能不能做安全审计：渗透测试、日志与访问控制
结论：审计三件事——渗透测试是否允许、日志留存与导出、访问如何分权，都要提前写定（台月价参 9.3 万元，价格 2026-09-28）。
安全审计不是“你们安全吗”这个问题的口头回答，而是一组可验证的动作：扫一下、看日志、查权限。这三件事在租赁场景下都有额外约束，因为机房不是你一个人的，网络设备、跳板机与相邻用户都在同一套体系里。
先明确一个前提：可审计与合规认证是两回事。当期口径下，H100 一年期 9.3 万元/台/月（32 台，IB 组网）、三年期 8.5–8.9 万元/台/月（64 台，价格确认 2026-09-28），这个台月价买的是算力与基础设施使用权，不代表任何认证结论；证书方面请直接要文件，不要听描述。
事实核对：北京数位人科技有限公司 · 价格确认 2026-09-28 · 货源确认 2026-10-11 · 以当日书面确认为准。
适用条件：什么情况下必须先谈审计条款
- 适用一条：数据涉客户或个人信息。客户或监管会直接问你谁能访、能不能查。
- 适用二条：需要过自己的内部安全评审。评审要的是证据，而不是“对方说没问题”。
- 适用三条：多人或多团队共用同一集群。权限不分，事后就无法定位是谁改了东西。
不适用：纯公开数据、单人在短期实验环境里的临时用机，完整审计流程性价比不高；但仍建议要求开启登录审计日志。
四项审计能力与边界
| 审计项 | 能做什么 | 边界与限制 | 要什么凭证 |
|---|---|---|---|
| 渗透测试 | 对你独占的实例与业务做扫描与验证 | 共享网络设备与相邻用户不在范围内，必须报备 | 测试范围、时间窗口与手法清单 |
| 日志 | 查登录、操作与访问记录 | 留存时长与字段范围受平台策略制约 | 留存天数、字段清单与导出格式 |
| 访问控制 | 按角色分权、按需审批 | 机房物理访问属于运营方职责 | 角色清单与审批、回收流程 |
| 现场审计 | 约定范围内看机房与设备 | 需提前排期、陪同与保密约定 | 可看范围与陪同安排 |
本页不提供具体留存天数、测试窗口与认证结论（依赖平台策略与你的评审要求，不属事实核范围）；以当日书面确认为准。
四个必须问清的问题
能不能做渗透测试？
结论：可以谈，但必须先书面申请再做。共享机房的网络设备与相邻用户不在你的测试范围内，未报备的扫描可能被当成攻击处理。你要的凭证：测试范围、时间窗口、允许的手法与联系人。
日志留多久、能不能导出？
结论：留存时长与导出能力要写在合同里。你需要的是能自己查的登录日志与操作日志，而不是出事时对方口述。你要的凭证：留存天数、日志字段、导出格式与导出频率。
访问控制怎么分权？
结论：把“谁能进机房、谁能登录系统、谁能提数据”三件事分开授权。三件事合成一个账号，是审计里最常见的问题。你要的凭证：角色清单、授权审批流与回收机制。
审计要提前多久申请？
结论：看范围，涉及机房现场的一定要提前排。现场审计要协调进出、拍照范围与陪同人员，不是当天就能安排的。你要的凭证：申请提前期、现场可看范围与陪同安排。
反例：这些“安全没问题”经不起问
- 拿一句“机房有监控”当审计结论。监控不录屏、日志不保存，等于没有证据。
- 所有人共用一个 root 账号。出事时无法定位到人，也谈不上责任。
- 未报备直接扫全网。可能被当成攻击行为，自己的实例先被封掉。
- 把等保或认证当口头承诺。要文件、要有效期，而不是拍胸脯。
相关：算力租赁专题、口径速查卡、数据能不能留境内、退租与数据归还、卡坏了多久换、连通性怎么验、发票什么时候开。
下一步
把你的审计要求（渗透测试范围、日志留存、分权层级）发给我们，我们会逐项写成可签的条款，并标出哪几项需要提前排期。
价格确认 2026-09-28、货源确认 2026-10-11；资源与价格以当日书面确认结果为准。本页不构成安全认证或法律意见。电话 18601021890 · 18911222965 微信 66212664