企业就绪不是一份对外话术，而是一张自己敢照着打分的表。
一、第六家客户问「你们凭什么说自己企业就绪」
2026 年 6 月 18 日，第六封询价邮件来自一家 120 人的品牌咨询公司。前面五封问的是价格、席位与迁移，这一封的最后一行不一样：「请说明你们的企业就绪程度，并附最近一次评估。」
以下情境为教学假设，人物、引语和数字不代表经核实的真实案例。
他答过安全问卷，第一份花了 22 小时，建库之后压到 6 小时。答题能力是有的，但被问到「最近一次评估」时，他手上只有零散的截图、一份 28 页的 DPA 模板和几条聊天记录，没有任何一份能被称为「评估」的东西。更麻烦的是产品本身：企业登录还没做，自动开停号也没有。
问卷考的是答题能力，验收考的是能力清单。 问卷由对方出题，你可以只回答被问到的部分；验收由自己出题，必须覆盖对方还没问、但迟早会问的部分。两者的差别在第六家客户身上第一次显形：他没有被难住，只是拿不出证据。
那天下午他花了 90 分钟，把过去半年被问过的问题倒推成十项能力，再给每项找一条证据。结果是只有一项能指到完整记录，三项有文件但缺一块，其余六项要么只有口头说明，要么根本没有。这个比例比任何一份问卷的得分都更诚实。
二、十项能力与当前状态
十项不是把问卷的 148 道题压缩，而是按「采购会怎么验收」重组：能不能登录、能不能自动开停号、能不能证明谁看过数据、出了事怎么通知、钱怎么收。每项按五档打分，5 分是有自动化证据且覆盖全部路径，1 分是只能靠记忆。
| 能力 | 五档打分 | 证据 | 补齐小时 |
|---|---|---|---|
| SAML SSO | 1.0 | 只有邮箱密码与魔法链接，企业登录要现做 | 16 |
| SCIM 生命周期 | 1.0 | 没有自动开停号，每月人工核对约 2 小时 | 8 |
| 角色矩阵与最小权限 | 2.4 | 三角色已上线，缺项目级；上线时抓到 2 处越权 | 2 |
| 审计日志与导出 | 2.8 | 九类事件有记录，导出是手工 JSON | 2 |
| 加密与备份恢复 | 2.0 | 静态加密与每日备份有，恢复只演练过 1 次 | 3 |
| DPA 与子处理者 | 2.0 | 7 家清单与 28 页模板，3 处缺口 | 4 |
| SLA 与状态页 | 2.0 | 承诺 99.5%，状态页手工更新 | 2 |
| 事件响应与通知 | 3.0 | 72 小时流程与 4 次演练 | 2 |
| 问卷答案库与证据 | 2.4 | 148 题首答 22 h、23 份证据 | 3 |
| 报价、PO 与发票 | 2.8 | 38 天到账、97 美元手续费 | 2 |
最刺眼的是 SSO 与 SCIM：产品当时只有邮箱密码与魔法链接，企业登录要现做，自动开停号也没有。备份恢复与 DPA 是另一种情况：有动作但没有记录，恢复演练只做过一次，DPA 的三处缺口一直挂在待办里。两类缺口补法不同，前者是工程，后者是留痕。
有文件但缺一块的是审计导出、问卷答案库与报价流程：日志有九类事件，导出还是手工 JSON；答案库有 148 题，证据只有 23 份；报价单能开，PO 号与账期靠邮件追。角色矩阵与 SLA 状态页则停在口头说明，客户要「上一次谁改了什么」，只能现查。
补齐小时合计 44 小时，但只有 26 小时是新增工程。 16 小时 SSO、8 小时 SCIM、2 小时审计导出是工程账，与前面几篇的 26 小时是同一笔；4 小时 DPA、2 小时 SLA、3 小时问卷库、2 小时报价属于售前，2 小时角色矩阵属于实施，3 小时恢复演练与 2 小时事件通知属于运维。
三、四维加权与 2.19→4.12
十项能力不平均加权，因为它们的失败代价不同。身份与访问 0.30，数据与合规 0.25，可靠性承诺 0.25，商务与流程 0.20；四项权重相加为 1.00，任何一项调整都要写明理由，否则每季度都会往上漂。
| 维度 | 权重 | 改前 | 改后 | 加权（改前 → 改后） |
|---|---|---|---|---|
| 身份与访问 | 0.30 | 1.8 | 4.2 | 0.54 → 1.26 |
| 数据与合规 | 0.25 | 2.0 | 4.0 | 0.50 → 1.00 |
| 可靠性承诺 | 0.25 | 2.5 | 4.3 | 0.625 → 1.075 |
| 商务与流程 | 0.20 | 2.6 | 3.9 | 0.52 → 0.78 |
身份与访问拿最高权重，理由很直接：六十个席位每天都要经过登录与权限，而商务与流程只在成交时走一次。权重不是重要性投票，是把「出事的概率」折算进同一个分数。
商务与流程只有两项却拿 0.20，因为它决定钱能不能到账。38 天到账与 97 美元手续费不是财务细节，它们决定这一单在现金流上是资产还是负担；把这一维打到 0，前面三维再高也换不来现金。
改前加权 2.19，改后 4.12，差 1.93。四个维度的贡献分别是 0.72、0.50、0.45、0.26，加起来正好 1.93；如果对不上，说明某一项分数被手动改过而没有改证据。十项改后的分数依次是 4.4、4.2、4.2、4.0、4.2、3.8、4.2、4.4、3.8、4.0，维度分取的是组内平均，不是重新拍的。
改后没有一项是 5.0。5.0 要求全自动证据，而一个人的团队至少有一处靠人工；把目标写成 5.0，第二年只会得到一张更好看的自评表，而不是更强的能力。
44 小时里贡献最大的是身份与访问：26 小时工程把这一维从 1.8 推到 4.2，贡献 0.72，占总差值的 37.3%。按每小时换来的分数看，效率最高的是可靠性承诺：4 小时换 0.45，每小时 0.11 分；最低的是身份与访问，每小时 0.028 分。但前者那 4 小时建立在已有的 72 小时响应流程上，没有那套流程，4 小时换不来分数。
四、四种应当直接拒绝的客户
拒绝不是态度，是算术。 九家询价里有两家在第一轮就提了下面四类要求：一家要私有化，一家要 60 天免费试点；两次都在筛选的 6 小时里被识别出来。如果拖到合同阶段再拒，沉没的就不仅是时间。
| 要求 | 为什么做不到 | 替代方案 |
|---|---|---|
| 私有化部署 | 一次性 ≥ 120 h，之后每客户每年 40 h 运维；3 家即 120 h/年，占 1,920 h 的 6.25%；首年 160 h → 18,000 ÷ 160 = 112.5 美元/h | 单租户托管：独立数据库与子域，报价 +15%，共用升级管道 |
| 99.99% 可用性 | 一年只允许 52.6 分钟；近 6 个月实际停机 985 分钟、可用性 99.62%，半年预算 26.3 分钟，实际是它的 37.5 倍 | 99.5% + 公开状态页 + 12 个月费用上限；或改季度口径 |
| 无限责任 | 18,000 的年单对应无限赔偿；收入集中度 45.5%，一次索赔可以覆盖全部业务 | 上限写 12 个月已付费用 18,000，排除间接损失 |
| 60 天免费试点 | 试点 14 h/4 周，折算 0.5 h/天，60 天就是 30 h；按 138.5 折 4,155 美元，且 60 天会跨过两个审批节点 | 4 周试点 + 3 条成功标准，第 5 周起按 1,500/月计费 |
私有化最容易被「客户愿意加钱」说服。加 15% 是 20,700，除以首年 160 小时是 129.4 美元/h，仍低于 138.5；而且第二年还有 40 小时，第三家私有化客户进来后，每年固定支出就是 120 小时。
99.99% 的问题不在技术，在分母。43.2 分钟是 99.9% 一个月的额度，按月累加 12 个月是 518.4 分钟；99.99% 把全年压到 52.6 分钟，紧了 9.86 倍。近六个月里有五次停机超过 20 分钟，而单次 20 分钟就已经用掉全年额度的 38.0%。
无限责任通常藏在合同附件里，而不是写在报价单上。对方的标准合同写「赔偿以实际损失为限」，实际损失没有上限；把上限改成 12 个月已付费用，是把风险从「全部个人资产」缩到「这一单的收入」。
60 天免费试点的真实成本不是 30 小时，而是这 30 小时换来的结论可能仍然含糊。4 周试点之所以有效，是因为它事先写了三条成功标准；拉长到 60 天，标准会被稀释，采购流程却不会因此变快。
复算：
十项能力：4 + 2 + 2 + 2 = 10；权重 0.30 + 0.25 + 0.25 + 0.20 = 1.00
改前身份：1.0 + 1.0 + 2.4 + 2.8 = 7.2；7.2 ÷ 4 = 1.8
改前其余：数据 2.0；可靠 (2.0 + 3.0) ÷ 2 = 2.5；商务 (2.4 + 2.8) ÷ 2 = 2.6
改前：0.30×1.8 + 0.25×2.0 + 0.25×2.5 + 0.20×2.6
= 0.54 + 0.50 + 0.625 + 0.52 = 2.185 ≈ 2.19
改后身份：4.4 + 4.2 + 4.2 + 4.0 = 16.8；16.8 ÷ 4 = 4.2
改后其余：数据 (4.2 + 3.8) ÷ 2 = 4.0；可靠 (4.2 + 4.4) ÷ 2 = 4.3；商务 (3.8 + 4.0) ÷ 2 = 3.9
改后：0.30×4.2 + 0.25×4.0 + 0.25×4.3 + 0.20×3.9
= 1.26 + 1.00 + 1.075 + 0.78 = 4.115 ≈ 4.12
差值：4.12 − 2.19 = 1.93；分维 0.72 + 0.50 + 0.45 + 0.26 = 1.93
补齐：16 + 8 + 2 + 2 + 3 + 4 + 2 + 2 + 3 + 2 = 44 h
= 工程 26 + 售前 11 + 实施 2 + 运维 5
私有化：120 + 40 = 160 h；18,000 ÷ 160 = 112.5 美元/h
加价 15%：20,700 ÷ 160 = 129.4 美元/h
3 家运维：3 × 40 = 120 h/年；120 ÷ 1,920 = 6.25%
99.99%：43.2 × 12 = 518.4 min/年 → 52.6 min/年，紧 9.86 倍
近 6 个月 985 min；半年预算 26.3 min；985 ÷ 26.3 = 37.5 倍
60 天免费：14 ÷ 28 × 60 = 30 h；30 × 138.5 = 4,155 美元
复算之后，四种拒绝都不再是「我不接」的态度，而是四个可以复述的阈值：120 小时、52.6 分钟、18,000 美元、30 小时。阈值写下来，下一次拒绝只需要引用，不需要重新争论。
五、行动清单与复算验收
把十项能力、四个权重与四个阈值收进一页，再用八条检查确认这张表在下一次询价时还能直接用。
- 十项能力每项写一条证据，指不到就记未达标
- 四项权重写死 0.30、0.25、0.25、0.20，改动写理由
- 五档评分口径固定，两次评估之间不换尺
- 补齐小时分成工程、售前、实施、运维四类
- 私有化先算 120 + 40 h，再决定报不报
- 99.99% 先换算成 52.6 分钟，再谈双活成本
- 合同责任上限写 12 个月已付费用
- 免费试点不超过 4 周，第 5 周起计费
验收标准：同一张十项表连做两次评估，2.19 到 4.12 的每一分都能指到一条证据或一次投入；四种不接的客户在第一轮被识别，而不是谈到合同才拒绝。
使用边界与实操验收
边界一：加权分不是行业基准。 权重按「出事概率」定，换产品、换客单价就要重算；2.19 与 4.12 只有和上一次评估比才有意义。
边界二：十项不覆盖全部企业要求。 SOC 2、ISO 27001 这类认证不在表内，它们要外部审计与持续记录，不是一个人靠 44 小时能补齐的。
边界三：自评不能替代第三方审计。 这张表的用途是决定「接不接、补什么」，不是向客户证明合规；客户要证书时，只能给审计报告或明确说没有。
边界四：四种不接不是永久规则。 席位从 60 涨到 300、客单价从 18,000 涨到 60,000 时，私有化的账会重算；阈值要跟着单价与复用率一起改。
边界五：本文只讨论单人产品的企业就绪自评。 不讨论法律意见、认证咨询与销售团队的能力建设，也不对任何具体客户是否「就绪」下结论。
这五条边界里，第二条最容易被忽略。企业客户问「你们就绪吗」，往往不是问这十项，而是问「有没有证书」；把「没有证书，但有这十项证据」说清楚，比含糊地答「基本就绪」更能推进采购。
关键参考与核验范围
- NIST SP 800-53 ：用于核对访问控制、审计与事件响应三类控制的表述口径。
- OWASP ASVS ：用于核对应用层安全能力的验证项与分级写法。
- EUR-Lex GDPR ：用于核对 DPA、子处理者与数据主体请求的条款边界。
- FinOps Framework ：用于核对单位成本与时薪的折算口径。
以上链接于 2026-10-26 实测可公开访问；未核验版本、功能范围与政策更新。核验日期：2026-10-26。
范围上只讨论单人产品对十项能力的自评、加权与客户筛选，不讨论认证审计、法律意见、销售组织建设，也不评价任何身份服务商或云厂商。
系列导航
继续阅读
探索更多技术文章
浏览归档，发现更多关于系统设计、工具链和工程实践的内容。