存量系统密评前要不要补方案评估-等保测评网

这个问题在存量系统项目里出现频率很高：系统上线五六年，从没编过《商用密码应用方案》，更没做过方案评估，现在要做密评，是不是得先把当年那一套补上？

先给结论：法规上不存在"补做方案评估"这项义务。对已经投运的老系统，法定动作是运行阶段的系统评估，一年至少一次。但实务上确实要补一份东西——补的是方案文档，不是方案评估。这两件事时点不同、产出不同，混在一起会多绕几个月。

一、法规把这条线划在哪

《商用密码应用安全性评估管理办法》（国家密码管理局令第 3 号，2023 年 11 月 1 日施行）第二十条是专门的过渡条款，两句话把存量系统分成两类：

第九条讲的是建成运行后每年至少一次，通篇没有"补做方案评估"的要求。也就是说，老系统不该被要求回头走规划阶段那一套流程，那个时点已经过去了。

这个措辞差异值得留意：第二十条对"在建"那类特意加了"加强方案编制论证"，对"已投运"那类没有加。不是随手写的——在建系统还有方案可论证，已投运系统的方案只能还原和补记。

因为系统评估的入口就是方案。办法第十一条第一项写得很直接：对照商用密码应用方案，了解系统基本情况，准确划定评估范围。第十二条第三项又把"详细的商用密码应用方案"列进运营者必须提供的配合材料。

没有方案，现场会卡在三个具体问题上：

所以补方案的目的不是补历史，是给评估和后续整改提供一份能对得上的技术底稿。它的读者是检测机构的评估人员，不是当年的立项审批人。

按第十条对方案评估的四项内容倒推，一份能用的存量方案至少要有四块：

需求侧：业务与数据梳理。哪些是重要数据、在哪些环节产生和流转、泄露或被篡改会有什么后果。需求要落到具体指标，不能只写"保障系统安全"。
指标侧：对照 GB/T 39786 指标体系按系统等级逐条标注适用与不适用。不适用的要写清理由——业务确实没有该场景、已有等效控制措施、或该功能不在本期范围。这一栏最容易糊弄，也最容易被抽样检查挑出来。
机制侧：身份鉴别、传输机密性与完整性、存储机密性与完整性、不可否认，每一环写清谁发起、经过哪些设备、密钥从哪来、怎么轮换。写流程，不要只写产品清单。
产品与服务侧：所用密码产品的类型与认证情况（第三级要求达到 GB/T 37092 二级及以上），密码服务由谁提供，密钥的生成、分发、存储、销毁各由哪个角色负责。

写完附一张现状与差距表，"应该有"和"现在有"并排放，整改范围自然就出来了。

不是所有老系统都要先补一份完整方案。以下情形可以按运行阶段直接推进：

反过来，出现这些情况就不能只补文档：做过重大改造、整体上云或机房迁移、新增对外业务或新增重要数据、安全保护等级上调。这时方案本身要重编；重编后是否要再评估，看系统是否属于关键信息基础设施——关基另有更细的规定，建设过程中调整方案须重新评估、通过后方可继续建设。

按中等规模系统估算，供排期参考，具体以属地密码管理部门要求和系统实际情况为准：

不含整改，全程通常 2–4 个月；含改造实施的按季度计。

存量系统的密评，难点从来不在技术，而在于把散落在各处的既有事实重新组织成一份能被第三方核对的材料。方案是这份材料的骨架，补齐它对项目推进的价值远大于形式上的完整。

就密评而言，辅导类服务通常包括差距分析、方案编制、改造陪跑与协助对接持牌检测机构，评估报告由具备资质的检测机构出具。更多存量系统与年度评估的选题见密评专栏。