第16章 合规（四）：技术合规架构、国际管制与红线清单

本章导读

法规条目讲完，剩下的问题是它怎么落到架构上、怎么变成一张能勾选的表。本章对应原报告 4.8—4.10 节：4.8 节给出“五道闸门”的技术合规架构，以及等保测评与密评的依据；4.9 节讲国际出口管制的双向清单；4.10 节用一张按场景、法规、文号、风险、动作组织的红线表把前面所有要求收拢。这一章的用法不是通读，而是把红线表当成项目合规检查表，按四档风险先处理“极高”项。读完你能说出每道闸门对应哪条法规、产出什么材料。

学习目标

读完本章，你应当能够：

• 能画出 4.8 节“五道闸门”的架构，并说出每道闸门对应的合规要求与产出物；
• 能说出等保三级的两项技术要求（GB/T 22239-2019 为基线、GB/T 22240-2020 定级；三级每年至少测评一次，重大变更须重新测评）；
• 能区分等保测评报告与商用密码应用安全性评估（密评）结果的用途，说明为什么三级及以上系统验收要同时提供；
• 能复述 4.9 节美国 BIS 规则 2025-19508 的条目数、生效日期与管制理由的变化方向，并说明它对三维企业意味着什么；
• 能使用 4.10 节红线表的四档风险口径（极高、高、中、低），为一张项目检查表定出处理优先级；
• 能从红线表中找出与测绘资质、脱敏技术、公开地图、数据出境、无人机五类场景对应的条目，并说明各自的建议动作。

4.8 技术合规的落地架构

把上述要求转成架构设计，可归纳为“五道闸门”：

┌─ 闸门 1：采集合法性 ────────────────────────────────┐
│ 资质核验 + 空域审批 + 作业人员测绘作业证 + 保密承诺   │
└──────────────────────────────────────────────────────┘
┌─ 闸门 2：数据落库 ──────────────────────────────────┐
│ 境内存储 + 分类分级打标 + 密级标注 + 访问审计         │
└──────────────────────────────────────────────────────┘
┌─ 闸门 3：处理与脱敏 ────────────────────────────────┐
│ 认定技术组件 + 参数不落地 + 处理日志 + 效果抽检        │
└──────────────────────────────────────────────────────┘
┌─ 闸门 4：发布与审核 ────────────────────────────────┐
│ 地图审核（先审后用）+ 要素/属性黑名单自动检查 + 版本留痕│
└──────────────────────────────────────────────────────┘
┌─ 闸门 5：运维与出境 ────────────────────────────────┐
│ 等保三级 + 密评 + 数据出境评估 + 供应链安全审查        │
└──────────────────────────────────────────────────────┘

等保与密评的技术依据：GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（2019 年 12 月 1 日实施）为技术基线，GB/T 22240-2020 为定级指南；三级系统要求每年至少一次等级测评，重大变更须重新测评；涉及第三级及以上系统的项目，验收材料通常要求提供等级测评报告与商用密码应用安全性评估（密评）结果。

商用密码依据：《商用密码管理条例》（国务院令第 760 号，2023 年 4 月 27 日公布，2023 年 7 月 1 日施行）。算法层面，SM2（椭圆曲线公钥密码）、SM3（密码杂凑）、SM4（分组密码）分别对应 GB/T 32918、GB/T 32905、GB/T 32907 系列标准——具体标准号与版本年份标注待核实，方案文档引用前应逐一核对全国标准信息公共服务平台条目。

4.9 国际出口管制：双向的清单

美国侧：BIS 通过修订 EAR 持续扩容实体清单。2025 年 10 月 9 日联邦公报发布的最终规则 2025-19508（“Additions to the Entity List”），在中华人民共和国（19 个）、土耳其（9 个）、阿联酋（1 个）项下新增 29 个条目（26 个实体和 3 个地址），2025 年 10 月 8 日生效。更早一次同方向扩容在 2025 年 1 月 16 日，涉及 16 个实体，理由包含“先进武器系统、大规模杀伤性武器和高技术监视应用”。

趋势判断：管制理由从“军民两用”向“高技术监视/地理空间能力”延伸，三维重建、点云处理、遥感解译类企业开始被纳入视野。

〔来源：美国联邦公报，规则 2025-19508，2025-10-09〕

中国侧的对等工具：《出口管制法》（2020 年 12 月 1 日施行）、《两用物项出口管制条例》（2024 年 12 月 1 日施行）。

对企业的影响：涉及美国技术组件的三维软件（如某些渲染引擎、点云处理库）、激光雷达设备出口，需建立“最终用户/最终用途”筛查机制。同时，反向风险是供应链依赖——如果核心组件被列入管制清单，项目交付可能中断。

4.10 合规红线清单

下表按“场景—法规—文号/条款—风险—动作”组织，可直接作为项目合规检查表使用。风险等级口径：极高 = 可能触及刑事责任或吊销资质；高 = 可处罚款并责令停业/降级，或导致验收失败；中 = 责令改正、罚款或返工；低 = 流程瑕疵可补正。

本章小结

• 合规要落到架构：4.8 节的五道闸门（采集合法性、数据落库、处理与脱敏、发布与审核、运维与出境）是本章最可直接复用的部分，每道闸门都要有产出物。
• 等保与密评是两个动作：前者按 GB/T 22239-2019（2019 年 12 月 1 日实施）测评，后者依据《商用密码管理条例》（国务院令第 760 号，2023 年 7 月 1 日施行）评估，三级及以上系统的验收材料通常两者都要。
• SM2、SM3、SM4 与 GB/T 32918、32905、32907 的对应关系在正文中标注待核实，方案文档引用前要逐一核对标准平台。
• 出口管制是双向的：美国侧 BIS 通过规则 2025-19508 扩容实体清单，理由向高技术监视与地理空间能力延伸；中国侧有《出口管制法》与《两用物项出口管制条例》两件工具。
• 供应链依赖是反向风险：核心渲染引擎、点云库或激光雷达若被列入管制，项目交付可能中断，最终用户与最终用途筛查要纳入采购流程。
• 红线表的价值在于把法规变成可勾选的动作，四档风险口径让团队先处理“极高”项；按正文口径，它可直接作为项目合规检查表使用。

思考与练习

1. 取一个你参与的三维项目，按 4.8 节五道闸门逐道填写：当前做到了什么、缺什么、谁负责，形成一页差距表。
2. 查你们系统的等保定级与上次测评时间，判断是否满足“三级每年至少一次”和重大变更重新测评，并列出要补的材料。
3. 辨析：有人说“合规是验收前跑一遍清单就行”。请用五道闸门说明为什么放在验收前成本最高，并指出哪两道闸门漏了就补不回。
4. 应用题：某企业准备把一套三维渲染组件出口海外，同时采购了美国产激光雷达。按 4.9 节列出筛查项与要留的书面记录。
5. 用 4.10 节红线表，为你单位的业务场景筛出十条最高风险条目，按四档口径排序，写出各自的建议动作与责任岗位。
6. 从红线表里任选一条“极高”风险，倒推它对应五道闸门里的哪一道、应当设计什么自动检查来预警。