前期回顾
2025年9月， 中国信息安全测评中心根据《安全可靠测评工作指南V3.0》要求，已公布六版安全可靠测评结果。
最近有被问到等级I级和II级有什么不同？
以CPU为例：以下是6大品牌芯片的安全可靠测评结果汇总（2025年第2号无新增芯片）
龙芯12款
飞腾9款
鲲鹏8款
兆芯7款
申威6款
海光4款
为快读理解，可以把它类比为大家更熟悉的网络安全等级保护制度（等保2.0）：
安全可靠Ⅰ级 ≈ 应用于等保二级或部分等保三级系统的产品要求。
安全可靠Ⅱ级 ≈ 应用于等保三级及以上（尤其是等保四级）关键信息基础设施的核心产品要求。
根据《安全可靠测评工作指南（V3.0）》，通过对产品及其研发单位的核心技术、安全保障、持续发展等方面开展评估，评定产品的安全性和可持续性，实现对产品研发设计、生产制造、供应保障、售后维护等全生命周期安全可靠性的综合度量和客观评价。
1. 安全能力与技术要求
Ⅰ级：更像是一个 “准入门槛”。它要求产品本身没有已知的严重安全漏洞，并实现了行业标准中要求的基本安全功能。
Ⅱ级：则要求产品具备主动防御和内生安全的特性。这不仅要求产品安全，还要求其安全机制是透明、可验证、可维护的。例如：
可测性：是否提供足够的管理接口和日志，方便进行安全监测和审计？
可审性：架构设计和代码是否清晰、可分析？（可能会要求部分源代码审查）
可防性：是否能有效抵御来自外部的渗透攻击和内部的越权行为？
可控性：是否对产品的后台行为、数据流有完全的控制力？
2. 供应链与自主可控
这是“安全可靠”测评的核心关注点。
Ⅰ级：要求产品供应链透明，厂商需要说清楚关键组件（如处理器的内核IP、操作系统的核心模块）的来源，并证明其供应不受单一外部势力垄断，具备基本的替代方案。
Ⅱ级：要求本质安全和高程度自主可控。这意味着产品的核心架构、关键代码和主要组件必须由中方主导开发和控制，确保在任何情况下（包括极端国际环境下）都能获得持续的技术支持、更新和供应，不存在“断供”或“后门”风险。
3. 厂商能力与可持续发展
Ⅱ级：深度考察厂商的整个组织和流程。包括：
是否建立了安全开发生命周期（SDL）？
是否有强大且快速的漏洞挖掘和应急响应团队？
是否有清晰的产品迭代路线图和长期投入计划？
整个组织架构和管理流程是否能支撑产品持续安全可靠地演进？
简单来说：
通过Ⅰ级测评的产品，证明了它是一款安全、稳定、可控的国产产品，可以用于大多数一般性的政务和商业场景。
通过Ⅱ级测评的产品，则证明它是是一款高度自主、深度安全、韧性可靠的核心产品，有资格进入国家最核心、最敏感的关键信息基础设施领域，承担起支撑国家数字底座的重任。
