密评没通过怎么办：整改怎么排期
密评结论下来，如果写着"不符合"或者"基本符合"，不少单位的第一反应是赶紧补设备。但从合规角度看，先做什么、后做什么，比买什么更要紧。整改排错顺序，轻则返工，重则错过备案期限。本文梳理一次评估未达符合之后的处置路径与排期思路。
一、先分清是哪种"没通过"
结论分三档，处置动作完全不同。
- 符合：不等于一劳永逸，投入运行后仍要每年至少评估一次，并履行备案义务。
- 基本符合：属于有条件通过，附带一份整改清单，清单上的项要逐条销号，备案义务同样存在。
- 不符合：处置最重。处在建设阶段的系统，评估未通过的不得投入运行，改造期间也不得投入运行；已经在运行中的系统，需要一边改造一边采取措施保证运行安全。
三档共同的硬要求是：评估完成后 30 日内向所在地省级密码管理部门备案，无论结论如何。不少单位以为"等整改完再一起报"，结果时间已经超期——未备案本身是一项独立责任。
二、整改清单怎么拆：先清高风险
现行量化评估规则下，综合得分不低于 60 分且不存在高风险项，结论才可能达到符合；存在高风险项的，直接一票否决。因此整改的第一批永远不是"分低的那层"，而是高风险项。
典型的高风险情形包括：继续使用 MD5、DES、SHA-1、RSA1024 等已被明确不适宜的算法，或采用未经安全性论证的自研算法实现；密钥以明文形式存放在密码产品之外的配置文件、数据库或代码里；重要数据在整个链路上没有任何保护措施。
这几项的特点是"改一处动全局"，但也是唯一必须最先动的部分。高风险项不清零，后面补多少一般项都不改变结论。
三、管理要求优先于技术细节
GB/T 39786—2021 附录 A 在第三级的管理要求全部为"应"，涵盖管理制度、人员管理、建设运行、应急处置四类；量化权重上管理占 30 分，技术占 70 分。
管理项的特点是投入小、见效快：制度文件补签发布、密码管理与密钥管理岗位落实到具体人员并明确职责、建设与运行阶段的记录补齐、应急预案与演练记录归档。这些工作不依赖停机窗口，也不受开发排期影响，可以与技术整改并行推进，是性价比最高的一批。
需要提醒的是，人员岗位不能只写在纸面上。评估现场会核实密钥管理员、密码安全审计员、密码操作员是否真实到位并能够提供履职记录。
四、四个技术层的推进顺序
技术层面按权重从高到低是：应用和数据、网络和通信、物理和环境、设备和计算。但整改顺序不宜照抄权重，要考虑依赖关系与改造成本：
- 物理和环境：电子门禁与视频监控记录的存储完整性，改动范围小、周期最短，可最先收口。
- 设备和计算：身份鉴别、远程管理通道安全、日志记录完整性、重要可执行程序完整性及来源真实性，多数是配置调整与密码产品接入。
- 网络和通信：通信数据完整性与重要数据机密性，涉及国密 VPN 网关或安全认证网关部署、算法替换，需要停机窗口配合。
- 应用和数据：存储加密、签名验签、时间戳、访问控制信息完整性等，改造量最大，通常牵动业务代码，需要开发排期介入。
这里有个反直觉的点：应用和数据层权重最高、改造最重，所以要最早启动、最晚收口。把它排在最后才开工，工期一定拖。
五、周期怎么估
以属地要求和项目实际情况为准，常见区间大致如下：
- 高风险项清零：约 2—6 周
- 管理类整改：约 3—8 周
- 单个技术层改造：约 4—12 周
- 全量整改、联调与复测：约 3—9 个月
变量主要有四个：纳入范围的系统数量与等级、部署形态（自建机房、第三方 IDC 还是云平台）、改造起点（是否已有在用密码产品）、业务可停机窗口的密度。
要避免"先采购再想方案"。实施层面有 GM/T 0132《信息系统密码应用实施指南》可作参照，推荐顺序是方案编制并做方案评估 → 产品选型 → 改造实施 → 联合调试与自查 → 系统评估。采购排在方案之后，才能避免买了设备却对不上指标。
六、复测与备案：闭环别漏
整改完成后，复测结论应由受委托的持牌检测机构出具，不能自行宣布完成。复测范围可以聚焦整改项，但如果期间系统发生重大变更，建议扩大到全量重新评估。备案材料包含评估结论与整改情况，注意期限。属于关键信息基础设施的，还要另行核对密码应用与运行安全保障方面的专门要求。
七、几类常见踩坑
只补设备不补管理，30 分管理权重丢得很快；用软件加密库顶替密码产品，密码运算与密钥管理应由持证密码模块完成，软件实现无法提供安全性证明时容易被判高风险；整改期间要么把系统直接下线、要么带病运行，两种都不是办法要求的处置方式；改造完成即止，忽略了运行后每年至少一次的评估。
整改不是一次性工程。若需要梳理优先级，可以先做一次差距分析，把必改项与可后补项分清，再排资金与工期。本站可提供的支持包括密评辅导、差距分析、方案编制与协助对接持牌机构，报告由取得商用密码检测机构资质的机构出具。更多要点可参考密评机构与资质说明、等级保护测评流程、相关标准清单与密评专栏文章。