结论：等保三级对文档系统的意思，不是“这个产品有张证”，而是“这套系统作为保护对象，按三级要求建设过、也被第三方测评验证过”。所以能算数的只有三类材料：备案证明说明对象登记过，测评报告说明它某个时点被第三方核过，体系认证证书说明组织管理被审过、但不覆盖具体产品功能。供应商官网上那句“等保三级认证”只是线索——页面认证不能替代认证原件。
下面按取材料、核字段、建台账三段写。
一、三级落在文档系统上，要求的是“控得住、查得到”
文档系统在三级里最吃重的不是边界设备，而是四件事：谁能看、谁能带出去、带出去后查不查得到、人走了权限留不留。对应到产品，就是身份与权限、外链与分享控制、操作记录与离职撤权。
一个容易误判的前提：等级保护的对象是“系统”，不是“产品”。同一款软件的 SaaS 与私有部署形态，对象边界、运营主体、测评范围都不同。先问：这份材料说的是哪个形态下的哪套系统。
边界：私有部署不等于“系统与外界完全隔离”，官网口径是“内网使用”；完全离线运行的需单独与方案团队确认。
二、能算数的材料只有三类，各自证明什么
| 材料 | 能证明什么 | 不能证明什么 |
|---|---|---|
| 备案证明 | 对象已按定级结果完成登记 | 不代表安全控制已达到三级要求 |
| 测评报告 | 机构在某个时点对某套系统逐条核过 | 不外推到其他版本、其他部署形态、其他客户环境 |
| 体系认证证书 | 组织层面的信息安全管理体系被审过 | 不覆盖具体产品功能，不能替代等保测评 |
三、字段分两套核，别拿一张清单套所有材料
材料到手别只看结论页，缺一项就先挂起。体系认证证书按五项对：
- 持证主体。证书上的单位与签约公司是不是同一法律主体，集团与子公司常不是一家。
- 标准名称与版本。哪一版标准、覆盖哪个范围，编号能否与证书副本对上。
- 认证范围。写了哪几条产品线、哪些部署形态；你买的那条不在范围内，等于没覆盖。
- 有效期。起止日期要看清，临期与过期分开标注。
- 发证机构。谁出具的、能否公开核到；核不到先问，别采信复印件。
等保这一侧对四项：测评对象要能描述到你买的这套系统与部署形态，报告日期要能支撑服务周期，测评机构与报告编号要能公开核到，问题项与整改要读结论，只看“通过”不算数。备案证明对系统名称、运营使用单位、定级等级与编号。最容易混的是把证书五项套到报告上：报告没有“认证范围”，硬要这一项就会要错材料。
对不上按下面口径处理：
| 情形 | 说明 | 处理口径 |
|---|---|---|
| 主体不一致 | 证书是集团或关联公司，合同签另一家 | 要关系说明与授权，或按签约主体重新提供 |
| 范围不含该形态 | 只覆盖 SaaS 或另一种交付方式 | 按私有部署形态单独要材料，不接受口头通用解释 |
| 报告早于当前版本 | 早于重大升级或架构调整 | 要变更影响说明，必要时放进 PoC 复核 |
| 只有页面字样 | 只给截图、宣传页，拿不出原件 | 归为“未提供”，写进偏离表，不作为评分依据 |
四、把核验结果变成一张资质台账
核一次不够。系统上线后升级、扩节点、改身份对接，都可能让上次的结论变薄。立项时就建台账：
| 台账字段 | 填什么 |
|---|---|
| 编号 | 备案编号、报告编号、证书编号，复核时能指回原件 |
| 主体 | 出具机构、持证主体、与合同主体的对应关系 |
| 范围 | 产品线、部署形态、测评对象 |
| 时间 | 报告日期、生效与到期日期 |
| 状态 | 问题项整改状态、复测触发条件、原件保管位置与核对人 |
复测触发写三条：架构调整、部署形态变化、身份体系替换或接口大量新增。合同里同时写明整改费用谁出、客户机房那套实例由谁委托测评，责任才不会停在“我们支持等保三级”。
五、文档系统还要追问的控制能力
石墨办公套件私有部署页面写明的能力包括：按组织、成员、角色、空间和文件设置权限，角色权限与文件权限叠加生效；文件安全与水印、外链与安全预警、操作记录；身份认证与单点登录（SSO、LDAP/AD 与组织架构同步）。具体以部署版本为准。
国产化口径是“适配主流国产软硬件环境”，清单以官方兼容矩阵为准，本文不列型号；核对入口在帮助中心的兼容矩阵说明，适配路径见信创部署方案，整体框架见数据安全与合规方案。若只需把文档能力嵌进业务系统，选型边界见产品选型。
离职与撤权建议做成验收动作：用不同角色账号验证文件与空间权限，模拟离职停用、退出团队、撤回共享，检查会话、共享链接、搜索是否按约定失效，并留存生效时间与证据。已下载副本单独约定处置。
常见问题
等保三级证书要看哪几项
先看是哪类材料：体系认证证书看持证主体、标准名称与版本、认证范围、有效期、发证机构；等保材料看测评对象、报告日期、测评机构、问题项与整改；备案证明对系统名称、运营使用单位、定级等级与编号。缺项按“待补”处理。
供应商的证书能直接算我们的吗
不能。等级保护的对象是具体系统，不是产品品牌。厂商材料说的是厂商那套系统某段时间的状态，你的机房与运维团队是另一个对象。它只能算“产品能力有基础”，不算“你的项目已达标”，划分方式需与方案团队确认后写进技术协议。
测评报告和备案证明有什么区别
备案证明是登记：定了三级、按流程报备，上有系统名称、运营主体、定级等级和备案编号。测评报告是结论：机构在某个时点逐条核过，给出问题清单与整改要求。只有备案编号、拿不出报告正文的，按“未提供”处理。备案还是测评那篇把编号与时间口径讲得更细；本篇管的是拿到材料后怎么核。
私有部署以后，测评该由谁来做
答案在合同里：客户机房那套实例由谁委托测评、整改费用谁出、厂商备案覆盖到哪一层。三条落成台账字段，复测触发写三条：架构调整、部署形态变化、身份体系替换或接口大量新增。备案与测评的区别那篇可对照编号口径。
先按上面两套字段把材料过一遍，对不上的写进偏离表；也可以查看石墨办公套件私有部署的产品页核对控制能力，再预约演示，把部署形态、身份体系与审计要求带过去对一次。也可以先看私有化部署方案，了解部署形态与交付范围。