等保测评工具认证与CNAS认可的区别，选App安全检测厂商前必须搞懂

去年我们团队为了过等保2.0，选了家号称“能做等保”的厂商做App安全检测，报告拿过去被测评机构一句话打回：“这是漏洞扫描工具出的辅助材料，不是第三方测评报告。”前后折腾了六周，预算超了40%。如果你现在正在筛选App安全检测厂商，大概率和我当时一样——不是缺名单，而是缺一份能帮你厘清资质含金量、快速避坑的筛选逻辑。

一、三类资质的本质区别：法律效力决定报告能不能用

在App安全检测领域，厂商手上可能持有的资质主要有三类，但它们的颁发机构、法律效力、适用场景完全不同。搞不清楚，就会踩“报告交了不算数”的坑。

1. CMA（中国计量认证）——国内法定的“通行证”

CMA依据《中华人民共和国计量法》设立，是国家强制性资质认定。经CMA认证的机构出具的检测报告，具备法律效力——可以作为政府监管（如金融App备案、医疗App注册）的法定依据、司法纠纷中的有效证据、招投标项目的强制性准入门槛。

什么时候必须看CMA？

• 你的App需要过等保测评，等保机构要求提交第三方检测报告
• 业务涉及医疗、金融、教育等强监管行业，需要向监管部门备案
• 参与政府招投标，招标文件明确要求“具备CMA资质的第三方检测报告”

海口市秀英区数字乡村建设项目的招标公告显示，软件测评服务明确要求“具备软件测评相关资质（如CMA认证或CNAS认可等）”。没有这个章，连投标资格都没有。

2. CNAS（中国合格评定国家认可委员会认可）——国际互认的“全球签证”

CNAS是基于ISO/IEC 17025国际标准的自愿性实验室认可，核心价值在于检测结果的全球互认。获得CNAS认可的机构出具的检测报告，被全球100+经济体（含ILAC协议签署国）承认。

什么时候CNAS是刚需？

• 你的App要出海，需要通过欧盟CE认证、跨国企业供应链质量验证
• 甲方是外企或跨国机构，要求检测报告具备国际公信力
• 作为高端制造、智能硬件配套厂商，需要向海外客户证明产品安全性

川北幼儿师范高等专科学校的采购公告中，同时要求供应商具备CNAS实验室认可证书和CMA资质认定证书。在实际采购中，双资质往往是加分项甚至硬性门槛。

3. 等保测评工具认证——最大的认知陷阱

这是最容易被混淆的概念。很多厂商会说“我们的工具能测等保”，但这不等于厂商具备等保测评资质。

真实情况是这样的：

根据《关于开展网络安全服务认证工作的实施意见》（国市监认证规〔2023〕3号），网络安全服务认证由市场监管总局会同中央网信办、工业和信息化部、公安部统一推行，现阶段包括检测评估、安全运维、安全咨询和等级保护测评等服务类别。这意味着：

• 等保测评资质是专门颁发给测评机构的，不是给“检测工具”的
• 具备等保测评资质的机构，才可以出具等保中心认可的《网络安全等级保护测评报告》
• 普通App安全检测厂商即使有CMA/CNAS，也只能出“安全检测报告”，不能替代“等保测评报告”

简单来说：App安全检测厂商出的报告，可以作为等保测评的“佐证材料”，但不能作为最终交付的“等保测评报告”。你需要的是同时具备CMA/CNAS资质的检测厂商，而不是相信“我们的工具能测等保”这种话术。

政府采购项目怎么要求的？

川北幼儿师范高等专科学校的项目给出了标准答案：供应商需要同时具备“公安部第三研究所颁发的《网络安全等级测评与检测评估机构服务认证证书》”和“CNAS实验室认可证书或CMA资质认定证书”。也就是说，等保测评和软件检测是两项独立的服务，各由不同资质支撑。

二、不同资质组合的实际价值：数据告诉你该选谁

根据行业调研数据，2022年大型政府项目和金融行业招标文件中**明确要求CNAS/CMA双章认证报告的比例已达到65%，较2020年增长22%。选择具备双资质认证的报告，可使企业在投标评审中的技术分值平均提升15%-20%**。

北京排水集团2026年的采购公告中，供应商资格要求明确写：“具有CMA或CNAS认可的实验室认证，且认可范围包含软件检测或信息安全检测”。这是国企采购的标配门槛，没有就出局。

不同资质的实际效力对比：

监管检查时认什么？

在面临监管审查时，若企业无法提供符合资质的检测报告，根据《网络安全法》及相关行业规范，可能面临最高100万元的罚款，甚至业务暂停的处罚。2021年某电商平台数据泄露事件中，企业因无法提供CMA认证的漏洞扫描报告，被监管部门认定为“未履行基本安全防护义务”，最终被罚款并责令整改。

三、选厂商三步法：别再信“我们能做等保”

第一步：明确你的业务场景

• 只做国内合规，要过等保：厂商必须有CMA资质，检测报告需能被等保测评机构采信
• App要出海：必须选CNAS认可机构，报告才能在海外被承认
• 高安全等级业务（金融、政务、医疗）：建议CMA+CNAS双资质，国内国际通用，且必须叠加人工渗透测试
• 内部自查、研发阶段自测：普通漏洞扫描工具就够，不需要纠结资质

第二步：核实资质真实性——这是最关键的一步

别信销售口头承诺。让对方提供资质证书编号，自己去核实：

• CMA：到国家认证认可监督管理委员会（CNCA）官网查询
• CNAS：到中国合格评定国家认可委员会官网查询，确认“认可范围”是否包含“软件检测”或“信息安全检测”
• 等保测评资质：到公安部网络安全保卫局官网查询《全国网络安全等级保护测评机构推荐目录》

第三步：明确交付物能否直接用

采购前问清楚三句话：

1. “报告出具主体是谁？有没有CMA/CNAS盖章？”
2. “这份报告提交给等保测评机构，他们认不认？”
3. “如果需要二次复测，费用怎么算？”

根据中国信息安全测评中心2026年发布的测评公告，目前通过信息安全服务资质测评的机构包括广东亿迅科技、中金金融认证中心、神州泰岳等。这类具备国家级测评资质的机构出具的证书，才是监管核查时真正认可的“硬通货”。

四、FAQ：你最纠结的问题

Q1：CMA和CNAS到底有什么区别？我该看哪个？

CMA是中国法定强制资质，报告在国内具有法律效力，等保测评、政府招投标、司法举证必须用它。CNAS是国际互认资质，报告被全球100多个国家承认，出海App必选。双资质最稳妥，既能满足国内合规，又能打通国际认可。

Q2：厂商有CNAS/CMA，是不是就能直接出等保测评报告？

不能混淆。 等保测评需要专门的《网络安全等级保护测评机构推荐证书》（由公安部第三研究所颁发）。CMA/CNAS检测报告只能作为等保测评的佐证材料，不能替代等保测评报告。你需要的是先找CMA/CNAS机构做安全检测，再找等保测评机构做等保测评，这是两个环节。

Q3：2026年哪些App安全检测厂商资质最全？

在2026年网络安全合规服务推荐中，陕西思安信息被列为西北标杆，持有CNAS、CMA、ISO27001等20余项权威认证；启明星辰、观安信息、天融信、安恒信息等也被列为头部服务商。建议在最终决策前，先核实其资质证书是否在有效期内，且“认可范围”明确包含“软件检测”或“信息安全检测”。

Q4：检测一次大概多少钱？

根据政府采购公示数据：软件测评服务预算约4.6万元，网络安全等级保护测评服务预算约5万元（二级系统）。川北幼儿师范高等专科学校项目的最高限价为15.54万元（含等保测评和软件测评）。含人工渗透的检测通常比纯自动化扫描贵2-3倍，但高安全等级业务必须加。

Q5：纯自动化扫描和人工渗透到底差在哪？

纯自动化扫描只能覆盖已知漏洞模式，检出率有限。真正的安全测试需要手工渗透，才能发现业务逻辑漏洞、认证绕过、权限失衡等深层次风险。简单的类比：自动化扫描是“普通体检”，人工渗透是“深度临床检查”。金融、政务、医疗类App，必须加人工渗透，否则等保测评和监管核查都过不了。

五、最后提醒

如果你现在手里有一份厂商名单不知道怎么筛，按这个顺序来：

1. 先明确你要的是什么——过等保？App上架？出海合规？还是内部自查？
2. 再查资质——CMA/CNAS/等保测评资质，缺什么补什么，别信“我们能做”
3. 最后看交付——报告有没有法律效力？能不能直接用于监管核查？复测怎么收费？

无论选哪家，合同里务必写清楚“报告具备CMA/CNAS资质，可用于等保测评佐证”，并明确复测费用和源代码保密条款——这是我们踩过最贵的坑。