高校系统密评怎么排优先级：从定级建议表到改造顺序
高校的信息化有个特点：系统数量多、建设年代跨度大、归属分散在信息中心与各院系，一套账很难算清。做密评时最先冒出来的问题往往不是"要不要做"，而是"先做哪个、能不能分批做"。这篇就按这个思路展开。
一、先划范围：哪些系统该进密评清单
密评的法定范围是《商用密码应用安全性评估管理办法》第六条所指的"重要网络与信息系统"，不是按等保等级直接划线。《商用密码管理条例》第四十一条给出了两者的接口：网络运营者按等级保护制度要求使用商用密码，密码管理部门根据网络的安全保护等级确定使用、管理和评估要求。所以等保级别是重要输入，但不是唯一判据。
教育行业有一份现成的范围参考——《教育行业信息系统安全等级保护定级工作指南（试行）》（教技厅函〔2014〕74号）。它把学校信息系统分为Ⅰ、Ⅱ、Ⅲ类，其中Ⅰ类高等学校建议定为第三级的包括科研管理、科研情报、招生录取管理、门户网站、论坛社区类网站、校园一卡通六类，教务教学管理等其余业务建议为第二级。指南同时明确：承载多个业务的系统，按所承载业务的最高建议等级定级，这条对高校尤为关键。
行业侧还有两份文件值得单独拎出来。一是教育行业标准 JY/T 0651—2022《直播类在线教学平台安全保障要求》，其"商用密码应用"一节直接写明：平台应依据 GB/T 39786—2021 及相关办法使用商用密码进行保护，定期委托检测机构开展密码应用安全性评估，并提供评估报告。二是教育部等六部门关于推进教育新型基础设施建设的指导意见，提出建设教育系统密码基础设施和支撑平台、建立统一的身份认证体系、推动移动终端多因子认证，并用国产商用密码技术推动数据传输和存储加密。在线教学平台、统一身份认证这两类，在高校基本属于必看项。
二、按数据与影响面分三档
- 第一档：招生录取、学籍学历与学位、科研管理与科研情报。 数据敏感度高且跨部门流转，一旦被篡改影响的不是单个部门。这类系统的存储完整性、传输机密性、身份鉴别通常要求最高，改造工作量也最大，应最先启动。
- 第二档：统一身份认证与内网门户、校园一卡通、财务与资产。 统一身份认证是全校的鉴别入口，改一处带动一批系统，属于杠杆点；一卡通涉及身份鉴别与交易数据，边界清晰、见效快。
- 第三档：门户网站、数字图书馆、视频服务、电子邮件等。 以内容发布和信息服务为主，重要数据相对少，可延后或对部分指标做不适用论证。
需要提醒的是，定级为第二级不等于密评可以缓办，判断依据仍回到是否属于重要网络与信息系统以及属地具体要求。定级与密评是两条线，可参考 等级保护定级与备案 相关说明对照。
三、四个技术层，高校最常漏配在哪
GB/T 39786—2021 把要求分成四个技术层面加管理要求，量化评估时技术占 70 分、管理占 30 分，技术内部应用和数据权重最高，其次是网络和通信，物理和环境、设备和计算各占一定比例。按这个权重排，投入顺序大致是：
- 应用和数据：最集中的失分点。业务系统仍用口令登录、重要数据在库里明文存放、日志与重要操作没有完整性保护，都属于典型问题。高校自研或外包定制的系统多，这类问题尤其普遍。
- 网络和通信：跨校区专线、校外接入、与上级教育管理平台对接的链路，通常只做了通道加密，没做到实际数据不出明文。
- 物理和环境：高校的机房常常分散在多栋楼宇甚至多个校区，电子门禁与视频监控记录要逐处覆盖，容易被当成"等保已做过"而跳过。
- 设备和计算：运维通道、远程管理通道的身份鉴别与日志完整性。
管理要求在第三级基本都是强制项，且相对容易补齐，建议与技术整改并行推进。指标细项可对照 密码应用相关标准 的整理。
四、七步推进顺序
- 资产与系统梳理，逐个对照定级建议表确定范围与责任单位。
- 差距分析，按四个技术层逐项打分，标出高风险项。
- 应用与数据层方案编制——这一层改造周期最长，需要最早启动。
- 密码产品与密码服务选型，核对商用密码产品认证证书与产品等级。
- 改造实施与联调，同步补齐管理制度与人员配置。
- 委托具备商用密码检测机构资质的机构开展评估，报告由其出具。
- 评估报告形成后 30 日内按规定备案。
周期上，单个系统从差距分析到报告出具，常见区间是 3 到 9 个月；全校统筹分批推进的整体节奏多在 1 到 2 年。具体时长受系统数量、改造起点和部署形态影响，以属地主管部门要求和项目实际情况为准。
五、高校特有的三个坑
机房分散。 托管在第三方 IDC 或云平台的部分，物理和环境层的责任并不自动转移，仍需要拿到平台的评估结论与产品证明材料，剩余部分自行覆盖。
院系自建系统。 责任主体分散，容易出现"信息中心以为院系做了、院系以为学校统管"的空档。建议在系统梳理阶段就把责任单位落到人。
外包与自研代码。 由非持证模块自行实现的加密逻辑，如果无法提供安全性证明，在评估中通常会被判定为不符合，而不是"做了就算"。这一条在自研教务、科研系统里最容易被忽略。
就密评而言，可获得的辅导类服务包括差距分析、方案编制、改造陪跑与协助对接持牌检测机构；评估报告须由取得商用密码检测机构资质的机构出具，这一点在排计划时就要确认清楚。需要了解机构资质情况的可参考 密评机构 栏目。
六、小结
高校排密评优先级，实质是三件事：用定级建议表把范围划准，用四层权重把顺序排对，用责任清单把执行落下去。先抓数据密集、跨部门流转的系统，同步把管理要求补齐，再向其余系统铺开，通常比"全面铺开同步改造"更可控。