密评与密改的费用构成拆解-等保测评网

单位第一次接触商用密码应用安全性评估（简称"密评"）时，最常问的一句话就是"大概要花多少钱"。这个问题很难用单个数字回答，因为密评从来不是一次性买一份报告，而是"方案编制—评估—采购—改造—再评估—年度评估"一串动作，每一环都有独立成本。把费用拆成构成项来看，预算才排得准。本文只讲构成逻辑与影响因素，文中区间为公开市场常见量级的粗略归纳，实际投入以属地要求和项目实际情况为准。

一、五块构成：钱分别花在哪儿

第一块是密码应用方案编制。按《商用密码管理条例》第三十八条，关键信息基础设施运营者应当制定商用密码应用方案，并同步规划、同步建设、同步运行商用密码保障系统。方案要覆盖四个技术层面的密码应用设计，属于前期投入，通常由咨询服务方承担。

第二块是评估服务费，包含方案评估、运行前评估和投入运行后的年度评估三道关口。

第三块是密码产品采购，这是整体投入中弹性最大的一块。

第四块是改造实施与集成，即把密码能力接进业务系统的工作量。

第五块是年度运维，包括设备维保、证书与密钥管理服务、以及后续每年的评估费用。

前两块和第三块之间不存在固定比例，很多项目"评估便宜、改造贵"，也有少数系统架构简单、改造量小，主要成本集中在产品上。

二、评估服务费：按什么计价

评估服务的定价主要看三个维度：被测系统的数量与规模、GB/T 39786 四个技术层面（物理和环境、网络和通信、设备和计算、应用和数据）的覆盖深度、以及测评项的展开数量。系统越多、业务链路越长，访谈、核查与工具测试的工时越大。

就公开市场常见量级而言，单个三级系统的首次评估费用通常落在数万元到十几万元区间，年度评估因已有基线、工作量小于首次，通常低于首次评估。涉及多系统打包或跨地域部署的，按系统叠加计费。这一块的区间相对透明，差异主要在机构与服务范围上。

需要提醒的是，评估费用由具备资质的商用密码检测机构收取。我司在这一环节承担的是密评辅导、差距分析、方案编制与协助对接持牌机构，密评报告由具备资质的检测机构出具。机构信息可查密评机构名录。

三、密码产品：弹性最大的一块

等保不要求、但密评必须新购的设备，是费用波动的主因。典型清单包括：

服务器密码机 / 云密码机——密评要求密码运算与密钥由持证密码模块完成，软件加密库通常被判高风险；
签名验签服务器、时间戳服务器——对应"不可否认性"这一密评特有指标；
密钥管理系统 KMS——密钥的生成、存储、使用、分发、导入导出、备份恢复、销毁都需要纳入管理；
国密 SSL/IPSec VPN 安全网关——传输加密，但密评额外要求算法为 SM 系列且设备持证；
国密门禁与视频监控完整性保护——物理和环境层的身份鉴别；
电子签章系统、数据库加密机——视业务需要配置。

只配一台服务器密码机，与配齐密码机、签名验签、时间戳和密钥管理系统，价差可以拉开数倍。设备数量取决于系统架构：集中式部署一套即可覆盖，多中心、分布式或混合云架构则需要分点配置。等级与行业也会影响选型，金融行业还有金融数据密码机等专属品类。选型思路可参考密码应用与密改栏目的相关梳理。

四、改造实施：应用层才是大头

很多单位低估了这一块。设备是底座，真正的工作量在把密码能力接进业务：身份鉴别改造、访问控制信息完整性、重要数据传输与存储加密、日志与业务记录的完整性保护、时间戳与电子签章对接。

改造量与业务复杂度直接相关。表单多、接口多、外部对接多的系统，改造点往往是几十处而非几处。这一块可以按人天估算，从数万元到数十万元都有可能。一个省钱的做法是与等保整改合并推进——同一部位改两轮，是最常见的浪费。等级保护侧的整改要求见等保定级。

五、影响费用的四个变量

系统数量与边界：按单个系统做，还是按系统群打包，直接决定评估与产品的重复投入；
等保等级与行业属性：等级越高、行业要求越细，测评项展开越深；
部署形态：自建机房、政务云、混合云在密码设备的形态（硬件密码机还是云密码机）上差别明显；
改造起点：已做过国密改造、已有证书体系的系统，边际投入显著低于从零开始。

此外还有三笔容易被漏掉的隐性投入：密码管理制度与密钥管理体系建设、相关人员培训、以及设备维保与证书的年费。它们不出现在首期预算里，但会在第二年之后持续发生。

六、排期怎么配预算

按常规节奏，方案编制 2–6 周，方案评估 1–3 周，产品采购与改造实施 2–6 个月，运行前评估与整改 4–10 周。预算应当跟着这个节奏分阶段释放，而不是在验收前一次性集中支出。

最后提醒三个常见误判：把密评当成买一份报告的费用，忽略了改造投入；只算首年支出，没算年度评估与维保的持续性成本；为了压价先买少量设备，结果改造阶段发现覆盖不足，反而二次采购。上述周期与费用区间均为通用参考，以属地要求和项目实际情况为准。标准原文与指标口径可对照标准规范栏目查阅。