密评建设的钱花在哪儿
密评建设不是单一的采购动作，而是一条”方案—产品—改造—测评—运维”的服务链。把费用拆开看，通常包含四块：一是方案编制与差距分析咨询费，需要先把系统对标 GB/T 39786 找出缺口；二是密码产品采购，这是硬件与软件的主要支出；三是密改实施服务费，即把合规密码能力真正接入业务系统；四是测评与备案费，由具备商用密码检测资质的机构收取。很多单位只盯着第二块硬件价格，却忽略了前后端的服务投入，结果预算做不全、项目反复返工。
密码产品采购先看合规门槛
买密码设备和买普通服务器不同，第一道关是”有没有证”。所有投入使用的密码产品必须取得《商用密码产品认证证书》，自研算法或来路不明的设备无法过评。第二道关是密码模块安全等级，常见的合规要求为二级及以上，这直接决定了设备能否用于等保三级或关键信息基础设施场景。第三道关是接口规范符合性，合规设备应支持 GM/T 0018 等标准接口，以及 PKCS#11、JCE 等通用开发接口，方便业务系统零改造或低改造对接，避免后期被技术绑定。
密评里常见的几类密码产品
围绕 GB/T 39786 的四个技术层面，典型采购清单包括：服务器密码机（提供 SM2/SM3/SM4 加解密与签名验签，承担应用与数据层的机密性、完整性保护）、签名验签服务器（解决身份鉴别与不可否认）、密钥管理系统或密码服务管理平台（统一托管密钥全生命周期，规避一票否决项）、国密 SSL VPN 网关（解决网络通信层的传输加密）。性能上，单台密码设备的 SM4 加解密普遍在数百 Mbps 到数 Gbps 量级，SM2 签名处于千级到万级 TPS 区间，选型时按业务峰值并发预留余量即可，不必盲目追高配。
影响预算的五个关键因子
同样是密评，报价可能相差数倍，差异主要来自五点：系统规模（涉及几个应用、多少节点）、测评级别（密评三级比二级改造范围更大）、密码改造范围（是只补传输加密，还是要重构密钥体系）、是否需新建统一的密钥管理平台（多系统单位几乎必选）、以及是否需要本地化实施与陪跑服务。集团化或多分支机构单位，还应把跨地域、多活容灾的密码服务纳入总拥有成本（TCO），而不是只比单机报价。
采购模式与比价清单
采购上常见三种模式：纯咨询（只出方案，产品自行采购）、一体化方案（方案+产品+实施+陪测打包）、拆包采购（分别招咨询、产品、测评）。对首次做密评的单位，一体化方案通常更省心，但也更考验供应商的综合能力。比价时建议拉一张清单逐项核对：商用密码产品认证证书是否齐全、密码模块等级是否满足、接口规范是否符合、是否含方案评审与备案陪跑、是否提供密钥运维台账与持续巡检、本地服务响应能力如何。把这几项问清楚，比单纯比较硬件单价更有意义。
给采购负责人的两点提醒
一是别把”设备到货”等同于”合规到位”。密评的核心是信息系统合规、正确、有效地使用密码，买了设备但业务没真正调用、密钥管理混乱，照样不通过。二是别只盯首年预算，密码产品有持续的密钥运维、证书更新与年度复评投入，应在合同中约定清楚。把合规门槛、服务范围与运维责任写进采购文件，项目落地才稳。
需要针对贵单位系统做密评方案与密码产品选型，可前往 密评建设方案 了解详情，或通过 询价通道 提交需求。也可在 洞察专栏 查看更多合规与部署指南。