政务系统密评要点与改造落地路径-等保测评网

政务信息化项目进入验收阶段，越来越多单位被要求补做商用密码应用安全性评估（简称"密评"）。与等保测评相比，密评的节奏更难把握：它不只在系统建成后查一次，而是把评估动作前移到方案阶段、后延到运行之后。政务系统一旦没把流程排进去，往往陷入"系统已上线、方案还没评估"的被动局面。本文按项目推进顺序梳理触发条件、方案编制要求与改造落地重点。文中为通用口径归纳，具体以标准原文与属地要求为准。

一、政务系统为什么会先撞上密评

密评的法律源头是《中华人民共和国密码法》第二十七条：法律、行政法规和国家有关规定要求使用商用密码保护的关键信息基础设施，其运营者应当使用商用密码进行保护，并自行或者委托商用密码检测机构开展商用密码应用安全性评估。同一条还要求密评与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。

落到执行层面，《商用密码应用安全性评估管理办法》（国家密码管理局令第 3 号）把评估对象表述为"重要网络与信息系统"。政务领域的行政审批、公共服务、社会管理类系统，以及支撑它们的政务云、数据共享交换平台、电子证照与电子印章系统，通常都属于这一范畴。加上《密码法》第二十九条对电子政务电子认证服务机构实行认定管理，政务系统在身份鉴别上还要额外对齐电子认证服务的要求。

也正因为如此，政务系统的定级与测评衔接往往比企业系统更紧。等保与密评的接口可参考等保定级栏目的相关说明。

二、判定口径：法定表述是"重要网络与信息系统"

实务中最常见的误解，是把"等保三级必须做密评"当成法律原文。法律条文里并没有这五个字，法定表述是"重要网络与信息系统"。等保等级是判定的重要参考，但不是唯一依据；行业主管部门和属地密码管理部门的实施要求，才是最终落点。

判断时可以按三条线索自查：

系统是否承载政务服务、公共服务或社会管理职能，中断后是否影响公共利益；
是否处理大量个人信息、重要数据，或跨部门共享数据；
是否已纳入关键信息基础设施识别范围，或属于上级主管部门点名的重点系统。

三条命中任意一条，建议尽早向属地密码管理部门确认口径，不要等到验收前才问。

三、四道关口：方案评估排在最前面

密评与等保最大的差别，在于它是"全过程嵌入"的。按管理办法，一个系统至少要穿过四道关口：

规划阶段的密码应用方案评估：系统建设前应编制密码应用方案并送评估，评估意见是后续建设的依据；
运行前的密评：系统建成后、投入运行前开展评估，未通过评估的不得投入运行；
运行后的年度评估：已运行的系统每年至少评估一次；
备案：评估完成后三十日内，无论结论是否通过，都要向属地密码管理部门备案。

这四道关口里，方案评估被跳过的情形最多。跳过它的代价很现实：方案阶段没定好密码产品选型和应用点，等到运行前评估发现身份鉴别或数据存储不合规，要动的是应用代码和网络拓扑，返工量远大于当初多花几周做方案。方案评估的通过要点，是把 GB/T 39786《信息安全技术信息系统密码应用基本要求》里的四个技术层面逐一对应到本系统的具体部位，而不是写一段通用描述。标准条款的拆解可参见标准规范。

四、改造落地：四个技术层面分别要补什么

GB/T 39786 把密码应用要求拆成四个技术层面，政务系统的改造清单基本可以按这个框架铺开。

物理和环境：机房门禁与视频监控的国密改造，重点是身份鉴别介质与记录完整性，常被当作弱电工程而漏掉。

网络和通信：通信链路的身份鉴别、数据加密与完整性保护。常见做法是部署支持国密算法的 VPN 网关或国密 TLS，替换仍在使用的国际算法套件。

设备和计算：服务器密码机、签名验签服务器、密钥管理系统承担密码运算与密钥全生命周期管理；运维终端的身份鉴别与日志完整性也归在这一层。纯软件加密库在测评中通常被判为高风险项。

应用和数据：身份鉴别、访问控制、数据传输与存储加密、重要数据完整性、时间戳与电子签章。政务系统在这一层改造量最大，业务表单、电子证照、电子印章都要逐个对齐。

改造完成后，评估由具备资质的商用密码检测机构实施。我司在这一环节承担的是密评辅导、差距分析、方案编制与协助对接持牌机构，密评报告由具备资质的检测机构出具。机构名录可查密评机构名录，流程梳理见密评。

五、排期与投入

按常规项目节奏，各环节的大致区间为：密码应用方案编制 2–6 周，方案评估 1–3 周，改造实施与联调 2–6 个月，运行前评估与整改 4–10 周。政务项目还要叠加预算编制、采购流程与验收窗口，实际排期通常更长。

投入规模差异较大，主要取决于四个技术层面的改造范围、密码产品选型与集成工作量，需逐项测算。上述周期与投入均为通用参考区间，以属地要求和项目实际情况为准。

两个省时的做法：一是把密码应用方案与等保整改方案合并考虑，避免同一部位改两轮；二是在采购文件里提前写明国密算法与产品资质要求，减少到货后型号与方案不符的返工。

六、反复出现的几个误区

认为等保过了密评就能过。两者指标体系不同，等保对密码技术的要求偏"应采用"，密评则细化到算法、密钥管理与四个技术层面。
认为买几台密码设备就算完成改造。设备是底座，应用层的改造点才是测评时不符合项的主要来源。
认为方案评估可以后补。运行前评估与方案评估是两道独立关口，后补的方案无法替代建设前的评估意见。

政务系统的密评，本质是把密码应用从"验收前补做"变成"建设期内嵌"。早一步把方案评估排进立项流程，后面三道关口都会顺畅很多。