测评发现高危漏洞或不符合项后，应如何整改，复测仍未通过怎么办？

测评发现的问题一般分为高风险、中风险和低风险等项目，应根据风险程度制定整改计划，明确责任人、完成时限、整改措施和验证证据。

常见原因包括只修改配置文件却没有验证效果、只采购安全产品却没有调整管理流程、整改记录缺少截图或日志、问题关闭标准不明确。

建议按照“先核查影响、再落实措施、随后复测验证、最后归档闭环”的方式处理。高风险问题应优先处置，不能仅以“计划上线后整改”作为长期理由。

案例：某商户发现某管理后台存在弱口令问题 Initially仅安排人员修改密码，复测时发现部分账号仍使用统一初始密码，并且没有启用登录失败锁定策略。

测评机构要求该商户清理无效账号、修改全部默认口令、启用多因素认证或加强身份鉴别，并连续提交多天的登录审计记录，复测后才允许关闭问题。

以后应在系统上线、账号分配、密码策略变更和运维交接环节设置强制检查项，同时利用配置核查工具定期扫描，避免同类问题反复出现。