中小企业密改怎么排优先级：按系统等级与数据敏感度分档推进
很多中小企业第一次接触商用密码应用安全性评估（以下简称密评），是在主管部门的通知里。震动往往来自两件事：一是发现密码应用是单独的一套评估体系，二是一想到要采购密码机、改造业务系统，就觉得投入难以承受。
实际上，密改的投入弹性比多数人想象的大，前提是先把顺序排对：先判范围，再分档，再清高风险，最后才谈设备形态。
先判范围：你的系统是不是必评对象
不是所有中小企业的系统都在强制评估范围内。
法律源头在《密码法》第二十七条：法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码保护，并自行或者委托商用密码检测机构开展密评。《商用密码管理条例》第三十八条把要求细化为"三同步"，通过密评方可投入运行，运行后每年至少评估一次并按规定备案。
《商用密码应用安全性评估管理办法》第六条把适用对象表述为"重要网络与信息系统"。实务中是否被认定，通常由行业主管部门和地方密码管理部门依据行业目录与认定口径确定。动工之前应先向属地密码管理部门或行业主管单位确认本单位适用口径，而不是先按最重的方案采购。
另一条线是《条例》第四十一条：网络运营者应当按照网络安全等级保护制度要求使用商用密码，国家密码管理部门根据网络的安全保护等级确定商用密码的使用、管理和评估要求。等保定级结果会直接影响密码要求的高低，等级越高、指标越严。相关衔接可参见等保测评服务。
分档：按等级与数据敏感度排三档
确认要做之后，把系统分成三档推进，比"全公司一起上"更容易控制投入。
- 第一档，核心业务系统：处理重要数据、大规模个人信息或直接对外提供服务的系统。通常对应第三级网络，适用 GB/T 39786 第三级指标，四个技术层面合计 22 项、管理要求 19 项。
- 第二档，一般业务与内部管理系统：涉及少量敏感数据、用户规模有限。优先解决身份鉴别、重要数据传输与存储机密性这类"应"级要求。
- 第三档，办公终端、测试环境与物理隔离的内网系统：先做能做的（统一身份鉴别、日志完整性等），其余纳入下一年度计划，并在方案中说明不适用理由。
分档的价值在于：评估按指标逐项判定（办法第十一条），不适用项需论证充分并在方案阶段说清。
顺序：先清高风险，再补管理分
密评结论分符合、基本符合、不符合三档。量化评估中技术占 70 分、管理占 30 分，60 分是现行阈值，同时存在高风险一票否决。这个规则决定两件事：
第一，高风险项必须最先清。典型情形包括：继续使用 MD5、DES、SHA-1、RSA1024 等已被明确不安全的算法；密钥以明文形式存放在密码产品之外的配置文件或数据库中；重要数据在传输和存储环节没有任何保护措施。这几项不解决，其他层面得分再高也拿不到"符合"。
第二，管理分往往比技术分更容易先拿到。管理要求 19 项覆盖管理制度、人员管理、建设运行、应急处置四个方面，第三级全部为"应"。这部分主要靠制度文本、岗位设置与记录留存落地，投入以人力为主。
还有一条容易忽略：办法第十二条要求运营者安排网络管理员、系统管理员、密钥管理员、密码安全审计员、密码操作员配合评估。中小企业常见的短板不是买不起设备，而是这几个岗位没人、没记录。先把人和制度补齐，通常是见效最快的一步。
形态：云密码服务、自配设备还是混合
投入弹性最大的一环在部署形态。
如果业务跑在云上，责任是分层的：云平台自身的密码应用由平台运营者负责，云上应用由应用运营者负责。云平台先通过密评（结论为符合或基本符合），且其密码应用安全级别不低于云上应用，云上应用才可能通过。因此选云的第一步不是比较报价，而是向云服务商索取其密评报告与密码产品认证证书。
自配设备时可以减少重复建设。例如安全认证网关与 SSL VPN 网关在功能上存在重叠，二选一即可覆盖传输层的机密性与完整性要求。
需要提醒的是：使用开源或自研代码实现机密性、完整性保护，又无法提供安全性证明的，在密评中会被判定为"不符合"。
落地顺序与周期
一个相对稳妥的推进顺序是：
- 差距分析：梳理系统清单、数据资产与现有密码应用情况，对照指标逐项标注，约 1–2 周。
- 方案编制：形成商用密码应用方案，明确分档、设备选型、指标适用性与不适用论证，约 2–4 周。
- 方案评估：按办法第七条，方案未通过密评的不得作为建设依据，这一步省不得。
- 改造实施：按通过评估的方案建设，先高风险后一般项，约 1–3 个月。
- 运行前评估与整改：未通过的应当改造，改造期间不得投入运行。
- 运行后每年至少评估一次，报告形成后 30 日内按规定备案。
以上周期为常见区间，实际以属地要求和项目复杂程度为准。
几个常见的弯路
- 只买设备不改应用：采购了密码机，但业务系统仍用口令登录、重要数据仍明文存储，相关指标项依然记 0 分。
- 产品有证书但等级不够：第三级要求密码产品达到 GB/T 37092 二级及以上，一级产品在第三级系统里不达标。
- 方案没评就开工：办法第七条写得明确，先评方案再建设，返工代价远高于评估本身的投入。
- 忽略密钥管理：密钥全流程都要有记录，这是现场核查的重点。
资质口径
按办法第四条，向社会出具具有证明作用的密评数据、结果的机构，应当经国家密码管理局认定并取得商用密码检测机构资质。我方可提供的是密评辅导、差距分析、商用密码应用方案编制，以及协助对接具备资质的检测机构，评估报告由受委托的持牌检测机构出具。需要查阅机构信息可参考密评机构名录，指标细节可对照密码应用标准。