GB 35114 解决的是"视频联网后的信息安全"：设备是不是可信的、信令是不是防篡改的、视频流是不是防泄露的。它把系统安全分为三个等级——信源认证类（最低）、信源认证及视频加密传输类（中级）、信源认证及视频加密存储类（最高）；一般政务/行业联网要求二级起步，涉及敏感区域或公网传输要求三级。落地形态是"安全摄像机 + 安全平台 + 密码基础设施（证书/密钥体系）"。
三个安全等级怎么选？
| 等级 | 保护内容 | 典型场景 |
|---|---|---|
| 一级：信源认证 | 设备身份与信令签名，防假冒设备和非法注册 | 封闭专网内的行业联网 |
| 二级：认证+加密传输 | 在一级基础上对视频流加密传输，防链路窃听 | 跨部门传输、部分利用公共网络 |
| 三级：认证+加密传输+加密存储 | 再加存储加密与受控解密回放 | 敏感部位、公网接入、涉密程度高的项目 |
定级依据是联网路径和视频敏感程度，不是"预算够就买高配"。设计文档写明等级并对应设备资质（见下文验收点）。
用了哪些密码技术？
- SM2（椭圆曲线）：设备证书与信令数字签名，实现"谁在推流、谁在下发指令"的可信认证。
- SM3（杂凑）：完整性校验，防视频片段被替换或信令被篡改。
- SM4（分组对称）：视频码流的加密传输与加密存储，密钥由证书体系协商分发。
这套体系与 GB/T 28181 是配合关系：28181 定义"怎么联网"（SIP 信令、目录、码流格式），35114 定义"联网时怎么保证安全"（在 28181 信令流程上叠加签名、认证与加密）。所以支持 35114 的设备必然支持 28181，反过来不成立。
安全摄像机、安全网关、安全平台各做什么？
TL;DR 角色表：安全摄像机内置密码模块完成注册签名与码流加密；安全网关为存量非安全设备代理认证加密；安全平台完成证书校验、密钥管理与受控回放；统一密钥/证书管理系统（KMS/CA）是底座。
- 安全摄像机：出厂预置设备证书，注册时向平台证明身份，按策略对码流加密。
- 安全接入网关：老项目改造的主力——存量摄像机不支持国密时，在楼栋汇聚处挂网关，集中完成签名与加密封装。
- 安全平台：验证信令签名、分发会话密钥、控制解密权限；加密录像的回放需要授权用户实时解密，密钥不在存储侧落盘。
- 证书体系：项目级或区域级的 CA/RA 与密钥管理，设备证书的生命周期（签发、更新、吊销）要有台账。
采购与验收检查点
- 资质证明：设备是否通过公安部安全与警用电子产品质量检测中心的 35114 检测，索要检验报告核对型号。
- 国密算法标注：数据表明确写 SM2/SM3/SM4，而不是"支持加密"。
- 等级对应：二级要求核对传输加密实测（抓包应见密文），三级再加存储加密与解密回放权限测试。
- 互联互通：与目标联网平台（公安/行业）做真实注册与点播测试，仅同品牌内互通不等于符合标准。
- 密钥管理：证书更新与吊销流程演示，确认密钥丢失后无法解密历史录像之外的越权访问。
常见误区
- 把"HTTPS/VPN"当 35114：通用加密不解决设备信源认证与视频粒度的密钥管理。
- 只在平台侧宣称支持，摄像机不支持，结果全链路降级为明文——安全等级由最弱一环决定。
- 改造期没规划证书体系，联网时临时补 CA，导致全网设备重新注册下发，工期失控。
什么时候必须用？
需要接入公安视频图像信息应用系统、政务共享平台，或行业主管文件（金融、能源、交通）明确要求时，35114 是强制或事实强制项；封闭园区自管自用可暂不实施，但预留网关位与证书体系接口是低成本的前瞻设计。标准具体条款以现行有效版本及属地主管部门要求为准。
参考资料
- GB 35114《公共安全视频监控联网信息安全技术要求》
- GB/T 28181《公共安全视频监控联网系统信息传输、交换、控制技术要求》
- GM/T 0002 SM4、GM/T 0003 SM2、GM/T 0004 SM3 商用密码行业标准