BMB17分级保护与等保三级双达标：军工涉密系统密码合规路径
摘要：军工涉密单位面临一个独特难题——同一套信息系统既要满足BMB17分级保护，又要通过等保2.0三级测评，还可能被要求做商用密码应用安全性评估（密评）。三套标准各自独立发布，要求各有侧重，但密码产品不能买三套、系统不能改三次。本文从标准条款级对比出发，拆解BMB17与等保三级在密码应用上的交叉与差异，给出"一次部署、双标达标"的一体化合规路径。
一、为什么军工涉密系统要"双达标"
1.1 三套标准并行适用的底层逻辑
军工涉密单位的信息系统合规不是做选择题，而是做全选题。根据现行法规框架：
- BMB17-2006《涉及国家秘密的计算机信息系统分级保护技术要求》：涉密信息系统必须遵循的强制性标准，由国家保密局主管，依据《保守国家秘密法》授权制定
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（等保2.0）：所有非涉密但重要的信息系统必须落实，由公安部主管，依据《网络安全法》授权
- GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》（密评）：使用商用密码的信息系统需进行密码应用安全性评估，由国家密码管理局主管
军工单位的实际困境是：涉密信息系统走BMB17分级保护，但单位内部还有大量非涉密但重要的信息系统（如财务系统、OA系统、人力资源系统），这些必须走等保2.0。同时，如果这些系统使用了商用密码技术（通常都用了），还要做密评。
更复杂的情况是：部分军工单位的信息系统存在"涉密+非涉密"混合运行场景（在物理隔离前提下），涉密部分走BMB17，非涉密部分走等保，但密码基础设施（HSM、KSP、CA）是共享的——这就要求密码产品同时满足三套标准的认证要求。
1.2 三套标准在密码应用维度的条款级对比
| 密码应用维度 | BMB17分级保护（秘密级） | 等保2.0三级 | 密评三级（GM/T 0054） |
|---|---|---|---|
| 密码算法 | 国密SM系列（强制） | 国密优先，不强制 | 国密SM系列（强制） |
| 密码产品 | 必须国密局鉴定 | 建议国密局鉴定 | 必须国密局鉴定 |
| 身份鉴别 | 双因素+密码技术保护 | 双因素 | 密码技术鉴别 |
| 鉴别信息传输 | 国密SSL/TLCP | 加密传输 | 国密SSL |
| 密钥管理 | HSM+全生命周期 | 密钥管理要求 | GM/T 0054密钥管理 |
| 数据存储加密 | 必须（SM4） | 必须 | 必须（SM4） |
| 签名验签 | SM2（强制） | 建议 | SM2（强制） |
| 安全审计 | 全量审计+密码保护 | 审计日志保护 | 审计日志SM2签名 |
| 密码产品等级 | 二级及以上 | 不限定 | 二级及以上 |
从对比表可以看出一个关键结论：BMB17的密码要求严格覆盖了等保2.0三级的密码要求。也就是说，如果一个系统完全满足BMB17分级保护，其密码应用层面自然满足等保2.0三级的密码相关条款。密评的要求与BMB17高度重合，但密评更强调密钥生命周期管理的完整性和可验证性。
这意味着：以BMB17为基线建设密码体系，向上兼容等保和密评，是最经济的合规路径。
二、BMB17与等保三级的核心差异与交叉点
2.1 身份认证维度的差异
BMB17第5.2.3条要求：“涉密信息系统的身份鉴别应采用两种以上鉴别技术的组合，鉴别信息应采用密码技术进行保护，且应使用国家密码管理机构批准的密码产品。”
等保2.0三级（GB/T 22239-2019 第8.1.2条）要求：“采用密码技术保证重要信息在传输过程中的完整性，包括但不限于鉴别信息、文件、配置数据等；当使用便携式存储介质时，应采用密码技术保证介质中数据的完整性和保密性。”
两者的核心差异：
| 差异点 | BMB17 | 等保2.0三级 | 双达标要求 |
|---|---|---|---|
| 鉴别技术数量 | 两种以上 | 两种 | 取BMB17（更严格） |
| 鉴别信息保护方式 | 必须密码技术 | 加密传输 | 取BMB17 |
| 密码算法要求 | 国密SM系列 | 不限定 | 取BMB17 |
| 远程管理 | 禁止远程管理 | 加密远程管理 | 取BMB17（涉密系统） |
| 密码产品资质 | 必须国密局鉴定 | 建议但不强制 | 取BMB17 |
| 终端绑定 | 必须绑定终端 | 不要求 | 取BMB17 |
2.2 数据加密维度的交叉
数据加密是三套标准交叉最密集的维度：
BMB17要求：
- 第5.3.1条：涉密信息存储应采用密码技术进行保护
- 第5.3.2条：移动存储介质应进行加密和访问控制
- 加密算法必须使用SM4
等保2.0三级要求：
- 第8.1.4.1条：应采用密码技术保证重要数据在传输过程中的完整性
- 第8.1.4.2条：应采用密码技术保证重要数据在存储过程中的保密性
密评要求：
- GM/T 0054：数据传输机密性、数据存储机密性必须使用国密算法
- 密钥管理必须满足生成、分发、存储、使用、更新、归档、销毁全生命周期
三者在数据加密维度的要求完全一致——都是SM4加密存储+国密SSL传输。区别在于BMB17额外要求移动介质加密，等保额外要求完整性校验，密评额外要求密钥生命周期可审计。
2.3 密钥管理维度的要求叠加
密钥管理是"双达标"建设中最容易出问题的环节，因为三套标准对密钥管理的要求颗粒度不同：
BMB17密钥管理要求（第5.5节）：
├── 密码产品必须通过国密局鉴定
├── 密钥必须在HSM中生成和存储
├── 密钥操作必须双人授权
└── 密钥销毁必须不可恢复
等保2.0密钥管理要求（第8.1.3节）：
├── 密钥应有专门管理措施
├── 密钥应定期更换
└── 密钥存储应安全
密评密钥管理要求（GM/T 0054）：
├── 密钥生成：HSM真随机数
├── 密钥分发：SM2公钥加密分发
├── 密钥存储：HSM硬件存储
├── 密钥使用：访问控制+审计
├── 密钥更新：定期+事件触发
├── 密钥归档：双管理员授权
└── 密钥销毁：安全擦除+审计
密评的要求最细化，BMB17的要求最严格，等保的要求最基础。以密评GM/T 0054为密钥管理建设标准，同时满足BMB17的"国密鉴定产品"硬性要求，就同时达标了三套标准。
三、"一次部署、双标达标"的一体化合规架构
3.1 四层密码合规体系架构
┌───────────────────────────────────────────────────────────┐
│ 军工涉密系统双达标密码合规体系 │
│ │
│ ┌─────────────────────────────────────────────────┐ │
│ │ 第一层：身份认证层 │ │
│ │ ASP身份认证平台 + UKEY硬件令牌 │ │
│ │ ├─ MFA多因素认证（口令+UKEY证书+可选生物特征） │ │
│ │ ├─ SSO单点登录（SAML 2.0，SM2签名令牌） │ │
│ │ ├─ 终端绑定+并发控制+会话超时 │ │
│ │ └─ 满足：BMB17 5.2.3 / 等保 8.1.2 / 密评 GM/T0028│ │
│ └─────────────────────────────────────────────────┘ │
│ │
│ ┌─────────────────────────────────────────────────┐ │
│ │ 第二层：密钥管理层 │ │
│ │ KSP密钥安全平台 + CAS-KMS + HSM硬件安全模块 │ │
│ │ ├─ 密钥全生命周期管理（生成→分发→使用→轮换→销毁） │ │
│ │ ├─ HSM双机热备，密钥不出硬件 │ │
│ │ ├─ 双管理员M-of-N授权 │ │
│ │ └─ 满足：BMB17 5.5 / 等保 8.1.3 / 密评 GM/T0054 │ │
│ └─────────────────────────────────────────────────┘ │
│ │
│ ┌─────────────────────────────────────────────────┐ │
│ │ 第三层：数据加密层 │ │
│ │ TDE透明加密平台 │ │
│ │ ├─ 文件系统级透明加密（SM4-CBC） │ │
│ │ ├─ 数据库透明加密（SM4，零应用改造） │ │
│ │ ├─ 涉密载体加密（SM4-XTS） │ │
│ │ └─ 满足：BMB17 5.3 / 等保 8.1.4 / 密评 GM/T0029 │ │
│ └─────────────────────────────────────────────────┘ │
│ │
│ ┌─────────────────────────────────────────────────┐ │
│ │ 第四层：签名验签层 │ │
│ │ HSM签名验签服务器 │ │
│ │ ├─ SM2数字签名与验签 │ │
│ │ ├─ 审计日志SM2签名（防篡改） │ │
│ │ ├─ 时间戳签名 │ │
│ │ └─ 满足：BMB17 5.2.3 / 等保 8.1.3 / 密评 GM/T0018│ │
│ └─────────────────────────────────────────────────┘ │
└───────────────────────────────────────────────────────────┘
这套架构的核心思路是：以BMB17为最高基线建设，自动向下兼容等保2.0三级和密评三级。因为BMB17的密码要求在每一层都是三套标准中最严格的，满足BMB17即满足等保和密评。
3.2 涉密系统与非涉密系统的密码基础设施共享
军工单位常见的情况是：涉密信息系统（走BMB17）和非涉密信息系统（走等保）在物理隔离的不同网络中运行，但密码基础设施可以共享。
共享方案：
涉密网络（物理隔离） 非涉密网络
┌──────────────────┐ ┌──────────────────┐
│ 涉密OA/PDM/DB │ │ 非涉密OA/财务/HR │
│ TDE加密 ✓ │ │ TDE加密 ✓ │
│ ASP认证 ✓ │ │ ASP认证 ✓ │
└────────┬─────────┘ └────────┬─────────┘
│ │
│ ┌─────────────┐ │
│ │ HSM集群 │ │
└─────────│ KSP平台 │────────────┘
│ CA证书服务 │
└──────┬──────┘
│
┌──────▼──────┐
│ 密码管理区 │
│ （独立机房） │
└─────────────┘
关键原则：
- HSM/KSP物理部署在密码管理区，涉密网和非涉密网各自通过独立接口连接，密码运算在HSM内完成，密钥不跨网传输
- 涉密网的CA和非涉密网的CA逻辑隔离，根CA相同但签发策略不同，涉密证书含涉密等级扩展字段
- TDE/ASP各自部署在对应网络，但密钥来源统一由KSP+HSM管理，通过物理隔离的密钥分发通道传递
四、双达标对标清单与整改路径
4.1 身份认证层双达标对标清单
| 测评条款 | BMB17要求 | 等保2.0要求 | 密评要求 | 统一实现措施 | 整改优先级 |
|---|---|---|---|---|---|
| 鉴别技术数量 | 两种以上 | 两种 | 密码技术鉴别 | 口令+UKEY双因素 | P0 |
| 鉴别信息保护 | 密码技术+国密 | 加密传输 | 国密SSL | TLCP国密SSL | P0 |
| 口令复杂度 | 10位+4类字符 | 8位+2类字符 | SM3哈希存储 | 取BMB17标准 | P0 |
| 登录失败处理 | 5次锁定+审计 | 限制非法登录 | 审计记录 | 5次锁定+Syslog告警 | P1 |
| 会话超时 | 30分钟+10分钟空闲 | 10分钟以上 | 审计记录 | 30分钟+10分钟空闲 | P1 |
| 远程管理 | 禁止 | 加密认证 | 国密SSL | 涉密系统禁止远程 | P0 |
| 终端绑定 | 必须 | 不要求 | 不要求 | MAC地址绑定 | P0 |
4.2 密钥管理层双达标对标清单
| 测评条款 | BMB17要求 | 等保2.0要求 | 密评要求 | 统一实现措施 | 整改优先级 |
|---|---|---|---|---|---|
| 密钥生成 | HSM+国密鉴定 | 安全生成 | HSM真随机数 | HSM SM2/SM4密钥生成 | P0 |
| 密钥存储 | HSM硬件存储 | 安全存储 | HSM+不可导出 | HSM存储，密钥不出硬件 | P0 |
| 密钥分发 | 密码技术保护 | 安全分发 | SM2公钥加密 | SM2加密分发+UKEY存储 | P0 |
| 密钥轮换 | 定期更换 | 定期更换 | 定期+事件触发 | 90天定期+人员变更触发 | P1 |
| 密钥销毁 | 不可恢复 | 安全销毁 | 安全擦除+审计 | HSM安全擦除+物理销毁+审计 | P1 |
| 管理授权 | 双人双密码 | 专人管理 | M-of-N控制 | 双管理员密钥对（2-of-3） | P0 |
4.3 数据加密层双达标对标清单
| 测评条款 | BMB17要求 | 等保2.0要求 | 密评要求 | 统一实现措施 | 整改优先级 |
|---|---|---|---|---|---|
| 传输加密 | 国密SSL | 加密传输 | 国密SSL | TLCP国密SSL协议 | P0 |
| 存储加密 | SM4加密 | 加密存储 | SM4加密 | TDE透明加密SM4-CBC | P0 |
| 移动介质加密 | SM4+访问控制 | 不要求 | 不要求 | TDE载体加密+UKEY认证 | P0 |
| 完整性校验 | SM3 | 建议校验 | SM3 | SM3文件指纹 | P1 |
| 数据库加密 | 必须 | 必须 | SM4 | TDE数据库透明加密 | P0 |
4.4 签名验签层双达标对标清单
| 测评条款 | BMB17要求 | 等保2.0要求 | 密评要求 | 统一实现措施 | 整改优先级 |
|---|---|---|---|---|---|
| 签名算法 | SM2 | 建议签名 | SM2 | HSM SM2签名 | P0 |
| 验签服务 | 必须 | 建议验签 | 必须 | HSM SM2验签 | P0 |
| 审计签名 | 必须 | 建议保护 | SM2签名 | 审计日志SM2签名 | P1 |
| 时间戳 | 建议时间戳 | 不要求 | 建议时间戳 | HSM时间戳签名 | P2 |
五、双达标实施路径与避坑要点
5.1 分阶段实施计划
阶段一（1-2个月）：密码基础设施建设
- 部署HSM集群（双机热备），完成国密局鉴定证书验证
- 部署KSP密钥安全平台，配置密钥全生命周期管理策略
- 建设国密CA系统，签发首批UKEY证书
- 完成HSM与KSP的PKCS#11/SDF接口对接
阶段二（2-3个月）：身份认证与数据加密部署
- 部署ASP身份认证平台，配置MFA策略（口令+UKEY）
- 涉密OA/PDM/数据库系统集成SSO
- 部署TDE透明加密引擎到涉密终端和数据库
- 完成涉密载体加密初始化
阶段三（1个月）：审计与签名验签部署
- 部署审计日志平台，配置Syslog采集
- 对接HSM签名验签服务，实现审计日志SM2签名
- 配置异常行为检测规则（跨域使用、大量拷贝等）
阶段四（1个月）：测评准备与整改
- 对照三套标准进行内部预评估
- 整改发现的不符合项
- 准备测评材料（部署拓扑、配置文档、审计日志样本）
5.2 常见避坑要点
坑1：等保测评通过了，以为BMB17也能过
等保2.0三级的密码要求远低于BMB17。等保不强制要求国密算法，不强制要求国密鉴定产品，不禁止远程管理，不要求终端绑定。如果仅按等保标准建设，BMB17测评必然不通过。必须以BMB17为基线。
坑2：密评和分级保护用不同的HSM
部分单位密评用一套HSM，分级保护用另一套HSM，导致密钥管理割裂、成本翻倍。实际上，只要HSM通过国密局鉴定且满足二级以上要求，同一台HSM可以同时服务密评和分级保护。密钥按用途分槽位管理即可。
坑3：TDE只加密文件不加密数据库
等保2.0和密评都明确要求数据库存储加密。有些单位TDE只部署在文件系统层，数据库中的涉密字段仍为明文存储。测评时直接判定不符合。TDE必须同时覆盖文件系统和数据库两层。
坑4：UKEY证书不通过国密CA签发
自签名证书虽然算法是SM2，但密评要求"使用合法CA签发的证书"。必须使用通过国密局鉴定的CA系统签发UKEY证书，且CA根证书必须在有效期内。
坑5：密钥轮换策略配了但不执行
KSP平台配置了90天密钥轮换，但运维中从未执行过。密评测评时检查密钥创建时间和最后使用时间，超期未轮换直接扣分。应配置自动轮换策略，并在轮换时自动通知管理员确认。
六、双达标成本估算与产品选型
6.1 产品选型决策矩阵
| 层面 | 产品 | BMB17必须 | 等保必须 | 密评必须 | 国密鉴定 | 部署优先级 |
|---|---|---|---|---|---|---|
| 身份认证 | ASP | ✅ | ✅ | ✅ | ✅ | P0 |
| 身份认证 | UKEY | ✅ | 建议 | ✅ | ✅ | P0 |
| 密钥管理 | KSP | ✅ | ✅ | ✅ | ✅ | P0 |
| 密钥管理 | HSM | ✅ | ✅ | ✅ | ✅ | P0 |
| 数据加密 | TDE | ✅ | ✅ | ✅ | ✅ | P0 |
| 云密钥管理 | CAS-KMS | — | — | ✅ | ✅ | P1 |
| 数据脱敏 | RDM | — | 建议 | ✅ | ✅ | P1 |
6.2 预算分配建议
| 产品 | 预算占比 | 说明 |
|---|---|---|
| HSM硬件安全模块 | 25% | 双机热备，国密二级以上 |
| KSP密钥安全平台 | 20% | 含CAS-KMS云密钥管理 |
| ASP身份认证平台 | 20% | 含SSO+MFA策略引擎 |
| TDE透明加密平台 | 20% | 文件系统+数据库双层 |
| UKEY硬件令牌 | 10% | 按涉密终端数量采购 |
| RDM数据脱敏 | 5% | 开发测试环境使用 |
七、总结
军工涉密系统的"BMB17+等保2.0+密评"三标叠加不是三套独立建设，而是以BMB17为最高基线的一次性建设。关键在于：
- 标准选择就高不就低：BMB17的密码要求在每一层都严格于等保和密评，以BMB17为基线建设自动兼容其余两套标准
- 产品选型一产品多用：ASP/KSP/TDE/HSM四层产品同时满足三套标准要求，避免重复采购
- 密钥管理集中化：通过KSP+HSM集中管理密钥，涉密网和非涉密网共享密码基础设施但物理隔离
- 审计签名不可篡改：所有密码操作审计日志通过HSM进行SM2签名，满足三套标准的审计要求
安当技术的ASP身份认证平台、KSP密钥安全平台、TDE透明加密平台和HSM签名验签服务器四款产品均已通过国家密码管理局商用密码产品认证，在多个军工单位的分级保护测评、等保2.0测评和密评三级测评中实现了"一次部署、三标达标"的一体化合规落地。
作者简介：本文由安当技术安全团队撰写。安当技术专注于国密密码安全产品研发，产品线覆盖身份认证（ASP）、密钥安全（KSP）、透明加密（TDE）、硬件安全模块（HSM）、UKEY令牌等全栈密码安全能力，在军工、金融、政务等行业有丰富的多标准合规落地经验。
声明：本文仅涉及公开标准层面的技术讨论，不涉及任何涉密信息。军工单位实际部署需结合具体密级要求并经保密审查。
更多推荐
6
0- 0
已为社区贡献5条内容
所有评论(0)