商用密码应用安全性评估（业内简称”密评”）在过去几年里，从”少数行业的专项要求”快速演变为大多数政企单位都要面对的合规考试。法律依据是《密码法》第二十七条与 2023 年修订的《商用密码管理条例》，技术依据是 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》。监管口径已经把”关键信息基础设施”与”等保三级及以上系统”的密评频次明确为每年至少一次，重大变更时还需重新评估。但在实操中，密评的合规口径经常被误读：把”过了测评”当作终目标、把”加了加密算法”等同于合规、把”部署了密码设备”当作完成整改。真正决定密评合规价值的，是对四个技术层面加安全管理的考核尺度的把握，以及对密钥管理这一票否决项的闭环。
GB/T 39786 的标准框架与考核尺度
GB/T 39786 把信息系统密码应用的要求拆成”四个技术层面 + 安全管理”：物理和环境、网络和通信、设备和计算、应用和数据，加上安全管理。每个层面都拆出”机密性、完整性、真实性、不可否认性”四个属性，再对应到身份鉴别、访问控制、传输保护、存储保护等具体测评指标。可以简记为：密评 = 物理 + 网络 + 设备 + 应用 + 制度，每一层都对应独立的得分项。密评采取打分制，四个技术层面占 70 分、安全管理占 30 分，总分不低于 60 分且无高风险项才可通过。任一关键指标的得分低于基本合规要求，会被直接列为高风险项，进而拉低整体结论。这意味着”补齐技术短板、把安全管理做实”是密评通过的两条主线，缺任何一条都可能过不了关。
哪些系统必须做密评
按当前监管口径，以下四类系统必须开展密评：一是关键信息基础设施（关基）范围内的信息系统；二是网络安全等级保护三级及以上的信息系统；三是国家政务信息化项目；四是金融、能源、电信、交通、医疗、教育等行业的重要数据处理系统。密评的适用边界由”等保定级”与”是否关基”共同决定：等保三级系统对应密评三级，无定级的系统默认按密评三级评估。需要注意的是，密评与等保是两套独立但相关的体系——等保关注信息系统整体安全防护能力，密评聚焦密码技术是否被合规、正确、有效地使用，二者测评依据不同、测评机构不同、监管路径不同，但等保三级及以上系统通常需要同时过两套体系。
一票否决项：密钥全生命周期管理
密评中最常见的失败原因不是没加密，而是只给业务加了加密算法，却忽略了密钥的生成、分发、存储、使用、更新、销毁这一全生命周期管理。测评标准中，密钥管理任一环节不安全即构成高风险项，进而直接影响密评结论。落到操作上，需要把握三点：第一，密钥生成应基于合规的硬件随机数源，避免自研算法或协议；第二，密钥存储应通过专门的密码设备或密钥管理系统（KMS）统一管理，不能直接以明文形式落库；第三，密钥的使用、轮换、销毁应留存完整的运维台账，做到可审计、可追溯。对集团化或多系统的单位，建议建设统一的密钥管理服务或密码服务中台，把密钥的运维交给专业产品自动完成，业务系统只做调用。另一个高频误区是”部署了密码设备就能通过密评”。密评的核心是信息系统合规、正确、有效地使用密码技术——服务器密码机、签名验签服务器、KMS 等合规产品买了，但业务系统没有真正调用、设备配置参数未对标国密标准，同样会被判定为不符合。
国密改造的实操口径
国密改造（业内简称”密改”）的目标是把密码算法、技术、产品和服务统一到国家密码管理局认可的体系内。算法层面，RSA 系列替换为 SM2、SHA-1/MD5 替换为 SM3、AES 替换为 SM4、DES/3DES 替换为 SM1 或 SM4；接口层面，应采用 GM/T 0018、C、JCE、PKCS#11 等国密或国际标准规范接口。技术规范层面，应参考 GM/T 0022（IPSec VPN 技术规范）、GM/T 0024（SSL VPN 技术规范）等密码行业标准，确保传输通道、身份认证、密钥协商全链路使用合规密码协议。改造过程中需要重点关注三类配套：服务器密码机提供数据加解密与签名验签能力，应内置符合国密要求的密码卡；签名验签服务器为业务系统提供基于 SM2 的身份鉴别与不可否认性保护；密钥管理系统统一管理 SM2 密钥对的生成、分发、轮换与销毁。改造完成后还需要回归测试，确认业务系统在密码协议握手、加密传输、签名验签等关键路径上的实际行为与方案一致。
密评与等保、关基的体系衔接
合规建设不应把密评、等保、关基三套体系割裂推进。等保关注”信息系统整体安全防护能力”，由公安部门监管；密评关注”密码技术是否合规、正确、有效地使用”，由密码管理部门监管；关基则在等保基础上对关键信息基础设施实行重点保护，由行业主管部门监管。三套体系的关系可以简记为：等保是底盘，密评是专项，关基是叠加。关基运营者既要满足等保三级及以上的整体防护要求，又要满足密评对密码应用的硬性条款；等保三级及以上系统的运营者通常需要在等保测评周期内同步完成密评。完整的合规闭环建议在差距分析阶段就统一识别，避免事后返工；在方案设计阶段把密码应用方案、安全建设方案、关基保护方案作为一组文件同步编制；在整改阶段按”技术 + 管理”双线落地；在测评与备案阶段保留完整的密评报告、备案回执与年度复评记录，作为监管问询的合规凭证。
落地建议
密评建设的合规闭环建议按”系统梳理与范围划定 → 对标差距分析 → 编制密码应用方案 → 实施密码改造 → 密评机构测评 → 结果备案与持续运维”六个阶段推进，每个阶段保留可追溯的凭证。系统梳理阶段要明确测评边界、关基属性、等保定级与重要数据分布；差距分析阶段建议委托第三方机构执行，避免自查视而不见；方案编制阶段应输出《信息系统商用密码应用方案》并经具备资质的密评机构评审备案；密改阶段按”先核心业务、后外围系统”分批推进，把密钥管理作为独立项目统一建设；测评阶段对接具备商用密码检测资质的机构；备案阶段在密评报告形成后 30 日内报省级密码管理部门。每年至少开展一次复评，系统发生重大变更时及时重新评估，把密钥运维台账、权限审批记录、定期巡检机制作为常态化合规运营的支撑。
如需了解密评建设的具体流程、国密改造方案与合规整改细节，可参考 商用密码应用安全性评估 - 密评建设方案，或在 价格咨询 页面提交需求获取针对性方案。