密评结论怎么定：符合、基本符合与不符合的分界线
密评做完，报告最后一页那句结论是怎么出来的？不少单位拿到「基本符合」就开始纠结：这算过了还是没过？要不要马上改造？
答案藏在两条线里：一条是量化评估给出的综合得分，另一条是风险分析给出的风险等级。GB/T 43206-2023《信息安全技术 信息系统密码应用测评要求》明确，评估结论要在测评结果汇总、量化评估和风险分析的基础上形成，结论只有符合、基本符合、不符合三种。想看懂结论，就得同时读懂这两条线。顺带一提，密评与网络安全等级保护测评在材料准备上常有交集，制度、资产、拓扑三件套可以共用。
一、三种结论的判定口径
三档结论的边界写得相当清楚，不存在灰色地带：
- 符合：被测系统中未发现安全问题，所有单元测评结果里部分符合项、不符合项的统计结果全为 0，综合得分为 100 分。
- 基本符合：系统中存在安全问题，上述两类统计结果不全为 0，但这些问题不会导致系统面临高等级安全风险，且综合得分不低于阈值。
- 不符合：系统中存在安全问题，且这些问题会导致系统面临高等级安全风险，或者综合得分低于阈值。
阈值取多少？按现行《商用密码应用安全性评估量化评估规则》，阈值设为 60 分。所以常被写进验收要求的「基本符合及以上」，翻译成硬指标就是两句话：综合得分不低于 60 分，且风险分析结果为无高风险。
请留意第三档里那个「或者」。它的含义是：得分再高，只要被判定存在高风险项，结论直接落到不符合。这就是业内常说的高风险「一票否决」。
二、100 分是怎么拆出来的
量化评估打的不是「买了多少密码产品」，而是「每个应用点用得对不对」。现行规则的总分结构大致如下：
- 技术层面合计 70 分，分布在四个层面：应用和数据安全层面权重最高，其次是网络和通信安全层面，然后是物理和环境、设备和计算两个层面。这一分配思路本身就说明，密码改造的重心应该放在数据本身，而不是只补门禁和视频。
- 管理层面合计 30 分，覆盖管理制度、人员管理、建设运行和应急处置四类要求。GB/T 39786-2021 的管理要求条目不多，但漏项直接扣分，属于性价比最高的得分点。
结算之前还有一个容易被忽略的环节：整体测评。测评单元之间并不孤立，某一层面的措施可能对相邻层面的问题产生弥补作用，也可能因为配置联动牵出新问题。测评方要先完成整体测评、调整部分单元结论，再进入加权计算，最后才得出综合得分。
单元结果分四档：符合、部分符合、不符合、不适用。不适用项需要提前论证并写明理由，不计入扣分；部分符合项按实现程度折算。实践中，「不适用」论证不充分是最可惜的丢分点之一。
三、高风险一票否决：哪些情形最容易踩
高风险关注的不是「有没有用密码」，而是「被攻破会造成多大后果」。按《信息系统密码应用高风险判定指引》的思路（具体条目以现行版本为准），以下几类情形通常被直接判定为高风险：
- 使用已被证实存在安全隐患的算法或协议，例如 MD5、DES、SHA-1、RSA1024 等不再推荐使用的算法；
- 采用自行设计、未经安全性论证的算法实现来承担机密性或完整性保护；
- 密钥管理失控，例如数据加密密钥以明文形式存放在密码产品之外的配置文件或数据库中；
- 重要数据在传输、存储环节完全没有机密性或完整性保护措施，且没有等效替代方案。
反过来，指引也给出了部分缓解措施的思路：某些高风险项可以通过补偿性控制降低风险等级，但能否被接受取决于测评方对被保护资产价值和威胁可能性的研判。因此尽早开展差距分析，比临近评估才发现问题要主动。
四、基本符合之后：整改清单才是重点
拿到「基本符合」意味着本次评估可以通过，但它是有条件的通过，附着一份必须消化的整改清单。建议按三步处理：
- 逐项落台账。 把报告里的部分符合项和不符合项拆成条目，标明对应层面、判定依据、牵头部门和完成时限，避免整改停留在口头。
- 先啃高风险相邻项。 这次没踩到高风险、明年未必。优先处理位于高风险边界附近的问题，性价比高于补齐管理类文档。
- 留痕。 整改涉及的系统配置、密钥管理流程、制度修订都要有记录，下一轮评估现场核实主要看这些。
周期和投入方面：整改实施通常需要数周到数月不等，取决于改动是否触及业务代码；整改后一般会安排一次复核，多数地区要求在下一次年度评估时一并验证。具体时限一律以属地密码管理部门的要求为准。
还有两点合规口径不要搞混：
- 备案照做。 按《商用密码应用安全性评估管理办法》，报告形成后 30 日内需报送所在地省级密码管理部门备案，结论是基本符合还是不符合都要备案，形式审查不合格的还可能重新开展评估。
- 不符合要处置。 运行阶段的评估结论为不符合的，应当及时改造，改造期间采取必要措施保证系统运行安全；建设阶段运行前评估未通过的，改造期间不得投入运行。密评辅导、差距分析、方案编制和协助对接持牌机构，可以在这个环节提供实际支持。
五、三个常见误解
误解一：用了密码产品就能得高分。 分数打的是应用点，不是产品数量。买了设备但接口没接、密钥没管起来，照样扣。
误解二：没有高风险就一定基本符合。 两条线并列，还要看得分是否达到 60 分阈值。
误解三：基本符合就不用管了。 年年评估，累积的部分符合项很可能与今年的整改不足叠加，成为下一轮的高风险。想把密改一次做到位，可以先对照标准自查，或参考密评国家标准清单做一次内部核对，必要时通过密评机构名录了解持牌机构信息。
结论这一页，其实是整份报告的浓缩回执。读懂得分怎么来、风险怎么判，密评辅导和改造投入才能真正花在刀刃上。