密评分数怎么算：量化评估规则通俗解释
密评报告出来，第一眼看的多半是最后那个分数。分数从哪来、多少分算合格、为什么有些系统设备买齐了却只拿六十多分——答案在一套固定算法里：《商用密码应用安全性评估量化评估规则》（中国密码学会密评联委会发布，2023 版）。它把"密码用得好不好"拆成逐项判分的步骤，合成百分制得分，再配合风险判定给出结论。理解这套算法比背指标更有用，它直接告诉你分最容易丢在哪。
分数不是拍出来的：先看三个问题
每个测评对象（一台服务器、一条链路、一套门禁）都要回答三个问题，业内简称 D、A、K：
- D 密码使用有效性：这个位置到底有没有用上密码、用上之后是否真的起作用。
- A 密码算法与技术合规性：用的是不是国家认可的密码算法与技术。
- K 密钥管理安全：密钥是否放在符合相应等级要求的密码产品里，管理是否闭环。
D 是一票否决：一旦判定"没用上"，无论算法与密钥情况如何都记 0 分。三项全符合记 1 分；D 成立而 A 或 K 有缺口的按部分符合记分，再按算法安全强度、密钥管理情况折算；两项都有缺口则继续下探。可用分值只有 1、0.5、0.25、0 几档，不存在"大概七八成"这种模糊分。
这一层的意思是：密评查的不是"有没有设备"，而是"这个位置的密码是不是真在起作用"。买了密码机而应用仍用口令登录，D 就是 0。
从对象到单元：取平均
一个测评单元（如"身份鉴别""重要数据传输机密性"）常覆盖多台设备、多条链路。单元得分＝该单元下所有适用对象得分之和 ÷ 对象数量。
这是分数被稀释的高发区。十台服务器里八台用了智能密码钥匙、两台仍用口令，单元得分就是 0.8，而不是"大部分做了就算到"。
从单元到层面：加权平均
层面得分＝Σ（单元得分 × 权重）÷ Σ（权重）。技术部分合计 70 分，四个层面分值为：
- 物理和环境安全 10 分
- 网络和通信安全 20 分
- 设备和计算安全 10 分
- 应用和数据安全 30 分
应用和数据占比最高——传输、存储、身份鉴别、不可否认等指标大多压在这一层。某层面指标全部不适用时，该层面不参与计算，权重按比例分给其余层面，技术 70、管理 30 的框架不变。
技术加管理：70 + 30
管理部分合计 30 分，覆盖管理制度、人员管理、建设运行、应急处置（分别约 8、8、8、6 分）。判分比技术简单：符合 1 分、不符合 0 分、部分符合 0.5 分，加权平均后乘以 30。
整体得分＝技术加权平均分 × 70 ＋ 管理加权平均分 × 30。
管理 30 分看似容易，实际丢分很普遍：制度照抄模板、密钥管理员与密码安全审计员岗位没落实到人、建设运行记录缺失，一扣就是几分。它不需要采购设备，是整改清单里该优先动的一块。
分数决定"量"，风险决定"质"
结论由分数与风险两条线共同决定：
- 得分 100 分 → 符合
- 得分低于 100 分但不低于 60 分阈值，且风险评估未发现高风险 → 基本符合
- 得分低于 60 分，或存在高风险项 → 不符合
分数再高，只要高风险项存在就是"不符合"；六十几分但无高风险，结论仍是"基本符合"，只是附着一份整改清单。高风险项包括使用 DES、MD5、SHA-1 等已认定不安全的算法、密钥明文存放在密码产品之外、重要数据缺乏保护措施等，属一票否决，具体条目以现行《信息系统密码应用高风险判定指引》为准。
按《商用密码应用安全性评估管理办法》，报告形成后 30 日内须向国家密码管理局或所在地省级密码管理部门备案；运行阶段未通过的，改造期间要采取措施保证运行安全。
提分顺序
- 先清高风险：一票否决项不清，做到 80 分也没用。
- 再补管理 30 分：制度、人员、记录，几乎不增加采购。
- 然后抓应用和数据 30 分：权重最高，但涉及应用开发改造，周期通常数周到数月，要最早启动。
- 网络和通信 20 分、物理和环境 10 分随后收口，后者涉及机房门禁与视频监控改造，需协调场地管理方。
- 最后复核单元平均值：把"部分符合"的对象逐项补齐，平均值提升是线性的。
整改到复测的周期，小系统一般数周到两三个月，涉及应用改造或多机房并行的更长，以属地要求和项目实际情况为准。
常见误解
"部分符合"不等于快合格。 部分符合记 0.5 分或更低，一个层面里半数对象是部分符合，层面分就被拉到 0.5 左右。
买齐设备不等于分数高。 分数取决于 D 是否成立，设备只是 K 的一部分。
分数不能跨层弥补。 权重固定，不存在用物理和环境的高分去补应用和数据的机制。
落到实操
顺序是清楚的：先按 GB/T 39786 对应等级指标做一次差距分析，把每个对象按 D、A、K 判一遍，算出当前大致得分与高风险项，再按权重从高到低排整改。等保测评与密评可在流程上衔接、避免重复评估与测评，可参考 网络安全等级保护测评 与 密评相关标准与法规 的说明；需要委托评估的，报告须由取得商用密码检测机构资质的机构出具，可先在 密评机构名录 了解资质情况。我们提供的是密评辅导、差距分析、方案编制与协助对接持牌机构的服务。