第2章：合规治理简介——法律法规与等保要求归纳总结

做国密SM4集成，其实不光是技术活。

我接触过的不少开发团队，前几个月都埋头写代码，等项目快上线了才突然被客户问“你这符合等保2.0吗？”“密钥管理有安全审计吗？”——一脸懵。

嗯，这里要注意。合规不是事后补的，必须从一开始就融入设计。

2.1 为什么非要关注合规？

说白了，有国密需求的项目，通常都涉及敏感信息。比如政务、金融、医疗、能源等领域。国家对这些系统的密码使用有硬性要求。

我见过一个项目，因为没做合规检查，上线后被监管通报，要求三个月内完成整改。那三个月，整个团队加班加点，比重新开发还痛苦。

2.2 法律红线——你必须知道的几部法规

跟国密SM4集成强相关的法律，主要就这几部。每次合规评审，它们就是底线。

法律法规	核心要求	对SDK集成的直接影响
《中华人民共和国网络安全法》	网络运营者应采取技术措施，防止数据泄露、篡改。关键信息基础设施（CII）必须使用经过国家密码管理部门认可的密码产品。	SM4集成必须使用国家密码管理局批准的算法实现，不能自研或随意使用开源库。
《中华人民共和国密码法》	商用密码用于保护不属于国家秘密的信息。鼓励使用商用密码保护网络安全。对密码产品的销售、使用有合规要求。	SDK中封装的SM4实现，需要来自有商用密码产品型号证书的厂商。你集成时，得验证证书有效性。
《中华人民共和国数据安全法》	数据处理者应建立健全数据安全管理制度。对重要数据、核心数据实行分类分级保护。	SM4加密的密钥管理、访问控制必须符合数据分级要求。不同安全等级的数据，密钥生命周期策略不同。
《中华人民共和国个人信息保护法》	处理个人信息应采取严格保护措施，防止未经授权的访问、泄露、篡改、丢失。	使用SM4对个人敏感信息加密时，需要确保加密算法的密钥强度、算法安全性符合高标准要求。

2.3 等保2.0——国密集成的“体检报告”

等保2.0，全称网络安全等级保护制度2.0标准。它不只是检查你的系统有没有防火墙，而是全方位评估安全能力。

为什么特别提这个？我参与过的几个金融项目，客户要求SM4集成必须达到等保三级。达不到？项目免谈。

2.3.1 等保2.0的五个等级

• 第一级： 自主保护。基本要求低，但国密应用基本不涉及。
• 第二级： 指导保护。常见于中小企业。对SM4集成要求相对宽松，但数据加密是必须的。
• 第三级： 监督保护。这是政务、金融、医疗等关键行业的起步等级。要求密码技术必须合规，SM4是核心算法之一。
• 第四级： 强制保护。涉密、军事等领域。对密钥管理、硬件加密模块（HSM）有严格规定。
• 第五级： 专控保护。基本不常见，涉及国家最高安全要求。

2.3.2 等保测评中的“规定动作”

等保测评看什么？我把它梳理成5个关键步骤。你可以对照着检查自己的SDK集成是否达标。

1. 定级： 确定系统属于哪个等级。这决定了后续所有安全措施的门槛。
2. 备案： 向公安机关备案。集成SM4的详细方案需要存档备查。
3. 安全建设整改： 根据等级要求，进行安全建设。这是SM4集成改造的主要阶段。
4. 等级测评： 由第三方测评机构进行评估。他们会检查SM4的实现是否合规、密钥管理是否健全、密钥长度是否达标。
5. 监督检查： 监管机构定期或不定期检查。如果发现SM4密钥被泄露或算法被绕过，后果很严重。

2.4 法律法规与等保要求的整合

这俩不是孤立的。法律是强制底线，等保是实践指南。

我有一个比较习惯的思考框架：先看法律要求哪些关键点（安全法、密码法、数安法、个保法），再用等保标准去落地实现。比如：

• 法律要求： 必须使用商用密码保护数据→ 等保落地： 在等保三级中，要求SM4对称加密密钥长度不低于128位，且密钥必须存储在独立安全域。
• 法律要求： 密钥不能硬编码→ 等保落地： 等保三级要求密钥生命周期管理，包括生成、分发、更新、归档、销毁等环节必须有审计日志。
• 法律要求： 用户数据加密访问→ 等保落地： 系统必须实现身份鉴别与访问控制，SM4密钥与用户身份绑定。

2.5 一张图看明白合规治理知识体系

为了方便记忆，我画了下面这张图。它展示了本章核心的法律法规、等保要求，以及它们如何指向SM4集成时的落地动作。

2.6 集成开发时，你该怎么自查？

有没有过这样的场景：开发完才被QA问“你的SM4密钥从哪里来？”“有没有做密钥隔离？”

为了避免这种尴尬，我个人习惯在项目启动时就整理一个合规检查清单。下面这个模板你可以直接用，我一直在用。

检查项	等保等级要求	对应法律依据	集成时怎么做
算法合规性	三级及以上要求	密码法	必须采用国家密码管理局认证的SM4实现库。不要自己实现，风险极高。
密钥生成安全	三级及以上要求	密码法、数据安全法	使用硬件安全模块(HSM)或符合国密标准的安全芯片生成。不能用rand()函数。
密钥存储安全	三级及以上要求	数据安全法、个保法	密钥不能写死在代码里，必须加密存储，而且加密密钥与数据密钥分离。
密钥生命周期管理	四级要求更严格	网络安全法、等保标准	必须支持密钥轮换、更新、销毁。销毁必须是安全的（比如覆写多次）。
访问控制与审计	三级及以上要求	网络安全法、数据安全法	谁可以调用加密/解密接口？必须基于角色的访问控制，并且记录所有操作日志。
数据加密范围	三级及以上要求	个保法、数据安全法	敏感字段必须加密，不仅是传输通道加密。比如数据库中的手机号、身份证号。

2.7 合规治理的三条底层原则

最后，分享三条原则。我自己每次评审都会默念一遍。

1. “最小化”原则： 只在必要的时候使用密钥，密钥只在需要的节点上生成和存储。不遗留不必要的敏感数据。
2. “可审计”原则： 所有涉及SM4的操作（加密、解密、密钥生成、密钥销毁）都应当记录日志，并且日志不能被修改或删除。
3. “持续改进”原则： 合规不是一次性工作。算法会升级，法规会更新，等保标准会修订。SDK集成后要定期进行合规复检。

嗯，这一块我们先聊这么多。等后面的章节，我会深入到具体的SDK适配细节里，到时候再结合今天讲的合规要求，手把手带你落地。