信创百科：什么是密评？商用密码应用安全性评估入门
核心提示：密评与等保并称政企合规两大评估。本文科普密评的制度依据、评估流程、常见整改项与费用周期，帮助理解这项“密码年检”。
一、什么是密评
密评全称商用密码应用安全性评估：由具备资质的测评机构，依据国家标准（GB/T 39786），评估信息系统用密码用得对不对、好不好。与等保看"安全防护体系"不同，密评专门盯"密码技术应用"这一项。
二、谁需要做
按相关法规要求，关键信息基础设施、网络安全等级保护第三级及以上系统应当使用商用密码保护，并开展密评。实践中，政务、金融、医疗、能源领域的三级系统普遍被要求"等保+密评"双达标。
三、密评估什么
四个维度（简称"两性一效"加合规）：
- 合规性：是否用了国家认可的密码算法（SM2/SM3/SM4）与合规产品（有型号证书的密码设备）；
- 正确性：密码技术用得对不对（如签名流程、密钥交换协议是否正确实现）；
- 有效性：密码措施是否真正发挥作用（密钥管理是否闭环、传输存储是否真加密）；
- 管理制度：密码管理制度、人员、应急是否配套。
四、常见整改项
- HTTPS未用国密双证书或证书来源不合规；
- 重要数据（口令字段、敏感业务数据）明文存储；
- 自研"伪加密"（如简单Base64）冒充加密；
- 密钥硬编码在代码里、无密钥管理；
- 日志完整性未用密码技术保护。
五、周期与建议
密评通常与等保测评同窗口进行，共享整改项可省成本。建议在系统建设阶段就引入密码应用方案设计（同步规划、同步建设、同步运行），避免建成后再"补密码"的高成本返工。
六、结语
密评是政企系统的"密码年检"——不懂密评，整改单都看不明白。信创百科持续更新，欢迎社区提问。
相关评论
查看更多更多>同类信创资讯
{php
$_jsonld = array(
'@context' => 'https://schema.org',
'@type' => 'Article',
'headline' => $title,
'description' => isset($introduce) && $introduce ? $introduce : $title,
'image' => array(isset($thumb) && $thumb ? $thumb : $DT['logo']),
'datePublished' => date('c', $addtime),
'author' => array('@type' => 'Organization', 'name' => $DT['sitename']),
'publisher' => array('@type' => 'Organization', 'name' => $DT['sitename'], 'logo' => array('@type' => 'ImageObject', 'url' => $DT['logo'])),
'mainEntityOfPage' => array('@type' => 'WebPage', '@id' => $DT['url'].$MOD['moduledir'].'/show-'.$itemid.'.html'),
);
if(isset($edittime) && $edittime) $_jsonld['dateModified'] = date('c', $edittime);
echo '';
}
暂时没有评论，来说点什么吧