MDM 监管锁供应商怎么选：20 个必问、100 分打分表与三年 TCO（2026）

选 MDM 监管锁供应商，本质是在选什么

选 MDM 监管锁供应商，本质是选三件事：设备纳管能力能不能覆盖你手上的机型、数据与设备资产最终攥在谁手里、退出时能不能自由迁移。价格只是第四位。把这三件事问清楚了，报价单才有比较的意义；问不清，便宜的方案往往在第二年和第三年把省下的钱还回去。

这个结论不是在贬低价格，而是因为租赁这门生意的资产结构决定的：你的设备是重资产，你的订单与用户信息是核心数据，两样东西都要放进别人的系统里托管。一旦托管方在能力上有缺口，或者数据口子不受你控制，损失不是「多花点钱」，而是「设备管不住、数据拿不回」。

一个容易被忽略的区分：「怎么计费」和「部署在哪」是两个独立维度。年订阅、按台数、一次性买断说的是钱怎么付；云端托管还是独立部署说的是数据落在哪。很多采购把这两件事混在一张报价单上比，结果比出来的是一堆不可比的数字。

先分清你在选哪一类供应商

市面上叫「MDM」的东西至少分三类，能力边界完全不同。先定位自己需要哪一类，再谈选谁。

三类的价格放在一起比，是最常见的采购错误。用通用云 MDM 的订阅价去压行业系统的报价，等于用「管员工手机」的工作量去衡量「管几千台在租资产」的工作量——后者要承担的是资产安全、扣款履约与退出闭环。

所以第一件事不是比价，而是先确认：你要买的是「员工设备合规工具」，还是「租赁资产的经营底座」。这两句话背后的验收标准完全不同。

第 1–4 问：设备纳管能力，问到具体动作

这一类问题最容易得到「都可以」的回答。把问题问到具体动作上，含糊的回答就藏不住了。

如果你正准备把苹果与安卓两侧的技术细节也一起对一遍，站内这两篇可以直接当背景材料用：苹果 MDM 监管锁技术原理讲清了 ADE 注册、监督模式与 APNs 指令通道的关系，安卓 MDM 监管锁实操指南讲清了设备所有者激活与荣耀、小米两条厂商通道怎么走。带着这两篇去问供应商，第 1–3 问基本一问一个准。

第 5–8 问：数据与合规，这才是分水岭

前三类问题决定「好不好用」，这一类问题决定「敢不敢长期用」。而且这一类问题不是主观偏好，背后有明确的法律义务。

把上面这些要求摊开说，是因为它们不是「加分项」而是「必备项」：

提醒：上面这些是「你应该问供应商什么」，不是「绘盒满足了什么」。每一条都可以拿去问任意一家，包括我们。反过来，如果一家供应商被问到第 7、8 问时答不上来具体条款，只回一句「我们很安全」，这就是一个明确的信号。

第 9–12 问：商务与交付，别只看第一年价格

2026 年新增的四问：从第 13 问问起

前 12 问是这份清单的骨架，管的是能力、数据、商务三件事。2026 年有三份新规矩落地、一批执法案例公布，采购清单要再加四问。第 13–16 问都不带技术门槛，但问出来的答案，往往决定这套系统第二年还能不能安心用。

这四问可以和前 12 问合并成一张问卷，一起发给候选供应商。四问的共同点只有一句话：责任是你自己的，供应商只是工具。谁能把「怎么配合你履行义务」讲清楚，谁才值得进入下一轮。如果你连「系统放在哪」这个维度还没定下来（云端托管还是独立部署），可以先对照站内 租赁系统独立部署怎么选把部署形态定下来，再回到这份清单问问题。

先看代价：2026 年起，这件事的成本换了量级

2026 年 1 月 1 日起施行的修改后《网络安全法》，把不履行网络安全保护义务的处罚抬到了新的量级：一般网络运营者拒不改正最高 50 万元，造成大量数据泄露等严重后果的最高 200 万元，关键信息基础设施运营者特别严重情形最高 1000 万元。对采购的意义很直接——选错的不只是工具，还有一张可能落在你头上的罚单。

处罚结构以「后果」分档，不看态度。这一点对采购特别重要：它意味着「我们一直很合规」这句话在罚则面前没有位置，能拿出来的只有日志、记录和可验证的动作。

这张表最容易引起的三个误判，正好对应三条采购动作：

• 误判一：以为罚的是供应商。法条里的义务主体是「网络运营者」，也就是你。供应商出问题，罚单落在你头上；你能做的是在合同里把「因乙方原因导致甲方被处罚」的赔偿责任写清楚，并要求对方配合举证。
• 误判二：以为只有关键信息基础设施才会被重罚。四档结构里，第一、二档针对的就是普通网络运营者；「大量数据泄露」这一档也不以 CII 为前提。租赁企业手里的身份证、人脸、银行卡，恰好是最容易被认定为「大量」的那一类。
• 误判三：以为只有「泄露」才叫事件。丢失、篡改、被非法获取、业务中断都可能是事件。修改后的法律给了从轻、减轻处罚的空间——主动消除危害后果、轻微违法并及时改正且未造成危害后果的，可以依法从轻或免予处罚。但「及时」两个字，取决于你有没有监测能力和日志。

一句话记住这一节：罚则改的是量级，不是对象。处罚对象仍然是你，所以「供应商能不能让我在 4 小时内说清发生了什么」这个问题，价值比以前高得多。

第 17 问：出了事，供应商几小时内必须告诉你

《国家网络安全事件报告管理办法》（2025 年 11 月 1 日施行）把「什么时候报告」变成了一道有明确小时数的算术题：一般网络运营者最迟 4 小时、中央和国家机关各部门及直属单位 2 小时、涉及关键信息基础设施 1 小时。而你能在这几个小时里写出什么，取决于供应商多快把日志和事实交到你手上。

更要紧的是它第五条——这一条把「要求服务商报告」写成了法定义务，而不是采购偏好：

网络运营者应当以合同等形式要求为其提供网络安全、系统运维等服务的组织或个人，及时向其报告监测发现的网络安全事件，并协助其按照本办法规定报告网络安全事件。

换句话说：合同里没有这条，本身就是一项义务缺口。而且它写的是「监测发现」——供应商自己监测到的事件，也要主动告诉你，不能等你来问。

把这条落到合同上，只需要三句话。建议逐字写进去，不要用「及时通知」这种没有小时数的表述：

签约前还可以要两样东西，都不难拿到，但很能说明问题：

• 事件响应流程的实际文本，不看宣传页。要看里面有没有：谁负责研判、多久出第一份时间线、升级到谁、甲方怎么被通知。
• 最近一次演练的记录，看时间、场景、参与方、改进项。只有制度没有演练的，通常第一次真出事就是演练。
• 日志的保留周期与可导出性。你要在 4 小时内说清「谁在什么时候做了什么」，靠的不是记忆，是日志。日志只留 7 天、或者只能截图不能导出，等于没有。

第 18 问：身份证、人脸、银行卡，系统到底怎么存

租赁业务天然在处理敏感个人信息：身份证号与证件影像是「特定身份」，人脸活体是「生物识别」，银行卡与代扣签约信息是「金融账户」，设备定位是「行踪轨迹」。GB/T 45574-2025《数据安全技术 敏感个人信息处理安全要求》从 2025 年 11 月 1 日起实施，给了这类处理一套可以逐条对照的尺子。

法条基础先摆清：个人信息保护法第二十八条把敏感个人信息定义为「一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息」，列举了生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等类别，以及不满十四周岁未成年人的个人信息；第二十九条要求处理时具有特定目的和充分必要性、采取严格保护措施，并取得单独同意。

把上面这些翻译成采购动作，最有效的方式是当场实测五个动作。标准写得再细，不如让对方现场点给你看：

三个常见错误，几乎每家采购都会遇到其中一个：

• 把「同意」做成一个总勾选框。敏感个人信息要的是单独同意，不是「我已阅读并同意《用户协议》与《隐私政策》」。系统里有没有独立的同意入口，是能一眼看出来的。
• 只做了传输加密，没做存储加密。HTTPS 只保护「路上」，数据库里如果还是明文，一次备份泄露就等于全部泄露。
• 把「脱敏」做成了前端遮挡。页面上打码了，但接口返回的是明文——打开浏览器开发者工具就能看到。测试方法很简单：让对方导出、抓包，或者直接看接口返回。

关于这份标准的性质要说清楚：GB/T 是推荐性国家标准，不是强制性规定。但它是个保法第二十八、二十九、五十五条的「操作化版本」，监管检查、合规审计、以及出事之后的举证，都会拿它当尺子。另外，标准提出处理 10 万人以上敏感个人信息的处理者应指定个人信息保护负责人、并每月审计处理日志与用户权限——对万级、十万级客户的租赁企业来说，这不是遥远的门槛。监管锁场景下的完整边界，可以对照站内 MDM 监管锁合规使用指南一起看。

第 19 问：AI 功能会不会拿我的客户数据去训练

2026 年供应商普遍开始往系统里加 AI：智能客服、审单评分、催收话术、经营分析助手。这类功能带来的新问题只有两个——数据往哪儿去，以及机器做出的决定能不能被复核。这两件事都可以问出明确答案，也都能写进合同。

依据有三条。《生成式人工智能服务管理暂行办法》第七条要求使用具有合法来源的数据和基础模型，训练数据涉及个人信息的应当取得个人同意或符合法律、行政法规规定的其他情形；第十一条要求不得收集非必要个人信息、不得非法留存能够识别使用者身份的输入信息和使用记录、不得非法向他人提供；个人信息保护法第二十四条要求自动化决策保证透明度和结果公平公正，对个人权益有重大影响的决定，个人有权要求说明，并有权拒绝仅通过自动化决策的方式作出。

三个开关值得在 POC 阶段逐个确认：训练开关（数据是否用于模型改进）、外发开关（推理是否出网、是否经第三方）、留痕开关（AI 动作是否记录、能否导出）。三个都能关、都能查，AI 才是加分项；关不掉又查不到，它就是一项新的合规敞口。

第 20 问：供应商明天不干了，你的系统还能不能跑

采购时最容易被跳过的一问是「最坏情况」：供应商停业、被收购、产品线裁撤、厂商授权到期。这四种事在行业里都发生过，共同后果是——你的设备还在租，系统却没人维护了。设备是重资产，系统停摆一天，损失是按「在租台数 × 日租金」算的，不是按「订阅费」算的。

对应的四条合同机制，按重要性排序：

这三个动作可以在 POC 阶段就做完，不需要等到签约：导一次全量数据看条数与完整性、在一个空环境里冷启动恢复一次、把外网断开看核心功能还能不能用。三个都过，这家供应商才谈得上「可替换」。

把 20 个问题变成一张 100 分表

20 个问题问完，最怕的是「每家都说自己行」。解决办法是打分：把问题变成权重，把回答变成档位，让三家候选放在同一把尺子上。下面这张表可以直接抄进采购表，权重可以按你的业务调整，但顺序不要调——数据与合规的权重必须高于价格。

每一个小项按四档打分：0 分＝没回答或明确做不到；1 分＝口头承诺，无文件；2 分＝有文件或界面可看；3 分＝可实测、可导出、可复核。乘以该项权重后加总，得到总分。

再加四条一票否决，命中任意一条，不论总分多少都直接出局：

• 拒绝真机 POC，只肯给演示账号。
• 拒绝把数据位置、全量导出、退出条款写进合同。
• 拿不出可核验的厂商授权，或授权范围与所售能力对不上。
• 声称能「确保通过」平台审核、或对经营结果作出承诺。

用法建议：三家候选同时打分，总分差距超过 15 分时，就不用再纠结价格了——这个差距通常意味着一项能力缺口，而缺口在第二年会以人力或事故的形式还回来。差距在 5 分以内的，才值得回到报价单上谈。

三年 TCO：把「不续费的代价」也算进去

比价最常見的错误是只比第一年的系统费。三年总拥有成本（TCO）至少要算五类钱：许可与订阅、实施与对接、运行人力、退出与迁移、隐性加价。很多方案第一年最便宜，第三年最贵，差额往往出在后两类。

给一个相对口径的示例（只表达结构，不代表任何具体报价）：A 方案首年费用为 1.0，三年合计约 2.6；B 方案首年 0.7，但第二年按标准价续费、导出与迁移另计，三年合计约 3.4。差距不在第一年，在第三年。这个测算属于客户侧口径，按自己业务的实际台数、人力成本与停机损失填数才有意义，我们不把它当效果承诺。

谈判时有三句话很好用：「第二年续费多少钱，写进合同」「导出含不含配置和日志」「如果我们明年换系统，你们提供多少人天的协助」。三句话问完，报价单才算完整。

八个红旗信号：出现两个以上，建议直接换一家

下面这八条，是采购环节里最值得警惕的模式。它们单独出现都还能解释，但出现两条以上，通常意味着后面会有更大的问题。

• 只肯给你看演示账号，不肯让你拿真机做 POC。演示环境里的成功不代表你的机型、你的网络环境下能跑通。拒绝真机验证的供应商，大概率知道自己的边界在哪。
• 拒绝把数据位置、导出口径、退出条款写进合同。愿意口头承诺、不愿意落纸的条款，就是将来会反悔的条款。特别是「数据可随时全量导出」这一条。
• 报价单上只有系统费，实施期却临时追加「对接费」「开通费」「导出费」。问清所有一次性费用与年度费用，并要求列全。
• 声称能「确保通过」平台审核，或承诺结果。平台的审核结论由平台作出，任何机构都无法代平台下结论。说能确保通过，是在替你承担一个它承担不了的风险。
• 把「读取通信内容」这类超出必要范围的能力当卖点。行业里确实有厂商开放过通信内容类能力，但能力清单不等于该开清单——租赁场景一律不应开启。把这类能力当卖点推销的，恰好说明它没有合规边界意识。
• 拿不出可核查的厂商授权，或授权范围说不清。「通用授权覆盖全品牌」这类说法经不起核对。授权有范围也有期限，要对着文件看。
• 合同里没有事件通知的小时数，只肯写「及时通知」。《国家网络安全事件报告管理办法》第五条已经把「以合同等形式要求服务商报告」写成法定义务，连小时数都不肯写的，等于把 4 小时的窗口全留给你自己扛。
• 把 AI 当卖点，却说不清客户数据会不会进训练。「我们用了大模型」不是能力描述。说不清数据流向、没有训练排除条款、没有关闭开关的，是把一项新技术风险转给了你。

POC 怎么验收：三组动作，缺一组不算通过

POC（概念验证）不是「试用几天看看顺不顺手」，而是一次有明确通过标准的实机验证。建议按三组动作来跑，每组都要留下可复核的记录。

另外两件在 POC 阶段就该做的事：

• 让供应商在你自己的环境里演示一次全量数据导出，并当场核对导出条数与系统内条数是否一致
• 把权限矩阵走一遍：用一个「普通客服」账号登录，看它能看到什么、不能看到什么；再确认供应商侧账号能看到的范围

2026 版尽调增补：四个动作，半天能做完

除了 POC 那三组动作，2026 年还有四件事值得在签约前做完。它们都不需要额外花钱，但能把「口头承诺」变成「可核对的东西」。

这四步做完，你会得到一份很具体的东西：能扫码的标识、能翻的台账、能列的清单、能查的记录。到这一步再谈价格，谈判桌上的位置就不一样了。

合同里必须写清的十二条

POC 通过之后的谈判，重点不在价格，在这些条款。前八条是基础条款，后四条是 2026 年新增的——它们分别对应新罚则、事件报告义务、敏感个人信息标准和 AI 数据流向，缺一条就少一道挡箭牌。

这十二条里，第 2、4、5 条是最容易被「简化」掉的，第 9—12 条是最容易被「我们合同是标准模板，改不了」挡回来的。标准模板改不了，往往说明这家供应商没打算为你的场景做交付。谈合同时可以拿这张表当清单，逐条问「这一条写在哪儿」。

三起 2026 年执法案例：受托方出事，委托方一样要担

采购时最有力的论据不是条款，是案例。2026 年公布的执法案例里，有三起直接打在「供应商 / 受托方」这个位置上，而且都不是「被黑客攻破」——是自己人留下的口子。

三起案例的条款依据，指向的是同一件事：

• 受托方出事，委托方一样要担。《数据安全法》第四十条写明：委托他人建设、维护电子政务系统，应当监督受托方履行数据安全保护义务，受托方不得擅自留存、使用、泄露或者向他人提供数据；《个人信息保护法》第二十一条同样要求处理者对受托人的处理活动进行监督。也就是说，「外包出去」不等于「责任出去」。
• 「远程访问」与「数据外带」是可控项，不是运气。权限最小化、逐次留痕、禁止未经同意的远程工具与第三方平台转存——这三件事都能写进合同，并且能在 POC 阶段实测。
• 默认设置要主动关。遥测回传、诊断上传、云端日志这类默认开启的能力，采购时逐个问、逐个关；关不掉的要有合理解释，并写进数据处理清单。

如果供应商在回答这三条时给不出具体机制，只回一句「我们很规范」，那它已经回答了你真正想问的问题。

2026 年采购相关法规时间表

下面这张表建议留着——谈合同时逐条对照，比记住一堆名词有用。

这张表里真正会咬人的是三处：事件报告的小时数、罚则的量级、敏感信息的单独同意。前两处决定「出事之后多贵」，第三处决定「日常怎么采数据」。它们都跟供应商有关，但责任都在你自己这边——所以更要问清楚谁能帮你省力。

回到商家侧：监管锁的四条合规边界

选供应商是「买什么」，用系统的边界是「怎么用」。无论选谁，商家侧这四条是底线，也应该成为你验收系统时的检查点。

这四条不是给自己找麻烦。中消协在 2026 年 3 月的表态说得很清楚：被质疑的是监管锁的滥用与权限过度，不是设备管理技术本身。把边界守住，技术才站得住。

绘盒在这条链路上做什么

说清我们的位置：绘盒金盾 MDM（厦门绘盒网络科技）做的是第三类——面向数码租赁行业的设备管理与经营系统，共 9 条产品线：金盾 MDM、荣耀 MDM、小米 MDM（小米官方授权）、风控、支付宝代扣、抖音融合交易、账单分析、CRM、海外租赁。安卓侧之所以分成荣耀、小米两条，是因为它们走的是各自厂商的官方通道，能力与授权范围不同，不能合成一条讲。

我们主推独立部署（也就是常说的私有化部署），9 条产品线全部支持。核心主张只有一句：数据与设备资产都攥在客户自己手里——数据不出客户服务器、源码授权交付、数据随时可导出、退出自由。上面那四组问题里的第 5、6、10、11 问，本质上就是在问这件事；第 17、20 两问（事件通知与停服应急）则是独立部署最能给出确定答案的地方。

截至 2026 年 10 月，我们已服务 500+ 家租赁企业，系统稳定运行 1800 天，日均处理订单 5 万笔，客户满意度 98%。这些数字是我们自己的运行口径；至于某个方案省不省钱，那是客户侧按自己业务测算的结论，我们不把它当效果承诺。

选型怎么比，可以直接找我们。你把机型清单、当前规模、现在的做法和目标渠道说给我们，我们免费帮你把上面这 20 个问题对着你的实际情况过一遍——包括哪些是你现在真的需要、哪些可以以后再上，以及那张 100 分表怎么按你的业务调权重。我们自己也在被这些问题问，所以更清楚哪几条最容易被含糊过去。

唯一要说清楚的：选型结论由你的业务和预算决定，我们不承诺任何审核或经营结果。任何声称能确保结果的说法，都值得你先打个问号。

常见问题