满足监管要求的国产化适配，不是想改就改、想改哪就改，而是要对照等保2.0、密评、数据安全法和行业主管部门的信创目录逐项达标。时代宜诚科技服务过大量需要过审的政务与国企客户，本文把上海企业最关心的合规要点、改造流程和材料准备一次讲清。
合规改造通常要同时满足三套标准。第一是网络安全等级保护2.0，对主机、应用、数据、网络分区提出明确技术要求；第二是商用密码应用安全性评估（密评），要求密码算法、传输加密、存储加密采用国密算法SM2、SM3、SM4；第三是行业信创目录要求，政务、金融、能源、医疗等主管部门会明确列出必须采用的国产CPU、操作系统、数据库清单。三套要求叠加，意味着企业不能只换一个操作系统就算完成，必须从芯片到应用全栈在目录内。任何一个环节用了目录外产品，测评时都会被开整改单。这也是为什么满足监管要求的国产化适配必须从立项阶段就对照清单逐项推进。
成熟服务商一般按六步推进。第一步合规差距分析（1周），对照等保三级、密评三级和信创目录逐条打分，列出不符合项；第二步整改方案设计（1到2周），明确哪些要替换、哪些要加固、哪些要补日志；第三步技术改造（4到10周），完成软硬件替换、国密改造、审计日志接入；第四步自测评（2周），内部跑一遍等保和密评测评项；第五步正式测评（由第三方测评机构执行，2到4周）；第六步整改闭环与取证（2到4周）。整个周期中型系统通常3到5个月，大型系统半年起步。在上海做项目时，提前和属地测评机构沟通口径，能少走很多弯路。
国密是密评的核心，也是最容易被忽视的部分。典型改造点包括：HTTPS传输换成国密SSL证书（SM2证书）；用户登录口令加盐用SM3哈希；敏感字段（身份证、银行卡）存储用SM4加密；接口签名算法从MD5、RSA切换到SM2/SM3；VPN、堡垒机、日志审计系统都要支持国密套件。很多企业以为买个国密证书就完事，实际密评会逐链路检查算法组合是否合规，凡是还在用SHA1、DES、RC4的地方都要替换。时代宜诚科技在这类项目中会出一张"国密改造对照表"，把每个系统用了什么算法、要改成什么、由谁改，列清楚再排期。
成本分两块：一块是软硬件采购（国产服务器、数据库License、安全产品），另一块是改造与测评服务费用。按当前行情，一套等保三级加密评三级的合规改造，技术服务费用通常在30万到80万元；如果叠加全栈信创替换，整体投入（含采购）会在百万级到数百万级。周期上，差距分析加整改一般3个月，正式测评加取证2个月，建议企业提前半年立项，避免上级检查临近才赶工。需要提醒的是，测评不通过的二次整改费用往往由企业承担，所以第一次自测评一定要做扎实。
测评不是只看系统跑不跑，而是要查文档。必须准备的材料包括：系统拓扑图、资产清单、安全管理制度、权限审批记录、运维操作日志、加密算法说明、备份恢复演练记录、供应商资质与互认证证书。很多企业技术改造做得不错，却因为文档不全被反复退回，耽误取证时间。正规服务商在交付时会连同整套合规文档一起移交，并指导企业完成自测评，而不是把系统交出去就不管了。
第一个问题："等保和密评可以一起做吗？"可以，而且推荐同步规划，避免重复整改，但两家测评机构会分别出具报告。第二个问题："用了云服务还要自己做等保吗？"要的，云平台过等保不代表租户业务系统免评，责任共担模式下应用层仍需自行测评。第三个问题："国产化适配是不是必须全栈替换？"监管目录内的核心系统要求全栈在目录内，边缘系统可分批，但核心数据和对外服务必须先达标。
数据安全法和个人信息保护法要求企业对数据做分类分级，这一项在国产化改造时要同步考虑。建议先梳理资产清单，把数据分成公开、内部、敏感、核心四级，对敏感和核心数据在国产数据库中启用列级加密、脱敏展示和访问审计。改造过程中，数据导出、备份、传输链路都要留痕，谁在什么时候导出了哪张表、用于什么用途，都要可追溯。很多企业只做了系统替换却忽略数据分级，等监管检查时才发现敏感数据明文存储，又要返工。正规服务商会把数据分类分级表和加密策略纳入交付文档，一次到位，让满足监管要求的国产化适配不留死角。
满足监管要求的国产化适配，本质是一项合规工程，技术只是其中一环，文档、流程、测评口径同样关键。如果你在上海正面临等保或密评到期，建议先找时代宜诚科技做一次免费的合规差距评估，把整改项和预算排期算清楚，再按节点推进改造，避免临检被动。
18140041855 
