把「等保三级」「在线文档协作」「私有化」这三个词放进同一个搜索框，能同时接住它们的答案，其实不多。
要么通篇合规条文，要么满页部署架构，要么全是功能演示。很少有人把这三件事摆在一起说，因为它们摆在一起就会打架。
先说结论。难的不是找到一个三项都支持的厂商，是让这三件事在同一个项目里不互相拆台。
私有化项目最常见的失败，不是不够安全，是安全到没人愿意用。
一｜三个条件，天生互相拉扯
私有化解决数据放在哪，等保解决出了事能不能查，在线协作解决人愿不愿意用。
三个目标各自都对，发力方向却不一样。
私有化把系统关进内网，协作要求人随时打开、随手分享；等保三级要求权限收紧、日志留全、外链受控，协作要求少点几下、别老弹验证。
安全做加法，协作做减法。
举个具体的。等保三级要求文档外链可控，很多团队的做法是一刀切禁止外链。结果业务要给客户发方案，只能先下载文件，再用邮件发出去。
文件离开系统的那一刻，日志断了，权限也管不住了。
一条为安全关上的门，最后开在了系统外面。
所以你会看到一个很常见的场面：安全部门每提一条要求，业务部门的抱怨就多一句。等保测评过了，员工开始用微信传文件。
这不是谁不专业，是这三个条件本来就得被设计成一套，而不是被当成三张答卷。
二｜为什么「都满足」的项目，还是卡在验收
因为验收验的不是清单，是三件事同时成立。
雷往往在选型阶段就埋下了。招标文件写「支持等保三级」「支持私有化部署」「支持在线协作」，三家厂商都能打勾。但打勾只说明功能存在，不说明组合成立。
为什么组合这么容易落空？至少三个原因。
第一，选型阶段和验收阶段，主导的人不一样。选型时是厂商在演示、甲方在旁听，看的都是「能不能」；验收时换成甲方主导，问题变成「凭什么」。同一个功能，两个阶段要的答案完全不同。
第二，安全、IT、业务三方的目标本来就不一致。安全要收紧，IT要省事，业务要快。三方坐到一张桌子上，最容易达成的共识是「先都满足」，最难谈的是「哪一条可以退半步」。
第三，关键条款只进了 PPT，没进合同。责任边界、外链策略、离职账号回收时限，演示时都讲得头头是道，写进技术协议的没几条。
三件事叠在一起，就是那个熟悉的结局：标书上每一项都打了勾，验收时每一项都要重新解释。
而验收会只开一次。
三｜上线三个月，两种反馈
项目上线三个月，信息中心主任通常会收到两类反馈。
安全那边说，最近查到几份文件被转到了个人微信，还有两个离职员工的账号没及时停。业务那边说，系统太麻烦，一份文件要找三层目录，还不如以前发邮件。
两句话放在一起，就是私有化协作项目最典型的困境：管得越紧，人越绕。
而「人绕过去」这件事，恰恰是等保三级最在意的那类风险。日志里查不到的那次传输，才是真正查不到的那次。
这类项目最该防的，往往不是外部攻击，是内部放弃。
四｜前五道门槛，管的是安全
私有化协作的验收，说复杂很复杂，说简单也就六道关。前五道管的是安全，每一道只问三件事：要什么、怎么验、谁签字。
第一道，部署边界。要确认的不是机房在哪，是数据的出入口有几个。系统私有化之后，客户端自动更新通道、移动端接入、对外分享链接，这三处通常仍然通着外网，任何一处没管住，数据边界就是虚的。验证方式很直接：让对方在你的测试环境里，分别从内网、外网、手机端访问同一份文件，看行为是否符合约定。签字的是信息安全负责人。
第二道，身份与权限。权限的终极测试不在平时，在离职那天。要验的是账号能不能立刻停、外部协作者手里的链接能不能回收、已经下载的文件怎么处理。验证方式：挑一个真实的离职案例，把流程走一遍，掐表看时间。签字的是 HR 和信息安全负责人。
第三道，数据与审计。日志的价值不在「有」，在「能查」。要确认的是留存多久、能不能导出、出了事多久能定位到具体的人和具体的文件。验证方式：随机指定一份文件和一个时间段，让对方在约定时间内调出全部访问记录。调不出来，这一条就是空的。签字的是审计或内控。
第四道，备份与恢复。演练过的备份才叫备份。要确认的是备份对象、频率、恢复目标，以及恢复之后权限和日志是否完整。验证方式：在测试环境做一次真实恢复，记录耗时。签字的是运维负责人。
第五道，集成与国产化。这一条决定项目能不能活过三年。要确认的是能否与现有 OA、ERP、CRM 打通，接口给的是 API 还是 SDK，国产化环境下的适配清单有没有具体版本号。验证方式：拿你现有的系统清单，和拟用的服务器、操作系统、数据库清单，逐项核对。签字的是架构负责人。
这五道关有一个共同点：只回答「够不够安全」。
而「还能不能干活」，没人问。
五｜第六道门槛，必须由业务签字
所以要有第六道。
第六道，协作可用性。要验的是：新人入职到能协同一份文件，要几步；共享链接是分级管控还是全禁；移动端打开一份百页文档要几秒；两个人同时改一段，谁的最后生效；断网重连之后，改动会不会丢。
怎么验：找一个真实的业务流程，让业务、IT、外部协作者三种角色各走一遍，全程计时。
谁签字：业务负责人。
这一条最容易被跳过，因为它不像安全项那样有清单可勾。但恰恰是它决定前五道有没有意义——系统再安全，没人用，等于没上线。
南方电网那个全站私有化项目，方案里的落点是「面向全员」。全员用起来，和全员被管起来，是两件事。
前五道由安全和运维签字，第六道必须由业务签字。一条只由安全部门验收的协作系统，最后一定会被业务用脚投票。
六｜一张能签字的表
六道关，十八件事。表不长，一页纸；也不好看，全是干条。但它在验收会上比任何一本产品介绍都好用，因为每一条后面都跟着一个人名，而人名意味着责任。
| 门槛 | 要什么 | 怎么验 | 谁签字 |
|---|---|---|---|
| 一、部署边界 | 数据出入口清单：客户端更新通道、移动端接入、外链策略 | 在内网、外网、手机端分别访问同一份文件，核对行为是否符合约定 | 信息安全负责人 |
| 二、身份与权限 | 账号停用、外链回收、已下载文件处置的完整规则 | 取一个真实离职案例走完全流程，计时 | HR + 信息安全负责人 |
| 三、数据与审计 | 日志留存时长、导出能力、定位到人的速度 | 随机指定文件与时间段，限时调出全部访问记录 | 审计 / 内控 |
| 四、备份与恢复 | 备份对象、频率、恢复目标（RTO / RPO） | 在测试环境做一次真实恢复，记录耗时与完整性 | 运维负责人 |
| 五、集成与国产化 | OA / ERP / CRM 对接方式、API 或 SDK、适配清单版本号 | 用自有系统清单与软硬件清单逐项核对 | 架构负责人 |
| 六、协作可用性 | 上手步数、外链分级策略、移动端性能、并发冲突处理 | 让业务、IT、外部协作者三种角色各走一遍，全程计时 | 业务负责人 |
这张表反过来也能用。选型阶段拿它去问供应商，哪一条对方讲不清楚，基本就能判断那一项还没真正落过地。
六道关，十八件事：五道让系统安全，第六道让它有人用。
七｜这套清单，也有不适用的时候
不是每个项目都要走完这六道关。
如果只是部门内部的小范围试点，没有外部协作者，也没有审计要求，那前两道可以简化，重点放在第三、四、六道。
如果项目要求完全物理隔离、系统在内网离线运行，那第五道要提前做方案评估，不能拿标准交付去套。
如果你的安全要求高到必须禁止一切外链和移动端访问，那第六道基本过不了。这种情况下我们通常建议先做小范围试点，验证过再谈全员，而不是硬上一个全员系统，最后变成一地文件。
清单的价值在于能裁剪，不在于全都要。
回到开头那三个词
等保三级、在线文档协作、私有化，它们能不能同时成立，答案不在产品页上，在那张签了六行名字的表上。
资质那一关，上一篇已经交底：备案编号 42010013022-20001，2021 年以来四份测评报告。那是入场券。
验收这一关，是这六道门槛。
再往后还有一关。如果这个项目同时还要过信创，要在国产芯片、国产操作系统、国产数据库上跑得起来，那「支持信创」这四个字同样不够用，得一层一层核。
想拿这张表去开一次会，可以先预约演示；想先看实际界面，可以立即试用。白皮书和更完整的验收方法在《企业私有化协作 Office 建设与选型白皮书》。