密评：建设思路、实施流程与产品配置

慧等保
慧等保

悟安

2026年10月13日 21:18
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

商用密码应用安全性评估（通常简称“密评”）是对信息系统使用商用密码技术、产品和服务的合规性、正确性、有效性进行检测与验证。它与网络安全等级保护不同：等保三级关注整体网络安全防护，密码应用三级（业内常说“三级密评”）关注密码在身份鉴别、传输保护、数据保护、密钥管理和管理制度中的实际效果。不能简单理解为采购若干设备即可通过，必须以业务风险、系统边界和密码应用方案为依据建设并留存证据。

适用标准主要包括《信息安全技术 信息系统密码应用基本要求》（GB/T 39786-2021）和《信息系统密码应用测评要求》（GM/T 0115-2021）。重要网络与信息系统应在规划、建设、运行阶段同步开展密码应用工作；上线前未通过评估的，应整改后再投入运行；建成运行后原则上至少每年开展一次评估。评估报告形成后，重要网络与信息系统运营者应按规定在30日内备案。国家密码管理局《商用密码应用安全性评估管理办法》

一、三级密码应用建设思路

首先明确定级对象和边界，包括业务系统、服务器、终端、数据库、中间件、网络区域、云资源、接口以及运维通道。随后梳理数据类型和流向，重点识别个人信息、重要业务数据、交易数据、日志、电子文件及密钥等，明确“谁访问、何时访问、经何路径传输、是否需要签名或加密保存”。

三级建设宜采用“统一密码服务平台＋各层密码应用”的架构：以密码机或云密码服务为根，为应用、数据库、网关、终端提供密钥生成、存储、轮换、销毁、签名、验签、加解密等能力；使用SM2、SM3、SM4等国家商用密码算法，实现传输、存储、身份和行为的全链路保护。密码功能应真正接入业务流程，而不是仅部署设备、长期闲置。

建设中还必须配套制度和人员。应明确密码主管责任人、系统管理员、密钥管理员、密码操作员和安全审计员，形成相互制约；建立密钥全生命周期、介质管理、配置变更、账号权限、日志审计、应急处置、备份恢复、供应商管理等制度，并保留审批单、配置截图、日志、演练记录和运维记录。

二、测评实施流程

1. 立项与差距分析。 确定评估范围、系统等级、责任部门和时间计划，盘点现网资产、接口、数据流及已部署密码产品。依据三级指标形成差距清单，避免实施后才发现遗漏系统或接口。
2. 编制密码应用方案。 方案至少应写清业务场景、保护对象、密码应用流程、算法与产品选型、密钥体系、网络及部署拓扑、管理制度和实施计划。重要系统在建设前应对方案开展评估；方案未通过，不宜作为后续建设依据。
3. 产品采购与集成建设。 选择合规的商用密码产品和服务，核验产品型号、检测/认证材料、版本及适用场景。完成联调后，应验证国密TLS/SSL、签名验签、数据库加密、密钥调用、日志审计等功能可用且不影响核心业务。
4. 预评估与整改。 按物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、密码应用管理五个方面进行自查。重点整改“明文传输、明文存储、私钥落盘、弱口令、密钥多人共管、日志不能追溯、设备未纳管”等问题。
5. 正式测评。 委托依法具备资质的商用密码检测机构，提交网络拓扑、资产清单、密码应用方案、制度、产品资料、配置及运维记录，并配合访谈、现场核查、工具检测和证据采集。测评依据客观证据逐项判定，形成报告。
6. 备案与持续运行。 对不符合项闭环整改、复核，形成正式报告并依规备案。上线后持续开展密钥轮换、日志审计、账户复核、漏洞与配置管理、备份恢复及年度评估。

三、三级密评常见产品配置

产品应按场景选配，而非机械“全买一遍”。

三级项目通常至少需要覆盖：身份鉴别、通信完整性、通信保密性、重要数据完整性、重要数据保密性、密钥管理和安全审计。若系统没有外网接口、没有移动办公、没有电子签章或没有敏感数据存储，相应产品可以不配，但必须在密码应用方案中说明“不适用”的业务与风险依据。

最终通过的关键不在品牌或设备数量，而在于：产品合规、方案合理、部署正确、密钥安全、业务真实调用、证据完整，以及管理制度能够持续执行。建议先开展一次密码应用差距调研，再据此形成产品清单和预算；直接按“三级套餐”采购，往往会造成漏项或闲置。