等保密评都过了，关基为什么还不算达标？

2025年下半年以来，我们在与关基运营者的交流中，经常遇到同一个问题：

“我们边界内的几个等保三级系统，密评都已完成，报告也已齐备。关基这部分，是否就算达标了？”答案并不必然是肯定的。

问题不在于哪一轮密评做得不到位，而在于关基与等保所适用的要求本身不同。随着《关键信息基础设施商用密码使用管理规定》（国家密码管理局、国家互联网信息办公室、公安部令第5号，以下简称“5号令”）自2025年8月1日起施行，以及《关键信息基础设施密码应用要求》（GM/T 0133—2024）自2025年7月1日起实施，一个系统一旦被认定为关基，其在密码方面需要满足的要求也随之改变。

变化集中在三个方面：判定基线、运行能力和责任链条。本文逐一分析这三项变化，并就运营者如何将其落实到自身规划中提出建议。

一、误判的根源：判定基线提高了

系统逐个通过了密评，关基为什么未必达标？回答这个问题，首先要准确理解关基这一概念。

关基与等保一样，都以一个明确框定的对象为起点。等保由运营者自主定级、备案，形成等级保护定级对象；关基则由保护工作部门按照认定规则组织认定，并将认定结果通知运营者，认定的落点同样是具体的重要网络设施和信息系统。两者都是先确定对象，再明确适用的要求。

更重要的是，二者并非彼此并列的两套体系。《网络安全法》规定，在网络安全等级保护制度的基础上，对关键信息基础设施实行重点保护。关基是从已定级对象中遴选出来、实施重点保护的部分。

因此，最常见的情形是：同一个系统，既是等保三级定级对象，又被认定为关基。

此时需要评估的并不是另一个对象，而是同一对象的判定基线提高了，即由GB/T 39786—2021《信息安全技术 信息系统密码应用基本要求》，变为GB/T 39786叠加GM/T 0133—2024《关键信息基础设施密码应用要求》提出的增强要求。

前一轮密评是按照等保基线开展的，自然无法覆盖关基新增的要求，包括双向身份鉴别、重要运维操作日志的完整性保护、重要可执行程序的完整性与来源真实性验证，更无法覆盖GM/T 0133单独设立的密码运行安全保障一章。报告齐备，说明的是按照当时的基线合规；基线变化后，结论需要重新作出。

这正是“通过”不等于“达标”的原因：并非测评不够认真，而是判定标准发生了变化。

图1 同一个系统，两重身份：判定基线的提高

还有一种情形需要特别关注：关基的认定范围与单个定级对象并不必然一一对应。它可能是覆盖多个定级对象的设施整体，也可能仅对应其中之一。当认定范围大于单个定级对象时，跨系统的密钥流转、统一身份认证、共用的密码资源、系统之间的边界接口等部位，不归属于任何单个定级对象，在逐系统测评时容易成为盲区，但在关基整体防护范围内，这些部位都应纳入评估。遇到此类情形，建议在规划阶段就将认定范围与各定级对象的边界绘制在同一张图上，先明确哪些衔接部位尚无归属。

厘清二者关系：逐系统按等保基线合规是基础要求，而非最高要求；关基要求是在此基础上的叠加，而非替代。

GM/T 0133提出的三条总体原则，是理解这一节的关键：

- 规范性：密码应用应形成规划、建设、运行、评估的完整闭环，各环节有据可依；

- 系统性：从整体出发构建体系化的密码保障能力，避免各系统各自为战；

- 健壮性：密码保障能力应满足关键业务对可靠性和可用性的要求。

三条原则中，第三条最容易被忽视，也正是下文重点展开的内容。

二、三项主要差别

将5号令与GM/T 0133对照阅读，关基密码与我们熟悉的等保密评相比，实质性变化集中在以下三个方面。

（一）技术与管理要求全面增强

这一点最为直观。在GB/T 39786基本要求之上，GM/T 0133针对关基提出了一批增强技术要求和增强管理要求。以下两项与工程实施关系最为密切。

一是网络和通信安全层面，明确要求实现双向身份鉴别，即通信双方相互验证身份。一般系统中，这一环节常被简化为单向鉴别，由服务端出示证书、客户端进行校验；在关基场景下，单向鉴别已不能满足要求。

二是设备和计算安全层面，要求对重要的运维操作形成日志，并采用密码技术保障日志的完整性；同时，对重要可执行程序，包括其依赖程序和远程更新程序，要保障完整性并验证来源真实性。这项要求将“程序是否被篡改、更新包是否确实来自原厂”从运维习惯上升为合规硬性指标，对供应链安全具有重要意义。

表1  等保密评与关基密码要求对照（简表）

（二）新增密码运行安全保障要求

这是三项差别中分量最重、也最容易被忽略的一项。GM/T 0133单独设立了“密码运行安全保障要求”一章，包括三部分内容：密码资源的弹性供给、密码运行状态的监测预警、密码运行安全事件的应急处置。

这一章的设立，意味着密码系统本身已成为关基的组成部分，其可用性和业务连续性必须纳入考量。

以往开展密评，测评关注的是“是否使用密码保护数据”“算法是否合规”“密钥如何管理”，核心是密码功能是否配置到位。运行安全保障提出的则是另一类问题：

- 密码设备发生故障时，业务是否会中断？是否具备冗余，能否自动切换，切换需要多长时间？

- 业务处于高峰时，密钥服务能否满足性能需求？密码资源能否按需调配、弹性扩展？

- 密码运行出现故障，是否作为安全事件处理？由谁发现、向谁报告、按什么流程处置、多长时间内恢复？

这些问题关注的是密码能力能否持续、稳定地运行。

图2 从“是否配置”到“能否持续稳定运行”

从关注“是否配置”转向关注“能否持续稳定运行”，是关基密码带来的最实质的观念转变。它对运营者提出的要求，已经超出传统密评的范围，延伸到运维体系和业务连续性管理领域。对海泰这样的资深密码产品与服务提供商而言，这同样是新的课题：交付的不仅是合规的密码功能，还包括这套密码能力自身的可靠性、可观测性和可恢复性。

由此带来的直接结论是：密码资源的组织方式需要重新考虑。当密码能力需要弹性供给、需要统一监测、需要在故障时快速接管，将密码设备分散部署在各个系统中、各自管理的方式已难以为继。资源池化、统一密钥管理、集中的运行监测，在关基场景下已不只是更优的选择，而是必要且迫切的建设内容。5号令也明确，国家密码管理部门负责建设和管理国家关基商用密码运行安全管理基础设施，并统筹保护工作部门建设本行业、本领域的运行安全管理基础设施。运行态监管已成为关基密码管理的重要方向。

围绕这一需求，海泰推出了密码运行安全管理平台，面向关基运营者提供密码资源统一纳管与弹性调度、密码运行状态集中监测与预警、运行安全事件告警与应急处置等能力，帮助运营者将GM/T 0133中的运行安全保障要求落到实处。

（三）责任链条延伸，准入要求趋严

第三项差别集中在管理侧。这里需要先作一点澄清，因为实践中这部分内容混淆最多。

不少人认为，5号令带来的新变化是“规划阶段要先评方案”，实际并非如此。早在《商用密码应用安全性评估管理办法》（国家密码管理局令第3号）中就已明确：重要网络与信息系统在规划阶段，运营者应当制定商用密码应用方案，并自行或者委托商用密码检测机构对方案开展密评，方案未通过的，不得作为商用密码保障系统的建设依据。而重要网络与信息系统的范围，本就同时包含关基和等保三级及以上信息系统。

同样，“三同步一评估”源自《密码法》和《商用密码管理条例》，是所有重要网络与信息系统共同适用的总体要求，并非关基所特有。

5号令在这一共同基础上做了两方面工作。一是收紧了既有环节，例如明确：

建设过程中确需调整商用密码应用方案的，应当重新开展商用密码应用安全性评估，评估通过后方可继续建设。

这一规定解决了实践中较为常见的问题，即方案通过评估后，在建设过程中被擅自调整。

二是为关基运营者建立了更完整的责任链条。以下几项义务，在以往的密评要求中并未涉及：

1.    年度报告义务2.人员保障3.经费保障4.产品与服务准入；最后一项对采购环节的影响尤为直接。在关基场景下，密码产品选型的合规门槛不止“具备型号证书”一项，供应链本身也已纳入审查范围。

三、关基密码如何规划：从补齐测评项到构建密码能力体系

在明确上述差别之后，关基运营者需要考虑的是，如何将这些要求落实到自身的密码规划中。

GM/T 0133在密码应用实施要求中给出了规划环节的完整链路。结合我们的工程实践，可将其归纳为依次推进的七个步骤：

1. 摸清资产底数。

2. 开展风险分析。

3. 开展顶层设计。

4. 确定密码资源供给模式。

5. 明确密钥全生命周期管理与职责划分。

6. 制定密码运行状态监测预警策略。

7. 制定密码运行安全事件应急处置策略。

图3  关基密码规划的七个步骤

将这七个步骤连起来看，关基密码规划的重心已经从“对照测评指标补齐控制点”，转向“构建体系化的密码能力”。前者以通过测评为目标，后者以形成持续的保障能力为目标。

这也是海泰长期坚持的技术路径：密码不应只是附加在业务之外的合规措施，而应成为业务的信任基础。在关基场景下，这一理念首次得到了强制性制度的支撑。

四、两点务实建议

（一）各类评估可以衔接，避免重复开展

这是5号令中对运营者较为有利的一项安排，但目前了解的人还不多。

规定明确，关基商用密码应用安全性评估应当与关基安全检测评估、网络安全等级测评加强衔接，避免重复评估、测评。对于暂未开展关基商用密码应用安全性评估的信息系统，可以与关基安全检测评估合并完成。

（二）存量系统的"同步"是难点

"三同步"对新建系统而言是明确的：立项时同步制定密码方案，建设时同步实施，上线时同步投入运行。难点在于存量系统。

绝大多数关基并非从零开始建设。对于已经运行多年的业务系统，要在不中断业务的前提下补齐密码保障能力，并使其与主体设施同步运行，涉及改造窗口、兼容性、性能余量、回退方案等多方面问题，实施难度较大。

我们的建议是：不追求一步到位，按关键业务链的重要程度排序，分批推进；每一批次均按照"小范围验证、灰度扩大、全量切换"的节奏实施，并在方案中预先设计回退路径。对于改造窗口紧张的场景，优先采用对业务侵入较小的密码服务化方式，将改动尽量集中在接入层。

五、标准持续升级，规划宜就高不就低

从标准演进的角度看，关基密码要求的发展趋势较为清晰。GM/T 0133—2024是一项密码行业标准，于2025年7月1日起实施，比5号令早一个月落地。今年，同名国家标准《网络安全技术 关键信息基础设施密码应用要求》已列入全国网络安全标准化技术委员会2026年网络安全推荐性国家标准立项建议清单，标准类型为制定，归口WG3工作组。

这一路径此前已有先例：GM/T 0054—2018《信息系统密码应用基本要求》，三年后上升为GB/T 39786—2021。行业标准先行、国家标准跟进定型，是密码应用要求逐步成熟的常规路径。

这意味着，关基密码的要求将逐步提高，而不会放宽。同时，这也带来了一定的确定性：国家标准从立项到发布通常需要两年以上时间，未来两三年内，关基密码的技术依据仍将是GM/T 0133。现在按照行业标准开展规划，不会造成浪费；提前对齐，还能在国家标准发布后减少一轮返工。对运营者而言，现在启动是较为合适的时机。

图4  关基密码的制度与标准体系

六、结语：关基密码规划应统筹

关基密码规划还有一个容易被忽略的时间维度。

关基是抗量子迁移的首要对象：其数据生命周期最长，一旦遭受"先收集、后解密"（Harvest Now, Decrypt Later，HNDL）攻击，损失也最难挽回。按照海泰的七步闭环抗量子迁移方法论，迁移的第一步是资产洞察，第二步是路线规划，这两步与关基密码规划的前两步高度重合。

也就是说，如果在关基密码架构设计阶段就预留算法可替换能力（即密码敏捷性），包括统一的密码服务接口、可配置的算法策略、支持混合模式的证书体系，那么在抗量子迁移正式启动时，改造工作量将大幅降低。反之，如果到迁移切换时再调整架构，成本将显著增加。

因此，建议运营者一次规划、统筹实施，将关基密码建设与抗量子迁移同步规划、同步落实，在满足当前合规要求的同时，为后续迁移打好基础。这是本轮关基密码制度落地为运营者提供的一个重要窗口期。