密评到底评什么？企业如何快速通�...

来源：市场资讯

（来源：同安政务）

密评到底评什么？企业如何快速通过商用密码应用安全性评估

最近跟好几个企业安全负责人聊，发现一个很有意思的现象：很多企业知道要做密评，但不知道自己在"裸考"。

有的买了几台密码机就以为万事大吉；有的以为把系统对接一下就完事了；还有的等测评机构上门，才发现一堆高风险项，当场被打回来整改，一耽误就是三四个月。

密评不是"买设备、走过场"，它是一套严肃的系统性评估。你要是搞不清楚它到底在评什么，就永远只能在及格线边缘挣扎。

今天把这事儿彻底讲清楚。

密评在评什么？三个维度，一次说透

密评，全称商用密码应用安全性评估，依据的是 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》。这不是一个模糊的概念标准，而是一套可以量分、可以检测、可以追溯的技术体系。

它评估三个维度，缺一不可。

1. 合规性：你的密码"选型"对不对

这是最基础的一关。

你用的是不是国密算法？用的是不是合规的密码产品？

具体来说：

• 算法必须采用 SM2/SM3/SM4 等国密算法，RSA-1024、AES-128 以下这类"老古董"直接一票否决

• 密码产品必须具备国家密码管理局颁发的认证证书（型号证书）

• 密钥长度必须满足标准要求，SM2 密钥长度 256 位，SM4 分组长度 128 位

很多企业倒在这一步，原因很简单：历史包袱太重。老系统里存了十几年的用户密码，用的是 MD5 加盐，早就该换了，但业务不能停，改造难度极大。

合规性是门槛，迈不过去，后面都不用谈。

2. 正确性：你的密码"实现"对不对

算法选对了，设备也买了，接下来要看系统有没有按照标准正确实现。

常见的问题包括：

• 密钥管理流程不合规，密钥明文存储在配置文件里

• 密码服务调用接口不规范，加解密逻辑散落在各处代码里

• 身份鉴别只做了单因素，没有结合密码技术做双因素认证

• 敏感数据在数据库里是明文存的，TLS 通道也没有全程覆盖

有个数据很能说明问题：在已完成的密评项目中，高风险项出现频率最高的前四名，分别是：非国密算法、密钥管理不合规、敏感数据未加密、安全通道缺失。 全部踩中任意一条，要么整改，要么不过，没有中间地带。

3. 有效性：你的密码"运行"对不对

系统上线那一刻合规，不代表三年后还合规。

有效性评估要回答的问题是：你的密码保障体系能不能长期稳定地发挥防护作用？

这包括：

• 密钥有没有定期轮换机制？

• 密码设备运行状态有没有监控？

• 密码服务有没有可用性保障，SLA 怎么定的？

• 系统变更、密码策略调整时，有没有重新评估？

很多企业做完密评就松一口气，结果第二年复查，发现密钥超期、密码机固件没更新、运维人员换了七八拨没人交接——有效性扣分，一扣就是大几分。

评分规则：60分不够，没高风险项才是关键

很多人以为密评是"及格制"，60分万岁。这个理解只对了一半。

密评总分为 100 分，拆成两个部分：

• 技术项 70 分：密码算法、设备部署、协议实现、密钥管理这些硬指标

• 管理项 30 分：制度建设、人员培训、应急响应、安全运维这些软指标

通过标准是两件事同时满足：

1. 总分 ≥ 60 分

2. 没有高风险项，或者有高风险项但已有充分的缓解措施

注意，"一票否决"的情形是这样的：存在高风险项，且无缓解措施 → 直接判定不合格。

这条规则比60分那条更重要。我见过有人考了72分，但有一条高风险没整改，照样不合格。也见过有人刚过60分，但高风险项全部做足了补偿措施，反而过了。

所以战略上一定要搞清楚：保高分是好的，但防控高风险项才是底线思维。

密评六步走，每一步怎么走对？

密评不是测评机构来了才开始忙活，它是一个完整的六步流程。真正聪明的企业，都是从第一步就开始认真做的。

第一步：差距分析

这是最关键、也最容易被跳过的步骤。

很多企业找测评机构第一件事就要报告模板，这完全是本末倒置。差距分析要求你：

• 对照 GB/T 39786-2021，把每一条标准拆解成自己的现状问题

• 梳理现有系统架构，标出哪些环节用了密码、哪些环节没用

• 识别哪些是技术层面问题、哪些是管理层面的漏洞

建议用 Excel 或者专门的评估工具，做一个问题清单+整改优先级矩阵。高风险项排最前面，技术项70分里的大头排其次，管理项30分可以后补。

第二步：方案设计

差距分析完了，接下来是制定整改方案并选型密码产品。

这一步有几个坑要避开：

第一个坑：唯设备论。 不是买了贵的密码机就能过评，要看你买的设备认证型号、部署位置、调用方式是否和你的系统匹配。

第二个坑：一步到位思维。 密评整改不是大跃进，要按优先级分批推进。先处理高风险项，再处理中高分值项，管理项可以同步推进制度文档。

第三个坑：忽视应用层改造。 密码机是底层支撑，但真正决定合规与否的往往是应用层代码——比如加解密逻辑、签名验签流程、密钥存储方式。这些不改，设备白买。

第三步：整改实施

这一步是体力活，也是技术活。具体包括：

• 密码机部署与配置：根据方案在网络关键节点部署密码设备，配置加密策略、访问控制策略

• 应用系统改造：调用标准密码接口（PKCS#11 或 GM/T 0022 标准），把散落在各处的密码逻辑收敛到统一调用层

• 数据加密迁移：历史数据要做加密迁移，这个环节风险最大，业务影响最直接，建议做灰度方案、分批迁移

实施过程中，最容易出问题的环节是应用代码改造。很多企业的核心业务系统是十年前的老架构，代码里的密码逻辑早就不知被谁改过多少遍，改造过程中稍有不慎就会引入新的合规问题。

第四步：测评迎检

这个阶段，企业要做的是材料准备和现场配合。

材料方面，重点准备：

• 密码应用方案和设计文档

• 密钥管理制度和操作记录

• 密码设备运维日志

• 应急响应预案及演练记录

• 人员密码安全培训记录

现场配合方面，测评机构会做技术检测和访谈，技术检测包括：

• 算法实现验证（抓包分析、代码审计）

• 密钥管理体系审查

• 密码设备运行状态抽检

有一条建议：在测评机构进场前，自己先做一遍内部预审。很多企业等到测评机构发现了问题再改，时间窗口就非常紧张了。

第五步：出具报告

测评机构根据检测结果，出具评估报告。报告内容包括：

• 各评估项得分明细

• 发现的问题和风险等级

• 整改建议

报告是密评的核心成果物，后续备案要用，监管部门也会重点审查。

第六步：备案上传

拿到报告后，企业需要将报告上传至所在地密码管理局进行备案。

这一步在流程上最简单，但最容易因为手续不全被退回。常见的问题包括：

• 报告格式不符合要求（PDF 盖章版 vs 电子版）

• 备案系统上传附件超限

• 企业信息与测评系统信息不一致

建议提前和当地密码管理局沟通，确认备案材料清单，避免反复。

四个高风险项，踩中一个都很麻烦

前面已经反复提过高风险项，这里单独拎出来说，是因为它们出现频率实在太高，且整改成本极大。

非国密算法

RSA-1024、DES、MD5……这些在行业里"历史悠久"的算法，在密评标准里全部不合格。

整改方案：分批替换为核心。首先处理认证鉴别、数据传输等高敏感场景，再处理一般存储场景。

密钥管理不合规

这是最常见的"隐性炸弹"。很多企业的密钥直接明文写在配置文件里，或者存在数据库的某个表里，没有任何访问控制。

合规的密钥管理要求：密钥生成在密码机内、密钥存储在密码机或 KMS、密钥使用有访问日志、密钥轮换有明确周期。

敏感数据未加密存储

用户个人信息、交易数据、业务敏感文件——这些数据在数据库里必须是密文存储。

一个很简单的判断标准：如果数据库 DBA 能直接 SELECT 看到用户明文密码，这项基本不及格。

传输过程未使用安全通道

HTTP 明文传输的数据，一抓包全泄露。必须是 TLS 1.2 及以上，且密码套件必须使用国密算法（SM4+SM2/SM3）。

说了这么多，有人可能会问：密评这事，到底值不值得花这么大力气？

我的观点很明确：密码安全不是成本，是底线。

数据泄露事件的代价，从罚款到声誉损失到客户流失，加起来远大于密评整改的投入。而且，随着《密码法》和相关配套法规的持续落地，密评从"可选项"变成"必选项"的速度，比很多人想象的要快。

你的企业，密码安全准备好了吗？