安全合规证明怎么验真
看到“已认证”“已通过测评”“符合PCI”“专家持证”时，不先看证书名称，而先回答三个问题：
是真的吗？现在还有效吗？覆盖的是我正在采购或检查的这个对象吗？
八步核验
| 步骤 | 核对内容 | 常见问题 |
|---|---|---|
| 1. 主体 | 公司、法律实体、机构、个人姓名 | 集团A有证，实际签约主体B没有 |
| 2. 范围 | 业务、地点、系统、环境、产品 | 证书只覆盖总部，却用于证明海外子公司 |
| 3. 对象 | 系统边界、产品型号、软件版本 | 同品牌不同型号/版本被混用 |
| 4. 标准 | 标准名称、版本、适用规则 | 使用旧标准或已经退役的体系 |
| 5. 时间 | 签发、评估期间、到期、监督状态 | 证书未过期但重大变化后范围已失真 |
| 6. 出具方 | 认证、检测、测评、审计机构及人员资格 | 报告出具方没有对应业务资格 |
| 7. 结论 | 例外、不符合项、限制、补偿控制 | 只看首页“通过”，不看报告限定条件 |
| 8. 官方核验 | 官方数据库、listing、机构名录或原始报告 | 只接受厂商截图或自行制作的certificate |
不同证据分别看什么
证书
适用于ISO管理体系、部分产品认证和个人职业认证等。
重点看：证书编号、认证对象、认证范围、标准版本、认证机构、认可信息、签发/有效状态。证书本身通常不能证明范围外的系统或产品。
测评/评估报告
适用于等保、密评、关基等。
重点看：测评对象边界、测评时间、依据标准、机构资格、结论、不符合项、整改和复测情况。采购或监管检查时，不应只接受“通过测评”的口头结论。
鉴证报告
SOC 2等属于这一类。重点看报告期间、服务范围、控制目标/Trust Services Criteria、审计意见、例外项和客户侧责任。Type I与Type II证明的时间维度不同，不能混称。
官方listing
PCI产品/方案、国内网络安全产品认证检测结果等，官方listing往往比厂商自己提供的证书截图更可靠。
必须匹配：产品名称 + 型号/版本 + 厂商/生产者 + 状态 + 有效时间。
人员与机构资格
核对个人资格时看姓名、证书编号、状态和有效性；核对专业机构时还要看机构是否具备当前业务的评估资格。个人有证不能推导机构有资质，机构有资质也不能推导任意员工都能签署报告。
采购场景的最小证据包
厂商声称“已通过认证/测评”
↓
获取原始证明文件
↓
主体 + 范围 + 型号/版本 + 时间
↓
核对出具机构资格
↓
能官方查询的必须官方查询
↓
阅读例外和限制条件
↓
记录核验时间、入口、编号和结论
对于关键产品或服务，不要只在首次准入时验证。证书到期、产品升级、主体变更、服务架构重大变化时，应重新核验。
四类对象的核验入口
| 对象 | 优先核验方式 |
|---|---|
| 企业/组织 | 原始证书/报告 + 认证或审计机构信息 + 适用的认可/验证渠道 |
| 系统/环境 | 完整测评/评估文件 + 对象边界 + 测评机构资格 + 整改复测 |
| 产品/方案 | 官方产品结果库/listing + 精确型号/版本 |
| 人员/机构 | 发证组织或规则机构的证书/名录/listing |
具体项目的查询方式见企业与组织、系统与环境、产品与方案、人员与机构。
典型红旗
- 只提供一张图片，不提供证书编号或原始报告；
- 用母公司证书证明子公司；
- 用厂商级证书证明所有产品型号；
- 证书有效，但认证范围不包含当前业务；
- 软件版本升级后仍引用旧版本产品listing；
- 把SOC 2称为“政府认证”；
- 把等保测评称为“国家安全认证”；
- 把PCI DSS自行制作的certificate当作PCI SSC认可证明；
- 个人持证被包装成机构具备法定测评资格。
企业怎么管理
建议在供应商和合规台账中统一保存：
证明类型、编号、对象、范围、版本、出具机构、签发/评估日期、有效状态、官方核验入口、最近核验时间、核验人、重大变化触发条件。
这样“验真”就从一次性人工动作变成持续的供应链和合规控制。
返回总览。