来源：市场资讯
（来源：同安政务）
密评到底评什么？企业如何快速通过商用密码应用安全性评估
最近跟好几个企业安全负责人聊，发现一个很有意思的现象：很多企业知道要做密评，但不知道自己在"裸考"。
有的买了几台密码机就以为万事大吉；有的以为把系统对接一下就完事了；还有的等测评机构上门，才发现一堆高风险项，当场被打回来整改，一耽误就是三四个月。
密评不是"买设备、走过场"，它是一套严肃的系统性评估。你要是搞不清楚它到底在评什么，就永远只能在及格线边缘挣扎。
今天把这事儿彻底讲清楚。
密评在评什么？三个维度，一次说透
密评，全称商用密码应用安全性评估，依据的是 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》。这不是一个模糊的概念标准，而是一套可以量分、可以检测、可以追溯的技术体系。
它评估三个维度，缺一不可。
1. 合规性：你的密码"选型"对不对
这是最基础的一关。
你用的是不是国密算法？用的是不是合规的密码产品？
具体来说：
算法必须采用 SM2/SM3/SM4 等国密算法，RSA-1024、AES-128 以下这类"老古董"直接一票否决
密码产品必须具备国家密码管理局颁发的认证证书（型号证书）
密钥长度必须满足标准要求，SM2 密钥长度 256 位，SM4 分组长度 128 位
很多企业倒在这一步，原因很简单：历史包袱太重。老系统里存了十几年的用户密码，用的是 MD5 加盐，早就该换了，但业务不能停，改造难度极大。
合规性是门槛，迈不过去，后面都不用谈。
2. 正确性：你的密码"实现"对不对
算法选对了，设备也买了，接下来要看系统有没有按照标准正确实现。
常见的问题包括：
密钥管理流程不合规，密钥明文存储在配置文件里
密码服务调用接口不规范，加解密逻辑散落在各处代码里
身份鉴别只做了单因素，没有结合密码技术做双因素认证
敏感数据在数据库里是明文存的，TLS 通道也没有全程覆盖
有个数据很能说明问题：在已完成的密评项目中，高风险项出现频率最高的前四名，分别是：非国密算法、密钥管理不合规、敏感数据未加密、安全通道缺失。 全部踩中任意一条，要么整改，要么不过，没有中间地带。
3. 有效性：你的密码"运行"对不对
系统上线那一刻合规，不代表三年后还合规。
有效性评估要回答的问题是：你的密码保障体系能不能长期稳定地发挥防护作用？
这包括：
密钥有没有定期轮换机制？
密码设备运行状态有没有监控？
密码服务有没有可用性保障，SLA 怎么定的？
系统变更、密码策略调整时，有没有重新评估？
很多企业做完密评就松一口气，结果第二年复查，发现密钥超期、密码机固件没更新、运维人员换了七八拨没人交接——有效性扣分，一扣就是大几分。
评分规则：60分不够，没高风险项才是关键
很多人以为密评是"及格制"，60分万岁。这个理解只对了一半。
密评总分为 100 分，拆成两个部分：
技术项 70 分：密码算法、设备部署、协议实现、密钥管理这些硬指标
管理项 30 分：制度建设、人员培训、应急响应、安全运维这些软指标
通过标准是两件事同时满足：
总分 ≥ 60 分
没有高风险项，或者有高风险项但已有充分的缓解措施
注意，"一票否决"的情形是这样的：存在高风险项，且无缓解措施 → 直接判定不合格。
这条规则比60分那条更重要。我见过有人考了72分，但有一条高风险没整改，照样不合格。也见过有人刚过60分，但高风险项全部做足了补偿措施，反而过了。
所以战略上一定要搞清楚：保高分是好的，但防控高风险项才是底线思维。
密评六步走，每一步怎么走对？
密评不是测评机构来了才开始忙活，它是一个完整的六步流程。真正聪明的企业，都是从第一步就开始认真做的。
第一步：差距分析
这是最关键、也最容易被跳过的步骤。
很多企业找测评机构第一件事就要报告模板，这完全是本末倒置。差距分析要求你：
对照 GB/T 39786-2021，把每一条标准拆解成自己的现状问题
梳理现有系统架构，标出哪些环节用了密码、哪些环节没用
识别哪些是技术层面问题、哪些是管理层面的漏洞
建议用 Excel 或者专门的评估工具，做一个问题清单+整改优先级矩阵。高风险项排最前面，技术项70分里的大头排其次，管理项30分可以后补。
第二步：方案设计
差距分析完了，接下来是制定整改方案并选型密码产品。
这一步有几个坑要避开：
第一个坑：唯设备论。 不是买了贵的密码机就能过评，要看你买的设备认证型号、部署位置、调用方式是否和你的系统匹配。
第二个坑：一步到位思维。 密评整改不是大跃进，要按优先级分批推进。先处理高风险项，再处理中高分值项，管理项可以同步推进制度文档。
第三个坑：忽视应用层改造。 密码机是底层支撑，但真正决定合规与否的往往是应用层代码——比如加解密逻辑、签名验签流程、密钥存储方式。这些不改，设备白买。
第三步：整改实施
这一步是体力活，也是技术活。具体包括：
密码机部署与配置：根据方案在网络关键节点部署密码设备，配置加密策略、访问控制策略
应用系统改造：调用标准密码接口（PKCS#11 或 GM/T 0022 标准），把散落在各处的密码逻辑收敛到统一调用层
数据加密迁移：历史数据要做加密迁移，这个环节风险最大，业务影响最直接，建议做灰度方案、分批迁移
实施过程中，最容易出问题的环节是应用代码改造。很多企业的核心业务系统是十年前的老架构，代码里的密码逻辑早就不知被谁改过多少遍，改造过程中稍有不慎就会引入新的合规问题。
第四步：测评迎检
这个阶段，企业要做的是材料准备和现场配合。
材料方面，重点准备：
密码应用方案和设计文档
密钥管理制度和操作记录
密码设备运维日志
应急响应预案及演练记录
人员密码安全培训记录
现场配合方面，测评机构会做技术检测和访谈，技术检测包括：
算法实现验证（抓包分析、代码审计）
密钥管理体系审查
密码设备运行状态抽检
有一条建议：在测评机构进场前，自己先做一遍内部预审。很多企业等到测评机构发现了问题再改，时间窗口就非常紧张了。
第五步：出具报告
测评机构根据检测结果，出具评估报告。报告内容包括：
各评估项得分明细
发现的问题和风险等级
整改建议
报告是密评的核心成果物，后续备案要用，监管部门也会重点审查。
第六步：备案上传
拿到报告后，企业需要将报告上传至所在地密码管理局进行备案。
这一步在流程上最简单，但最容易因为手续不全被退回。常见的问题包括：
报告格式不符合要求（PDF 盖章版 vs 电子版）
备案系统上传附件超限
企业信息与测评系统信息不一致
建议提前和当地密码管理局沟通，确认备案材料清单，避免反复。
四个高风险项，踩中一个都很麻烦
前面已经反复提过高风险项，这里单独拎出来说，是因为它们出现频率实在太高，且整改成本极大。
非国密算法
RSA-1024、DES、MD5……这些在行业里"历史悠久"的算法，在密评标准里全部不合格。
整改方案：分批替换为核心。首先处理认证鉴别、数据传输等高敏感场景，再处理一般存储场景。
密钥管理不合规
这是最常见的"隐性炸弹"。很多企业的密钥直接明文写在配置文件里，或者存在数据库的某个表里，没有任何访问控制。
合规的密钥管理要求：密钥生成在密码机内、密钥存储在密码机或 KMS、密钥使用有访问日志、密钥轮换有明确周期。
敏感数据未加密存储
用户个人信息、交易数据、业务敏感文件——这些数据在数据库里必须是密文存储。
一个很简单的判断标准：如果数据库 DBA 能直接 SELECT 看到用户明文密码，这项基本不及格。
传输过程未使用安全通道
HTTP 明文传输的数据，一抓包全泄露。必须是 TLS 1.2 及以上，且密码套件必须使用国密算法（SM4+SM2/SM3）。
说了这么多，有人可能会问：密评这事，到底值不值得花这么大力气？
我的观点很明确：密码安全不是成本，是底线。
数据泄露事件的代价，从罚款到声誉损失到客户流失，加起来远大于密评整改的投入。而且，随着《密码法》和相关配套法规的持续落地，密评从"可选项"变成"必选项"的速度，比很多人想象的要快。
你的企业，密码安全准备好了吗？
热门跟贴