🔐 密评怎么做——商用密码应用安全性评估完整流程

1 密评是什么：商用密码应用安全性评估

密评全称商用密码应用安全性评估，依据《中华人民共和国密码法》和 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，对信息系统中使用的商用密码进行合规性、正确性和有效性评估。简单说，就是检查系统里的加密、签名、摘要这些密码功能，用得对不对、够不够、有没有真在跑。

它和等保是两条并行的合规线。等保管的是整体安全体系，密评专管密码这一块。等保测评里也有密码相关条款，但密评的要求更细、更硬，会逐项验证密码算法、密码技术、密码产品和密码服务的实际使用情况。

关键区别在于密评要求实测。不是看文档写没写用了国密算法，而是要现场抓包看传输层实际协商的是哪个算法，查数据库看存储的密码字段是不是真加密了，验证密钥管理流程有没有落地。文档写得再完整，实测不过就是不过。

2 哪些系统需要做密评

《密码法》第二十七条明确，法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，并自行或者委托商用密码检测机构开展商用密码应用安全性评估。

落到实操层面，需要做密评的系统主要包括三类：

需要提醒的是，新建系统在规划阶段就要考虑密评。密码改造涉及架构层面，等系统上线后再补，成本通常是前期设计的几倍。很多项目卡在验收环节，就是因为上线前没做密码方案设计。

3 密评查什么：四个维度逐项过

GB/T 39786-2021 从四个技术维度提出要求，加上一个管理维度，构成完整评估框架。

4 首次密评最常见的六类问题

从实际评估情况看，首次做密评的系统问题高度集中在这几处。

5 密评和等保怎么配合做

两条线可以合并推进，省时间也省钱。可行的做法是把密评的密码要求提前嵌进等保整改清单，一次改造覆盖两套要求。

具体衔接点有三个。第一，等保的身份鉴别要求与密评的网络通信安全要求重叠，做国密证书登录能同时满足两边。第二，等保的数据完整性和保密性要求，与密评的应用和数据安全维度基本一致，字段级加密一次做完两边都算。第三，等保的安全管理制度与密评的密码管理制度可以合并成一本，避免两套文档互相打架。

时间安排上，建议先做等保差距分析，同步梳理密码应用现状，形成一张合并整改表。整改完成后先跑等保测评，再做密评，因为密评的实测依赖系统已经稳定运行。

6 密评准备的四步走法

第一步，梳理密码应用现状。把系统里所有用到密码的地方列出来：传输加密、存储加密、身份鉴别、电子签名、日志完整性保护。每一项标明用的什么算法、什么产品、谁在管密钥。这张表是后续所有工作的基础。

第二步，编写密码应用方案。按 GB/T 39786 的四个维度逐条对应，说明每个要求怎么满足。方案要能落到具体产品和技术实现，不能只写原则性描述。新建系统这一步在规划设计阶段就要做。

第三步，实施改造。按优先级排序：先改算法不合规的（工作量小、影响面大），再补缺失的密码功能（如字段级加密、日志完整性），最后完善密钥管理体系（周期最长）。改造过程要留证据：配置截图、调用日志、测试记录。

第四步，自评估加正式评估。正式评估前先做一轮自评估，按评估指标逐项打分，找出明显短板。自评估可以用开源工具或厂商提供的检查表。正式评估由具备资质的机构执行，通常需要两到四周，含现场访谈、配置核查、抓包验证、文档审查。

7 云上做密评，能用哪些现成能力

主流云厂商都提供了密码相关的托管服务，能覆盖密评的一部分要求，减少自建密码机的投入。

需要说明的是，云服务能解决技术实现的一部分，但密评还要看制度、流程和实际使用痕迹。产品买了不接业务、密钥台账不建，评估时依然会失分。