06 安全合规与测评认证体系

本文回答：等保 2.0、密评、安全可靠测评、信创适配认证四套体系各管什么、依据什么、如何配合；安全可靠测评历次公告有哪些内容；网上流传的等级说法与「准入目录」说法错在哪；项目各阶段应准备哪些材料。

前置依赖：02 政策脉络。后续：07 工程迁移、09 风险挑战

本文大量引用一手公告原文（证据等级 A），是全站事实核验密度最高的一章。

1. 四套体系总览：一张对照表

这是本章最重要的一张表。实践中大量的合规返工，源于把四套体系混为一谈。

法定衔接条款：《密码法》第 27 条与《商用密码管理条例》第 42 条均要求，密评应与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。「衔接、避免重复」这六个字指明的是「统筹安排、材料复用」，不等于两项可以合并为一项〔B，等保测评行业解读，与法规条文一致〕。

2. 等保 2.0

2.1 制度框架

• 按系统遭到破坏后的危害程度分五级，从低到高逐级加严。
• 流程五环节：定级 → 备案 → 建设整改 → 等级测评 → 监督检查；三级系统每年测评一次。
• 核心标准：GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（等保 2.0 技术标准）；另有云计算、移动互联、物联网、工业控制等安全扩展要求。
• 覆盖层面：物理环境、通信网络、区域边界、计算环境、安全管理中心等；等保中有大量控制点与密码无关。

2.2 与信创改造的关系

信创迁移是安全基线重建的窗口期，应同步完成：新服务器按等保基线加固、SSH 改密钥登录、数据库审计开启、OS 补丁纳入统一管理、迁移工具产生的中间数据用毕即毁、上线后做一轮漏扫确认基线〔C，迁移实施案例〕。

风险提示：迁移过程导出的数据副本是最容易被遗忘的泄露面；若系统属关基，还需同步满足三同步、采购、运行、内控等义务（见 02 §4.3）。

3. 密评与国密

3.1 三阶段 + 年度评估

依《商用密码应用安全性评估管理办法》（国家密码管理局令第 3 号，2023-11-01 施行）与《关键信息基础设施商用密码使用管理规定》（国家密码管理局、网信办、公安部令第 5 号，2025 年）〔A，gov.cn 全文〕：

其他要点：密码产品/服务应经检测认证合格；密码算法、协议、密钥管理机制应通过国家密码管理部门审查鉴定；采购涉及商密且影响或可能影响国家安全的网络产品服务，应按《网络安全审查办法》进行审查；应对密码专业人员做安全背景审查；经费纳入网络安全和信息化经费安排。

3.2 国密算法与主要标准编号

标准编号以国家标准全文公开系统、国家密码管理局公告为准；上表部分标准已有 2024—2026 修订版（如 GB/T 35275-2026、GB/T 47471-2026），引用前须核对现行版本。

3.3 密评与等保的协同

两者定位不同（一个看整体防护、一个看密码层落地质量），法律要求「衔接、避免重复」。实操上可统筹评估对象划分、材料准备、现场实施，但不能互相替代：等保检查机房防火、边界访问控制等与密码无关的内容；密评不检查这些内容，而聚焦算法合规性、密钥管理、密码产品与服务的正确有效使用。

4. 安全可靠测评（重点 + 误传辨析）

4.1 制度要素〔A/B，官网与公告〕

4.2 历次公告索引与关键内容

完整的 2026 年第 2 号产品清单见 04 §3 与 05 §2.2。

4.3 三处必须纠正的误传

误传一：「2026 年 1 月 16 日中国信息安全测评中心正式发布信创核心准入目录（第 1 号公告），覆盖桌面 OS、服务器 OS、CPU 和数据库」

判定：不成立。核对官网原文，《安全可靠测评结果公告（2026 年第 1 号）》仅含 5 款操作系统，无 CPU、无数据库。CPU 结果分布在 2025 年第 1/3 号等批次，数据库结果分布在 2025 年第 2 号（2025-08-22，集中式 3 款）、2026 年第 2 号（2026-05-26，集中式 8 款 + 分布式 15 款）等批次。更重要的是，指南明确测评为自愿申请、结果自主选择使用，不存在「核心准入目录」这一法定概念。把测评公告称作「政企采购硬门槛」「准入目录」，混淆了「招标方引用测评结果作为技术要求」与「法律设定准入许可」两件事。

误传二：「Ⅰ 级是最高安全可靠等级」

判定：不成立。可核查的一手证据：2026 年第 1 号公告中 HarmonyOS V1.0 为 Ⅱ 级，同期经济观察网等报道明确称其为「首个通过 Ⅱ 级评测认证的国产桌面 OS」「Ⅱ 级认证高于 Ⅰ 级」；另有行业汇总称 2023 年以来「17 款 CPU 入围 Ⅱ 级」并被描述为「当前最高安全等级」。因此 Ⅱ 级高于 Ⅰ 级。重庆日报转载稿中「全部评定为最高安全可靠等级（Ⅰ 级）」属于表述错误。

误传三：「Ⅰ 级 ≈ 等保二级/部分三级，Ⅱ 级 ≈ 等保三级及以上（含四级）」

判定：官方未公开此类对应关系，系自媒体为便于理解所作的类比。两套体系评价对象不同（产品+厂商 vs 系统整体）、依据不同（指南 V3.0 vs GB/T 22239-2019）、实施机构不同，不存在可引用的折算规则。行业文章对 Ⅰ/Ⅱ 级在「安全能力、供应链自主、厂商能力、评审严格度」上的差异描述〔C〕，可作为理解方向的参考，但不得写入招标文件作为等级依据。

补充辨析：官方公告仅列出等级，未公开 I/II 级完整技术评判条文。任何「Ⅱ 级必须具备 XX 具体技术指标」的细节描述，若无指南原文或测评机构正式解读支撑，均应标注为「行业推测」。

4.4 三年有效期的实操含义

• 证书到期、产品迭代、版本升级、供应链变化都可能导致认证结论失效，需重新送测。
• 行业观察已发现部分早期过测产品在后续批次中缺席〔C〕，原因可能包括未同步更新认证、技术停滞或供应链变化。
• 对甲方的风险控制：合同中约定「厂商应保证所供产品型号在整个项目周期内持续符合公告要求；若公告失效或有替代版本，应免费完成重测与适配」。否则三年后可能面临二次选型与数据迁移。

5. 适配认证体系：三类证书的区别

目前信创领域没有统一的国家标准（GB）用于「信创产品认证」，主要依据团体标准、地方标准、机构规范与厂商互认规范〔B/C，多家检测机构与行业解读一致〕。因此「证书名称」不重要，测试覆盖了哪些国产环境组合、由谁出具、依据什么标准才重要。

标准办理路径（2026 年行业通行做法）〔C〕：

产品自查（资质/软著/文档）
  → 选定 1—2 套目标组合（如 鲲鹏+麒麟 / 海光+统信）
  → 委托 CNAS/CMA 机构在国产环境做适配测试，出《信创产品测试报告》
  → 提交测试报告 + 软著 + 供应链安全声明 + 营业执照等
  → 专家非现场评审（知识产权自主率、供应链、股权结构）
  → 颁发《信创产品评估证书》
周期约 3—8 周（测试 2—3 周 + 评审发证约 2 周）〔C，机构口径，非官方承诺〕

材料清单：企业资质类（营业执照、法人身份证明、授权委托书）、产品技术类（软著/专利、技术白皮书、架构图、部署与用户手册、安全自评报告）、适配证明类（适配环境清单需明确 CPU/OS/DB/中间件具体版本、自测报告、第三方测试报告）。

四套体系的选用速查：

6. 采购需求标准与「门槛效应」

财政部、工信部针对「三类九款」整机与基础软件产品制定政府采购配置要求；例如中央国家机关台式计算机批量集中采购配置标准要求 CPU、OS 等关键部件符合安全可靠测评要求〔B/C，行业转述，以最新采购文件为准〕。

制度逻辑要讲清楚：

安全可靠测评（自愿、产品级）
        ↓ 被采购需求标准 / 招标文件引用
具体项目中的技术门槛（对该项目有约束力）
        ↓ 叠加
34 号文本国产品声明函 + 等保/密评 + 适配报告
        ↓
完整投标合规包

「测评在某一项目中构成硬门槛」与「测评是法定准入制度」是两个不同命题。前者成立，后者不成立。这一区分在投诉处理、质疑答复与合规审查中非常关键。

7. 项目全周期合规清单

阶段口径：本表是 07 §3 S0—S5 唯一主表下的合规材料清单（立项→需求编制→投标→设计→建设→上线前→试运行→验收→运行），各动作按 S 阶段归位，不另立迁移阶段命名。

8. 本章小结

• 等保（系统整体）、密评（密码应用）、安全可靠测评（产品+厂商）、适配认证（组合兼容性）是四套并列、互不替代的体系；法律只要求等保与密评「衔接、避免重复」。
• 关基密评是「规划方案评估 → 运行前评估 → 每年至少一次」的三阶段刚性要求，未通过不得投入运行；结论为三档：整体量化评估 S=100 分为「符合」，低于 100 分但不低于现行阈值且风险评估无高风险为「基本符合」（需整改优化），否则为「不符合」（全面整改后重评）。验收条款不能只写「符合/不符合」两档，否则「基本符合」项目的整改与复评责任无从落地。
• 安全可靠测评依 V3.0 覆盖 CPU、AI 训推芯片、OS、数据库、打印机主控芯片；自愿申请、Ⅰ/Ⅱ 级、有效期 3 年、每年两次受理、原则上 90 个工作日。
• 三处高频误传必须纠正：2026 年第 1 号不是「核心准入目录」且只含操作系统；Ⅱ 级高于 Ⅰ 级；官方未公开「Ⅰ/Ⅱ 级≈等保级别」的对应关系。
• 信创适配认证无统一国标，判断标准应是「测试覆盖组合 + 出具机构资质 + 依据标准」，而非证书名称。
• 合规包 = 声明函 + 测评公告（型号/等级/有效期）+ 适配测试报告 + 等保/密评结论 + 验收材料，缺一都可能影响质疑答复与验收。