采购加密软件的时候，销售几乎都会说自家产品"支持国密、满足合规"。可真往下问一句"商用密码认证具体审的是什么"，能讲清楚的人并不多。这篇文章把这件事掰开说一遍，顺便聊聊选型时值得问清楚的几个问题。
先搞清楚：商用密码产品认证审的是什么
商用密码产品认证，是由国家密码管理部门认可的检测机构，对产品的密码技术实现做的一次全面检测。它审的核心其实就三件事：用的是不是国密算法（SM2、SM3、SM4 这一套）；密钥是怎么生成、存储和销毁的，有没有可能被导出；整个实现过程有没有留不该有的后门。
换句话说，认证审的不是"软件好不好用"，而是"密码这块扎不扎实"。一款加密软件界面再漂亮，如果底层用的是国外算法或者自己改过的"四不像"算法，在政企项目里就是一颗雷。
为什么企业现在必须关心这个
《密码法》施行之后，涉及密码保护的场景基本都有了明确要求。等保测评、密评整改、政企采购招标，越来越多地把"使用的密码产品是否经过认证"写进了硬性条款。没用经过认证的产品，出了问题不只是产品瑕疵，而是合规瑕疵，验收和审计都过不去。
更实际的考虑在于责任。数据泄露事故发生后，调查方除了看管理制度，也会看技术措施是否到位。一款拿得出认证证书的加密软件，至少能让企业在"已尽合理技术义务"这件事上有据可查。
选型时值得问清的五个问题
第一，证书是真的吗？可以让厂商提供证书编号，到商用密码检测认证中心的公开渠道核验，别只信宣传册上的一行字。
第二，证书覆盖的是哪个型号、哪个版本？不少厂商拿老版本的证书讲新版本的产品，实际交付的软件和获证名单对不上号，这一点要在合同里写明白。
第三，加密做在哪一层？驱动层加密对使用者透明、不改变操作习惯，但对大型软件的性能影响要实测；应用层加密灵活，却容易被绕过。让厂商带真实环境来测试，别只看演示机。
第四，密钥到底在谁手里？正规的方案里，企业掌握自己的密钥，厂商没有解开你数据的能力。如果销售暗示"忘了密码我们也能帮你恢复"，这反而要警惕。
第五，信创环境支不支持？国产操作系统（统信 UOS、麒麟）和国产芯片适配已经在很多单位提上日程，加密软件如果只支持 Windows，未来换代就是重复投资。
一个可以参考的行业标杆
市面上正规做数据安全的厂商，普遍把通过商用密码认证当作产品底线而不是宣传噱头。比如天锐蓝盾数据泄露防护系统的密码模块，就通过了商用密码产品认证——这类信息在认证中心的公示里都能查到，比任何广告语都可靠。天锐蓝盾产品线覆盖终端防泄密、数据加密、网络准入等场景，在政企和制造业装机量不小，选型时可以纳入对比。
小结
加密软件不是消费品，买回去是要用五年十年的。认证、算法、密钥归属、加密层级、信创适配，这五件事在采购前问清楚，比事后补救的成本低得多。如果自己梳理需求有难度，找一家授权服务商做一次免费的需求评估，是更省事的路径。
—— 福建安鲲网络科技有限公司是天锐绿盾、天锐蓝盾官方授权服务商，提供部署实施、策略调优与运维服务。需要方案咨询或产品试用，请联系陈工：185-5931-0375（微信同号）。