网络安全认证、测评与资质体系
这里不解决“安全领域有哪些证”，而解决：我的企业、系统、产品和人员分别需要什么证明，以及为什么。
认证、检测、测评、鉴证、合规验证和人员资格的性质不同，不能互相替代。
先判断：到底要不要做
确定对象：企业 / 系统 / 产品 / 人员
↓
是否存在法律法规或监管要求？
├─ 是 → 法定 / 条件强制
└─ 否 → 是否属于行业生态或市场准入？
├─ 是 → 行业 / 商业准入
└─ 否 → 是否属于客户、采购或合同要求？
├─ 是 → 合同驱动
└─ 否 → 自愿能力证明
判断时统一记录：对象、类型、地域、触发条件、规则机构、范围、周期/有效状态、官方查询、交付证据、变化后是否重评。
四类对象
| 对象 | 主要问题 | 典型项目 | 阅读 |
|---|---|---|---|
| 企业/组织 | 整体治理体系或控制是否可信 | ISO 27001、SOC 2 | 企业与组织 |
| 系统/环境 | 一个具体系统需要接受哪些验证 | 等保、密评、关基测评、PCI DSS | 系统与环境 |
| 产品/方案 | 产品能否销售、采购或进入特定市场 | 安全产品认证/检测、商密认证、CC、FIPS、PCI产品 | 产品与方案 |
| 人员/机构 | 谁具备个人能力或专业评估资格 | CISP/CISSP、等保/密评机构、PCI QSA | 人员与机构 |
五类触发性质
| 性质 | 含义 | 例子 |
|---|---|---|
| 法定/监管要求 | 命中法定条件后必须落实 | 等保、适用系统密评、目录内安全产品认证/检测 |
| 行业/商业准入 | 行业规则或生态参与条件 | PCI DSS及PCI产品体系 |
| 采购/合同要求 | 客户、集团或供应链要求 | ISO 27001、SOC 2等常见于B2B采购 |
| 市场能力证明 | 提升客户信任或降低重复审计成本 | ISO管理体系、部分产品评价 |
| 个人能力证明 | 证明个人知识、经验或专项能力 | CISSP、CISP、OSCP等 |
典型组合
**中国重要支付系统：**先判断等保和密评；被依法认定为关基时叠加关基保护与测评；进入支付卡数据环境时再判断PCI DSS。
**中国网络安全产品厂商：**先判断产品是否进入现行《网络关键设备和网络安全专用产品目录》；命中目录后选择安全认证或安全检测。属于商用密码产品时，再判断商用密码产品认证目录。
**全球支付机构：**组织治理可以采用ISO 27001等体系；支付卡数据环境按PCI规则验证；终端、HSM、P2PE和支付软件分别判断对应PCI产品/方案标准；再叠加经营地监管。
三条原则
- 范围比证书名称更重要。 证明通常只覆盖特定组织、系统、地点、产品或版本。
- 证明什么，也要说明不证明什么。 ISO 27001不替代等保、密评或PCI DSS；人员证书不替代机构资质。
- 重大变化后重新判断。 组织边界、系统架构、产品版本、业务地域和监管身份变化，都可能改变适用性和原有证明的有效性。
拿到证明后怎么验
完成认证或测评只是前半段。采购、审计和监管检查还要验证证明是否真实、有效并覆盖当前对象。
统一核验方法见安全合规证明怎么验真：主体 → 范围 → 对象/版本 → 标准 → 时间 → 出具方 → 例外 → 官方核验。