AI能替掉等保测评师吗 8个环节逐条对照

这个问题，最近一个月我被问了不下十次。

问的人不一样：有测评机构的技术负责人，有刚入行两年的测评师，也有甲方单位的网络安全管理员。

问法都差不多：「这活儿还能干几年？」

我不想给鸡汤，也不想贩卖焦虑。把测评这件事拆开，一个环节一个环节看。

一、先把「测评」拆成 8 个环节

一份等级测评报告，背后大概是这么一条流水线：

`接洽报价 → 资料收集 → 方案编制 → 现场测评 → 问题汇总→ 报告撰写 → 内部复核 → 出具报告`

其中「现场测评」又拆成：访谈、配置核查、工具测试、实地查看。

AI 能替的，是其中一部分；替不了的，是另一部分。 混着说「AI 会不会取代人」，永远说不清。

二、AI 已经能干得不错的 5 件事

第 1 件：资料收集和初筛。

甲方给一堆制度文件、拓扑图、资产清单，AI 能做的是——按控制点归类、找出明显缺失、标出前后矛盾的表述。

这个活儿人工做，一个中型系统要 2 到 3 天。AI 半小时能出初稿，人工复核 2 小时。

第 2 件：配置核查的比对。

在国家标准全文公开系统上能查到原文——GB/T 22239-2019 里「身份鉴别」这一项，对三级系统要求口令长度不小于 8 位、复杂度至少包含大小写字母、数字、特殊字符中的 3 类。这种判定，脚本一跑就是一秒钟。

把设备的配置导出，跟基线库比对。这是纯规则活，AI 比人快，也比人稳。

我见过一个测评师，一天核了 40 台设备的密码策略，晚上眼睛都花了。这活儿交给脚本，他去核别的不香吗。

第 3 件：报告初稿。

这是最容易被替代的一块。报告的 80% 是模板化表述：控制点描述、符合性判定、整改建议——都有固定句式。

AI 写得比新人快，而且不会漏项。

第 4 件：访谈提纲。

针对不同系统、不同行业，生成访谈问题清单。这件事 AI 做得比很多新人好，因为它见过的案例多。

第 4 件半：工具测试的报告整理。

现场拿 Nessus 或 OpenVAS 扫一遍，出来的是一份几百条的漏洞清单。按等级分类、去掉误报、合并同类项——这一整套现在也能自动跑了。

第 5 件：漏洞和整改建议的解读。

扫出来一堆漏洞，哪些必须改、哪些可以接受、整改建议怎么写——AI 给的方案，至少能达到中级测评师的水平。

三、AI 干不了的 3 件事

第 1 件：现场实地查看。

机房的门禁是不是真的在用、消防是不是过期了、UPS 电池有没有鼓包、线缆有没有乱拉——这些得人进去看。

AI 看不了。摄像头也不行。

第 2 件：访谈。

访谈不是念问题清单，是看人说话。

我问过一个运维：「备份多久做一次？」他说「每天」。

我说那带我看看备份记录。他打开目录，最新的备份是三天前。

这种「说的和做的不一致」，只有人在现场、看着对方的眼睛，才判断得出来。

第 3 件：签字和责任。

测评报告是要盖章的。章背后是一个机构、一个签字人，和一份法律责任。

AI 不能签字，也不能承担责任。

这一条，是整条流水线里最不可能被替代的。

四、所以答案是什么

不是「AI 替代测评师」，是「AI 重新分配测评师的时间」。

具体说：

• 助理级的工作会消失
  ——整理资料、套模板写报告、抄配置
• 执行级的工作会压缩
  ——一个人能干的活变多，团队人数可能减少
• 判断级的工作会升值
  ——现场怎么问、问题怎么定性、整改建议怎么落地

我打个比方。

以前一个项目要 3 个人干 10 天。现在可能 1 个人加一套 AI 工具，干 6 天。

省下的是人力成本，不是这个岗位。

五、我见过的两种人

第一种，怕 AI 的。

我认识一个测评师，干了六年，报告写得极漂亮——格式、措辞、逻辑，挑不出毛病。

但他所有的价值，都在「写报告」这一件事上。

AI 一来，他第一个慌。

第二种，用 AI 的。

另一个朋友，去年开始用大模型帮他做资料初筛和报告初稿。他把省下来的时间，全花在现场和客户沟通上。

今年他一个人接了 11 个项目，比去年多 4 个。收入涨了，人还没那么累。

同样是测评师，一个在怕，一个在涨。差别不在技术，在「他把时间花在哪」。

说到这儿我得承认，我自己也走过弯路。

去年我试过用 AI 批量生成整改建议，一次出 200 条，看着挺唬人。结果客户拿去执行，一半落不了地——因为那些建议是按「标准条款」写的，不是按「他那套系统」写的。

那批稿子最后作废了。 我后来才想明白：AI 能给的是通用答案，能给对答案的，还是得知道现场长什么样的人。

六、给从业者的三句话

第一，把「写」的能力，换成「问」的能力。

报告写得再漂亮，AI 三天就能学会。但现场怎么问出一个真问题，AI 学不会。

第二，把「查配置」的时间，换成「看现场」的时间。

配置是脚本能干的。机房里那些「不对劲」的感觉，只有人能有。

第三，别抗拒工具，去当那个会用工具的人。

这一行未来不需要「会写报告的测评师」，需要「能对结果负责、并且用工具把活干快的人」。

七、最后

回到那个问题：「这活儿还能干几年？」

我的答案是：这活儿会一直在，但干法会变。

被淘汰的从来不是岗位，是「只会一个环节」的人。

说明：本文为行业观察，观点基于公开的等保测评流程与笔者接触的从业者情况，不代表任何机构立场。文中不涉及具体机构与个人信息。