密码应用方案怎么写：密评规划阶段的方案评估要点
密评不是等到系统上线才做的一件事。《商用密码应用安全性评估管理办法》把评估切成三个时点，第一个时点在图纸阶段：密码应用方案要先过评估，方案没通过的，不得作为商用密码保障系统的建设依据。很多项目后期返工，根子就在这里——方案里没写清的东西，现场补不出来。
一、方案评估在流程里的位置
按《办法》第六条，法律、行政法规和国家有关规定要求使用商用密码保护的重要网络与信息系统，运营者应当制定商用密码应用方案，同步规划、同步建设、同步运行商用密码保障系统，并定期开展密评。这一条把方案提到法定义务的位置。
三个时点这样排：
- 规划阶段：运营者自行或者委托商用密码检测机构对方案开展评估，未通过的不得作为建设依据（第七条）。
- 建设阶段：按通过评估的方案组织实施；投入运行前再评一次，未通过的要改造，改造期间不得投入运行（第八条）。
- 运行阶段：建成运行后每年至少一次；未通过的要改造，改造期间采取必要措施保证运行安全（第九条）。
《商用密码管理条例》第三十八条对关键信息基础设施的口径一致。方案评估常被低估：它不产生现场证据，却决定了后面所有工作按什么标准做。写宽了改造范围失控，写窄了运行前评估过不去。
二、方案该有的六块内容
《办法》第十条把评估内容拆成四项，即方案要经得起四个方向的追问：需求是否全面、合理、有针对性；指标选取是否准确，不适用指标的论证是否充分；流程机制是否可实施；技术、产品、服务选用是否合规，密钥管理是否安全。
落到文档上，一份立得住的方案通常包含六块：系统描述与边界、密码应用需求分析、安全指标与逐项设计、密码产品与服务清单、密钥管理方案、实施计划与保障机制。缺一块，评估意见大概率落在"论证不充分"上。
三、需求分析要落到数据流
这是最常被判空泛的一节。只写"本系统涉及大量敏感数据，需要密码保护"，等于没有需求分析。
可用的写法是三层对齐：
- 业务说清有哪些角色、哪些操作、哪些环节产生和流转数据；
- 数据说清哪些属于重要数据、落在哪里（终端、链路、数据库、备份、归档）、保留多久；
- 密码说清每类数据对应哪项保护需求——机密性、完整性、真实性、不可否认性。
做完这张对照表，指标选取才有依据：没有数据流的位置不该凭空配指标，有数据流却没有对应设计的位置，就是缺口。
四、指标选取与不适用论证
指标基线是 GB/T 39786-2021。它按密码应用等级给出"应、宜、可"三档要求，技术部分分物理和环境、网络和通信、设备和计算、应用和数据四个层面，管理部分分管理制度、人员管理、建设运行、应急处置四类。第三级技术要求共 22 项、管理要求 19 项，逐项都要在方案里有落点。
不适用不是删掉一条那么简单。方案里要为每条不适用写清：该指标对应的业务场景在本系统中不存在，判断依据是什么，现场如何核实，不适用是否影响其他指标。这四点写不出来，评估时通常要退回补充论证。
另有一处易漏：方案若主动提出了高于系统等级的要求，后续评估要按方案执行。写得比等级高，就得按高的做，不能现场降回基线。
五、产品与服务用证书说话
《条例》第三十九条对关基的要求是：使用的商用密码产品、服务应当经检测认证合格；使用的密码算法、密码协议、密钥管理机制等商用密码技术应当通过国家密码管理部门审查鉴定。
产品清单不能只写品类，要能对上三样东西：产品对应的商用密码产品认证证书、所采用的算法与协议标准号、产品安全等级是否满足要求（第三级一般要求达到 GB/T 37092 二级及以上）。服务类要说明提供方资质与所依据的标准。自研实现拿不出安全性证明，是评估里的典型失分点。
六、密钥管理单独成章
密钥管理最容易在方案阶段被一笔带过，也最难在现场补。方案至少要说清密钥的产生、存储、分发、使用、更新、归档、销毁七个环节分别由谁、在什么设备里、按什么规则完成，以及密钥管理员、密码操作员、密码安全审计员的职责如何分离。
一句话检验：方案若只能回答"密钥存在密码机里"，还不足以证明安全——谁有权调用、调用是否留痕、轮换周期多长、销毁是否可验证，都要有答案。
七、四类容易判空泛的表述
- 只写"采用国密算法"，不写算法用在哪个环节、保护哪类数据；
- 只写"部署密码机"，不写它承载哪些密钥、对接哪些应用、调用接口是什么；
- 只写"符合等级保护要求"，不写本系统对应的密码应用等级和逐项指标；
- 只写"建立管理制度"，不写制度名称、发布范围、执行记录在哪。
改法很朴素：每句结论后面补一句"依据是什么、在哪里能看到"。
八、从方案到落地的顺序
- 划边界：确定系统范围、等级与对应的密码应用等级；
- 梳数据流：按业务场景列重要数据与流转路径；
- 定指标：逐条对照 GB/T 39786，标出应、宜、可三档的处置；
- 做设计：每项指标落到具体产品、接口与配置；
- 写密钥管理：七个环节加三类角色；
- 编清单：产品认证证书、标准号、服务资质逐项对应；
- 送评估：形成报告，按意见修改后再进入建设。
周期上，方案编制与评估通常需要数周到数月，取决于系统数量与改造起点的差异，具体以属地要求和项目实际情况为准。
方案评估不是一次文档审阅，它决定了后面每一次评估的基准。需求、指标、产品、密钥四条线写实，方案才立得住。就密评而言，辅导类服务通常包括差距分析、方案编制、改造陪跑与协助对接持牌检测机构，报告出具环节由具备资质的机构完成。