信创替代的深层目标是安全和可控，所以安全软件的国产化不是"可选项"而是替代逻辑的延伸：防病毒、防火墙、审计这些安全组件本身也是软件/设备，同样存在供应链安全问题。叠加等保2.0和密码法的合规要求，安全栈国产化通常和国密改造、密评三件事一起规划。本文给一份组件清单和改造路径。

一、国产安全栈组件清单

层	组件	国产选项（示例）	选型要点
终端安全	防病毒/EDR	奇安信、深信服、安恒、瑞星信创版	必须支持国产OS和国产CPU平台的客户端
网络安全	防火墙/WAF/IPS	华为、新华三、深信服、迪普、山石	信创目录+国密算法支持（SM2/SM4）
应用安全	WAF/网页防篡改	安恒、长亭、知道创宇	与国产中间件的联动能力
安全管理	堡垒机/日志审计/态势感知	奇安信、安恒、深信服、启明星辰	日志审计是等保三级刚需，优先国产化
数据安全	加密/脱敏/DLP	卫士通、三未信安、美创	优先选国密算法原生支持的产品

二、终端安全的适配要点

终端安全软件替换最容易被忽视的一点是"平台支持矩阵"：同一款国产杀软，对麒麟V10和统信UOS的支持版本可能不同，对飞腾/海光/兆芯平台的驱动级防护成熟度也不同。采购前必须让厂商书面确认：目标OS版本×目标CPU型号的组合在支持列表内，并要一份同组合的现有客户案例。否则装上去轻则功能残废（无主动防御），重则系统蓝屏。

三、国密改造：SM2/SM3/SM4各管什么

算法	用途	改造触点
SM2	公钥密码（替代RSA），签名验签、密钥交换	SSL证书、电子签章、VPN协商、API签名
SM3	哈希算法（替代SHA-256）	完整性校验、数字摘要、区块链类场景
SM4	对称加密（替代AES）	数据库存储加密、文件加密、传输加密

改造的优先序建议：先动"外部可感知"的（网站SSL证书、VPN、电子签章）——这些直接决定密评和浏览器兼容性；再动"内部存储"的（数据库透明加密、文件加密）——影响面小但要配合密钥管理系统；最后动"应用代码层"的（接口加密、报文签名）——工作量最大，随应用改造迭代推进。

四、SSL证书国密化的实操坑

国密SSL改造有个经典兼容问题：国密证书只有国密浏览器（如360安全浏览器国密版、红莲花等）能直接验证，普通Chrome访问会报证书错误。通行解法是"双证书部署"——服务器同时配置国密证书链和国际证书链，按客户端能力自动协商（国密浏览器走SM2，普通浏览器走RSA/ECC）。网关设备（WAF/负载均衡）要确认支持双证书能力。

五、与等保、密评的联动

三合规联动的方法论详见本站《信创与等保、密评是什么关系》，这里只强调安全栈部分：等保三级要求的安全审计、入侵防范、数据保密性条款，用国产安全设备逐项满足并保留测评认可的产品资质；密评四个层面的密码应用（物理和环境、网络和通信、设备和计算、应用和数据）中，"网络和通信"层基本由国密SSL/VPN改造覆盖，"应用和数据"层需要应用开发商配合改造——乙方合同里要提前写入国密支持条款。

六、预算与采购节奏

参考量级（示意）：千人单位的安全栈国产化（终端EDR+防火墙+堡垒机+日志审计+国密证书）整体投入常见在数十万元级/年（含订阅授权）；国密改造的软件类投入不大（证书和网关为主），人力成本在应用改造部分。采购时机上，安全设备随网络割接同步换（见本站网络设备一文），终端安全随终端替换同步装，避免二次上门。

七、常见坑

坑一：买了国密产品却过不了密评——密评看的是密码应用的"合规、正确、有效"全流程，不是设备清单；要找有密评案例的集成商做方案
坑二：双证书只配了一边——运维只更新了国际证书，国密链路根本没启用，测评时才发现
坑三：密钥明文管理——上了SM4却把密钥写死在配置文件里，等于把保险柜钥匙挂门上
坑四：忽略国密浏览器推广——终端没预装国密浏览器，员工访问国密站点全是证书报错

八、行动清单

1盘点安全软件清单：品牌、平台、授权到期时间，标注非国产项
2确认终端安全的目标平台支持矩阵（OS×CPU）
3梳理对外服务清单，排SSL国密双证书改造顺序
4把国密支持条款写入应用开发和维保合同
5与安全栈采购同步规划密评测评档期

🔐 惠丰启阳安全国产化服务

我们是国家高新技术企业，通过 ISO27001/ISO20000 双认证，拥有 16 项软件著作权，提供安全栈国产化选型、国密SSL/VPN改造、密评整改配合服务。

电话/微信：17394994086

安全软件国产化与国密改造：等保合规下的国产安全栈选型（2026版）