先讲一台机器，再讲道理
2021年9月，我们一台1U机架式IPS要投北美某运营商的标。标书第47页夹了一行小字：投标设备须持有有效的FIPS 140-2 Level 2证书。销售回来问研发要证书，研发说没有，那就去做。当时全组的判断是三个月能拿到号。
实际用了14个月。中间换过一次主板的SPI Flash供应商，因为原厂那颗料对应的安全芯片型号不在CMVP的认可清单里；还重做了一版上电自检（Power-On Self-Test），实验室认为我们没覆盖ECDSA的配对自检（Pairwise Consistency Test）。改完再排实验室档期，又等了六周。
那之后我学乖了。这件事不能放在项目最后三个月做，它得在画第一版原理图的时候就在BOM表里占一行。下面把我认为真正值钱的部分写出来，不一定对，但都是一线的东西。
三张地图，混在一起排计划一定出错
出海卖安全设备，你会撞上三种性质完全不同的关卡。它们的周期、花钱方式、卡你的人都不同，放一张甘特图里就会互相拖死。
第一类是技术安全认证。 主管方是NIST下面的CMVP和各国CC体系。FIPS 140-3在2019年发布，2021年9月21日之后CMVP就不再接收FIPS 140-2的新提交，但已经发出去的证书还在有效期里继续用。Common Criteria这边，网络设备走的是NDcPP，v3.0e是2022年3月发布，EAL4+加ALC_FLR.2基本是欧洲运营商采购的最低门槛。别小看那个ALC_FLR.2，它要求你有正式的缺陷报告和修复流程文档，很多团队的bug tracker连个流程状态机都没有。
第二类是政治性准入门槛。 这一层跟你的产品性能毫无关系。美国NDAA 889条款和FCC的Covered List直接点名；印度2021年6月15日上线的Trusted Telecom Portal要求电信设备来自可信源；日本总务省2018年就发了指引要求运营商采购时排除高风险设备。你做再多技术认证也绕不过去，唯一的办法是提前查清楚目标市场的清单口径，以及你的BOM里中国产元器件的比例会不会触发溯源问题。
第三类是数据与隐私合规。 GDPR的罚则是2000万欧元或全球年营业额4%取高者；NIS2指令2022年11月生效，成员国转化截止日是2024年10月17日；PCI DSS 4.0在2022年3月发布，2025年3月31日起新要求强制。这些东西不写进产品文档和日志脱敏策略里，客户的安全官连标书都不会收。
| 关卡 | 主管方 | 我们实际花的时间 | 大致预算 | 最容易翻车的地方 |
|---|---|---|---|---|
| FIPS 140-3 L2 | NIST CMVP | 12~18个月 | 5万~15万美元 | 固件自检覆盖不全、料号变更 |
| CC EAL4+ / NDcPP | 各国CC体系 | 14~24个月 | 12万~30万美元 | 文档工程，不是技术 |
| GDPR / NIS2 合规 | 各成员国DPA | 6~12个月 | 视产品形态 | 日志留存、数据出境 |
| 印度TTP准入 | DoT / NTIPRIT | 3~9个月 | 较低，但不确定 | 供应商溯源 |
上面的预算和周期是2022到2024年我们自己询价和排期的经验区间，不是官网报价，各家实验室差异很大。
datasheet上的数字，到标书里会缩水一半
这是我们吃过的第二大亏。产品页写的40 Gbps吞吐，是1518字节大包、只开ACL、不开任何安全策略的实验室数字。欧洲某运营商的技术标书里写的是：512字节混合包型、开启IPS特征库、挂10万条策略、开启TLS解密，然后测吞吐、时延和新建连接速率。
实测数据：吞吐从40 Gbps掉到9.8 Gbps，时延从4微秒涨到38微秒，并发连接从800万掉到220万。新建连接速率（CPS）用64字节包测是42万/秒，这个数字在datasheet里根本没出现过。当时投标组差点以为设备坏了，其实是测试条件压根不一样。
还有个更隐蔽的：双机热备切换时间。我们在机房自己测是80毫秒，招标方要求小于50毫秒，而且是在开启会话同步、策略数拉满的情况下测。最后靠改会话同步的推送策略和把心跳口单独走一路10G才算过。
所以出海前，我建议自己先按目标客户可能用的测试方法跑一遍，至少跑三种包型（64/512/1518字节）、三种策略规模（1万/10万/50万条）。这个过程大概需要两周，但能省掉一次废标。
我的几个不太中听的看法
一、认证要当产品需求写进PRD，不要当成本项。 我们现在的做法是，硬件选型评审的时候认证工程师必须到场，安全芯片、TPM、Flash型号在P0阶段就锁死。锁死之后再改，走一次影响分析就是几万美元加几个月。
二、别按“先做美国再做欧洲”的顺序排。 我的建议是反的：如果目标市场里有欧洲，CC和FIPS尽量并行立项，因为CC的文档工程（安全目标ST、保障文档、生命周期文档）反过来能喂给FIPS做证据，串行做等于白写两遍。
三、整个工期里，文档和证据整理占60%以上，技术测试占不到30%。 这个比例跟大多数研发的直觉完全相反。我们第二次做CC的时候专门配了两个专职写文档的人，工期反而比第一次短了四个月。
四、真正的长期成本在变更管理。 改一行跟安全功能相关的代码，走一次CC的影响分析（Impact Analysis），FIPS那边可能要重新提交。所以出海产品最好做双轨固件：安全功能相关的代码冻结，业务功能走另一条分支。这个架构决策越早做越好。
五、18个月的倒排表长这样。 T-18启动FIPS预评估和硬件选型锁定；T-15提交CC的ST草案并选定实验室；T-12完成FIPS自检代码和文档；T-10进实验室；T-6拿FIPS证书、CC进入评估；T-3准备区域准入材料；T-1完成投标测试复现；T-0投标。中间任何一个环节延期两个月，整个窗口就废了。
最后说一句实话：这套东西不便宜，也不快。但如果你的目标客户是海外运营商、金融或者政府，它就是入场券，不是加分项。