# 06 安全合规与测评认证体系

> 本文回答：等保 2.0、密评、安全可靠测评、信创适配认证四套体系各管什么、依据什么、如何配合；安全可靠测评历次公告有哪些内容；网上流传的等级说法与「准入目录」说法错在哪；项目各阶段应准备哪些材料。
>
> 前置依赖：[02 政策脉络](./02-政策脉络与法规体系.md)。后续：[07 工程迁移](./07-行业落地与工程迁移方法论.md)、[09 风险挑战](./09-风险挑战与批判性视角.md)
>
> 本文大量引用**一手公告原文**（证据等级 A），是全站事实核验密度最高的一章。

---

## 1. 四套体系总览：一张对照表

这是本章最重要的一张表。实践中大量的合规返工，源于把四套体系混为一谈。

| 维度 | 网络安全等级保护（等保 2.0） | 商用密码应用安全性评估（密评） | 安全可靠测评 | 信创适配认证 / 兼容互认 |
|---|---|---|---|---|
| **评价对象** | 信息系统整体 | 系统的密码应用 | **产品 + 研发单位** | 产品在指定国产环境组合下的兼容性 |
| **回答的问题** | 系统整体防护够不够 | 密码用得对不对、有没有效 | 产品及厂商全生命周期是否安全可靠、可持续 | 能不能装、能不能跑、好不好用 |
| **主要依据** | 《网络安全法》、GB/T 22239-2019、GB/T 28448 等 | 《密码法》第 27 条、《商用密码管理条例》第 42 条、局令第 3 号、局令第 5 号、GB/T 39786-2021 | 《安全可靠测评工作指南 V3.0》 | GB/T 25000.51-2016、团体标准/地方标准、厂商互认规范 |
| **实施主体** | 具备资质的等保测评机构 | 商用密码检测机构或运营者自行 | 中国信息安全测评中心 + 国家保密科技测评中心 | 适配中心、CMA/CNAS 第三方检测机构、信创工委会/专委会、厂商 |
| **分级 / 结论** | 五级（一级至五级）；三级系统每年测评一次 | **三档：符合 / 基本符合 / 不符合**〔《商用密码应用安全性评估量化评估规则》，按 GB/T 39786 分级别要求〕 | **Ⅰ 级 / Ⅱ 级**，有效期 **3 年** | 测试报告、适配证书、互认证书、产品评估证书（名称不统一） |
| **强制性来源** | 法律义务 | 关基等法定要求 | **指南明确「自愿平等、客观公正」，企业自愿申请，结果由企业和用户自主选择使用** | 由招标文件、客户要求产生 |
| **常见误解** | 「做了等保就不用密评」 | 「密评是等保的子集」 | 「测评 = 法定准入目录」 | 「互认证书可替代第三方适配报告」 |

**法定衔接条款**：《密码法》第 27 条与《商用密码管理条例》第 42 条均要求，密评应与关键信息基础设施安全检测评估、网络安全等级测评制度**相衔接，避免重复评估、测评**。「衔接、避免重复」这六个字指明的是「统筹安排、材料复用」，**不等于两项可以合并为一项**〔B，等保测评行业解读，与法规条文一致〕。

---

## 2. 等保 2.0

### 2.1 制度框架

- 按系统遭到破坏后的危害程度分**五级**，从低到高逐级加严。
- 流程五环节：**定级 → 备案 → 建设整改 → 等级测评 → 监督检查**；三级系统每年测评一次。
- 核心标准：**GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》**（等保 2.0 技术标准）；另有云计算、移动互联、物联网、工业控制等**安全扩展要求**。
- 覆盖层面：物理环境、通信网络、区域边界、计算环境、安全管理中心等；等保中有大量控制点与密码无关。

### 2.2 与信创改造的关系

信创迁移是**安全基线重建的窗口期**，应同步完成：新服务器按等保基线加固、SSH 改密钥登录、数据库审计开启、OS 补丁纳入统一管理、迁移工具产生的中间数据用毕即毁、上线后做一轮漏扫确认基线〔C，迁移实施案例〕。

**风险提示**：迁移过程导出的数据副本是最容易被遗忘的泄露面；若系统属关基，还需同步满足三同步、采购、运行、内控等义务（见 [02](./02-政策脉络与法规体系.md) §4.3）。

---

## 3. 密评与国密

### 3.1 三阶段 + 年度评估

依《商用密码应用安全性评估管理办法》（国家密码管理局令第 3 号，2023-11-01 施行）与《关键信息基础设施商用密码使用管理规定》（国家密码管理局、网信办、公安部令第 5 号，2025 年）〔A，gov.cn 全文〕：

| 阶段 | 要求 |
|---|---|
| **规划** | 制定商用密码应用方案、规划密码保障系统并纳入关基安全规划；**方案须经密评**，未通过不得作为建设依据 |
| **建设 / 运行前** | 按通过评估的方案实施；方案调整须重新评估；**运行前须开展密评，未通过不得投入运行**（改造期间不得运行） |
| **运行后** | **每年至少一次**密评；未通过应改造并在改造期采取必要措施保证运行安全 |
| **报告** | 运营者每年 1 月 31 日前向保护工作部门报告上年度商密使用与密评开展情况；保护工作部门每年 3 月 31 日前向国家密码管理局、网信办、公安部报告 |

其他要点：密码产品/服务应经检测认证合格；密码算法、协议、密钥管理机制应通过国家密码管理部门审查鉴定；采购涉及商密且影响或可能影响国家安全的网络产品服务，应按《网络安全审查办法》进行审查；应对密码专业人员做安全背景审查；经费纳入网络安全和信息化经费安排。

### 3.2 国密算法与主要标准编号

| 算法 / 用途 | 标准编号 | 说明 |
|---|---|---|
| SM2 椭圆曲线公钥密码算法 | GB/T 32918.1~5（2016/2017）、**GB/T 35275-2026《网络安全技术 SM2 密码算法加密签名消息格式》**（2026-04-30 发布、**2026-11-01 实施**，全部代替 GB/T 35275-2017「…消息语法规范」）、GB/T 35276（使用规范） | 数字签名、密钥交换、公钥加密；替代 RSA/ECDSA 场景 |
| SM3 密码杂凑算法 | GB/T 32905-2016 | 替代 SHA-256 类场景 |
| SM4 分组密码算法 | GB/T 32907-2016 | 替代 AES 类场景 |
| SM9 标识密码算法 | GB/T 38635.1/.2-2020、GB/T 41389-2022、GM/T 0044 系列；GB/T 47471-2026（加密签名消息格式） | 标识密码，无需证书体系 |
| 信息系统密码应用基本要求 | **GB/T 39786-2021**；GM/T 0054-2018 | 密评核心依据 |
| 密码模块安全要求 | GB/T 37092-2018；GB/T 38625-2020（检测要求） | 三级系统所用密码产品常要求达到二级及以上 |
| 传输层密码协议 TLCP | GB/T 38636-2020 | 国密 TLS |
| IPSec VPN / SSL VPN 规范 | GB/T 36968-2018；GM/T 0023-2014、GM/T 0025-2014 | 网关产品 |
| 密码设备应用接口 | GB/T 36322-2018；GM/T 0017-2012（智能密码钥匙）、GM/T 0030-2014（服务器密码机） | 接口对接 |
| 等级保护基本要求 | **GB/T 22239-2019** | 与密评衔接 |
| 关基安全保护要求 | GB/T 39204-2022 | 关基配套 |
| 软件质量与测试 | GB/T 25000.51-2016 | 适配测试常用依据 |

> 标准编号以国家标准全文公开系统、国家密码管理局公告为准；上表部分标准已有 2024—2026 修订版（如 GB/T 35275-2026、GB/T 47471-2026），引用前须核对现行版本。

### 3.3 密评与等保的协同

两者定位不同（一个看整体防护、一个看密码层落地质量），法律要求「衔接、避免重复」。实操上可统筹评估对象划分、材料准备、现场实施，但**不能互相替代**：等保检查机房防火、边界访问控制等与密码无关的内容；密评不检查这些内容，而聚焦算法合规性、密钥管理、密码产品与服务的正确有效使用。

---

## 4. 安全可靠测评（重点 + 误传辨析）

### 4.1 制度要素〔A/B，官网与公告〕

| 要素 | 内容 |
|---|---|
| 实施机构 | 中国信息安全测评中心、国家保密科技测评中心（联合发布公告） |
| 指南沿革 | 《安全可靠测评工作指南（试行）》2023-07 → **V3.0** 2025-07 |
| 测评对象（V3.0） | 计算机终端和服务器搭载的 **CPU**、**人工智能训练推理芯片**、**操作系统**、**数据库**，以及**激光或喷墨打印机搭载的主控芯片** |
| 评价内容 | 产品及其研发单位的**核心技术、安全保障、持续发展**；研发设计、生产制造、供应保障、售后维护全生命周期 |
| 原则 | **自愿平等、客观公正**；企业自愿申请检测，**测评结果由企业和用户自主选择使用** |
| 流程 | 材料提交 → 材料审核 → 受理评审；实施含材料核验、人员访谈、代码审查、环境审查、现场测试、现场考核、样品测试；原则上 **90 个工作日**内完成 |
| 受理频次 | 每年两次：1 月—2 月、7 月—8 月 |
| 有效期 | 自发布之日起 **3 年** |
| 等级 | Ⅰ 级 / Ⅱ 级（**Ⅱ 级高于 Ⅰ 级**，见 §4.3） |

### 4.2 历次公告索引与关键内容

| 公告 | 日期 | 涵盖品类 | 关键内容（摘录） |
|---|---|---|---|
| 2023 年第 1 号 | 2023-12 | CPU、桌面/服务器 OS、集中式数据库 | 首批结果；CPU 含鲲鹏 920、飞腾腾锐 D2000、龙芯 3A5000/3B5000、海光 C86-3G、兆芯 ZX-E、申威 1621 等〔B，行业汇总〕 |
| 2024 年第 1 号 | 2024-05 | CPU、OS | 新增多款 Ⅱ 级 CPU〔B〕 |
| 2024 年第 2 号 | 2024-09 | CPU、OS | 兆芯 KX-7000 等〔B〕 |
| **2025 年第 1 号** | **2025-03-14** | CPU、OS | 依据《指南（试行）》；CPU Ⅱ 级：飞腾腾云 S5000C-E、龙芯 3B6000、龙芯 3C6000、申威威鑫 H8000、麒麟 X90；Ⅰ 级：申威 WY831(GC)、兆芯 KX-U6980S、KX-6940S。OS：银河麒麟桌面 V10 SP1（5.10）Ⅰ 级、天翼云 CTyunOS V2.0（4.19）Ⅰ 级〔A〕 |
| **2025 年第 2 号** | **2025-08-22** | **数据库（集中式）** | **数据库（集中式）3 款，均 Ⅰ 级**：大云海山数据库（He3DB for PostgreSQL V2.0，中移（苏州）软件技术有限公司）、神通数据库管理系统 V8.0（天津神舟通用数据技术有限公司）、崖山数据库管理系统 V23（深圳计算科学研究院）〔A，itsec.gov.cn 2025-08-22 公告〕；本批**无新增芯片**但品类不为空，早期行业汇总漏记数据库属转述错误 |
| **2025 年第 3 号** | **2025-09-12** | CPU、OS | 依据 **V3.0**；CPU Ⅱ 级：龙芯 3B6000M、海思麒麟 9000X；Ⅰ 级：飞腾腾锐 D3000M、龙芯 2K1500。OS：方德桌面 Pro V5.0（6.6）Ⅰ 级、银河麒麟桌面 V11（6.6）Ⅰ 级、银河麒麟高级服务器 V11（6.6）Ⅰ 级、腾讯云 Linux 服务器 OS V4（6.6）Ⅰ 级〔A〕 |
| **2026 年第 1 号** | **2026-01-16** | **仅操作系统** | 桌面：**HarmonyOS V1.0（HongMeng Kernel 1.11）Ⅱ 级**、统信桌面 V25（6.6）Ⅰ 级；服务器：华为云欧拉 V3、阿里云服务器 OS V4、新支点服务器 OS V7（均 6.6、均 Ⅰ 级）〔A〕 |
| **2026 年第 2 号** | **2026-05-26** | **AI 训推芯片 + 数据库** | AI 芯片 9 款均 Ⅰ 级（昇腾 310/910、真武 M530/M890、壁砺 166、DCU-3G、KCC-V100X、MXC600、PH100）；集中式数据库 8 款（达梦 V9 为 Ⅱ 级，其余 Ⅰ 级）；分布式数据库 15 款（达梦分布式版、崖山 V23、GaussDB V3.0 分布式、GoldenDB V7 为 Ⅱ 级，其余 Ⅰ 级）〔A〕 |

> 完整的 2026 年第 2 号产品清单见 [04](./04-核心硬件与算力底座.md) §3 与 [05](./05-基础软件与平台软件.md) §2.2。

### 4.3 三处必须纠正的误传

**误传一：「2026 年 1 月 16 日中国信息安全测评中心正式发布信创核心准入目录（第 1 号公告），覆盖桌面 OS、服务器 OS、CPU 和数据库」**

判定：**不成立**。核对官网原文，《安全可靠测评结果公告（2026 年第 1 号）》**仅含 5 款操作系统**，无 CPU、无数据库。CPU 结果分布在 2025 年第 1/3 号等批次，数据库结果分布在 2025 年第 2 号（2025-08-22，集中式 3 款）、2026 年第 2 号（2026-05-26，集中式 8 款 + 分布式 15 款）等批次。更重要的是，指南明确测评为**自愿申请、结果自主选择使用**，不存在「核心准入目录」这一法定概念。把测评公告称作「政企采购硬门槛」「准入目录」，混淆了「招标方引用测评结果作为技术要求」与「法律设定准入许可」两件事。

**误传二：「Ⅰ 级是最高安全可靠等级」**

判定：**不成立**。可核查的一手证据：2026 年第 1 号公告中 HarmonyOS V1.0 为 Ⅱ 级，同期经济观察网等报道明确称其为「首个通过 Ⅱ 级评测认证的国产桌面 OS」「Ⅱ 级认证高于 Ⅰ 级」；另有行业汇总称 2023 年以来「17 款 CPU 入围 Ⅱ 级」并被描述为「当前最高安全等级」。因此 **Ⅱ 级高于 Ⅰ 级**。重庆日报转载稿中「全部评定为最高安全可靠等级（Ⅰ 级）」属于表述错误。

**误传三：「Ⅰ 级 ≈ 等保二级/部分三级，Ⅱ 级 ≈ 等保三级及以上（含四级）」**

判定：**官方未公开此类对应关系**，系自媒体为便于理解所作的类比。两套体系评价对象不同（产品+厂商 vs 系统整体）、依据不同（指南 V3.0 vs GB/T 22239-2019）、实施机构不同，不存在可引用的折算规则。行业文章对 Ⅰ/Ⅱ 级在「安全能力、供应链自主、厂商能力、评审严格度」上的差异描述〔C〕，可作为理解方向的参考，但**不得写入招标文件作为等级依据**。

> **补充辨析**：官方公告仅列出等级，未公开 I/II 级完整技术评判条文。任何「Ⅱ 级必须具备 XX 具体技术指标」的细节描述，若无指南原文或测评机构正式解读支撑，均应标注为「行业推测」。

### 4.4 三年有效期的实操含义

- 证书到期、产品迭代、版本升级、供应链变化都可能导致认证结论失效，需重新送测。
- 行业观察已发现部分早期过测产品在后续批次中缺席〔C〕，原因可能包括未同步更新认证、技术停滞或供应链变化。
- **对甲方的风险控制**：合同中约定「厂商应保证所供产品型号在整个项目周期内持续符合公告要求；若公告失效或有替代版本，应免费完成重测与适配」。否则三年后可能面临二次选型与数据迁移。

---

## 5. 适配认证体系：三类证书的区别

目前信创领域**没有统一的国家标准（GB）**用于「信创产品认证」，主要依据团体标准、地方标准、机构规范与厂商互认规范〔B/C，多家检测机构与行业解读一致〕。因此「证书名称」不重要，**测试覆盖了哪些国产环境组合、由谁出具、依据什么标准**才重要。

| 类型 | 出具方 | 证明内容 | 权威性 | 招标中的典型地位 |
|---|---|---|---|---|
| **适配测试报告** | 适配中心或 CNAS/CMA 第三方检测机构 | 产品在指定 CPU/OS/DB/中间件组合下的安装、启动、功能、性能效率、信息安全性 | 取决于机构资质与测试覆盖 | 常作为技术证明材料，是申请证书的前置 |
| **兼容性互认证书** | 单一软硬件厂商（如某 OS/CPU 厂商） | 产品在**该厂商特定环境**下可运行 | 企业间互认，标准较宽松 | 常作辅助材料，**不能替代第三方权威报告** |
| **信创产品评估 / 认证证书** | 工委会或授权专委会组织专家评审，前置为第三方测试报告 | 结合适配与兼容测试，评功能、性能、安全性，并审查知识产权自主率、供应链安全、股权结构 | 相对最高 | 常作为实质性响应条款或评分项 |

**标准办理路径**（2026 年行业通行做法）〔C〕：

```
产品自查（资质/软著/文档）
  → 选定 1—2 套目标组合（如 鲲鹏+麒麟 / 海光+统信）
  → 委托 CNAS/CMA 机构在国产环境做适配测试，出《信创产品测试报告》
  → 提交测试报告 + 软著 + 供应链安全声明 + 营业执照等
  → 专家非现场评审（知识产权自主率、供应链、股权结构）
  → 颁发《信创产品评估证书》
周期约 3—8 周（测试 2—3 周 + 评审发证约 2 周）〔C，机构口径，非官方承诺〕
```

**材料清单**：企业资质类（营业执照、法人身份证明、授权委托书）、产品技术类（软著/专利、技术白皮书、架构图、部署与用户手册、安全自评报告）、适配证明类（适配环境清单需明确 CPU/OS/DB/中间件**具体版本**、自测报告、第三方测试报告）。

**四套体系的选用速查**：

| 我要证明什么 | 该出什么 |
|---|---|
| 系统整体安全防护达标 | 等保测评报告（定级备案 + 测评结论） |
| 密码用得合规有效 | 密评报告（规划/运行前/年度） |
| 所选 CPU/OS/DB 产品本身安全可靠 | 安全可靠测评公告中**具体型号 + 等级 + 有效期** |
| 我的应用在国产环境能跑、好用 | 第三方适配测试报告 / 信创产品评估证书 |
| 政府采购中享受 20% 优惠 | 《关于符合本国产品标准的声明函》（见 [02](./02-政策脉络与法规体系.md) §3.5） |

---

## 6. 采购需求标准与「门槛效应」

财政部、工信部针对「三类九款」整机与基础软件产品制定政府采购配置要求；例如中央国家机关台式计算机批量集中采购配置标准要求 CPU、OS 等关键部件符合安全可靠测评要求〔B/C，行业转述，以最新采购文件为准〕。

**制度逻辑要讲清楚**：

```
安全可靠测评（自愿、产品级）
        ↓ 被采购需求标准 / 招标文件引用
具体项目中的技术门槛（对该项目有约束力）
        ↓ 叠加
34 号文本国产品声明函 + 等保/密评 + 适配报告
        ↓
完整投标合规包
```

「测评在某一项目中构成硬门槛」与「测评是法定准入制度」是两个不同命题。前者成立，后者不成立。这一区分在投诉处理、质疑答复与合规审查中非常关键。

---

## 7. 项目全周期合规清单

> **阶段口径**：本表是 [07](./07-行业落地与工程迁移方法论.md) §3 **S0—S5 唯一主表**下的**合规材料清单**（立项→需求编制→投标→设计→建设→上线前→试运行→验收→运行），各动作按 S 阶段归位，不另立迁移阶段命名。

| 阶段 | 材料 / 动作 | 依据 | 检查要点 |
|---|---|---|---|
| 立项 | 定级备案（等保）、是否属关基判定、密评纳入预算 | 《网络安全法》、等保、密码法 | 避免上线后补做密评导致返工 |
| 需求编制 | 明确测评等级与**具体公告批次**、等保级别、密评要求、声明函要求；不得指定品牌/按所有制设限 | 34 号文、采购需求标准 | 等级需写「以现行公告为准」，避免写死过期型号 |
| 投标响应 | 声明函、测评公告截图及有效期、适配测试报告、互认证书、软著与供应链声明 | 34 号文、招标文件 | 核对「产品名 + 版本号」与公告完全一致 |
| 设计 | 密码应用方案并做方案密评；安全方案同步设计 | 局令第 3/5 号 | 方案未通过不得作为建设依据 |
| 建设 | 三同步（商密保障系统）；等保基线加固；迁移数据副本销毁；SBOM 建立 | 等保、密评、834 号令 | 中间数据留痕与销毁记录 |
| 上线前 | 等保测评、密评（运行前）、性能基线报告、适配专项报告、漏扫 | 各体系 | 未通过密评不得投入运行 |
| 试运行 | 试运行报告含**信创适配调优专项**、故障与回退演练记录 | 行业验收惯例 | 不能以「能启动」代替「能承载业务」 |
| 验收 | 技术文档、工程管理资料、验收测试报告、安全测评报告、声明函归档公告 | 34 号文、招标文件 | 中标结果随附声明函公告 |
| 运行 | 三级等保每年测评；密评每年至少一次；测评证书到期前重测；漏洞/SBOM 持续治理 | 等保、局令第 3/5 号、测评有效期 | 建立证书台账与到期预警 |

---

## 8. 本章小结

- 等保（系统整体）、密评（密码应用）、安全可靠测评（产品+厂商）、适配认证（组合兼容性）是**四套并列、互不替代**的体系；法律只要求等保与密评「衔接、避免重复」。
- 关基密评是「规划方案评估 → 运行前评估 → 每年至少一次」的三阶段刚性要求，未通过不得投入运行；**结论为三档**：整体量化评估 S=100 分为「符合」，低于 100 分但不低于现行阈值且风险评估无高风险为「基本符合」（需整改优化），否则为「不符合」（全面整改后重评）。验收条款不能只写「符合/不符合」两档，否则「基本符合」项目的整改与复评责任无从落地。
- 安全可靠测评依 V3.0 覆盖 CPU、AI 训推芯片、OS、数据库、打印机主控芯片；**自愿申请、Ⅰ/Ⅱ 级、有效期 3 年、每年两次受理、原则上 90 个工作日**。
- 三处高频误传必须纠正：**2026 年第 1 号不是「核心准入目录」且只含操作系统；Ⅱ 级高于 Ⅰ 级；官方未公开「Ⅰ/Ⅱ 级≈等保级别」的对应关系**。
- 信创适配认证无统一国标，判断标准应是「测试覆盖组合 + 出具机构资质 + 依据标准」，而非证书名称。
- 合规包 = 声明函 + 测评公告（型号/等级/有效期）+ 适配测试报告 + 等保/密评结论 + 验收材料，缺一都可能影响质疑答复与验收。