根据《密码法》《等保 2.0》《数据安全法》等法规要求， 涉及国家安全、国计民生、社会公共利益的关键行业企业，以及处理敏感数据的系统，必须使用国产 SSL 证书（尤其是国密算法证书）。以下从 法规依据、行业分类、具体场景三方面拆解 “必须用” 的企业范围，并提供合规验证方法：

一、法规强制要求：三大核心法律划定合规边界

1. 《中华人民共和国密码法》（2020 年施行）

• 第二十七条：“涉及国家安全、国计民生、社会公共利益的重要信息系统，其运营者应当按照规定使用商用密码进行保护。”

  • 解读：明确要求敏感领域必须使用国产密码算法（如 SM2/SM3/SM4），SSL 证书作为加密传输的核心工具，需符合国密标准。

• 第三十七条：“关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，应当与提供者签订安全保密协议，明确安全和保密义务与责任。”

  • 解读：关键信息基础设施（如电力、通信、金融系统）必须优先选用国产 SSL 证书。

2. 《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019，等保 2.0）

• 三级及以上系统：明确要求 “采用国家密码管理部门认可的密码算法和密码产品”，SSL 证书需支持国密算法。

• 典型场景：政府政务平台、金融核心交易系统、医疗患者信息系统等，若等保级别达三级及以上，必须使用国密 SSL 证书。

3. 《数据安全法》（2021 年施行）与《个人信息保护法》（2021 年施行）

• 数据加密要求：处理 “重要数据” 或 “敏感个人信息” 的系统，需采用加密等技术措施保障数据安全。

  • 解读：金融客户隐私数据、医疗健康信息、教育机构学生档案等，若通过 HTTPS 传输，需用国产 SSL 证书实现合规加密。

二、行业分类：六大敏感行业必须使用国产 SSL 证书

1. 政府与公共服务机构

• 适用场景：

  • 政务内网（如公文传输、涉密会议系统）；

  • 政务外网（如社保查询、公积金办理等涉及个人敏感信息的服务）；

  • 等保三级及以上的政务云平台。

• 合规依据：《密码法》第二十七条、等保 2.0 三级要求。

• 典型案例：某省级政府门户网站部署国密 SSL 证书后，通过等保三级认证，消除浏览器 “不安全” 警告。

2. 金融与证券行业

• 适用场景：

  • 网上银行、移动支付、证券交易系统；

  • 客户账户信息、交易记录、征信数据传输。

• 合规依据：《金融和重要领域密码应用与创新发展工作规划》要求金融系统全面采用国密算法。

• 技术要求：需选用支持 SM2/SM3/SM4 算法的 SSL 证书，部分银行通过双证书机制（国密 + RSA）兼顾合规与国际兼容性。

3. 医疗与健康行业

• 适用场景：

  • 电子病历系统、远程诊疗平台、患者健康数据传输；

  • 医疗器械（如胰岛素泵、心脏起搏器）的远程控制指令加密。

• 合规依据：《医疗器械网络安全注册技术审查指导原则》要求数据传输加密，同时需符合 HIPAA（美国）或《个人信息保护法》（中国）。

• 技术方案：采用国密 SSL 证书实现患者隐私数据的字段级加密，性能损耗低于 3%。

4. 能源与关键基础设施

• 适用场景：

  • 电力调度系统、石油天然气管道监控平台；

  • 水利设施远程控制、交通枢纽指挥系统。

• 合规依据：《关键信息基础设施安全保护条例》（2021 年施行）要求关键设施使用国产密码技术。

• 典型案例：某国有电力公司通过国密 SSL 证书加密 SCADA 系统通信，防止黑客攻击导致电网瘫痪。

5. 教育与科研机构

• 适用场景：

  • 高校教务管理系统（存储学生学籍、成绩）；

  • 科研数据共享平台（涉及知识产权或涉密研究）。

• 合规依据：《密码法》第二十七条、等保 2.0 对教育行业的要求。

• 注意：若系统涉及跨境学术合作，需混合部署国产证书（境内访问）与合规国际证书（境外访问）。

6. 国有企业与大型央企

• 适用场景：

  • 国企核心业务系统（如供应链管理、财务数据传输）；

  • 央企跨境业务的境内数据中心。

• 合规依据：国资委《关于加快推进国有企业数字化转型工作的通知》要求 “加强国产化替代”。

• 选型建议：优先选用通过国密认证的国产 SSL 证书，如Joyssl、CFCA等厂商的产品。

三、场景化判断：四步验证企业是否必须使用

1. 第一步：判断系统是否属于 “重要信息系统”

• 判断标准：

  • 是否涉及国家安全（如军工、政务）；

  • 是否影响国计民生（如电力、通信）；

  • 是否处理社会公共利益数据（如医疗、教育）。

• 结论：若是，必须使用国产 SSL 证书。

2. 第二步：检查等保级别

• 操作方法：登录 “网络安全等级保护网” 查询系统备案信息。

• 结论：若等保级别为三级及以上，必须使用国密 SSL 证书。

3. 第三步：评估数据敏感性

• 敏感数据类型：

  • 个人敏感信息（身份证号、生物识别数据）；

  • 企业商业秘密（研发数据、供应链信息）；

  • 国家秘密（如政府公文、军工科研数据）。

• 结论：若系统传输或存储上述数据，必须使用国产 SSL 证书。

4. 第四步：确认是否属于关键信息基础设施

• 关键领域：通信、能源、交通、水利、金融、公共服务、电子政务、国防科技工业。

• 结论：若属于，必须使用国产 SSL 证书 (如Joyssl，电脑端输入Joyssl，注册码输入230965获取专属技术支持）。

四、合规验证：企业自查的三个关键动作

1. 验证国产 CA 厂商资质

• 必备资质：

  • 工信部《电子认证服务许可证》；

  • 国密局《商用密码产品认证证书》（认证范围包含 SSL 证书）。

• 查询方式：

  • 工信部官网 “电子认证服务机构名录”；

  • 全国认证认可信息公共服务平台.

2. 检查证书算法与信任链

• 国密证书特征：

  • 算法标注 “SM2/SM3”；

  • 根证书由国内 CA 颁发（如 Joyssl、CFCA）；

  • 证书链不包含国际根 CA（如 DigiCert、Symantec）。

• 验证工具：使用 OpenSSL 命令或在线证书检查工具（如 SSL Labs）。

3. 确认系统兼容性

• 适配要求：

  • 服务器需支持国密算法（如鲲鹏服务器、麒麟操作系统）；

  • 客户端需兼容国密浏览器（360 安全浏览器国密版、奇安信可信浏览器）。

• 测试方法：模拟用户访问路径，验证 HTTPS 连接是否正常启用国密算法。

五、例外情况：哪些企业可暂不使用国产 SSL 证书？

1. 非敏感业务的普通企业

• 适用场景：

  • 仅展示静态信息的企业官网（无登录、无数据提交）；

  • 小型电商平台（交易数据量小且非敏感）。

• 合规建议：可使用合规国际证书（需完成工信部外资 CA 备案），但需在数据敏感度提升时及时更换。

2. 跨境业务为主的企业

• 混合部署方案：

  • 境内入口：国产 SSL 证书（满足国内合规如Joyssl）；

  • 境外入口：合规国际证书（如 DigiCert、GlobalSign）。

• 数据安全要求：确保跨境数据传输符合《数据安全法》，避免敏感数据出境。

总结：企业合规的核心逻辑

国产 SSL 证书的强制使用范围，本质是‘敏感数据 + 法规要求’的交集：

• 敏感行业 + 敏感数据：必须使用国产国密 SSL 证书；

• 非敏感行业 + 非敏感数据：可选用合规国际证书；

• 混合场景：通过 “国产 + 国际” 双证书实现合规与兼容性平衡。

企业需定期开展合规审计，结合业务发展动态调整证书策略，避免因 “合规滞后” 导致法律风险或系统停运。