新一轮科技革命和产业变革正在兴起，以互联网、大数据、人工智能为代表的新一代信息技术日新月异。
2022年，在软件及信息化领域，机构数量406家，营业收入58.38亿元。
下面，从人工智能、信创、三保一评等几个方面来介绍：
01
—
关于生成式人工智能
在人工智能日趋普及的今天，生成式人工智能（AIGC）已经成为不可忽视的一个分支。
生成式人工智能的主要特点：多样性、实时性、个性化、自动化、合规性与道德问题。
生成式人工智能的主要测试内容：功能性测试、性能测试、安全性与合规性测试、可用性测试等，其中安全性测试最为重要。
1、政策法规
《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》、《关于加强互联网信息服务算法综合治理的指导意见》、《生成式人工智能服务管理暂行办法》、《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》。
2、标准规范
《信息安全技术 机器学习算法安全评估规范》GB/T 42888-2023
《人工智能模型风险管理能力成熟度模型》T/ISC 0028-2023
《生成式人工智能服务安全基本要求》TC260-003
《生成式AI应用安全测试和验证标准》WDTA AI-STR-01，世界数字技术学院。
《生成式人工智能技术及产品评估方法》，中国信通院。
3、主要测试机构
（1）中国赛宝实验室
（2）中国信通院
（3）上海市生成式人工智能质量检验检测中心
02
—
关于信创
信创，是把之前安可、自主可控、国产化等一些阶段发展的成果，整合到了一起，重新起了一个名字叫：信息技术应用创新产业，简称“信创”。信创推广采用“2+8+n”循序渐进的策略，“2”指党、政，“8”指关乎国计民生的八大行业:金融、电力、电信、石油、交通、教育、医疗、航空航天，“n”指普通消费市场。
信创目录，也被称为国家信创目录或国家信用创新目录，是针对信创产业链领域的一项规划和评估工作。它包含基础设施、基础软件、应用软件、云服务、信息安全等五大类信息技术创新。
信创产品认证，也成为越来越多企业和机构选择产品的重要参考指标。信创产品的认证标准主要包括以下几个方面：符合安全可靠测评结果要求、知识产权、第三方测试报告、功能和性能指标、安全性和稳定性、兼容性和互认证等。
不同信创证书之间区别如下：
发证单位
证书性质
获得条件
评价标准
备注
适配认证证书
一般由适配中心（基地）颁发
私企、国企性质居多
证明产品可以在国产环境下运行即可
企业标准
普惠性
兼容性互认证书（证明）
大部分是企业之间互认
企业之间
多款产品安装到一个环境下可以政策运行即可
企业标准
自愿普惠性
信创软件产品证书
协会为主
协会颁发/第三方测评单位颁发
软件产品，有第三方软件测试报告，测试环境是信创环境
GB/T 25000.51-2016系统与软件工程系统与软件质量要求和评价（SQuaRE）第51部分
区域性认可
信创产品评估证书
信创专（工）委会、信创联盟
非营利性组织颁发
拥有第三方测评单位颁发的信创产品测试报告且经过专委会评价通过后颁发
1、GB/T 25000.51-2016系统与软件工程系统与软件质量要求和评价（SQuaRE）第51部分；
2、T/AIA 016—2023信创产品测评通用要求
3、T/SSIA 2001-2022信息技术应用创新产品评估规范 第1部分 应用软件
全国认可
1、政策法规
财政部与工信部联合发布的《7项基础软硬件政府采购需求标准》；
信标委发布的9项基础软硬件安可行业标准；
国测中心发布的《安全可靠测评工作指南》。
2、标准规范
9项标准分别为：
《安全可靠 服务器操作系统技术要求》(计划号:2024-0469T-SJ)
《安全可靠 微型计算机操作系统技术要求》(计划号:2024-0470T-SJ)
《安全可靠 分布式事务型数据库技术要求》(计划号:2024-0471T-SJ)
《安全可靠 集中式事务型数据库技术要求》(计划号:2024-0472T-SJ)
《安全可靠 便携式微型计算机技术要求》(计划号:2024-0473T-SJ)
《安全可靠 服务器技术要求》(计划号:2024-0474T-SJ)
《安全可靠 工作站技术要求》(计划号:2024-0475T-SJ)
《安全可靠 台式微型计算机技术要求》(计划号:2024-0476T-SJ)
《安全可靠 一体式台式微型计算机技术要求》(计划号:2024-0477T-S)
3、主要测试机构
（1）中国信息安全测评中心
（2）国家保密科技测评中心
（3）中国软件评测中心
（4）国家工业信息安全发展研究中心
（5）中国电子技术标准化研究院
（6）中国电子产品可靠性与环境试验研究所
（7）中国信息通信研究院
（8）国家网络与信息系统安全产品质量检验检测中心
（9）国家信息安全产品质量检验检测中心
（10）国家信息中心软件评测中心
03
—
关于三保一评
网络安全保护中“三保一评”指的是：
等保（网络安全等级保护）、分保（涉密信息系统分级保护）、关保（关键信息基础设施保护）、密评（商用密码应用安全性评估）。
1、区别与联系
类别
等保
分保
关保
密评
保护要求
《网络安全等级保护基本要求》
《涉及国家秘密的信息系统分级保护技术要求》
《关键信息基础设施网络安全保护基本要求》
《信息系统密码应用基本要求》
职能部门
公安网络安全保卫部门
国家相关保密部门
网信办
公安网络安全保卫部门
密码管理局
评估标准
《信息安全技术网络安全等级保护测评过程指南》
《涉及国家秘密的计算机信息系统分级保护测评指南》
《信息安全技术关键信息基础设施安全检查评估指南》
《商用密码应用安全性评估测评过程指南》
测评内容
安全物理环境
安全通信网络
安全区域边界
安全计算环境
安全管理中心
安全管理制度
安全管理机构
安全管理人员
安全建设管理
安全运维管理
物理隔离
安全保密产品选择
安全域边界防护
密级标识
合规检查
安全技术检测
分析评估
总体要求
密码功能要求
密码技术应用要求
密钥管理
安全管理
保护对象
重点保护的对象是非涉密的涉及国计民生的重要信息系统和通信基础信息系统：如政府、教育、卫生等重要网站及各种信息系统
所有涉及国家秘密的信息系统，重点是党政机关、军队和军工单位
关键信息基础设施：如电信、广播电视、能源、金融、交通运输、水利、应急管理、卫生健康、社会保障、国防科技等行业
关键信息基础设施、网络安全保护三级以上的系统、国家政务信息系统。
2、等保（网络安全等级保护）
等保测评机构，依据《信息安全等级保护管理办法》，由公安部第三研究所进行认证，合格后颁发《网络安全等级保护测评机构推荐证书》。
测评机构及其人员应当遵守国家有关法律法规，依据国家有关技术标准和本规范的相关规定，开展客观、公正、安全的测评服务。
全国网络安全等级测评与检测评估机构目录，如下：
3、分保（涉密信息系统分级保护）
依据《涉密信息系统集成资质管理办法》第十条，涉密集成资质分为甲级和乙级两个等级。
甲级资质单位可以从事绝密级、机密级和秘密级涉密集成业务；乙级资质单位可以从事机密级、秘密级涉密集成业务。
由国家及各省相关保密部门管理。
具体机构名单如下：
4、关保（关键信息基础设施保护）
依据《关于调整网络安全专用产品安全管理有关事项的公告》，自2023年7月1日起，列入《网络关键设备和网络安全专用产品目录》的网络安全专用产品，应当按照《信息安全技术 网络安全专用产品安全技术要求》等相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。
具备资格的机构是指列入《承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录》的机构。
国家互联网信息办公室、工业和信息化部、公安部、国家认证认可监督管理委员会发布更新《网络关键设备和网络安全专用产品目录》、《承担网络关键设备和网络安全专用产品安全认证和安全检测任务机构名录》。
5、密评（商用密码应用安全性评估）
按照《商用密码管理条例》、《商用密码检测机构管理办法》有关规定，国家密码管理局组织对商用密码检测机构（商用密码应用安全性评估业务）资质申请进行审查。
截止到2024年5月28日，共有174家密评机构通过商用密码检测机构资质申请材料审查，覆盖32个省、直辖市、自治区、新疆生产建设兵团。
具体如下：
04
—
关于工业信息安全产业发展联盟
工业信息安全产业发展联盟，是在工信部的指导下，由国家工业信息安全发展研究中心等45家单位联合发起成立，对整合我国工业信息安全产业资源，保障国家工业信息安全具有重要意义。联盟致力于搭建政产学研用平台，在工业和信息化部的指导下，依托各工作组和专委会，与联盟成员单位共同努力，先后从工业信息安全顶层设计、技术标准、测试评估、应急支撑、监测预警、产业实践、人才培养、国际合作等开展工作，发布系列成果，为政府决策、产业发展提供智力支持，已成为我国具有国际影响力的工业信息安全产业生态载体。
工业信息安全产业发展联盟，依据《工业信息安全测试评估机构管理办法》相关规定，对认定合格的机构颁发《工业信息安全测试评估机构等级证书》。
05
—
其他
1、其他涉密资质
武器装备科研生产单位保密资格；
国家秘密载体印制资质；
军工涉密业务咨询服务能力建设。
2、其他检测任务
产品特性不同，检测中心也不同。
（1）病毒防治、移动安全、APT安全检测等产品的检测任务,由天津“国家计算机病毒应急处理中心暨计算机病毒防治产品检验实验室”承担；
（2）数据备份一体机、网络综合审计系统、网络脆弱性扫描等产品的检测任务，由北京“公安部安全与警用电子产品质量检测中心”承担；
（3）入侵检测系统、安全数据库系统和网站恢复等产品的检测任务，由北京“信息产业信息安全测评中心”承担；
（4）其他网络安全专用产品检测任务，由上海“公安部计算机信息系统安全产品质量监督检验中心”俗称“上海三所”承担。
3、其他认证
（1）CCRC（原名ISCC）信息安全服务资质认证
（2）CS资质
（3）CMMI（Capability Maturity Model Integration，软件能力成熟度模型集成）
（4）ISO27001信息安全管理体系
（5）ITSS：是信息技术服务标准（InformationTechnology Service Standards）
