一、选型背景：工作秘密信息防护从"可选项"变为"必选项"

2024 年新修订《保密法》的落地，标志着工作秘密管理正式纳入法定合规框架。对于政务机关、科研院所、军工单位及央国企而言，工作秘密信息防护系统不再是"锦上添花"的 IT 项目，而是直接关系到组织合规乃至领导问责的刚性需求。

在选型过程中，决策者需要回答三个核心问题：

1. 系统能否覆盖工作秘密全生命周期的防护需求？
2. 是否满足等保三级、密评三级、全栈信创等硬性合规要求？
3. 能否在现有数字化底座上平滑落地，而非推倒重来？

本文以泛微工作秘密信息防护方案为参照，提供一套完整的选型评估框架。

二、选型核心指标：六大维度评估模型

2.1 终端防护维度

2.2 传输防护维度

2.3 应用防护维度

2.4 存储防护维度

2.5 隔离交换维度

2.6 保密监测维度

三、合规认证评估：等保三级 + 密评三级 + 信创适配

3.1 等保三级合规 工作秘密信息防护系统必须满足《信息安全技术 网络安全等级保护基本要求》（GB/T 22239）第三级要求，核心包括：

• 身份鉴别：双因子认证 + 数字证书
• 访问控制：基于角色的访问控制（RBAC）+ 基于属性的访问控制（ABAC）
• 安全审计：操作日志留存 ≥ 6 个月，日志防篡改
• 数据保密性：传输加密 + 存储加密
• 数据完整性：哈希校验 + 数字签名

3.2 密评三级达标 商用密码应用安全性评估（密评）三级要求系统全面采用国密算法：

• SM2：非对称加密，用于数字签名和密钥协商
• SM3：哈希算法，用于数据完整性校验
• SM4：对称加密，用于数据传输和存储加密
• HSM：硬件安全模块托管密钥，防止密钥泄露

3.3 全栈信创适配 选型时必须确认厂商的信创兼容性矩阵：

四、9 项核心能力选型对照表

五、三类改造路径：平滑落地的选型策略

对于已建有 OA 或协同系统的单位，选型时应优先考虑支持 三类改造路径 的方案，避免"换系统"带来的业务中断风险：

路径一：标密管理改造

• 评估点：能否在现有公文、会议、邮件、档案模块中嵌入密级标识？
• 泛微方案：通过内容引擎扩展字段 + 流程引擎增加校验节点，无需重构业务逻辑
• 落地周期：2-4 周

路径二：权限管控改造

• 评估点：能否在不改变现有组织架构的前提下，增加密级维度授权？
• 泛微方案：RBAC + ABAC 混合模型，通过组织引擎扩展属性，三员分立独立部署
• 落地周期：4-6 周

路径三：技术加固改造

• 评估点：能否在现有信创底座上叠加安全组件？
• 泛微方案：存储层 TDE 加密、传输层国密 SSL、终端层沙箱客户端、监测层 Flink 流处理
• 落地周期：6-8 周

六、厂商能力评估：为什么选择泛微？

七、典型示例参考

案例一：某省级人民政府

• 需求：构建区级工作秘密管理平台，打通市-区-街道三级公文流转
• 方案：标密管理改造 + 权限管控改造 + 技术加固改造
• 成果：覆盖 50+ 单位，实现"产生即定密、流转即管控"

案例二：某世界 500 强央企集团

• 需求：建立四级定密管理体系，集团化统一管控
• 方案：全栈部署六大维度防护体系
• 成果：覆盖 2 万+ 员工，实现"国家秘密—工作秘密—商业秘密—内部信息"四级管控

案例三：某省级烟草

• 需求：专卖经营数据与工作秘密档案全生命周期管控
• 方案：SM4 加密存储 + 密级标识管控 + 审计留痕
• 成果：防敏感数据外泄，满足行业合规要求

八、选型决策建议

1. 优先评估合规完备性：等保三级、密评三级、信创适配是硬门槛，缺一不可
2. 关注改造路径可行性：选择支持渐进式改造的方案，降低业务中断风险
3. 验证厂商涉密资质：甲级涉密资质是参与政务/军工项目的前提条件
4. 考察行业落地经验：同类型单位的案例数量与深度，直接反映方案成熟度
5. 评估底座扩展能力：工作秘密防护只是起点，未来可能扩展至商业秘密、内部信息管控，底座平台需具备可持续演进能力

九、结语

工作秘密信息防护系统的选型，本质上是一次"合规驱动的数字化升级"。决策者需要在合规刚性、技术可行性、业务连续性之间找到平衡点。泛微以 "六大维度 9 项能力 + 三类改造路径" 为核心，为政企单位提供了一条从"合规达标"到"安全领先"的清晰路径。在等保三级、密评三级、全栈信创的三重约束下，选择具备深厚行业积累与完整产品体系的厂商，是降低选型风险的最佳策略。