密评管理办法要点解读-等保测评网

《商用密码应用安全性评估管理办法》自2023年11月1日起施行，把密码应用要求贯穿规划、建设、运行和备案全过程。

理解这份办法，重点看三个问题：谁负责评估、什么时间评估、形成报告后如何备案。需要同步推进等保工作的单位，可结合网络安全等级保护流程统一准备制度、资产和技术材料。

谁来评估：运营单位负责，实施方式有两类

密评责任主体首先是重要网络与信息系统的运营单位。运营单位应使用商用密码进行保护，制定商用密码应用方案，配备必要的资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统，并定期开展商用密码应用安全性评估。

具体实施有两种方式：

委托评估。 委托依法取得商用密码检测机构资质的机构开展。凡向社会出具具有证明作用的密评数据和结果，实施机构都应具备相应资质。可通过密评机构名录核对基本信息。
自行评估。 运营单位需要具备相适应的设备设施、管理制度、专业人员和专业能力；报告由本单位密码或者网络安全负责人签字并加盖公章，原始记录和报告留存不得少于6年。

“可以自行评估”不等于简单内部检查。对外形成具有证明作用的数据、结果时，应由经国家密码管理局认定并取得资质的检测机构依法实施。

服务机构可以提供密评辅导、差距分析、商用密码应用方案编制，以及协助对接持牌机构等支持，但不能越过资质边界代替持牌机构形成对外具有证明作用的评估结果。

密评不是系统建成后的单次检查。办法把评估要求分布在系统全生命周期，至少应关注以下三个节点。

运营单位应根据商用密码应用需求编制方案，明确保护对象、适用指标、密码应用机制、产品服务选型和密钥管理方式。方案应自行或者委托商用密码检测机构评估；未通过的，不得作为密码保障系统建设依据。

把问题解决在设计阶段，可避免设备采购、接口开发和网络架构确定后再返工。方案还应对照网络安全与密码相关标准，说明适用指标和不适用理由。

建设阶段应按通过评估的方案实施。系统投入运行前还要开展密评，检查密码技术、产品、服务和管理措施是否落地。未通过的，应进行改造，改造期间不得投入运行。

运行前评估不仅看采购清单，还会核查密码功能接入、密钥管理、配置和制度。材料不齐的系统可先做差距分析，补齐设备清单、网络拓扑、应用方案、制度和运维记录。

重要网络与信息系统建成运行后，每年至少开展一次密评。未通过的应改造，并在改造期间采取必要措施保证系统运行安全。

新增接口、迁移云平台、更换密码产品、调整密钥管理方式或改变重要数据流向，都可能影响评估范围。日常应留存完整变更记录。

办法规定，重要网络与信息系统运营单位应在密评报告形成后30日内，将评估报告和相关工作情况，按照国家有关规定报送国家密码管理局，或者系统所在地省、自治区、直辖市密码管理部门备案。

这里有三个容易混淆的点：

不同地区、行业的受理方式和材料清单可能存在细化要求。运营单位宜在正式评估前向属地主管部门确认报送渠道、文件格式、签章要求和配套材料，避免因形式问题影响备案。具体办理周期通常受系统范围、材料完整度和属地流程影响，应按区间预留准备时间，并以属地要求为准。

结合办法对评估配合义务的要求，建议至少建立以下材料包：

这些材料既服务现场评估，也能证明密码措施持续有效。若同步推进等保测评，可统一资产名称、系统边界和网络拓扑口径。更多内容可从密评专题栏目查看。

误区一：系统上线前做一次即可。 实际上，方案评估、运行前评估和运行后每年至少一次评估分别对应不同阶段，不能互相替代。

误区二：采购了密码产品就等于符合要求。 密评关注合规性、正确性和有效性。产品具备相应条件只是基础，还要看部署位置、调用方式、密钥管理、配置运行和管理制度是否有效。

误区三：任何单位都能形成对外密评结果。 向社会出具具有证明作用的数据、结果，需要依法取得商用密码检测机构资质。普通服务单位可开展辅导、差距分析、方案编制和协助对接，但不能混淆服务边界。

误区四：报告完成后就可以归档结束。 报告形成后还有30日内备案、形式审查和可能的抽样检查；自行评估的原始记录与报告还要留存不少于6年。

密评管理办法的主线是：运营单位承担主体责任，规划阶段先评方案，运行前核查落地，运行后每年至少评估一次，报告形成后30日内备案。把方案、资产、产品、密钥、制度和记录放进同一时间线准备，才能减少返工和合规风险。