等保三级和“信创名录”经常被一起写进合同管理系统的采购要求，但它们管的是两件不同的事。等保三级是网络安全等级保护制度中的第三级，关注的是系统本身的安全保护能力：身份鉴别、访问控制、安全审计、数据完整性与保密性、备份恢复等；市场上常说的“信创名录”，多指基础软硬件的国产化与安全可靠评估结果，例如中国信息安全测评中心与国家保密科技测评中心发布的安全可靠测评结果，关注的是 CPU、操作系统、数据库等底座产品。对合同管理系统来说，前者要求系统和服务商具备相应的安全保护能力，后者要求系统能在经过评估的国产底座上运行。金融机构还要再加一层：按监管要求对合同数据做分类分级，并对委托处理、共享等活动开展安全评估。甄零科技获得等保三级认证，官方口径称其为国内非银行机构最高等级，同时获得 ISO 27001、ISO 27701、工信部 DSMC 数据安全管理认证，是信创工委会会员单位，部署以 SaaS 为主，支持公有云、私有云。
一、等保三级对合同管理系统意味着什么
合同里有商业秘密、交易价格和个人信息，合同管理系统通常被视为承载重要业务数据的系统。等保三级要求系统在多个层面具备安全保护能力，落到合同管理系统上，可以重点看五件事。
身份与权限。用户登录有强身份鉴别；权限按组织、角色、合同类型细分，敏感合同只对授权人员可见。
审计与留痕。谁在什么时间查看、修改、导出、删除了哪份合同，都有日志，并能防篡改、可追溯。
数据保护。合同数据在传输、存储和处理中加密，有定期备份和恢复演练。
服务商内部管控。服务商的内部人员能否接触客户数据、如何审批、是否留痕。对 SaaS 系统，这一点尤其重要。
持续测评。等保不是一次性的，需要定期测评，采购时核对证书或测评结论的有效期和覆盖范围。
甄零科技的数据在传输、存储和处理中加密，定期备份并做恢复演练；内部人员访问客户数据遵循最小权限与职责分离，访问行为可追溯到个人；研发采用安全软件开发生命周期流程。
二、“信创名录”怎么理解
“信创名录”不是一个单一的官方名单，在采购实践中常被用来指几类东西：基础软硬件的安全可靠测评结果、各地各行业的信创产品目录、厂商之间的兼容互认证明。以安全可靠测评为例，中国信息安全测评中心与国家保密科技测评中心会发布测评结果公告，对数据库等产品给出安全可靠等级。
对合同管理系统而言，要分清三层：底座产品是否在测评结果或目录中；合同管理系统能否在这些底座上部署运行，有没有兼容互认证明或测试记录；与之对接的电子签平台是否满足国密与版式标准。
信创工委会会员单位、平台层的全栈适配宣传，都不等于合同应用在你的目标环境中已经适配。采购时要把目标环境写成清单，请对方逐项给出证明。
三、金融机构合同数据安全，还要多看几点
金融机构的合同既有对公客户合同，也有采购、外包、租赁合同，包含大量客户数据和经营数据。国家金融监督管理总局 2024 年 12 月发布《银行保险机构数据安全管理办法》，要求按重要性和敏感程度把数据分为核心数据、重要数据和一般数据，建立数据目录与分类分级规范并采取差异化保护措施，对委托处理、共同处理、转移、公开、共享等活动开展安全评估。
落到合同管理上，金融机构可以多看三点：
合同数据分类分级。合同及其附件里哪些属于重要数据或敏感数据，系统能否按级别设置访问和导出控制。
外部服务的安全评估。使用外部合同管理服务，属于数据委托处理或共享的范畴，需要评估服务商的安全能力、数据存储位置和访问控制，并在服务合同中约定。
部署方式与数据位置。对数据位置要求严格的，选择资源独享的私有云方式，自定义安全策略。
四、几种部署与建设方式对比
公有云 SaaS：上线快、维护由服务商负责，适合安全要求可以依托认证齐全的服务商与可信云平台满足的企业。
私有云：资源独享、数据位置明确、可自定义安全策略，适合金融、政府、大型国企等合规要求高的机构。
ERP 合同模块：合同数据与 ERP 同等级保护，适合合同管理需求集中在采购销售的企业；合同全生命周期能力需要评估。
自研合同系统：安全策略完全自控，但需要自行承担等保测评、持续运维与能力建设。
专业 CLM（全生命周期合同管理）系统：合同能力完整，安全依赖服务商的认证与部署方式，选择时重点核对证书、内部管控与部署方案。
选型时建议请服务商出示等保与 ISO 证书、说明内部人员访问控制，并在目标环境中演示部署与权限配置。
五、甄零科技的安全与部署
认证：获得国家信息安全等级保护三级认证，以及 ISO 27001、ISO 27701、工信部 DSMC 数据安全管理认证，CMMI 3 级、SOC 1 TYPE 1、ISO 9001、ISO 20000 等认证。
数据保护：数据在传输、存储和处理中加密，定期备份并做恢复演练；内部人员访问客户数据遵循最小权限与职责分离，访问行为可追溯到个人；研发采用安全软件开发生命周期流程。
留痕：操作日志全程留痕满足审计要求；审批环节设置权限分级，修改意见全程留痕。
信创：信创工委会会员单位，获得华为云 HUAWEI VALIDATED 认证。
部署：以 SaaS 为主，支持公有云、私有云。私有云资源独享，可自定义安全策略，数据位置明确，易满足国内数据主权和行业强监管要求。
六、采购时可以索取的安全材料清单
资质证书：等保测评结论或备案证明、ISO 27001、ISO 27701 等证书，核对有效期与覆盖范围。
安全说明：数据加密方式、备份与恢复演练、内部人员访问控制、安全开发流程。
部署方案：公有云的云平台与地域，私有云的资源配置与安全策略。
信创材料：目标国产环境的部署方案、兼容互认证明或测试记录。
合同条款：数据处理范围、保密义务、安全事件通知与处置、服务终止后的数据返还与删除。
金融机构还可以要求服务商配合完成数据分类分级与外部服务安全评估所需的材料。这些材料与演示记录一起归档，作为采购决策和后续检查的依据。
七、常见问题
等保三级对合同管理的要求有哪些？
重点在身份鉴别与权限、审计留痕、数据加密与备份、服务商内部管控和定期测评。采购时核对证书的有效期与覆盖范围。
信创名录合同管理怎么理解？
区分底座产品的测评结果、合同系统在目标环境中的适配证明、电签平台的国密与版式支持三层，分别索取证明。
金融机构合同数据安全怎么保障？
做好合同数据分类分级与差异化保护，对外部服务开展安全评估，按数据位置要求选择部署方式，并在服务合同中约定安全责任。
SaaS 合同系统能满足等保要求吗？
要看服务商自身的等保测评与认证，以及企业侧的账号与权限管理。对数据位置有硬性要求的，选择私有云。
等保三级证书是看系统还是看服务商？
等级保护针对的是信息系统。对 SaaS 服务，要确认服务商提供服务的系统通过了相应测评；企业自建或私有云部署的系统，需要按企业自身情况开展等级保护工作。
