密评物理和环境层怎么配：国密门禁与国密视频监控

商用密码应用安全性评估按四个技术层面展开，物理和环境层排在第一个，也是实际推进中最容易被漏掉的一层。原因不复杂：它考核的对象不在服务器上，而在机房门口和机房里——电子门禁系统和视频监控系统。很多单位网络和通信、应用和数据两层都改到位了，最后在这一层丢分。

这一层设备类型相对固定，主要是国密门禁系统与具备完整性保护的视频监控系统。搞清楚各自覆盖哪些指标、装到什么范围、测评时查什么，改造就能少走弯路。

一、物理和环境层到底测什么

GB/T 39786-2021 对第三级系统规定了三项技术要求，均表述为「宜」：

• 身份鉴别：采用密码技术对机房进出人员做身份鉴别；
• 电子门禁记录数据存储完整性：门禁进出记录要有完整性保护，能被验证未被篡改；
• 视频监控记录数据存储完整性：监控录像数据同样要有完整性保护。

这三项在第三级是「宜」，第四级才是「应」，不少资料把三级写成「应」，与国标原文不符，方案编制时以标准正文为准。此外各层面还有两条通用要求属于「应」：使用的密码服务须经商用密码认证机构认证合格；使用的密码产品应达到 GB/T 37092 规定的二级及以上级别。

测评对象方面，GM/T 0115-2021 明确为机房的电子门禁系统和视频监控系统，也就是要和密评标准与法规里规定的指标逐项对上。分值上，GB/T 43206-2023 给该层权重 10 分，占比不高但缺了就丢分，算法与密钥不合规还可能被判高风险项。

二、国密门禁系统：一套设备覆盖两项指标

国密门禁解决的是前两项指标。它由国密 CPU 卡、读卡器、门禁控制器、门禁管理网关（内置加密卡或密码模块）、发卡与密钥注入环节共同构成，工作方式大致是：

1. 人员持 CPU 卡刷卡并输入 PIN，卡片与读卡器之间用 SM1 或 SM2 完成身份鉴别，密钥不出卡；
2. 控制器与管理网关负责比对与授权，卡片、读卡器、网关之间形成完整鉴别链路；
3. 每条进出记录生成时用 HMAC-SM3 计算完整性校验值并随记录保存，测评时重新计算比对。

与等保的差别在这里很关键：等保 2.0 只要求设置电子门禁，并未强制使用密码技术。已装普通门禁的机房通常不能直接沿用，需更换国密 CPU 卡与读卡器，或加装带密码模块的控制器与网关。

实践中有三种情况容易被误判为合规：只在门禁管理软件里做了用户名口令登录；用的是 M1 逻辑加密卡而非国密 CPU 卡；进出记录只写进数据库、没有做任何完整性保护。这三种都没落到"用密码技术"上。

三、国密视频监控：完整性保护怎么做

第三项指标归属视频监控系统，保护对象是监控记录数据本身。常见做法是在录像文件写入存储时计算 SM3 摘要或 HMAC-SM3 校验值并单独保存，调阅、回放、导出时重新校验，一旦发现不一致即告警；涉及责任认定的场景，也可以调用签名验签服务器对记录做签名，形成可核验的证据链。

需覆盖的环节包括存储设备、录像文件本身，以及调阅与导出过程；保存周期与校验值存放位置要在密码应用方案里写清楚。

一个高频误区是把摄像头到存储之间的链路做了加密，就认为这项已经满足——链路加密对应的是网络和通信层面，录像文件自身的完整性保护是另一项，两者不能互相替代。

四、部署范围：哪些机房都要配

这一层的覆盖范围按"承载被测系统的物理机房"来界定，与等保测评的实施范围并不完全一致：

• 自建主机房、同城灾备机房、异地灾备机房，凡承载被测系统的，都要纳入；
• 多区域或多点部署的系统，每个物理机房分别测评，不能只做主机房；
• 托管在第三方 IDC 或运行在云平台上的系统，这一层的责任不随托管关系自动转移，需要向机房管理方索取门禁与视频系统的密码产品认证证书、密钥管理说明，或在服务协议中明确约定；
• 无人值守机房、模块化机房同样适用。

托管场景尤其容易漏。机房在别的单位管辖范围内，测评时仍要按该机房实际情况判定。

五、现场核查看什么

测评实施阶段，这一层的核查集中在五处：

• 查证书：门禁与视频相关的密码产品是否持有《商用密码产品认证证书》，标注的安全级别是否达到二级及以上；
• 查算法：鉴别是否使用 SM1、SM2，完整性是否使用 SM3 或基于 SM3 的 HMAC，而非 MD5、SHA-1 或未经验证的自研算法；
• 查密钥：密钥是否在密码产品内部产生与存储，是否出现密钥明文写在配置文件、数据库或运维脚本中的情况；
• 查记录：随机抽取若干条门禁进出记录和录像文件，现场做完整性校验，看能否发现被篡改的数据。

其中第三项最容易出问题：设备买了、算法也对，但密钥管理没跟上，同样会被判不符合。

六、推进顺序与周期

建议按七个步骤推进：

1. 按 GB/T 39786-2021 逐项梳理现状，形成差距清单；
2. 明确机房清单与各方责任，托管场景先与机房管理方沟通；
3. 选型阶段核对认证证书、算法与密钥管理方式；
4. 实施改造，含发卡、密钥注入与记录完整性功能开发；
5. 改造完成后自行验证鉴别与校验功能是否生效；
6. 进入正式评估，对指出的问题组织整改与复测；
7. 评估报告形成后按要求完成备案。

周期上，单个机房的门禁与视频改造，从差距分析到具备评估条件，一般需要 4 至 10 周；涉及多个机房、需要协调第三方机房管理方或走采购流程的，通常 2 至 5 个月。实际投入主要由机房数量、产品级别与改造工作量决定，具体以属地要求和项目实际情况为准。

需要提醒的是，密评报告须由取得商用密码检测机构资质的机构出具。我们提供的是密评辅导、差距分析、方案编制以及协助对接持牌机构的服务，具体项目所需资质与流程，可对照密评机构名录进一步确认。