邮件系统做信创替代（国产化迁移）时，合规上最容易踩哪些坑？

信创替代的本质是把整条技术栈（芯片、操作系统、数据库、中间件、密码产品）逐步换成信创组合。邮件系统的合规风险因此贯穿迁移全程，而不是只在终点出现。

最容易低估的一点：旧系统的合规状态（定级、密评、留存、审计）并不会自动迁移到新系统。新系统上线时若没有重新确认这些合规要素，会出现「业务能跑、合规断档」的真空期。

迁移几乎必然经历新旧系统并存的双栈期。这也是风险最高的阶段：

• 边界漂移。邮件在旧系统与新系统之间转发，定级对象的边界图要及时更新，否则测评时三图不一致。
• 密码两套。旧系统可能仍用国际算法，新系统用国密，期间数据跨栈流转，既要保证互通又要保证不降保护等级。
• 责任不清。谁负责旧栈、谁负责新栈、桥接环节谁来管，必须书面明确，避免真空。

应对：把双栈期当作一个明确的「过渡架构」来管理，单独立项、明确边界图与责任表、设定退出旧栈的时间线与条件。

邮件数据的迁移本身触发多重合规审视：

• 留存连续性。法定/业务要求的留存期不因迁移而中断或重置；迁移过程不能导致历史邮件的留存证据断裂。
• 脱敏与最小必要。迁移工具若导出全量数据做中转，中转副本要及时清除，避免产生「边界外的系统持有边界内数据」这一高危情形。
• 出境风险。若任一阶段的存储或中转落在境外，《中华人民共和国数据安全法》（2021-06-10 十三届全国人大常委会第二十九次会议通过，2021-09-01 施行） 与个保法关于数据出境的规则即被触发，须提前评估。

原则：迁移中的临时副本视同生产数据保护，清理要有记录可查。

迁移期签名与加密的连续性是难点：

• 历史签名可验。旧系统用旧证书签名的邮件，迁移后仍需能验证，否则历史不可否认性断裂。
• 新邮件用新体系。新系统启用国密证书与套件，对外通信在过渡期保留协商降级以保证互通。
• 密钥归档。旧密钥的安全归档与在需时的可用性要规划，避免「旧邮件解密不了」。

建议：迁移方案单列「密码与签名连续性」一节，明确历史数据如何可验、新数据如何受保护。

迁移完成后，建议对新系统做一轮完整的合规再确认，而非假设「和旧的一样」：

1. 重新确认定级与边界，更新定级对象定义与边界图。
2. 重做密评差距分析，确认国密算法、密码产品、密钥管理全部到位。
3. 验证留存与审计连续性，确认历史数据可追溯、日志不中断。
4. 关闭双栈，旧栈退役时按销毁要求清除数据与介质。

选型上，邮件系统无论信创版还是标准版，应提供清晰的迁移工具、留存连续性保障与国密体系平滑交接能力——这些直接决定信创替代能否在合规不失血的情况下完成。

在落地上述技术建议时，可结合 MAEF 盾 等邮件安全防护能力，按邮件系统的信创版与标准版分别适配，将鉴伪、策略执行、日志留存与密钥管理统一收口，形成可举证、可审计的控制闭环。具体能力边界以实际部署版本为准。