成都很多企业在推进信创改造的同时，还要满足网络安全等级保护的要求。良将科技为成都企业接触过大量政企客户，发现一个普遍的困惑：信创改造和等保测评是什么关系？系统迁到国产环境后，等保测评要不要重做？怎么把两者结合起来一次过？其实等保和信创不是两张皮，而是可以协同推进的——系统做信创改造的时候，顺便把等保的安全要求一起落实，这样改完既能过等保，又能满足国产化要求，不用返工两次。

等保和信创是什么关系

网络安全等级保护（简称等保）是国家对信息系统安全的基本制度，要求所有企业和机构的信息系统都要定级、备案、测评、整改。政务系统、金融系统、关键信息基础设施通常要过等保三级，一般企业系统过等保二级。信创则是要求核心技术自主可控，用国产的芯片、操作系统、数据库替代国外产品。

两者的目标不一样，但要求的内容有重叠。良将科技为成都企业的经验是：等保测检查的是系统的安全防护能力——有没有防火墙、有没有入侵检测、数据有没有加密、权限管控严不严。信创检查的是系统用的技术栈是不是国产的——CPU、操作系统、数据库、中间件有没有在信创目录里。如果企业先做信创改造再做等保，可能发现安全措施没跟上，还要再整改一遍；如果先做等保再做信创，可能等保用的是国外产品，改造成国产后又不符合等保的某些要求了。正确的做法是把两者放在一起规划。

信创改造后等保要重做吗

答案是要。因为系统的运行环境变了——从x86+Windows+Oracle变成了国产CPU+麒麟+达梦，网络架构、服务器配置、安全策略都变了，等保测评要按新环境重新做。但好消息是，如果在信创改造时就按照等保三级的要求来设计安全架构，比如网络分区、访问控制、审计日志、数据加密，那么等保测评的时候基本就能过，不需要大改。良将科技建议成都的企业在信创项目启动时，就把等保测评机构请进来，让他们在设计阶段就给出安全要求，避免改完再补。

等保三级的核心要求有哪些

等保三级是政务和关键行业系统的标配。良将科技帮企业梳理过，等保三级主要从几个维度考核：技术安全和管理安全两大类，每类下面又有几十项具体要求。

技术安全要求

技术安全层面，等保三级要求做到：网络分区，把服务器区、办公区、互联网区用防火墙隔开；访问控制，配置防火墙策略，只开放必要端口；入侵防范，部署IDS/IPS入侵检测系统；恶意代码防范，服务器装杀毒软件；数据完整性，重要数据传输和存储加密；备份恢复，有定期备份和异地容灾。这些要求在信创环境下都有国产产品可以实现——国产防火墙、国产数据库加密、国产备份软件。良将科技建议企业在规划信创架构时，直接按等保三级的要求选国产安全产品，这样一套架构同时满足两个合规要求。

管理安全要求

管理安全层面，等保三级要求建立完整的安全管理制度：有信息安全负责人、有安全管理制度文件、有人员培训记录、有系统运维规程、有应急响应预案。很多成都企业技术上都达标了，但管理文档不全，测评时被扣分。良将科技建议企业在信创项目实施过程中，同步整理这些管理文档：谁负责系统安全、密码怎么管理、定期做什么检查、出事了怎么处理。这些文档看起来是软件，但测评时是硬指标，没有就过不了。

信创合规的额外要求

除了等保，信创改造本身还有一些合规要求。主要包括：所用产品是否在信创目录内（比如是麒麟、统信而不是Ubuntu）、软件有没有通过兼容性认证、数据是否在境内存储、供应链是否安全可控。这些要求和等保的安全要求结合起来，就是企业要满足的完整合规清单。

怎么准备一次过评

良将科技为成都企业的经验是，想一次通过等保+信创双重测评，要提前做三件事：第一，架构设计阶段就请测评机构介入，按照等保三级和信创目录的要求来规划技术架构。第二，实施过程中把所有配置、文档、日志都留好，测评时要查。第三，上线前做一轮预评估，自己先按测评标准走一遍，把发现的问题整改完再正式申请。很多企业急着上线，等到测评前才发现一堆问题，临时整改时间不够，反而耽误更久。

常见的测评扣分项

良将科技总结过几个最常见的扣分项：密码复杂度不够（默认密码没改、密码长度太短）；防火墙策略太宽松（开了太多端口）；审计日志没开或者日志保留时间不够；没有定期备份或者备份没做过恢复测试；安全管理制度文件不全。这些都是小问题，但扣起分来很要命。建议企业在测评前自己对照检查一遍。

怎么选同时做等保和信创的服务商

成都选服务商，重点看有没有同时做过等保测评咨询和信创改造的经验、能不能把两者结合起来做、有没有国产安全产品的对接能力。如果您成都正在规划信创改造和等保合规，欢迎联系良将科技，我们可以先做一次免费的合规评估，帮您理清要做哪些事情。