项目功能验收通过，客户的信息安全部门发来一份四十七页的评估问卷。填完、补材料、现场访谈、渗透测试，两个月过去，原定的上线日期推了三次，业务部门开始质疑项目进度，而这段时间里我们能做的其实很有限。
47 页评估问卷的篇幅
2 个月审查耗掉的时间
5 项提前准备的材料
1. 为什么总是临时才遇到
销售阶段谈的是功能与价格，安全条款常被放在合同附件的末尾，双方都当成模板文字扫过去。等到系统要接入客户内网、要碰真实数据，审查才会启动，而那时排期已经排满，任何等待都变成延期。
2. 提前问清五件事
一是是否需要内网部署或专线接入；二是数据存储位置与加密要求；三是账号与权限的管理方式；四是否要求提供第三方测评报告；五是审查的流程与通常耗时。五件事在签约前问清，排期就有了依据，报价也能算进去。
3. 材料一次备齐
常见清单包括：系统架构图、数据流图、权限矩阵、日志与审计说明、漏洞修复记录、备份与恢复方案。这些材料做一次，后面每个客户都能复用，只是按需裁剪。临时凑的材料，往往在细节上站不住。
4. 把审查写进项目计划
在甘特图里单独列一个节点，给足时间，并标注客户侧的责任人。审查不是我们能单方面加速的环节，但可以提前启动、并行推进。把不可控的环节标出来，比事后解释为什么延期要专业得多。
结语
上线日期不是被开发拖掉的，多半是被那些没被排进计划的环节拖掉的。