随着《国家信息化发展战略纲要》的印发和《信息安全技术—网络安全等级保护基本要求》的颁布，我国信息技术应用创新产业的系统研发已逐步深入至我国各行业领域，与信息化同为网信事业的“两翼”和“双轮”的网络安全工作也需适应信创产业发展。本文从测评依据、测评内容及测评实施过程三个方面，就信创环境与X86架构在“等保2.0”框架下的网络信息系统测评异同进行分析讨论，以期为更多信创环境下系统等保测评工作的开展提供参考。
一、信创产业
信创产业即信息技术应用创新产业，旨在用中国自主研发的软硬件产品实现对X86框架下的软硬件平台，以此解决关键领域的“卡脖子”问题。2016年中共中央办公厅国务院办公厅印发《国家信息化发展战略纲要》，其中明确规划到2025年，新一代新系统信息技术得到及时应用。根本改变核心关键技术受制于人的局面，形成安全可控的信息技术产业体系。实现技术先进、产业发达、应用领先、网络安全坚不可摧的战略目标。经过多年培育与沉淀，我国自主研发的信创生态已经初具规模，2021年1月工信部直属事业单位“中国电子学会”联合16家企业和机构，共同发布了《中国信创产业发展白皮书（2021）》，白皮书中写道我国国产处理器芯片主要包括龙芯、兆芯、飞腾、海光、申威、华为；操作系统方面主要有银河麒麟、中标麒麟、统信系统、普华操作系统、中科方德、欧拉OS、中兴新支点；数据库方面不但有传统四大数据库武汉达梦、人大金仓、南大通用、神州信息，还有新兴的巨杉大数据、Ping CAP、易鲸捷等；中间件包括东方通、普元信息、宝兰德、中创中间件、金蝶天燕。
二、网络安全等级测评
等级保护的概念于1994年提出，是我国一套行之有效的保护网络信息、网络系统的安全标准与制度，2007-2008年颁布实施《信息安全等级保护管理办法》和《信息系统安全等级保护基本要求》标志着我国进入等保1.0时代，这套标准与制度对帮助我国各行各业信息化健康成长，有着不可磨灭的功勋，但时至今日随着科学技术的飞速发展，这套标准已经无法适应新的发展形式。2014年2月27日在中央网络安全和信息化领导小组第一次会议上习近平总书记提出“没有网络安全就没有国家安全，没有信息化就没有现代化。建设网络强国，要有自己的技术，有过硬的技术”。网络安全、信息系统安全已经上升到国家战略的高度，2019年《信息安全技术—网络安全等级保护基本要求》（GB/T 22239-2019）颁布，意味着“等保2.0”时代的到来。
三、信创环境与X86架构下系统网络安全等级测评异同分析
信创环境下的系统研发已逐步深入至我国各行业领域，与信息化同为网信事业的“两翼”和“双轮”的网络安全工作也应适应信创产业发展。李琨[3]曾提到，信创环境下的等级保护测评与传统等级测评相比，存在设备新、平台新、应用新的特点。首先，信创网络设备、安全设备现阶段使用范围较小，对信创设备的安全策略及功能还不熟悉，需要进行研究和验证；其次，信创云平台系统、大数据系统需要与项目内各个厂商的软件进行适配和兼容，安全性尤为重要，需要加强测评并进行多方面验证；最后，信创系统需要针对不同的主流浏览器进行适配开发，有些还采用了国产中间件，所以要加强渗透测试和源代码审计，及时发现可能存在的漏洞。本文围绕信创环境与X86架构在“等保2.0”框架下的网络信息系统测评异同展开讨论，主要就测评依据、测评内容及测评实施过程三个方面进行比对分析。
3.1 测评依据对比分析
X86架构系统的传统等级保护测评主要依据标准包括《网络安全等级保护基本要求》（GB/T 22239-2019）、《网络安全等级保护测评要求》（GB/T 28448-2019）、《网络安全等级保护测评过程指南》（GB/T 28449-2018）等国家标准，同时参考《网络安全等级保护测评高风险判定指引》（T/ISEAA 001-2020）、《网络安全等级保护大数据基本要求》（T/ISEAA 002-2021）等行业标准。
信创环境下的系统等级保护测评除了参考上述标准外，在《网络安全等级保护基本要求》的基础上，针对信创环境信息系统的特殊安全保护需求，发展出特定应用等级保护基本要求的增强版标准，同时出台了相应的应用信息系统等级保护实施指南、应用信息系统等级保护测评要求、应用信息系统等级保护测评实施指南等配套技术文件。
3.2 测评内容对比分析
x86架构系统等级保护测评内容包括传统网络、云计算、大数据、物联网、工业控制、移动互联网等六个方面定级对象的安全要求。目前我国信创环境系统暂不涉及物联网和工业控制技术，主要包括传统网络、云计算、大数据、移动互联网、增强版标准通用要求等五个定级对象的安全要求。在具体测评指标差异方面，信创环境系统采用的测评指标属于x86架构系统采用的国标增强版，增强形式主要体现在两个方面：
(1）指标项的增强
对传统网络、云计算、大数据、移动互联网等定级对象涉及的国标项内容提出更加高的要求。以第三级系统测评指标为例，对机房的“物理位置”提出增强要求“应保证系统基础设施位于中国境内”，对安全计算环境的“身份鉴别”a项提出增强要求“应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换，具体要求包括：1）系统应为不同用户提供不同的用户身份标识；2）系统的用户名和口令不得相同，用户口令应为数字、字母、特殊字符混合组合；3）用户口令长度应不低于8位；4）系统应具有用户口令定期更新提示和更新确认；5）禁止明文存储口令”，对安全管理中心的“集中管控”d项提出增强要求“应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理，具体要求包括：宜对操作系统、应用软件、中间件等进行版本管理和监控”。
(2）控制点和指标项的增加
信创环境系统新增控制点和新增指标项主要集中在增强版标准通用要求的安全物理环境、安全计算环境、安全建设管理和安全管理中心四个层面中，第二级信息系统和第三级信息系统分别新增加了11和14个指标项，具体如表1。
3.3 测评实施过程对比分析
信创环境系统测评与x86架构系统测评实施过程是相同的，均包括测评准备、方案编制、现场测评、分析与报告编制等四个阶段。
(1）测评准备调研阶段
测评调研活动的目的是顺利启动测评项目，收集定级对象相关资料，准备测评所需的资料，为编制测评方案打下良好的基础。
在准备调研阶段，信创环境系统调研内容大体与x86架构系统相同，但在“服务器/存储设备”部分中新增对CPU芯片、设备品牌和型号等两方面内容的信息采集。
(2）测评方案编制阶段
方案编制活动的目的是整理测评准备活动中获取的定级对象相关资料，为现场测评活动提供最基本的文档和指导方案。
在方案编制活动包括测评对象确定、测评指标确定、测评内容确定、工具测试方法确定、测评指导书开发及测评方案编制六项主要任务。
在方案编制阶段，因信创环境系统采用的国产操作系统、数据库、中间件与x86架构系统采用的操作系统、数据库、中间件存在差异，需要开展以下两方面工作：开发针对国产操作系统、数据库、中间件的测评作业指导书；根据调研阶段采集到的测评对象信息，编制测评方案。
信创环境系统的测评方案框架与大体上x86架构系统测评方案相同，但是测评对象和测评指标需要根据特定应用等级保护基本要求的增强版标准进行相应的内容增加。
(3）现场测评阶段
信创环境系统的现场测评与x86架构系统现场测评的差异体现为“一增加一深入三不变”。
“一增加”：信创环境系统现场测评内容的增加主要体现在前文所述的增强版标准通用要求的安全物理环境、安全计算环境、安全建设管理和安全管理中心四个层面中，二级和三级系统分别新增加了11和14个指标项。
以下为隐藏内容，登录后可见。