密改与等保设备清单怎么去重：三类分法
某单位准备密改预算，设备清单交上来，和两年前的等保整改清单并排放，重了七成：防火墙、堡垒机、VPN、日志审计、数据库审计、门禁、摄像头，一项不落。经办人问了一句——这些不是已经买过了吗？
答案取决于一件事：等保买的是「安全能力」，密评看的是「密码应用」。同一台设备，可能刚好覆盖，也可能只覆盖一半，还可能完全不在密评的评分范围里。设备清单要如何去重，先得把这两套口径分开看，这也是密评与等保测评常被混为一谈的地方。
两份清单为什么总打架
起点不同。等保按「一个中心、三重防护」组织，关注边界防护、访问控制、审计、入侵防范、恶意代码防范；密评按 GB/T 39786-2021 的四个技术层面（物理和环境、网络和通信、设备和计算、应用和数据）加管理要求组织，第三级技术指标 22 项、管理指标 19 项，问的是密码在这里做了什么。
更实际的一层：清单本身就是法定材料。《商用密码应用安全性评估管理办法》（国家密码管理局令第 3 号）第十二条，把「设备清单和网络拓扑」列为运营者必须提供的配合事项；第十条又把「技术产品服务选用的合规性、密钥管理安全性」列入方案评估内容。清单不是内部台账，是要交出去、要被逐项对的。两份清单打架，通常不是买错了，是分类错了。
去重看三个判据，不看设备名
一台设备能不能在密评里复用，不看它叫什么，看三件事：
- 有没有持证密码模块：设备内置的密码运算部件是否取得商用密码产品认证，第三级还要求产品达到 GB/T 37092 二级及以上。没有，就要外挂密码机承担运算。
- 覆盖哪条指标：密评按指标打分，一条指标对应一类密码功能。设备再贵，不落在指标上就不计分。
- 证据能不能留下来：配置截图、密钥调用记录、密码运算日志、算法套件版本。现场评估要能调到，调不到等于没配。
三条同时满足才算真复用；只满足第一条，属于可以改造；一条不满足，就是要新增。
三类分法：可复用、要换装、与密评无关
第一类，直接复用。 这类设备本身不承担密码运算，但提供了密码保护的落点。例如边界访问控制策略、日志集中存储、运维审计记录——只要完整性保护由持证密码产品完成（例如对关键字段做 MAC 或 HMAC-SM3），原有的防火墙、日志平台、堡垒机可以保留。
第二类，升级或加装。 投入集中在这里：
- 远程接入类：仍用国际算法套件的 VPN 不满足密评要求，需要国密版本；远程管理通道安全在第三级是「应」，堡垒机若不支持国密算法与双证书认证，要换版本或在外侧加国密通道。
- 传输与存储类：应用层身份鉴别、重要数据传输与存储机密性都是「应」项，通常在应用侧做改造，加签名验签服务器、数据库加密或密钥管理服务，而不是再买一台网络设备。
- 物理和环境类：普通门禁与摄像头不能直接顶用，需要国密读卡器与控制器，或加装完整性保护设备；摄像头可以利旧。这一层三项在第三级是「宜」、第四级才是「应」，别按四级标准买三级的单。
第三类，与密评无关。 入侵检测与防御、WAF、上网行为管理、终端防病毒、漏洞扫描、态势感知——这些是等保的常规项，在密评指标里没有对应条款。已有的继续用，没有的不必因为密改而上。
四步去重法
- 拉台账：把等保侧现有设备按资产编号列出，标注型号、部署位置、是否含密码模块、认证情况。
- 做映射：拿 GB/T 39786 附录 A 逐条过，每项指标写清「由谁提供密码功能」，落到具体设备或应用模块。
- 标状态：三档——已覆盖（证据齐全）、需补强（设备在但密码功能缺）、无对应（要新增）。
- 只对第三档做预算：前两档写改造工作量和验证方式，不重复计入采购。
映射这一步常被走过场。建议按「指标—对象—密码功能—承载设备—证据」五列做。指标口径可对照密码应用标准体系逐条核。
五个常见误判
- 把入侵检测当安全接入认证。 安全接入认证在第三级是「可」，且有明确的对象范围，不是有个检测设备就算覆盖。
- 以为买了 VPN 就过了应用层。 网关管的是链路，应用层身份鉴别要靠证书与签名验签，两者不互相替代。
- 把数据库审计当数据库加密。 只审计不加密，在「重要数据存储机密性」这条上不计分。
- 以为防火墙自带国密。 多数边界设备的密码模块是选配，或只做管理口加密，采购前要看认证范围，不看宣传页。
- 门禁摄像头原样搬。 物理和环境的两项记录完整性要的是密码保护的证据链，不是通着电。
「共用」失效的四种情形
- 产品认证过期或被撤：认证有有效期，靠获证后监督维持。清单里要记认证编号与有效期，别等现场才翻。
- 算法套件不匹配：设备支持国密，业务侧仍在用国际算法套件，链路两端对不上。
- 密钥没有统一管理：密钥散落在各设备本地配置里，缺生成、分发、更新、销毁的流程与角色，这在风险判定里份量很重。
- 性能顶不住：密码运算有开销，集中式密码机在高峰期可能成为瓶颈，扩容要提前算进方案。
清单落地：周期、材料与资质
去重后的清单通常分三块：可复用的写验证方案，需改造的写工作项与责任部门，需新增的写产品类型与指标对应关系。三块合起来才是可交的版本；单给一张采购表，评估时对不上指标。
从清单到评估，常规数周到数月，取决于改造范围与系统数量，以属地要求为准。方案评估与系统评估都须由持有商用密码检测机构资质的机构开展，密评机构的委托口径可以先确认；等级这一层不确定的，先看等保定级。
就密评而言，辅导类服务一般包括差距分析、方案编制、改造陪跑和协助对接持牌检测机构，报告由具备资质的机构出具。清单去重的价值不在省下几台设备，而在于每一条指标都能指到一台设备、一份记录、一个人。