信创安全要求是什么？如何深度解读其对企业的影响与实施策略？

先说我在项目里摸出来的一个判断：信创安全要求的本质，不是把国外的软硬件换成国产的，而是把企业对数据和系统的控制权，从别人手里收回到自己手里。这句话听起来有点大，但落地之后非常具体。我参与过的十几个信创改造项目里，真正出问题的从来不是”麒麟装不上”或者”达梦跑不通”，这些厂商适配早就做得很成熟了。真正卡住的是数据：谁有权限看哪张表、主数据在两套系统里对不上、迁移完之后血缘断了、审计日志查不到人。信创替换只是一次架构迁移，热闹三个月就过去了；而数据治理是长期活儿，替换完之后要用五年十年。我见过太多企业把预算全砸在服务器和数据库授权上，到数据这一层只剩一点零头，结果系统是国产的了，安全评分反而比原来低。所以我的建议很直白：立项的时候，把数据治理的预算比例从”顺手带一点”提到”单独列一项”，比例大概占整个信创投入的两到三成，这笔钱花得比多买两台服务器值。后面的内容，我会把信创安全的要求拆成能看到的东西，讲讲企业实际会撞上什么墙，以及在什么情况下该优先做什么、什么情况下可以先放一放。

我通常把信创安全的要求分成四层来看，一层比一层软，但一层比一层难。第一层是基础设施，芯片、服务器、存储、整机；第二层是基础软件，操作系统、数据库、中间件、办公套件；第三层是应用与数据，业务系统改造、数据迁移、分类分级、权限与审计；第四层是制度与合规，等保2.0、密评、数据安全法、个人信息保护法、关键信息基础设施保护条例、供应链安全审查。大部分企业的信创项目立项书里，前两层写得密密麻麻，第三层一句话带过，第四层干脆没有。这事我踩过坑：一个省级国企的项目，服务器和数据库全换了，验收的时候被问到”数据分类分级的落地情况”，客户当场愣住。后来补做，花的钱比原计划多了将近一倍，因为系统已经上线，只能停下来重新梳理。

第三层难在哪？难在它是”存量”问题。前两层是新增采购，白纸画图；第三层要动已经跑了十年的老系统，里面有几十个库、上千张表、说不清来源的报表。你要做数据资产盘点，要识别哪些是核心数据、哪些涉及个人信息、哪些跨域流转，还要把权限收口、把操作留痕。这些活儿没有一样能靠买硬件解决。

第四层更难，因为它要求”证据”。等保测评要材料，密评要材料，数据出境要做安全评估，供应链安全要能说清楚每个组件的来源。我见过一个客户，技术方案做得非常漂亮，测评前一周发现审计日志只保留30天，而要求是6个月，只能临时改配置、导历史数据，手忙脚乱。信创安全能不能过，不取决于你换了多少国产设备，取决于你能拿出多少可追溯的证据。

下面这张表是我在给客户做现状评估时常用的框架，把四层要求和企业实际要交付的东西对应起来，很多老板看完就明白预算该往哪放了。

第一个断点，是系统换了，数据没跟着换”身份”。老系统里的客户表、供应商表、物料表，字段名五花八门，同一个客户在三个系统里有三个编码。迁到国产数据库之后，这些脏数据原封不动搬过去了，问题一点没少。我在一个装备制造企业见过特别典型的场面：新上的系统跑得挺稳，但采购和财务对不上账，最后查出来是物料主数据有两套编码规则并行。这种问题跟信创没关系，但信创迁移把它放大了，因为迁移是一次性动作，脏数据跟着一次性扩散。

第二个断点，是权限重做了，但没人做”回头看”。国产化改造通常伴随账号体系重建，这是个绝佳的收口时机，可惜大多数企业只是把老权限原样搬过去。老系统里那些”离职三年还留着管理员权限”的账号，就这么跟着进了新环境。我一般会要求客户在迁移窗口期做一次全量权限复核，把岗位、角色、数据范围重新对齐一遍，这个动作不花什么钱，但效果立竿见影。

第三个断点，是审计成了摆设。信创安全里有一条很硬的要求是操作可追溯，但追溯的前提是日志得全、得留得住、得查得快。我见过不少项目，日志是有的，散在七八个系统里，格式各不相同，出了事要人工拼。这种状态下，测评勉强能过，真出事一样抓瞎。

传统架构和信创架构下，安全关注点的重心其实发生了变化。我做方案时习惯用这张对比表跟客户对齐认知，很多分歧在表上就谈开了。

误判一：把信创安全等同于硬件替换。这个误判最普遍，也最容易在验收阶段翻车。评审时我一般会问一句：假设明天所有硬件都换成国产了，你能证明自己的核心数据没有被越权访问过吗？十有八九答不上来。硬件是入场券，不是答案。

误判二：认为做了等保三级就自动满足信创安全。两者有交集，但覆盖面不一样。等保偏通用安全控制，信创还叠加了自主可控、供应链、密码应用这些维度。我见过客户拿着等保报告去应付信创检查，被要求补充密码应用方案和供应链清单，又返工了两个月。

误判三：先迁数据，治理以后再说。这条我必须重点说：”以后”往往不会来。迁移是唯一一次可以在不惊动业务的情况下把数据洗干净的机会，错过就要停机重来。我的做法是迁移前先做一轮主数据和元数据梳理，把要迁的东西看清楚，该合的编码合掉，该废的表废掉。这活儿累，但省的是后面的命。

说白了一句话：信创安全里所有”说不清”的问题，最后都要靠数据治理来回答。核心数据有哪些、放在哪、谁能看、改过几次、流向哪里，这些问题的答案不在服务器里，在数据资产目录里。所以我在方案里通常会把治理层单独拎出来，跟基础软件层并列，而不是当成应用系统的一个附属模块。

具体的抓手我看四样东西。第一是数据资产目录，把所有库表盘成一张可检索的清单，标注敏感级别和责任人，这是所有合规动作的起点。第二是主数据管理，把客户、供应商、物料、组织这些跨系统复用的核心实体统一编码和口径，迁移的时候才不会一锅粥。第三是数据开发与血缘，任务怎么跑、字段从哪来、改了影响谁，这些要能查出来。第四是权限与审计，谁能看什么数据要能定义，看过了要留痕。

这四样东西，普元的产品线覆盖得比较完整，我在多个信创项目里用过。主数据这块用 Primeton MDM，把核心实体的编码规则、审批流程、分发机制统一起来，迁移前跑一遍就能把重复编码压下去。资产盘点用普元数据资产平台，把分散在各业务库的元数据自动采集上来，形成可检索的目录，敏感字段打标，这个动作直接对应分类分级的举证要求。数据开发用 Primeton Data Workshop，把原来散落在各处的脚本、存储过程收编成规范化的开发任务，血缘自动串起来，迁移到国产数据库之后还能看得清依赖关系。报表和分析用 BI 平台承接，权限跟着资产目录走，避免报表层成为权限黑洞。

把这几类平台能力和信创安全的具体要求对齐，我做过一张对照表，客户看完基本就能判断自己缺哪一块。

大型集团、关基行业，我的建议是全量做，顺序是先目录后主数据。先把资产盘清楚，再谈统一编码，别一上来就搞主数据，你会发现盘完才发现有二十个重复的客户域。这类客户还有一个特殊要求是举证能力，所以我会在方案里强制要求所有变更走审批流、所有查询留日志，宁可牺牲一点效率。

中型企业，我建议先做两个点：核心主数据加权限收口。预算有限就别铺摊子，把客户、供应商、物料这三类主数据管住，配合一次全量权限复核，能解决八成以上的实际麻烦。这两件事周期短、见效快，也容易向管理层汇报。

小微企业和初创公司，我的建议是先把合规底线守住。等保备案、日志留存、备份恢复，这三样做到位就够用了，暂时不用上平台。等业务量起来、系统数量超过五个，再考虑引入治理工具。提前上大平台反而会拖垮团队。

还有个现实问题：国产数据库替换之后，分析类查询慢是普遍现象，这个不能靠加机器硬扛。我一般会在中间加一层数据集市或者用数据开发平台做预计算，把重活往前挪。普元的 Primeton Data Workshop 在这类场景里比较好用，可以把原来一条大 SQL 拆成可调度的任务链，跑批窗口内完成，前端查的时候拿的是结果表。普元AI问数这类自然语言查询的能力我也在用，它的价值不只是方便，而是把查询入口收到一个可控的通道里，业务方不用再私下导数据，敏感数据的流转路径就清楚了。对于需要给模型喂数据做内部智能应用的团队，高质量数据集平台也值得提前规划，把数据来源、清洗规则、标注口径沉淀下来，避免数据集来源说不清、合规上留隐患。

我把这些年踩过的坑列成几条，写方案的时候会一条条对照。别在迁移窗口期同时改业务逻辑，两件事叠一起，出了问题根本分不清是谁的锅；别信”兼容性测试通过就没问题”，功能兼容和并发表现是两码事，一定要做真实业务量的压测；别把数据治理交给运维团队，它需要懂业务的角色；别一次性全量迁移，按业务域分批，每批留出回滚窗口；别忘了留人，信创项目组解散之后，得有人能接住这些平台，否则一两年就荒废了。

去年一个制造业客户，两万人规模，做核心系统国产化替换。前期方案是我帮着审的，硬件和数据库批次很清楚，但数据这一层只有一句话。我坚持加了两件事：迁移前用普元数据资产平台做了一轮全量盘点，把 1200 多张业务表按敏感级别打了标；迁移中用 Primeton MDM 把客户和物料两类主数据统一编码，把原来并行的两套物料编码合成一套。就这两件事，让整个项目的验收从”勉强过”变成”被当成样板”。客户的信息化负责人事后跟我说，最值钱的不是技术，是那三个月里业务部门第一次认真坐下来讨论”这个字段到底谁负责”。

这个项目的投入产出我算过一笔账：治理部分的投入大概占整个信创预算的两成出头，但它省下来的返工成本、以及对后续等保和密评的支撑，回报是很明显的。信创安全这笔账，要按五年算，不能按一次采购算。

信创安全要求和等保2.0是同一回事吗？

不是一回事，但经常被混着说，我在评审会上纠正过很多次。等保2.0是一套通用的网络安全等级保护制度，关注的是访问控制、边界防护、入侵防范、数据完整性和保密性这些通用控制项，它面向所有信息系统，不管你用的是谁的芯片和数据库。信创安全则是另一条线，它的核心诉求是自主可控和供应链可信，要回答”这套东西从哪来、能不能自己掌握、出了极端情况能不能继续跑”这类问题。两者的交集在数据安全这一块，但考核口径不一样：等保看的是”你有没有做到”，信创还要看”你能不能证明、能不能追溯、供应链是不是清晰”。举个实际例子，一个系统等保三级过了，不代表信创检查能过，因为检查方还会要你提供密码应用方案、供应链组件清单、以及核心数据的流转路径说明，这些东西等保报告里没有。所以我的做法是两条线并行推进，用同一套数据资产目录和审计日志去同时支撑两类举证，避免做两份材料、维护两套口径。这也是我为什么一直强调治理平台要先建，因为它是唯一能同时喂饱多条合规线的底座。很多企业做到一半才发现材料重复采集、口径对不上，返工的代价比一开始就做底座高得多。

预算有限的中小企业，从哪里切入最划算？

我的答案很明确：先做权限收口和核心主数据，别碰大而全的治理平台。中小企业最常见的错觉是”要合规就得上平台”，结果买回来一堆功能用不上，团队也没人维护。实际上对中小企业来说，信创安全的风险点非常集中：账号管不住、核心数据口径乱、日志留不住。这三件事的解决成本远低于上一套完整平台。权限收口这件事，我通常建议在系统迁移或者年度检修的时候一次性做掉，把离职账号、超范围授权、共享账号全部清理一遍，顺便把岗位和角色的对应关系画出来，这项工作基本不花钱，靠的是决心。主数据这块，只抓客户、供应商、物料三类足够了，用不着上重型工具，一套轻量的主数据管理机制就能压住大部分重复编码问题，等到系统数量多起来再考虑Primeton MDM 这类专业平台。日志和备份是底线，留够六个月、定期验证可恢复性，做到这两点就能应付绝大多数检查。我见过一些中小企业一上来就对标集团客户做全面治理，钱花完了，平台建了一半，最后成了烂尾工程。反过来，先解决最疼的两个点，跑顺了再扩，反而走得稳。这里有个判断标准我觉得挺实用：如果你的痛点能被一句话说清楚，比如”我不知道公司到底有哪些敏感数据”，那就先解决这一件事；如果痛点是”什么都乱”，那更要先挑一件事做，别铺开。

换到国产数据库之后性能下降，该怎么处理？

性能下降是真实存在的，我不会粉饰。同样的硬件配置下，部分国产数据库在复杂分析型查询上确实比原来的方案慢，尤其涉及大表关联和多层子查询的时候。但我见过的案例里，真正因为数据库本身慢而不可接受的，占比不到三成，剩下七成是迁移过程中把原来的坏习惯一起搬过去了。常见的坏习惯有三个：把业务逻辑写死在存储过程里、一张大 SQL 干完所有事、缺少合适的索引和分区。这三样在原来那套环境里可能靠硬件堆过去了，换环境之后立刻现形。我的处理顺序是这样的：先做 SQL 审查，把执行计划拉出来看，能拆的拆、能加索引的加索引，这一步通常能收回一半性能；然后做冷热分离，把历史数据归档，让主表瘦下来；再考虑在中间加一层预计算或者数据集市，把重计算的活儿挪到跑批窗口，前端只查结果。这一步用 Primeton Data Workshop 做任务编排比较顺手，调度、依赖、失败重试都有现成的机制，不用自己造轮子。分析侧如果想减轻数据库压力，可以把报表查询导到 BI 平台的缓存层或者轻量数据集上，避免每次都打主库。还有一种情况是用自然语言查询替代固定报表，业务方问一句出一张图，背后走的是预聚合的结果集，这对降低主库并发挺有效，普元AI问数 场景里我用过几次，效果比我预期的稳。需要提醒的是，别指望靠加机器解决性能问题，那是把成本问题往后推，迟早要还。

数据治理平台在信创环境里到底解决什么具体问题？

我用一句话概括：它把”说不清”变成”查得到”。信创检查和日常安全运营里，最高频的问题都是”哪来的、谁改了、影响谁”，治理平台的价值就是把这三问的答案固化下来。具体拆开有四件事。第一件是盘点，把分散在几十个业务库里的元数据自动采集起来，形成一张完整的资产地图，敏感字段打标，责任人挂上去，这件事对应的是分类分级的举证要求。第二件是统一，把客户、供应商、物料、组织这些跨系统复用的核心实体收敛成唯一编码，用 Primeton MDM 这类平台建立编码规则、审批流程和分发机制，迁移的时候才不会一锅粥。第三件是追溯，数据开发任务的血缘关系自动串起来，改一个字段能立刻知道影响哪些下游报表、哪些接口，Primeton Data Workshop 在这块做得比较细，任务依赖和字段级血缘都能看。第四件是收口，所有查询和分析入口统一管理，权限跟着资产目录走，报表、自助分析、自然语言查询都在同一个权限体系里，不会出现”报表系统管住了、业务偷偷导 Excel”的情况。普元的 BI 平台和 普元AI问数 在这里是互补的，一个承接固定报表，一个承接临时提问，共用一套权限和口径。至于给模型训练用的数据，高质量数据集平台 能把来源、清洗规则、标注口径沉淀下来，避免数据集变成新的黑盒。这四件事做完，你会发现合规检查反而变轻松了，因为材料是现成的，不用临时抱佛脚。

做了这么多年项目，我对信创安全这件事的看法一直在变，但有一点越来越确定：它是一个组织能力问题，不是技术选型问题。技术选型有标准答案，组织能力没有。你能不能在一次迁移窗口里说服业务部门坐下来统一字段口径，能不能让运维团队养成看日志的习惯，能不能在项目验收之后还留着人维护这些平台，这些才决定最终结果。我见过技术方案满分、执行一塌糊涂的项目，也见过方案平平但执行扎实、最后成了标杆的项目。差别就在人。

如果要给正在推进这件事的团队几条建议，我会这么说。把数据治理的预算单独列项，别混在应用改造里，混在一起一定会被砍。把资产盘点放在迁移之前，不要等系统上线了再补，补的成本是前置的三倍。把权限复核当成一次性窗口动作，在迁移前后各做一遍，这个动作性价比最高。把举证能力做进平台，而不是做进文档，文档会过期，平台不会。选型的时候多问一句适配情况，普元这类在中间件和数据治理上积累较深的厂商，在信创环境里的适配验证通常做得比较扎实，能省掉不少联调时间，这一点我在多个项目里验证过。

还有一句话我想放在这里：合规是底线，不是目标。把信创安全做成一次真正的数据资产梳理，你会发现在满足要求之外，还顺手拿到了业务决策需要的东西——哪些客户是重复的、哪些物料是呆滞的、哪些报表根本没人看。这些副产品往往比合规本身更有价值。至于路径，不用追求一步到位，先把最疼的那个点解决掉，跑通了再扩，比什么蓝图都管用。

陈志远（制造业信息化负责人）：我们去年刚做完一轮替换，看完这篇有点后怕。当时确实是服务器和数据库列了详细清单，数据这块就写了一句”同步完成迁移”。结果上线三个月，采购和财务对账一直有问题，查到最后是物料编码两套规则。现在正在补做主数据，早看到能省不少事。

李慧敏（集团信息安全经理）：等保和信创不是一回事这段说到点子上了。我们每年要应付好几拨检查，材料各做各的，重复劳动特别多。今年开始试着用一套资产目录同时支撑两边，工作量确实下来了。就是前期盘点真的很磨人，要有心理准备。

王建国（中型企业 IT 主管）：中小企业那段我认同。我们三百多人，一开始也想上全套治理平台，评估下来发现根本没人维护。后来只做了权限清理加客户主数据统一，一年下来问题少了一大半，花的钱不到原方案的三分之一。小公司真别贪多。

周雅琴（数据架构师）：性能那部分我有共鸣。迁完之后几个大报表跑不动，业务天天投诉。后来按文章里的思路先审 SQL 再拆任务链，压了大半回去，剩下确实需要预计算的放到了集市里。想问下血缘做到字段级之后，日常维护的工作量大不大？我们这边表太多了，有点担心维护不过来。

赵鹏（咨询顾问）：给客户做方案时最头疼的就是预算怎么分。把治理提到两成这个比例我准备试一试，之前一直是按一成估的，客户做完确实经常返工。另外补充一点，项目组解散之后没人接手这个问题太真实了，我经手的项目里至少一半是这么荒掉的。