政务云上的系统密评：责任怎么分、材料找谁要
把系统迁到政务云，最常见的误解是把"上云"当成"安全责任也一起托管了"。实际情况正相反：系统搬了家，责任主体没搬。
一、责任先分清：平台是平台的，应用是应用的
各地政务云管理办法的表述比较一致，通常写作"安全管理责任不变、数据归属关系不变、安全管理标准不变"。云服务商负责机房、计算、存储、网络、虚拟化软件等平台侧资源；上云单位负责本单位系统和数据。密评沿用同一套切分。
法规链条：《密码法》第二十七条把密评写成法律义务；《商用密码管理条例》第三十八条要求"三同步"、通过密评后方可投入运行、运行后每年至少一次；《商用密码应用安全性评估管理办法》第六条把对象定为"重要网络与信息系统"。政务信息系统、等级保护三级及以上系统通常都落在其中。
落到操作上就是两个测评、两个责任主体：云平台自身的密评归云平台运营者，云上应用的密评归上云应用的运营者。二者不能互相替代，也不能只做一半。
二、两条硬约束，决定先做谁
《商用密码应用安全性评估FAQ》讲得很清楚，其中两条是刚性的：
- 云平台先通过密评（结论为"符合"或"基本符合"），云上应用才可能通过密评；
- 云平台的安全级别，不应低于云上应用。
这两条决定了推进顺序。上云单位在立项阶段就该问三个问题：我们这朵云的平台密评做了没有、结论是什么、备案编号是多少。平台侧没做或结论为"不符合"，应用侧仍要重新核查平台相关的密码应用。
三、平台侧要交出哪些材料
"材料找谁要"的答案是找云服务商，但要得出具体清单。实务中至少需要七类：
- 云平台密评报告，以及报告中的"云平台密码支撑能力说明"。说明分两张表：被完全评估的支撑能力（机房、通信信道、密码设备等，有明确测评结果），被部分评估的支撑能力（电子签章、时间戳、云密码机等，只给适用条件）。
- 云平台密评备案编号与密评结果。编号形如 CASE 加 10 位数字，结果分符合、基本符合、不符合。
- 云平台的等级保护备案编号与安全保护等级，用来判断"平台级别不低于应用"是否成立。
- 密码产品认证证书清单，含产品名称与证书编号；未取得认证的产品也要列出名称与主要功能。
- 密码服务的调用方式与服务边界：哪些接口可用、每台密码设备服务到哪一层、密钥由谁生成和保管。
- 云计算服务安全评估的结论，政务云采购通常会要求。
- 责任边界文件，如安全责任告知书或服务协议中的安全条款。
这份清单的共同点是：它们证明"平台能给你什么"，不是平台自己的合规成绩单。拿到后要能回答：我这条业务链路上，哪些密码能力由平台提供，哪些必须自己补。
四、应用侧还得自己做什么
平台通过密评不等于应用自动通过，云上应用仍有一批指标要自己落地：
- 应用层身份鉴别：用户身份的真实性由业务系统自己保证，平台不替你验用户。
- 重要数据存储机密性：数据库里的敏感字段要加密，密钥不能和密文放在一起。
- 不可否认性：涉及法律责任认定的操作要有原发证据与接收证据，通常配签名验签、时间戳或电子签章。
- 密钥管理：生成、存储、分发、导入导出、备份恢复、销毁各环节都要有规程和责任人。
- 自购密码设备接入：单独买的密码机直接接进云网络、没做访问控制和隔离，本身就是风险点。
流程仍是三段：方案评估、运行前评估、运行后每年至少一次。方案没通过评估，不能作为建设依据；运行前没通过，改造期间不得投入运行。
还有一个容易漏的动作：备案。报告形成后 30 日内报送密码管理部门，备案信息表里要填"是否云上部署"，选"是"就得填云平台的密评备案编号（CASE-10 位数字）与密评结果。填不出来，往往就是平台侧材料没要到。
五、多部门共用一朵云，结论怎么复用
省级政务云常是上百家单位共用，每家都把平台侧重测一遍既不必要也不现实。FAQ 给了三条复用规则：
- 被完全评估的支撑能力：平台已通过密评且级别不低于应用时，应用侧对应测评对象可判"不适用"。
- 被部分评估的支撑能力：结合"云平台密码支撑能力说明"充分测评后给定结果。
- 应用侧调用了非平台提供的密码能力：单独测评，并重点看整合环节的隔离与访问控制是否到位。
两个例外必须记住：平台通过了但级别低于应用、平台没做或没通过，说明均失效，仍需重新核查。
比较稳妥的组织方式是"一次平台侧、多次应用侧"：由政务云主管部门统一组织平台侧评估并定期更新，把报告与支撑能力说明做成材料包；各使用单位在此基础上开展应用侧评估与备案。
六、三个常见误解
- "上了政务云，密评就归云服务商了。"平台侧归平台，应用侧归你，责任不随迁移转移。
- "平台过了，我的报告就能直接用。"那只是前提条件：只能复用它覆盖到的测评对象，且要同时满足级别与结论两条。
- "云上不用管物理和环境层。"该层仍然适用，只是可复用平台结论来简化；平台没做，还是要现场核查机房的门禁与视频记录。
七、落地顺序
可执行的顺序：先向云服务商索取平台密评报告、备案编号与支撑能力说明；核对平台等级是否不低于本系统；梳理应用侧指标出差距清单；编制密码应用方案并做方案评估；改造后做运行前评估；通过后投入运行，每年至少一次；报告形成后 30 日内备案。
周期上，单系统方案编制与整改通常以月为单位，跨部门共用平台往往按季度安排，具体时限以属地密码管理部门要求为准。
需要外部力量时，常见分工是差距分析、方案编制、改造陪跑与协助对接持牌检测机构——报告须由具备资质的检测机构出具，云上同样如此。