《信创安全能力建设技术指南》报告发布

近年来，在国内数字化转型深入发展和国际政治环境风云变幻等因素共同推动下，我国信创产品与服务市场需求正面临井喷式增长，以国产化技术创新为核心的信创计划逐步扩展到金融、电信、交通、能源、航空航天、教育、医疗等领域，信创产业进入了快速发展的轨道。

由于网络安全是信息化、数字化的基座，因此，开展信创建设也极大地扩展了网络安全产品与服务的内涵和范围，已成为当前网络安全的重点关注领域。开展信创能力建设的政策红利将有力地推进网络安全信创市场的快速发展，同时，企业组织也需要以落实信创合规的角度重新审视新时期网络安全建设的思路与方法。

为了帮助企业组织更好地关注和了解信创安全能力建设，在中国计算机学会抗恶劣环境专业委员会指导下，安全牛根据第十一版《中国网络安全企业100强》信创安全能力维度评估结果，特别邀请到安天、吉大正元、绿盟科技、美创科技、明朝万达、奇安信、深信服、天融信、万里红、亚信安全（排名不分先后，以公司简称首字母序排列）10家国内信创安全建设领域的代表性厂商，联合发起《信创安全能力建设技术指南》报告研究工作，就信创环境下开展网络安全能力建设的技术体系、应用实践、总体规划、应用难点、服务模式与市场前景等方面进行分析与研究。2023年12月27日，报告正式发布。

1. 信创与安全同源，但信创并不等同于安全。信创安全建设的根本目标是要从底层重塑一个安全、自主、创新发展的ICT产业链。

2. 信创安全能力建设不能简单理解为对国产化环境的兼容适配和对传统安全产品的平行替代。在信创环境下，网络安全能力建设所表现出的不同之处除了底层基础设施的不同外，还在于未来随着不同底层设施环境所支撑的业务系统的不同，需要配套对应不同的安全产品和服务。因此，信创安全建设需要在IT场景多元化与业务场景多元化并存的状态下持续演进与发展。

3. 信创安全技术的未来发展离不开云化应用场景，包括云原生安全能力以及安全能力的云化服务等。按照IT产品技术和硬件迭代的周期性规律，安全牛预计在未来3-5年，我国企业组织会进入全面云化或全面信创的安全建设阶段，而在未来5-8年，将会进入最终全面信创的云化安全时代。

4. 报告认为，当前信创安全在供给侧亟需核心技术能力的突破，包括重新构建信创漏洞知识库、核心级基础软硬件技术突破、更多研发投入和更长周期研发准备，同时要合理规划安全厂商和基础软硬件生态在技术投入方面的角色和界限。此外，还需强化底层信息共享机制，以确保整个信创安全体系的协同和效率。

5. 报告认为，当前信创安全在用户侧还缺乏明确的思路和指南，既有安全方面的挑战又有建设方面的挑战，也有云、数、智等新兴场景应用的挑战。信创环境下安全与IT建设并举才能真正实现安全自主，这需要国家层面对信创安全建设给出通用的技术标准，以及适合需求侧的业务应用标准。

6. 未来的信创安全威胁主要来自两大方面，一方面是来自勒索软件、针对物联网的攻击、云、数据及应用等的威胁，另一方面是来自信创底层基础软硬件及信创ICT环境自身的安全风险。

信创安全是一个多维度、动态发展的概念，旨在通过技术自主性和创新性来确保信息技术系统的安全和可靠。因此，报告给出的信创安全的定义是：在关键核心技术自主可控的前提下，发现和防护由信创软硬件组成的终端、网络、数据、应用、服务等整个信创ICT环境中的漏洞风险和攻击威胁，同时发展和构建有别于传统安全模式的新兴安全架构、技术体系、方案及实践。

图：信创安全能力建设关键要素

在信创环境下，网络安全能力建设所表现出的不同之处除了底层基础设施的不同外，还在于未来随着不同底层设施环境所支撑的业务系统的不同，需要配套对应不同的安全产品和服务，加上底层设施的异构特性，使得信创安全将会在IT场景多元化与业务场景多元化并存的状态下持续演进与发展。

按照IT产品技术和硬件迭代的周期性规律，安全牛预计在未来3-5年，我国企业组织会进入全面云化或全面信创的安全建设阶段，而在未来5-8年，将会进入最终全面信创的云化安全时代。

本次报告研究认为，信创安全的关键技术能力可以分为：核心级关键技术能力的突破、对信创整体架构的安全漏洞研究、基于云数智等新兴技术将安全能力集成输出三个方面。在基础上，报告总结提出开展信创安全体系建设的“22245”框架。

图：信创安全能力体系建设框架

• 2大目标，解决“卡脖子”问题，实现自主可控和安全可靠，即实现产品自主研发、供应链和生态可靠、具备相关要求的技术和应用的证明；

• 2层基础设施，即核心级基础软硬件和系统级基础软硬件作为底座；

• 2套平台，即面向全局IT设施和业务应用的风险监测平台与运营安全平台：

• 风险监测平台：建立针对全局信创环境中产品漏洞的发现、验证、检测、响应等全流程的管理体系，包括识别信创产品漏洞的工具和流程的建设。
• 运营安全平台：确保在信创环境中的静态IT资产的安全，并加强运行中的各类软硬件、数据等资产、威胁、脆弱性等安全管理，降低信息系统和业务面临的风险，实现IT系统运维和运营的一体化安全。

  
  

• 4大模块，即政策标准模块、人才培养模块、生态共建模块、产品方案认证模块，确保信创环境的自主可控；

• 5大能力，包括基础软硬件安全共建能力、端网数用等安全集成和云化安全能力、密码和备份修复等数据应用全生命周期的安全能力、零信任安全能力、密评和等保等合规安全能力，通过这些技术能力支撑和确保信创环境的安全可靠。

  
  

报告调研发现，企业组织在开展信创安全能力建设时，主要面临兼容稳定、漏洞发现、防御攻击、安全保密、安全运营协同等挑战。尽管行业信创都在积极推进，但信创安全目前还没有得到用户侧的足够关注和重视。同时，企业信创安全能力建设往往未能与信创项目同步规划和实施。根据调研分析，信创替代仍然是企业当前信创安全建设的主要原因，但是随着信创建设的推进和用户对信创环境下风险的认识越来越深入，报告建议用户侧加强对以下2点的关注：

1. 借着信创建设的机会重新规划安全和IT建设；

2. 基于业务应用场景的需求，规划安全能力，非安全产品，而是安全能力，以及安全服务。

为了有序推进信创安全能力建设，本次报告提出如下图所示的信创安全建设路线图：

图：信创安全能力建设路线图

报告认为，企业信创安全能力建设和云计算技术应用融合将是一个重要的发展趋势。云是新型基础设施，信创改造涉及正常办公和业务需求，所以基础设施不能回退只能迎新，相应的信创和信创安全能力都需要云化适配与改造，云内和云外需要互联互通，且都保持安全。在云环境中，安全与基础软硬件一起成为系统级原生能力，使得信创安全更多以“类SaaS模式的安全服务”而存在，既把传统“碎片化”的“安全盒子”整合为原生安全能力，又拓展了安全作为服务的售卖模式，这将极大推动未来信息网络安全产业发展模式的转型。

为了更好了解我国网络安全企业在信创安全领域的技术研发和应用情况，本次报告根据第十一版《中国网络安全企业100强》信创安全能力维度评估结果，特别邀请到安天、吉大正元、绿盟科技、美创科技、明朝万达、奇安信、深信服、天融信、万里红、亚信安全（排名不分先后，以公司简称首字母序排列）10家国内信创安全建设领域代表性厂商进行了调研访谈，并对其信创安全的技术和服务能力进行了研究分析。

安天的信创安全工作始于2012年核高基，较早为国产化操作系统提供安全防护和早期安全规划建议，拥有在恶意代码查杀、APT防御、勒索软件防护、国产化平台防护支持方面的技术优势，现已构筑了一套从端点安全到流量安全监测、从传统场景到更广泛ICT场景的从核心引擎到大规模自动化分析的体系和强威胁对抗产品体系。同时在信创产品的质量与安全可靠性方面，具有完善的检测、分析和试验能力。此外还是国家相关部门的重要的测试支撑机构、产品漏洞检测机构，在安全工程方面还建立了一套SecDevOps流程体系。

安全牛评：安天在信创安全领域的成长和发展有其特殊的安全背景和威胁防御基因，公司在国内安全厂商中较早投身信创并始终着眼安全核心能力和大安全体系，积极推进产业发展，主张安全与IT同步规划。

吉大正元现基于大数据技术推出新一代数字安全体系“元安全”，信创工作早在1999年公司成立起就参与其中，发展至今见证了国家自主可控产业发展的历程，承接过全国各部委、集团、省市等信创项目建设，包括项目集成、咨询、培训、方案设计及实验测试等。

安全牛评：吉大正元的信创安全布局有其特殊的安全发展背景和密码基因，公司较早投身信创并能在当前的行业信创市场竞争中具备了一定先发优势，专门成立从事信创业务的子公司，负责信创产品销售和信创项目集成业务。

绿盟科技在云计算、大数据、物联网、工业互联网、新型基础设施建设、信息技术应用创新等多个领域，不断推出适应新场景的全线网络安全产品、全方位解决方案和体系化安全运营服务。公司从2017年起即开启信创安全相关研发工作，现已完成全系产品的信创适配，安全能力覆盖漏洞管理、网络安全、应用安全、数据安全、运维安全、云安全和综合安全态势等。

安全牛评：绿盟科技在信创安全领域有较深厚的技术积累，能够将已有的网络安全实验室运用在信创漏洞挖掘和信创安全技术研究。同时，绿盟科技借鉴华为IPD流程优化原产研管理效能，形成全线网络安全产品的信创化安全能力提取，既有传统“盒子”产品也有信创“安全集成”能力。

美创科技聚焦数据安全与价值挖掘，拥有数据安全、运行安全、运维和安全服务三大业务，信创安全业务主要围绕两方面需求：1）信创环境下的数据安全能力建设，包括数据安全全系产品、运行安全全系产品、数字化转型全系产品；2）信创环境重构中的国产化数据迁移服务，包括迁移前、中、后对应的各项服务、技术、保障、培训等。

安全牛评：美创科技在信创安全领域中专注数据安全保护维度，具备数据库及其他数据安全能力的先天优势，聚焦数据安全和信创数据库重构，并向全生命周期数据安全拓展。

明朝万达的信创安全工作，主要在大数据、云计算等新技术应用背景下，以数据安全为核心、自主可控的国密算法应用技术为基础，打造数据安全国产化品牌，践行国产化“自主可控”战略的持续推进，为国产化安全软件生态体系的进一步完善贡献坚实的力量。目前，已有多款数据安全产品和解决方案入围信创适配名录，成为信创产业安全领域的中坚力量。

安全牛评：明朝万达在信创安全中聚焦云计算和大数据场景下的动态数据安全防护能力构建，公司专门成立技术创新部门，持续跟进信创领域新技术发展，保证技术先进性，并将国密算法融入数据安全技术。

奇安信的信创业务主要包括终端安全、边界安全、态势感知与安全运营系统，以及信创云、虚拟化等。一方面在信创终端安全方面深度集成国家商用密码算法模块，形成同台同端的终端一体化安全能力及方案；另一方面在信创边界安全方面依托鲲鹏平台硬件解耦的软件架构，将边界安全产品的适配速度提升90%；此外通过态势感知和安全运营系统，解决信创环境下的用户威胁检测、告警分析、事件处置、安全态势监控等方面的问题。同时具备产品力和渠道力优势。

安全牛评：奇安信是我国最早开展信创安全技术研究的厂商之一，公司主张信创安全能力需要与IT同步规划同步建设，倡导内生安全的理念和安全能力。公司以“底层预检测”为技术特色，同时也是行业中信创安全漏洞发现的重点支撑单位，产品方面按主流、扩展、全栈三个级别从终端安全向“云网边端数智链用”等的全场景安全产品及方案拓展，战略布局方面从信创单产品销售向信创安全咨询、验证、规划等业务拓展。

深信服拥有“智安全”和“信服云”两大业务品牌，产品服务涵盖企业级网络安全、云计算、IT基础设施及物联网，目前已完成全线产品的信创适配，并且广泛参与了国家及多行业的信创相关标准的制定，积极与合作伙伴、生态伙伴等构建共赢的生态圈，先后与麒麟、统信等厂商建立了5个联合实验室。

安全牛评：深信服在信创技术和产品方面布局全面，覆盖了“云网边端”多个维度，横跨安全和云计算两大技术领域。近年来，公司持续拓展信创安全综合解决方案能力，并持续投入技术创新，在信创生态建设方面表现较为突出，不仅有完善的渠道体系，还新增信创技术路线生态、信创战略及信创行业生态。

天融信科坚持自主创新，基于与国产CPU、操作系统、数据库、浏览器、中间件等生态伙伴的深度合作与积极技术攻关，始终走在信创网络安全技术应用创新与生态建设的前沿。截至目前，已打造了覆盖基础网络安全、工业互联网安全、车联网安全、云计算领域的信创网络安全产品图谱。同时天融信助力国家信创产品漏洞治理工作，连续2年荣获信创政务产品安全漏洞专业库（CITIVD）优秀技术支撑单位，并积极参与产业内各类重要报告的编写工作。

安全牛评：天融信公司高度重视对信创漏洞挖掘、安全芯片、安全操作系统以及硬件加速卡的研发投入，其技术产品已经具备了云计算、大数据、工业互联网、车联网安全等多个领域信创安全能力，同时实现了新方向新场景下安全与业务的深度融合与落地实践。

万里红公司自成立起即开启了与信创安全要求高度符合的相关研发工作，先后涉足基础软件、电子政务平台、信息安全保密等领域，现已形成围绕主机安全防护、保密检查、网络安全、数据安全、应用安全及平台安全等多元化的信创产品体系，立足于党政市场，进一步进军行业市场。

安全牛评：万里红的成长历程有其特殊的发展背景和保密基因，因此能够很早投身信创领域并能在当前行业信创市场具备先发优势。公司坚持自主研发，从保密安全向数字安全整体解决方案延伸拓展，持续围绕新兴应用场景进行安全技术创新，从单品销售向系统集成和安全运营拓展。

亚信安全一直致力于自主创新的产品研发与创新，近几年陆续发布基于国产化硬件平台和国产操作系统自主设计开发的网络安全产品，包括：主机审计、堡垒机、入侵防御、流量分析、防病毒、零信任、身份认证、防火墙等。

安全牛评：亚信安全较早开展了信创安全相关研究工作，目前已形成覆盖“云网边端”的体系化信创安全方案能力，打造满足等保2.0的全线信创安全产品。同时，公司将早期在运营商行业自有产品研发中的经验应用到信创基础软硬件生态中。目前，公司在北京国家信创园建立公司信创总部。现已全面从身份安全向“云网边端数”一体化安全拓展，业务也从信创单产品销售向信创项目咨询拓展。