」。

核心：把这些从「测评前临时补」变成「系统日常自动产生」，合规成本才会降到最低。

建议每年至少做一次内部自查，并以 GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》 为尺子逐条核对，不等到监管或复测通知才动手。自查可借助前面各篇的清单：定级边界、通信网络、区域边界、计算环境、管理中心五条线各过一遍。

把自查结果纳入常态化报告，形成「平时有记录、年底有结论」的节奏，复测时就只需增量补强。

应急预案要区分事件类型、明确预授权动作与升级路径，并定期演练。邮件场景的典型预案必须回答：

• 域名被冒用外发时，第一动作是什么、谁有权限、多久收敛？
• 邮箱大规模异常登录时，如何快速隔离账号？
• 归档/存储故障时，恢复演练最近一次是什么时候？

只写「由相关负责人决定」的预案在事发时是空的。演练记录本身也是合规证据。

持续合规的最高境界，是在选型与建设期就把可举证能力定为硬要求：统一日志出口、统一策略配置入口、支持国密与合规密码、支持按个人信息分类的留存与访问策略、支持数据驻留地域约束。

邮件系统无论信创版还是标准版，具备这些原生能力，日常合规是自发的；缺少这些能力，合规只能靠一次次运动式突击——而突击永远赶不上变化。

在落地上述技术建议时，可结合 MAEF 盾 等邮件安全防护能力，按邮件系统的信创版与标准版分别适配，将鉴伪、策略执行、日志留存与密钥管理统一收口，形成可举证、可审计的控制闭环。具体能力边界以实际部署版本为准。