密评测评方案怎么编：进场前要定下什么
某单位约了密评，机构进场第一天先问：测评方案定了吗？经办人递过去的，是一年前立项时编的《商用密码应用方案》。两份东西不是一回事，这个错位往往等现场做一半才发现。
先分清两份方案
《商用密码应用方案》由运营者编制，回答「密码怎么建」：需求分析、指标选取、技术框架、产品与服务选型、密钥管理、改造步骤，对应的是方案评估环节。
测评方案（标准里叫「密评方案」）由测评方编制，回答「怎么测」：测哪些对象、对哪些指标、在哪个检查点、用什么方式、谁来测、什么时候测。GM/T 0116-2021《信息系统密码应用测评过程指南》把测评分成四项基本活动——测评准备、方案编制、现场测评、分析与报告编制，测评方案是第二项活动的产物。
《商用密码应用安全性评估管理办法》第十一条，把「确定评估指标及评估对象，论证编制实施方案」写进了系统评估的四项内容。方案因此不是机构内部的作业文件，而是法定评估环节的一环。定不下来，现场就只能边走边看，采到的材料与要判的指标对不上，回头还得二次进场。
测评范围：对着方案划，不对着机房划
范围划错是返工的第一大原因。常见错法是按物理位置划：机房设备都算进来，云上那部分漏掉。
顺序要反过来：先看业务，再看数据流向，最后落到设备和链路。
- 有通过评估的密码应用方案：以方案为主要参考资料，逐项核对保护对象、安全风险与密码应用需求、不适用项、风险控制措施这四块是否还成立。
- 没有方案或方案已过期：按 GB/T 43207-2023 的描述要求，结合等保定级报告、安全需求分析报告、安全设计方案补齐系统情况。
边界上三处最易漏：跨网数据交换、远程运维通道、部署在第三方机房或云平台上的部分。系统上了云，网络和通信层的责任并不自动转移给平台方，这部分要单独确认测评对象归属。
测评对象：跟着核心资产走
GM/T 0116 的口径是先识别系统基本情况——物理环境、网络拓扑与外部边界、业务应用、重要硬件设备、网络安全设备、密码产品和密码服务，再明确核心资产在系统内的流转，据此确定与密码相关的测评对象。核心资产可以是业务应用、业务数据，也可以是承载它的设备与组件。
实操上按四类归：机房等重要区域；通信信道（IPSec VPN、SSL VPN 等）；通用设备、数据库及整机类与系统类密码产品；关键业务应用。
指标适用性：应、宜、可三档落表
第三级技术指标 22 项、管理指标 19 项，但不是每条都必然适用。GB/T 43206-2023 第 4 章给了判定规则：
- 应：默认适用。要判不适用，须凭密码应用方案和方案评估意见证明确无需求，两者缺一不可。
- 宜：方案有明确论证的按方案定；方案没写或写得含糊的纳入测评；判了不适用但业务实际有需求的，还要核风险控制措施的使用条件与实施一致性。
- 可：由责任方决定是否纳入，不纳入的不做标准符合性测试，但要在方案里说明理由。
不适用仅三种情形：无相关密码应用需求；「可」的指标未纳入；「宜」的指标已采用风险控制措施。
指标表不能只填「适用/不适用」两列，至少要四列：指标、等级要求、测评对象、判定依据。这张表是方案骨架，也是现场记录表的母版。
测评方式：三类，管理一律第一类
《商用密码应用安全性评估测评实施指引》把测评方式分为三类：
- 第一类：访谈、文档审查、实地查看，以「说」和「看」为主，难度小、可靠性较低。
- 第二类：工具测试、配置检查、代码审查、试错测试，从实际业务中直接或间接取得证据。
- 第三类：跟踪测试、基于密码机制的主动分析，验证密码机制是否正确有效，难度大、可靠性高。
规则两条：技术测评优先采用推荐方式，客观条件受限时可替代，但要往更可靠的方向替；管理测评一律采用第一类。
方案里每个测评单元要落到「指标＋对象＋实施方法＋判定依据」四要素。只写「检查密码机配置」不算，要写清在哪台设备、看哪几项、留什么截图、对应哪条指标。
方案和实际对不上怎么办
进场前核出的不一致大致三类：方案写的产品型号与实际部署不符；方案列为不适用的指标，业务上其实有需求；方案描述的架构在建设中被改过。
处理原则同一条：与运营者确认后，以实际掌握的情况为准开展测评，并在方案里记录差异与结论。既不自行照方案测，也不自行按现状改范围。
还有一处易忽略：密码应用方案已通过评估、建设过程中又改过的，应回到方案评估环节确认是否需重新评估，不宜在测评方案里抹平。
进场前要齐的六样东西
按 GM/T 0116 测评准备活动的输出要求，方案定稿时这几样应同步到位：
- 项目计划书：项目概述、工作依据、技术思路、工作内容、项目组织。
- 调查表格与技术资料：定级情况、业务、软硬件、密码应用与管理情况、相关部门与角色。
- 测评工具清单：用了哪些工具、什么版本。
- 现场测评授权书与风险告知书：运营者签署，明确可能带来的影响。
- 文档交接单与会议表单：借了什么、谁提供的、何时归还。
- 配合人与时间窗：每类对象的对接人、可作业时段、变更冻结安排。
六样缺一样，现场就卡住。涉及在线运行业务系统的，作业时段与回退安排要在风险告知书里写死。
周期与推进顺序
从资料收集到方案定稿，一般 1–3 周，取决于系统数量与资料完整度；现场测评另计，通常 1–2 周。整体周期以属地要求和项目实际情况为准。
推荐顺序：定范围、定对象、落指标表、选方式与检查点、编方案、双方评审确认、进场。
方案编制与现场测评的方法论与等保测评有相通之处，指标衔接可对照看；条款口径见密码应用标准；需要委托时先核持牌密评机构的业务范围；其余环节在密评栏目有分篇说明。