产品与方案认证检测
产品层的核心问题是：这个产品要进入目标市场或采购场景，是否存在强制准入或指定评价要求。
产品上市/采购判断
准备销售或采购一个安全/IT产品
├─ 进入中国网络关键设备/网络安全专用产品目录？
│ └─ 是 → 安全认证 或 安全检测
├─ 进入商用密码产品认证目录？
│ └─ 是 → 按目录和认证规则判断
├─ 进入支付产品生态？
│ └─ 是 → PTS / P2PE / Secure Software / MPoC...
└─ 有特定政府/客户采购要求？
└─ CC / FIPS等按目标市场判断
中国：网络关键设备和网络安全专用产品
2023年起，列入现行《网络关键设备和网络安全专用产品目录》的产品，应按相关强制性国家标准，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。
三个关键判断：
- 先看是否进入目录以及是否达到目录定义的范围/门槛，不能只凭产品名称判断；
- 认证和检测二选一即可满足这一市场准入要求，不是两个都做；
- 2023年7月1日起停止颁发原《计算机信息系统安全专用产品销售许可证》，不要继续把旧许可证作为现行准入路径。
现行目录包含达到指标门槛的路由器、交换机、服务器、PLC等网络关键设备，以及防火墙、IDS/IPS、数据备份恢复等网络安全专用产品。认证实施规则为CNCA-CCIS-2023。
采购时应核对官方结果中的产品类别、型号/规格/版本、生产者、符合标准、认证/检测机构、编号和有效期。
中国：商用密码产品认证
判断顺序是：
产品功能与形态 → 是否进入当前认证目录 → 对应认证依据 → 产品型号/版本 → 证书状态
目录会动态扩展。2025年发布的第三批目录继续增加SM9密钥管理系统、PLC控制器密码模块等产品，因此企业采购规则不应永久写死某一年的产品清单。
国际产品与支付方案
| 项目 | 主要对象 | 适用逻辑 |
|---|---|---|
| Common Criteria / ISO/IEC 15408 | IT安全产品 | 政府、关键行业或客户采购要求驱动 |
| FIPS 140-3 / CMVP | 密码模块 | 美国/加拿大政府及相关供应链场景常见 |
| PCI PTS POI | 支付交互设备 | 支付终端生态 |
| PCI PTS HSM | 支付HSM | 支付密码设备 |
| PCI P2PE | P2PE解决方案/组件/应用 | 支付数据点到点加密 |
| PCI Secure Software | 支付软件 | 支付软件安全 |
| PCI Secure SLC | 软件厂商生命周期 | 安全软件生命周期 |
| PCI MPoC | 商用移动设备支付受理 | 移动支付受理方案 |
PA-DSS已经退役，支付软件应按当前PCI Secure Software / Secure SLC等体系判断。
FedRAMP不放在产品认证表里。 它更接近美国联邦机构使用云服务时的授权和风险管理体系，应在美国海外监管/云服务准入专题维护。
采购验收清单
购买一个“已认证”产品时至少核对：
- 具体型号、版本是否与官方记录一致；
- 认证/检测结果是否仍有效；
- 生产者是否一致；
- 依据的标准版本；
- 软件/固件升级后原结果是否仍覆盖；
- 实际采购配置是否属于认证/检测范围；
- 是否存在官方结果查询或listing。
“厂商通过过认证”不是验收结论；必须落到本次采购的具体产品和版本。
官方核验入口
- 国家网信部门公开的网络关键设备和网络安全专用产品认证/检测结果查询；
- 国家认监委CNCA-CCIS-2023认证规则；
- 国家密码管理局商用密码产品认证目录；
- PCI SSC官方产品和解决方案listing。
有效性和变更
产品证明尤其依赖型号和版本。固件、软件、密码模块、硬件BOM或关键安全功能发生变化后，应重新确认原认证/检测/listing是否仍覆盖，而不是只看证书到期日。
采购台账至少记录：证明编号、型号/版本、官方状态、最近核验日期和触发重新核验的变化条件。
通用验真步骤见安全合规证明怎么验真。
返回总览。