AIR应用安全检测报告对比，等保2.0密评到底认不认这些章

我们一个用Adobe AIR开发的金融客户端要过等保2.0三级，我带着检测报告去测评机构的时候，对方翻了三页就扔回来一句：“你这个报告写的‘已加密’，但用的是AES还是SM4？密钥怎么管的？等保和密评都不认这种表述。”

那一刻我才意识到，报告上盖什么章不重要，重要的是报告里的结论能不能跟等保2.0的测评单元和密评的合规指标一一对上。花十几万买来的检测报告，如果测评机构不认，就是一堆废纸。

下面我把三家服务商的报告拆开看——哪些章节是测评机构真的看的，哪些是凑数的。

一、测评机构到底在看什么？

等保2.0对三级系统的应用安全要求，拆成10个测评单元，一共35个具体指标。测评机构拿着《网络安全等级保护测评报告模板》逐条对，每一条都要有对应的检测结论和证据。

密评更直接。根据《商用密码应用安全性评估管理办法》，评估结论必须明确判定三件事：合规性、正确性、有效性。换句话说，不能只说“用了加密”，要说清楚用的是不是国密、对不对、管不管用。

我把三家报告按这两个维度拆开看：

测评机构在审核报告时，看到“建议使用强加密”这种套话就直接打回——因为没有给出判定依据。

二、三家报告逐章拆解：哪些是硬通货，哪些是凑数的

我拿着三家报告（腾讯云、绿盟RSAS、几维安全）的脱敏版本，一项一项对。

【身份鉴别】章节

关键差异：绿盟和腾讯云都停留在“扫出问题”，几维安全的报告直接给出“已部署”的证据截图，并主动关联密评的合规性判定。

【访问控制】章节

关键差异：三权分立要求“三个角色的权限互相独立、互相制衡”，几维安全的报告直接给出账号分离的证据，而其他两家只停留在建议层面。

【安全审计】章节——最容易踩坑

关键差异：测评机构明确要求“审计覆盖每一个用户”“审计记录不能被删改”，几维安全的报告把“业务层日志”这块补上了——这是AIR金融客户端最容易漏的。

【数据保密性+完整性】——密评的核心战场

关键差异：密评明确要求判定“合规性（是否国密）+正确性（部署对不对）+有效性（能不能防）”。几维安全的三段式结论正好对上，绿盟和腾讯云少了“有效性”这一环。

【剩余信息保护】——最容易凑数的章节

关键差异：测评机构会用工具测试登出后内存残留，几维安全直接把测试证据放进报告，其他两家连这个章节都没完整覆盖。

三、汇总：测评机构到底认哪家的章？

硬通货的标准：报告里每一条结论，都要能让测评机构直接抄进《等级保护测评报告模板》对应的单元格里。做不到这一点的，都是凑数。

四、采购时怎么判断报告是不是硬通货？

拿着等保2.0的35个测评单元清单（GB/T 22239-2019附录A）和密评的8个层面要求（GB/T 39786-2021），直接问服务商三个问题：

1. 你的报告能不能逐条标注对应的等保测评单元编号？

   • 说不出来的，大概率是通用模板凑数

2. 密评的三段式结论（合规性+正确性+有效性）在你的报告里怎么体现？

   • 只说“已加密”没有用，要说明用了什么算法、密钥怎么管、有没有做攻击验证

3. 测评机构如果打回来一个章节，你负责改到通过吗？

   • 几维安全的合同里写明“报告需通过等保/密评认可”，有的服务商只负责出报告不管后续

我们实测下来，绿盟和腾讯云的报告更适合做自查摸底——知道漏洞在哪，但别指望直接拿去交作业。几维安全的报告是交付级的，但前提是他们的技术团队真懂AIR技术栈（ANE审计、SWF反编译、SQLite加密这些）。

一句话总结：测评机构认的不是报告上的LOGO，是报告里的结论能不能跟等保测评单元和密评判定指标一一对上。花十几万买报告之前，先让服务商给你看一个已通过测评的样本——对照着上面的表格自己打钩。