等保三级与SSL证书、国密SSL有什么关系？

等保三级与SSL证书、国密SSL有什么关系？要求与选型解析

网络安全等级保护第三级是网络安全等级保护制度中的较高等级，适用于受到破坏后可能造成较大危害的信息系统。

它覆盖网络、区域边界、计算环境、安全管理中心以及管理制度等多个方面，并不是一张 SSL 证书或者某一种安全产品能够单独满足的要求。SSL/TLS 主要解决通信过程中的加密和身份认证问题，因此在涉及公网 Web、API 等业务系统时，经常会成为等保建设中的一项技术措施。需要特别区分的是，等保三级并不能直接等同于“必须使用公网 SSL 证书”，也不能直接推导出“必须使用国密 SSL”。

是否采用普通 TLS、国密 TLS，以及是否需要开展商用密码应用安全性评估，还要结合系统属性、行业要求和具体密码应用方案判断。

哪些系统可能涉及等保三级？

网络安全等级保护的等级并不是按照行业名称直接划分，而是根据网络和信息系统遭到破坏后可能产生的危害程度进行定级。

实际项目中，政务、金融、医疗、能源、交通以及大型互联网平台等领域，都可能存在三级信息系统。例如：

• 政务服务、政务数据以及重要行政管理系统；
• 大型互联网平台、在线交易平台和大型 SaaS 系统；
• 金融交易、医疗核心业务等重要信息系统；
• 能源、电力、交通、水利等行业的重要业务系统；
• 与关键信息基础设施相关的重要网络和信息系统。

是否达到三级，需要结合具体系统的业务范围、服务对象、数据情况以及受到破坏后的影响进行判断，不能仅根据“用户数量多”或者“属于某个行业”直接确定等级。

等保三级主要关注哪些安全问题？

等保 2.0 的安全要求覆盖技术和管理两个层面，涉及的内容远不只是服务器和防火墙。

技术方面主要包括：

• ​安全通信网络​：关注网络结构、通信传输的机密性和完整性等；
• ​安全区域边界​：涉及访问控制、边界防护、入侵防范等；
• ​安全计算环境​：涉及身份鉴别、访问控制、恶意代码防范、数据安全等；
• ​安全管理中心​：涉及集中管理、安全审计和安全监测等。

管理方面还涉及安全管理制度、人员管理、系统建设管理、系统运维管理以及应急响应等内容。

因此，SSL/TLS 只是其中通信安全相关的一部分。网站配置了 HTTPS，并不能说明整个系统已经满足等保三级要求。

等保三级与HTTPS有什么关系？

HTTPS 建立在 TLS 协议之上，可以对客户端和服务器之间的通信进行加密，并通过数字证书完成服务器身份认证。

例如公网 Web 系统：

Plaintext

客户端 ➔(HTTPS / TLS)➔ Web 服务器 ➔ 应用系统

TLS 可以降低通信数据被窃听、篡改的风险，同时让客户端能够验证服务器提供的证书是否可信。对于存在公网 Web、API 等通信场景的三级系统，HTTPS 是常见的通信安全技术手段之一。

内部系统、专用网络以及不同安全区域之间的通信，还可能采用其他符合要求的安全通信措施。如果项目原先使用 HTTP，需要进行 HTTPS 改造，可以参考 网站从HTTP更改为HTTPS。

等保三级一定要使用国密SSL证书吗？

不一定。这里需要把三个概念分开：

Plaintext

等保三级 ➔ 网络和信息系统整体安全保护要求
商用密码应用 ➔ 密码算法、密码产品、密钥管理和密码应用安全
国密 SSL ➔ 基于国密密码算法的 TLS 通信方案

等保三级针对的是整个信息系统的安全保护能力，而国密 SSL 属于通信加密领域的具体技术方案。

一个系统完成三级定级，并不能直接得出“必须部署国密 SSL”的结论。项目是否需要使用国密算法，需要继续查看系统所属行业、监管要求、密码应用要求以及项目本身的密码应用方案。存在明确商用密码应用要求的系统，还需要进一步判断是否涉及密评。

等保测评和密评有什么区别？

等保测评与商用密码应用安全性评估不是同一项工作。

等保测评主要评价信息系统是否按照网络安全等级保护相关要求建立相应的安全保护措施，涉及网络、主机、应用、数据以及安全管理等多个方面。

密评则围绕商用密码应用展开，重点检查密码算法、密码产品、密钥管理以及密码应用方案的安全性和合规性。

两项工作在部分项目中可能同时出现，但不能把“等保三级”和“密评”理解成同一个制度，也不能简单认为所有三级系统都自动进入同样的密评要求。如果项目属于政务、关键信息基础设施或其他存在明确商用密码应用要求的场景，应当结合具体法规和项目要求进行判断。

国密SSL证书在等保项目中有什么作用？

当项目明确采用国密密码技术时，国密 SSL 可以用于 Web、API 等 TLS 通信场景，为通信双方提供身份认证以及数据传输的机密性和完整性保护。

国密 TLS 环境涉及 SM2、SM3、SM4 等商用密码算法，具体采用哪种密码套件以及是否需要密码设备，需要结合实际部署环境确定。与普通公网 HTTPS 相比，国密项目还需要考虑客户端兼容性、服务器软件、密码设备以及现有业务系统的适配问题。

部分项目会采用双证书、双算法或者国密网关等架构，以兼顾国密环境和普通 TLS 客户端的访问需求。实际选型时可以重点确认：

• 服务器和客户端是否支持目标国密 TLS 方案；
• 是否需要国密密码机、密码卡或国密网关；
• 是否存在普通浏览器与国密客户端同时访问的需求；
• 项目是否存在明确的商用密码应用和密评要求。

涉及证书格式转换、证书链检查等操作，可以使用 SSL证书工具。

等保三级多久做一次测评？

按照相关规定，三级网络和信息系统应当定期开展等级测评，实践中一般为每年至少一次，同时还需要按照要求完成系统定级和备案等工作。

这里要区分两个动作：备案解决的是系统定级后的登记和备案问题；等级测评则是对系统实际安全保护状况进行检查和评估，两者不是同一个动作。

如果系统后续发生网络架构、业务范围、数据处理情况等重大变化，还需要重新评估原有定级和保护措施是否仍然适用。对于涉及多服务器、负载均衡和 HTTPS 集群的系统，证书配置也属于上线检查的一部分。如果发现证书链、域名匹配等问题，可以结合 修复SSL证书错误 进行排查。

等保三级项目如何选择SSL证书？

如果系统只是普通公网 Web 或 API 业务，证书选型主要还是看域名数量、业务主体以及部署方式。

例如：

• 一个公网域名，可以选择单域名证书；
• 多个不同域名，可以考虑多域名 SAN 证书；
• 存在大量同级子域名，可以考虑通配符证书；
• 企业身份需要经过 CA 审核时，可以根据业务要求选择 OV 等企业验证类型。

具体可以先查看 SSL证书类型，再结合实际业务和部署架构参考 SSL证书选购指南。如果项目明确涉及国密密码应用，则证书选型不能只看域名覆盖范围，还需要确认国密算法、TLS 协议、密码设备以及客户端兼容性等要求。

常见问题 FAQ

Q：等保三级是不是必须使用SSL证书？

A：不能直接这样理解。HTTPS/TLS 可以用于满足通信传输中的加密和身份认证需求，但 SSL 证书只是系统安全建设中的一个技术组件。是否需要使用以及具体采用什么证书，需要结合系统通信场景和测评要求确定。

Q：等保三级是不是必须使用国密SSL证书？

A：不是所有三级系统都可以直接推导出这一结论。是否采用国密 SSL，需要结合系统属性、行业监管要求以及商用密码应用要求进行判断。

Q：等保三级和密评是一回事吗？

A：不是。等保测评面向整个网络和信息系统的安全保护状况，密评主要针对商用密码应用的安全性和合规性。部分系统可能同时涉及两项工作，但评估对象和关注重点不同。

Q：配置了SSL证书就能通过等保三级吗？

A：不能。SSL/TLS 主要解决通信安全中的一部分问题，等保三级还涉及网络边界、计算环境、身份鉴别、安全审计、数据安全以及安全管理制度等多个方面。SSL 证书只能作为相关通信安全措施的一部分。

等保三级关注的是整个信息系统的安全保护能力，SSL/TLS 解决的是其中通信安全的一部分。对于公网 Web 和 API，HTTPS 可以作为传输加密和服务器身份认证的重要技术措施；如果项目还有明确的商用密码应用要求，再进一步评估国密 TLS、密码设备和密评相关事项。做等保项目时不宜简单把“三级”“HTTPS”“国密 SSL”“密评”几个概念画等号。先确定系统定级和适用的合规要求，再确定通信架构、TLS 方案和证书类型，技术选型会更准确，也能避免为了“做等保”而堆叠不必要的证书和密码产品。