商用密码应用安全性评估（业内简称”密评”）的合规义务，来自《密码法》第二十七条与《商用密码管理条例》：关键信息基础设施与等保三级及以上系统每年至少评估一次。与”考什么”相比，更多单位卡在”流程怎么走”——方案没有先评审备案就开建、现场测评才发现高风险项、报告备案漏了环节。本文按完整流程拆解各阶段实务要点，供立项与建设阶段对照使用。
全流程十一步：从定对象到持续改进
行业实践中，密评建设通常按十一个步骤推进：确定密评对象、编写密码应用方案或密码改造方案、密评机构或专家评估方案、方案报送密码管理部门备案、编制预算、项目招投标、实施建设、现场测评、测评报告报送密码管理部门与公安备案、定期测评、持续改进。
这十一步可以归并成四个阶段来管理：
- 准备阶段（第 1-2 步）：划定测评边界，确认系统是否属于关基、等保定级情况，据此确定密评级别——等保三级对应密评三级，无定级系统默认按密评三级评估。
- 方案阶段（第 3-4 步）：方案先经专家论证或测评机构评审，再报送备案，之后才进入预算与招标。
- 建设阶段（第 5-7 步）：按评审通过的方案部署密码产品并完成应用改造。
- 测评与运维阶段（第 8-11 步）：现场测评、报告备案，之后每年至少一次复评并持续改进。
这个顺序不能颠倒。方案未经评审备案就先建设，一旦评审意见要求调整架构，已采购的设备和已完成的改造都可能返工。
方案先行：评审与备案为什么是前置条件
《信息系统商用密码应用方案》是密评流程中第一份要”过关”的文件。按行业口径，方案完成后应由专家论证或委托测评机构评审，并报送密码管理部门备案，之后才能作为立项与验收的依据材料。
政务项目尤其要留意：按照政务信息化项目管理的有关规定，密码应用方案应纳入立项申请文件；项目验收时应一并提交密码应用安全性评估报告；未开展密评或评估不合格的系统，不得通过验收、不得投入运行，运行维护经费安排也会受影响。换句话说，密评不是”上线后补一张报告”，而是贯穿立项、建设、验收全程的材料链。
实操上有两条建议：其一，方案编制阶段就邀请测评机构介入，把”应”级条款和高风险判例在方案里落实，而不是等现场测评再补救；其二，把密改范围、产品选型与预算口径在方案里一次说清，避免建设中途反复追加。
现场测评怎么打分：分值结构与一票否决
密评采取打分制，满分 100 分：60 分以下判定为不符合；60 分及以上且无高风险项为基本符合；100 分为符合。分值结构上，四个技术层面合计 70 分、安全管理占 30 分；典型测算示例中，物理和环境安全约 10 分、网络和通信安全约 20 分、设备和计算安全约 10 分、应用和数据安全约 30 分、安全管理 30 分。部分测评单元因系统形态标记为”不适用”，最终按扣除不适用项后的分值综合测算。
要特别留意高风险项：行业测评指引对三级系统归纳了 15 条高风险判例，覆盖身份鉴别、传输机密性、存储机密性（含密钥管理相关判例）等”应”级条款，命中任意一条即判本次密评不通过，与总分高低无关。对部分难以直接落实的测评单元，指引允许采用缓解措施——例如短信验证码、指纹识别等手段可在特定测评单元替代专用产品，但缓解方案需在方案与报告中说明，并经测评机构认可。
云上系统的测评责任划分
上云不等于免测。云平台与云上应用要分开评估：云平台自身密码应用的测评由云平台运营者负责，云上应用调用密码服务后的测评由应用运营者负责。先后顺序有硬约束——云上应用所在云平台先通过密评，云上应用才可能通过；同时云平台的安全级别应不低于其承载的云上应用。选购云服务时，把”云平台是否已通过密评、级别是否覆盖本系统”列为前置核验项，可以省去大量事后整改。
报告备案与年度复评：把流程闭环
现场测评结束不等于流程结束。测评报告形成后，应在 30 日内报所在地省级密码管理部门备案；等保三级及以上系统的评估报告，还需报送所在地区公安部门。之后进入常态化轨道：关键信息基础设施与等保三级及以上系统每年至少复评一次，系统发生重大变更时重新评估；密钥运维台账、权限审批记录与定期巡检记录，应作为复评的支撑材料持续留存。
把”定期测评 + 持续改进”当作流程的最后两步来运营，密评才从一次性考试变成可持续维持的合规状态。
如需对照完整的服务流程与交付物清单，可参考 商用密码应用安全性评估 - 密评建设方案，或在 价格咨询 页面提交需求，也可浏览 洞察栏目 的更多合规解读。