政务信息化项目：为什么立项前就要过密码应用方案评估
政务信息化项目最常见的一种返工，不是需求变更，而是立项材料里"密码"这一栏空着。
项目建议书批了，初步设计也过了，概算里信息安全只写"配置密码设备若干"。等到准备验收，才发现材料要附密评报告，而报告第一步是对照密码应用方案划定范围——方案没有，或方案没经过评估，这一步就卡住。
这条要求写在三份文件里
《国家政务信息化项目建设管理办法》（国办发〔2019〕57 号，2020 年 2 月 1 日施行）要求同步规划、同步建设、同步运行密码保障系统并定期评估；项目备案文件应包括密码应用方案和密评报告；申请验收要附密评报告；不符合密码应用要求的系统，不安排运行维护经费，建设单位不得新建、改建、扩建。
《政务信息系统密码应用与安全性评估工作指南》（2020 版，中国密码学会密评联委会编制，国家密码管理局 2020 年 9 月发布）说得更直白：方案通过密评是项目立项的必要条件，系统通过密评是项目验收的必要条件；建设阶段方案若有调整，要再委托机构确认。
《商用密码应用安全性评估管理办法》（国家密码管理局令第 3 号）第七条：运营者应自行或委托商用密码检测机构评估密码应用方案，方案未通过评估的，不得作为密码保障系统的建设依据。
三份文件指向同一件事：密码不是建设末期的一个采购包，而是立项材料的一部分。这也是密评与等保测评在节奏上最大的差别——等保测评多在建成之后，密评的第一道关口在此之前。
为什么卡在立项：三处不好回头
- 概算：密码产品、应用改造、评估费用要在初设概算里分列。立项没列，后期追加要走调整程序，可行性取决于属地主管部门。
- 架构：密钥体系、证书体系、密码服务接口是地基。应用写完再插密码，等于把身份鉴别、加密、签名验签在代码里重穿一遍。
- 验收：材料要附密评报告，未通过要整改复评，复评仍不通过不得通过验收，连带影响运维经费安排。
方案评估评的不是设备清单
办法第十条列了四项：密码应用需求的全面性、合理性、针对性；指标选取的准确性、不适用论证的充分性；流程机制的可实施性；技术产品服务选用的合规性、密钥管理的安全性。
四项里只有后两项沾到"买什么"，前两项问的是"为什么这么选"。最容易被退回的恰恰是前两项：业务没梳理清，指标照抄模板；某个指标不适用，只写"本系统不涉及"，没有论证；密码应用流程写成产品参数堆砌，看不出谁在哪一步调用什么密码功能。
方案评估考的是判断力，不是清单长度。指标口径可对照密码应用标准体系里的 GB/T 39786 逐条过。
方案没评估就开建：四类返工
- 指标返工：定级调整、业务范围变化、部署形态从云上改自建，都会改变适用指标集合。方案没评估，这一层没人核过。
- 产品返工：用软件加密库做密码运算、用未取得商用密码产品认证的产品，属典型不符合项；第三级还要求密码产品达到 GB/T 37092 二级及以上。
- 密钥返工：密钥明文写在配置文件或数据库、生成与分发不分离、缺备份恢复与销毁流程，这在风险判定里份量很重，且穿透四个技术层面。
- 流程返工：密钥管理员、密码安全审计员、密码操作员没设，制度缺密钥管理章节，运维记录留不下来。不花钱，但最费时间。
全周期时间轴：五个节点
- 立项：分析现状与风险，明确密码应用需求，参照模板编制方案，委托持证机构评估，评估意见随立项材料报批。
- 初设与概算：密码产品、集成改造、方案评估与系统评估的费用分列，别整体塞进"信息安全"一个大项。
- 建设：按通过评估的方案实施；方案调整优化要再委托确认，别自行改完就往下走。
- 验收前：委托机构开展系统密评；未通过按意见整改，整改后复评。
- 运行：第三级及以上每年至少开展一次密评；报告形成后 30 日内报送备案。
三个常见误解
"等保测评做了，密评就不用做。" 两者是衔接不是替代。《商用密码管理条例》要求密评与关基安全检测评估、等级测评加强衔接、避免重复评估测评——避免重复的是现场工作与材料，不是结论，依据、指标、出具主体都不同。
"方案评估是走形式。" 它是"建设依据"的门槛，未通过就不能作为建设依据，后续建设内容本身失去依据。
"验收前再找人做就行。" 系统评估第一步是对照方案划定范围，没有方案或方案未评估，第一步就悬空；此时补方案，等于给建成系统倒推着写文档。
立项阶段先做四件事
- 先定级。按 GB/T 22240 确定等级，等级决定指标集合。未定级的可先看等保定级。
- 编方案。参照工作指南附录模板，业务、数据、密码需求三层对齐，指标逐条标注适用与不适用。
- 找对机构。方案评估须委托持有商用密码检测机构资质的机构，密评机构的委托方式先确认。
- 写进概算与制度。产品清单、改造量、评估费用、三类密码角色，一并落到初设文本与制度里。
就密评而言，辅导类服务通常包括差距分析、方案编制、改造陪跑与协助对接持牌检测机构，报告由具备资质的机构出具。方案评估与系统评估各需数周到数月，具体以属地要求为准。
把密码放到立项这一格，后面四个节点都是顺的；放到验收那一格，前面四个节点都要回头改。