过等保测评和密评时，心理 SaaS 被扣分最集中的地方，通常不是防火墙或主机加固，而是两个看起来偏软的环节：日志和权限。网络层、主机层大多有成熟方案能补齐，真正暴露短板的，是业务系统自己怎么记操作、怎么分角色。下面按测评里最常被点名的几处缺口来盘。
日志留得下，却查不清
不少系统确实在记日志，问题是记得太粗。登录成功失败有记录，可一旦要追谁导出了哪个班的心理报告，日志里只有一行访问了导出接口，既没有操作对象，也没有数据范围。等保和密评看的不是有没有日志，而是日志能不能支撑事后追溯与责任认定。留存时长同样常被忽略，日志三十天就滚掉，真出了事早已无据可查。还有个容易被点名的细节是时间：多台服务器时钟不同步，几条日志就拼不出一条完整的操作时间线，追溯时对不上，须统一走时间同步。更麻烦的是，日志本身也算敏感数据，谁能查看和导出这些日志，同样得纳入权限管理，否则查日志的入口反倒成了新的泄露口子。
权限粗到一个角色走天下
第二类缺口在权限模型。为了上线快，不少系统只分了管理员和普通用户两档，结果一个班主任账号既能看本班，也能顺手翻到别班甚至别校。密评关注的是访问控制是否真正按最小权限落地：数据能不能按机构、按班级、按角色切开，敏感操作有没有二次确认，离职账号有没有及时回收。橙星云把学校、年级、班级和角色做成可组合的权限维度，导出和高敏查看再叠一层单独授权，就是冲着这类越权访问去的。
密评还盯着密钥怎么管
密评比等保更具体，它会追问加密用的是不是合规算法、密钥怎么生成、存在哪、多久换一次。心理数据加密了，但密钥和密文放在同一台服务器、甚至写死在代码里，这在评估里是明确的减分项。密钥交给独立管理、支持轮换、和数据物理隔离，才算把加密做到了实处。
这三处缺口有个共性：它们都不在网络边界，而在业务逻辑内部，靠买设备补不上，只能在系统设计时就把记录粒度、权限维度、密钥管理定对。测评前临时补，多半只能补出表面合规，真出事时依旧追不到人、拦不住越权。
需要提醒的是，等保和密评通过与否，取决于测评机构对具体系统的现场判定，市面上没有一张通用的合格证书能替某套系统背书。与其纠结拿没拿到某个等级，不如把日志的可追溯、权限的最小化、密钥的独立管理这三件事先做扎实，测评时的多数问题会自然消解。