什么是入网安评？哪些设备需要做？不做的法律风险有哪些？

入网安全评估

入网安评（全称：入网安全评估）可以理解为系统和产品在接入网络前的“强制安全体检” 。它不等于等保测评。等保是上线后的“年度体检”，入网安评则是 “入职体检” ，是准入前置条件。没通过就上线，相当于把有健康问题的员工直接安排上岗。以下是关于入网安评的核心解读。

一、入网安评的法律依据

入网安评的核心依据是《中华人民共和国网络安全法》第二十三条。该条款明确规定：网络关键设备和网络安全专用产品，必须由具备资格的机构安全认证或检测合格后，方可销售或提供。凡是列入国家《网络关键设备和网络安全专用产品目录》的产品，都必须依法完成。

二、哪些软件产品必须做？

根据《目录》，第一批共11类网络安全专用产品必须做入网安评：

1.  数据备份一体机

2.  防火墙（硬件及下一代防火墙NGFW）

3.  WEB应用防火墙（WAF）

4.  入侵检测系统（IDS）

5.  入侵防御系统（IPS）

6.  安全隔离与信息交换产品（网闸等）

7.  反垃圾邮件产品

8.  网络综合审计系统（上网行为管理、日志审计）

9.  网络脆弱性扫描产品（漏洞扫描器）

10. 安全数据库系统

11. 网站恢复产品（网页防篡改系统）

特别提醒：自2023年7月1日起，旧版《计算机信息系统安全专用产品销售许可证》已停止颁发。现在只需完成安全认证或检测（二选一）即可。

三、不做的法律风险与后果

1.  行政处罚与罚款：未履行安全保护义务的，可处一万元以上十万元以下罚款；对直接负责的主管人员处五千元以上五万元以下罚款。拒不改正或情节严重的，可处五万元以上五十万元以下罚款。

2.  产品无法销售与项目受阻：产品无法在市场上合法销售，也基本无法参与政府、国企等正规项目的招投标。

3.  业务中断与数据泄露：未做安全评估的系统更容易被攻击，可能导致业务中断、核心数据泄露，甚至被黑客利用发布违法信息。

4.  无法通过等保测评：等保三级及以上的系统，入网安评是上线前的核心前置环节。没做入网安评，等保测评也无法通过。

四、找谁做？机构需要什么资质？

必须选择具备资质的专业机构。测评机构的“三件套”资质：

1.CCRC（信息安全风险评估服务资质）：强制性，没有则无权开展。

2.CMA（检验检测机构资质认定）：强制性，报告上必须加盖CMA章才有法律效力。

3.CNAS（实验室认可）：推荐性，有则证明技术能力更强。

选择机构时，务必确认对方同时具备CCRC和CMA资质。

入网安评不是可选项，而是法定的“安全准生证”。如果你的产品属于《目录》中的任何一类，或者你的系统属于等保三级以上、关键信息基础设施或金融、能源等重要行业，请务必提前规划，选择具备CCRC、CMA和CNAS资质的专业机构进行评估，这是确保合规、规避风险的唯一途径。

标签：入网安评、CCRC和CMA资质