GB/T 43206 与 39786 对读：密评测评单元怎么判
密评项目里，争论往往不在"有没有装密码设备"，而在"这一项到底该不该测、测到什么程度算过"。这两个问题分属两份标准：GB/T 39786-2021 回答"要满足什么"，GB/T 43206-2023 回答"怎么测、怎么判"。把两份当成一份读，或者只读前者，判断就容易走偏。
一、两份标准的分工先摆清楚
GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，2021 年 3 月 9 日发布、同年 10 月 1 日实施，按密码应用等级给出"应、宜、可"三档指标，分物理和环境、网络和通信、设备和计算、应用和数据四个技术层面，加管理制度、人员管理、建设运行、应急处置四类管理要求。它是考纲，说的是每个等级该达到什么。
GB/T 43206-2023《信息安全技术 信息系统密码应用测评要求》，2023 年 9 月 7 日发布、2024 年 4 月 1 日实施，规定第一级到第四级的通用测评要求、技术测评要求、管理测评要求，并给出整体测评、风险分析和评价、测评结论的要求。第五级的测评要求不在该文件描述。它是评分细则，说的是每条指标落在哪个对象、核查什么、怎么判。
另外两份也常一起用：GM/T 0116-2021《信息系统密码应用测评过程指南》管测评怎么组织、怎么实施、怎么形成成果；GB/T 43207-2023《信息系统密码应用设计指南》管方案怎么设计。四个文件的分工是设计、要求、测评、过程。
二、测评单元是四件套，不是一条指标
43206 第 3.3 条把测评单元定义为测评指标、测评对象、测评实施、结果判定四部分。不少人读标准只停在第一条：指标写了什么。但指标只说明要做什么，不说明现场怎么确认已经做到。
以"应用和数据安全—身份鉴别"为例：指标是用密码技术对应用登录用户做身份鉴别；对象是业务应用以及提供鉴别功能的密码产品；实施是核查算法与技术、产品与服务与密钥管理、鉴别机制是否正确有效这三组内容；判定才落到对象和单元的结论。四段连起来读，才知道该收哪些材料。
三、应宜可三档，决定的是测不测
真正影响工作量的是第 4 章的通则，三档指标的处理规则并不一样：
- "应"：原则上纳入测评和结果判定。只有当密码应用方案和方案评估意见能够说明系统确实不存在与该指标相关的密码应用需求时，才可以判不适用。没有建设这个功能，和没有这项需求，是两件事，前者恰恰是可能要被评价的问题。
- "宜"：先看有没有已通过评估的密码应用方案。没有方案，或者方案评估意见没有对不适用项作出明确说明，宜条款就纳入；有方案且意见写清了，按方案和意见确定。未纳入但系统仍有相关需求的，还要核实风险控制措施的使用条件是否满足、实施是否与方案一致，并写进报告。
- "可"：由信息系统责任方决定是否纳入。责任方决定后，测评人员仍要核实需求，并记录过程和结果。
还有一条容易漏：通过评估的方案如果提出了高于系统自身等级的要求，要按方案要求测评并在报告中记录。例如方案要求三级系统部分指标按四级规划，对应指标就按四级测，不能现场降回等级基线。
四、判定的顺序：对象、单元、整体、结论
判定不是一步到位。先判单个测评对象：测评实施内容全部满足判符合；实施内容中"是否采用密码技术实现"这类关键项为否，判不符合；其余情形判部分符合。再把同一单元下多个对象的结果汇总：全部符合则单元符合，全部不符合则单元不符合，其他组合则单元部分符合。
单元结论不等于系统结论。第 8 章要求做整体测评，包括同一层面内的单元间测评和不同层面之间的层面间测评，重点是分析不符合项、部分符合项能否被其他措施弥补。允许基于综合分析调整结果，但要把调整前的发现、关联措施、证据和理由交代清楚。
第 9 章的风险分析要放回业务场景：考虑被威胁利用的可能性与对系统的影响，而不是重复一句未采用密码技术。一个单元不符合，也不等于整个系统存在高安全风险。
第 10 章的结论只有三档：符合、基本符合、不符合，由整体测评和风险分析综合给出。没有高安全风险，不能单独作为基本符合的充分理由；与测评指标存在较大差距，同样可能落到不符合。
这里有个常被误传的点：43206 第 10 章并没有写具体分数阈值。项目涉及量化评估时，要另行核对适用的量化规则，不能把其他文件里的数字说成是 43206 的规定。
五、四处常被读错的地方
- 把不适用当成省事。它是需要被证明的事实结论，要回答为什么没有这项需求、依据是什么、现场怎样核实过。
- 把单元结果当系统结论。单元部分符合只是中间结果，后面还要过整体测评和风险分析。
- 把有加密通道当成数据已加密。通道只保护传输段，落库、备份、归档要单独看。
- 把行标当成已废止。GM/T 0115-2021 与 GB/T 43206-2023 目前均列为现行，采用哪一份要看适用规定、主管要求和项目要求，测评方案、作业记录、报告使用的版本还要一致。
六、进场前的自查清单
- 方案是否已通过评估，评估意见有没有对不适用项逐条写清；
- 关键证据能否形成设计、部署、调用、运行、验证的链条，而不是只有制度文件和截图；
- 报告的结论，能否回到单元记录和原始证据。
把两份标准当成一套工具用：39786 定基线，43206 定判法。基线清楚了才知道该建什么，判法清楚了才知道该留什么证据。密评辅导、差距分析与方案编制，本质上就是在这两条线之间找差距、补材料；需要出具评估结果的环节由持牌检测机构完成，前期梳理与对接配合可以前置。