密改设备清单怎么列：四层逐层配不漏项-等保测评网

密改设备清单常常是照供应商产品目录抄的：密码机两台、网关一对、钥匙若干。设备进了机房，评估时该层指标仍判不符合。问题在起点——清单不是采购清单，而是「指标—产品—证据」的对应表。

一、清单的起点是指标，不是产品目录

《密码法》第二十七条把密评写成法定义务；《商用密码管理条例》第三十八条要求关键信息基础设施运营者同步规划、同步建设、同步运行，通过密评后方可投运，运行后每年至少一次并按规定备案。

技术依据是 GB/T 39786-2021。第三级共 41 项指标：技术 22 项、管理 19 项，按四个层面分布——物理和环境 3、网络和通信 5、设备和计算 6、应用和数据 8。

第一列必须是「层面 + 指标项」，用标准原文表述。一条指标可由多种产品承接，一台产品也可能承接多条；用产品名当标题，必然出现「买了却对不上指标」和「有指标没产品承接」两类错。

第二列写承担该指标的产品类型，第三列写证明它合规的材料：认证编号、算法、密钥在哪生成与保存。三列齐了清单才立得住。指标分布见等保测评标准与指标。

三项指标是身份鉴别、电子门禁记录完整性、视频监控记录完整性。按 GB/T 39786-2021 附录 A，第三级三项都是「宜」，第四级才是「应」。不是硬门槛，但机房出入口与监控录像是现场必到点位。

按 GM/T 0115，这一层的测评对象就是机房的电子门禁系统与视频监控系统。对应两类产品：

常见漏项：只换读卡器、控制器没换，身份鉴别没走国密；视频只做链路加密、录像本身无完整性保护，两项指标只满足一项；只列主机房，灾备机房漏列，托管在第三方 IDC 或云平台上也不因托管而转移。机房等级见等保等级划分。

五项里为「应」的是身份鉴别和通信过程中重要数据的机密性；通信数据完整性与边界访问控制信息完整性是「宜」；安全接入认证是「可」。

这层最容易买错：产品形态相近，指标却按「数据经过哪一段」判定。先画数据流，再给每段配产品：

判断标准只有一条：重要数据经过的每段链路，抓包都看不到明文。只写一台互联网入口网关，系统间接口和运维通道大概率是漏的。

六项里为「应」的是身份鉴别和远程管理通道安全，其余为「宜」。

清单按节点类型铺开：物理服务器、虚拟机与云主机、数据库主机、网络与安全设备管理口、运维终端。每类节点都要问：谁以什么身份登录、管理通道走不走国密、程序和日志有没有完整性保护。对应产品：

漏项两处：配了密码机但管理员登录仍用口令；云主机没计入清单，被当成「云平台已经管了」。

八项里为「应」的是身份鉴别、重要数据传输机密性、重要数据存储机密性。按 GB/T 43206-2023，这层在技术部分权重最高，改造量也最大。

清单按「数据」列而不是「系统」列：先列重要数据有哪些、存在哪、流向哪，再逐项配产品与改造动作。

最典型的错是只买设备不改应用：加密机进了机房，敏感字段仍明文落库，存储机密性照样不满足。清单必须有一列写「改造动作」，而不只是「采购物品」。指标口径见密评机构与资质说明。

管理制度 6 项、人员管理 5 项、建设运行 5 项、应急处置 3 项，第三级全为「应」。没有设备可采，漏了同样扣分。清单单开一组，至少三样：

按六列组织，基本不会漏项：

交付前四道自检：每条「应」级指标都有产品承接；每台产品都至少用在一处指标上；同一设备只计一次；不适用项写明理由。

清单确认只是第一步：方案编制与清单确认约 2–4 周，采购到货 3–8 周，改造实施与联调 4–12 周，评估与复测 3–6 周；中等规模系统整体 3–6 个月，以属地要求和项目实际情况为准。