密评要准备哪些材料：方案、产品与运行记录
密评的现场工作通常只有几天，材料准备却往往要提前一个月。测评组逐项判定时看的是客观凭据：方案里写了什么、设备上实际配了什么、运行中留下了什么记录。三者对不上，指标就很难判为符合，最后只能落进整改清单。
所以"要准备哪些材料"这个问题，不能临到进场才想。下面的清单按《商用密码应用安全性评估管理办法》（国家密码管理局令第3号，2023年11月1日施行）的条文梳理，三个阶段各有一本账。
材料是法定义务，不是人情
第3号令第十二条把运营者应当提供的支持写得很具体，委托商用密码检测机构开展评估时，这六项不是可选项：
- 对网络与信息系统的重要数据做备份，评估过程可能涉及数据接入与验证；
- 提供完整有效的设备清单和网络拓扑；
- 提供商用密码应用方案、密码相关管理制度，以及密码配置、运行、维护记录；
- 提供密码产品管理入口、网络交换设备接入端口等信息与数据接入分析条件；
- 安排网络管理员、系统管理员、密钥管理员、密码安全审计员、密码操作员配合；
- 其他需要配合的事项。
同一办法第十八条还规定，未为评估活动提供必要支持的，由密码管理部门责令改正；逾期未改或改正后仍不符合要求的，处1万元以上10万元以下罚款，对直接负责的主管人员处5000元以上5万元以下罚款。材料拖着不给，不只是进度问题。
规划阶段：交的是方案这本设计账
系统还在设计或改造立项阶段时，评估对象是商用密码应用方案本身。按第十条，评估要看四件事：需求是否全面合理、对照标准选取的指标是否准确、不适用指标的论证是否充分；应用流程和机制是否可实施；技术、产品和服务选用是否合规，密钥管理是否安全；最后形成评估报告。
这个阶段要交的材料通常包括方案正文、密码应用需求分析、指标选取与不适用项论证表、密钥管理设计、产品选型说明。方案未通过评估，不得作为密码保障系统的建设依据——这句话的分量在于，方案一旦被否，后面的采购和施工都要停下来改。具体写法可参考密码应用方案怎么写。
建设与上线前：交的是实物账
系统建好、准备上线时，评估对象从纸面变成了实际部署。第八条要求按通过评估的方案组织实施；运行前开展评估，未通过的要改造，改造期间不得投入运行。
这个阶段最容易被挑出问题的，是材料与实际不一致。建议按下面几类整理：
- 设备与产品清单：型号、数量、部署位置、承载的密码功能，与方案逐条对齐；
- 产品合规证明：商用密码产品认证证书、销售许可等材料的复印件或扫描件；
- 网络拓扑与接入点：标清密码设备串接或旁路的位置、管理入口、日志外送路径；
- 配置证据：密码算法配置、证书链配置、密钥存储方式的截图，带时间与设备标识；
- 密钥管理文档：密钥生成、分发、更新、备份、销毁的责任人与操作流程。
清单里少一台设备、拓扑上少画一条链路，现场核对时都要花时间解释。
运行阶段：交的是流水账
系统投产后，第九条要求每年至少开展一次评估。此时评估组关心的不是"设计得好不好"，而是"这一年是否一直按设计在跑"。
需要拿得出来的是过程记录：密码配置的变更记录、密钥更换与销毁记录、密码设备运行日志与告警处置记录、密码安全审计日志、应急演练记录、相关人员培训记录。关基运营者还要注意，第5号令（2025年8月1日施行）要求每年1月31日前向所属保护工作部门报告上一年度商用密码使用和密评开展情况，这份报告的材料来源就是上面这些记录。周期怎么排，可看密评多久做一次。
现场五种方法，材料要经得起这样查
评估依据 GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，技术层面看物理和环境、网络和通信、设备和计算、应用和数据四块，管理层面看管理制度、人员管理、建设运行、应急处置四块；测评要求与方法另有 GB/T 43206-2023 和 GM/T 0115、GM/T 0116 两份密码行业标准支撑。
落到动作上，通常是访谈、文档审查、实地察看、配置检查、工具测试五种。访谈问的是"你知道自己管什么密钥"；文档审查看的是制度有没有发布、有没有版本；实地察看核对门禁与机房；配置检查比对实际参数与声称参数；工具测试则抓包验证协议与算法调用。五种方法都指向同一件事：材料要能和现场对上。
三个最容易缺的材料
- 密钥全生命周期的操作记录。很多单位有密钥管理制度，但没有生成、更新、销毁的实际记录，管理制度就落不了地。
- 制度的发布版本。评审时拿出的是讨论稿或未签发的文件，等于没有制度。
- 上一轮问题的整改闭环。首次评估后留了整改项，第二次评估时要有整改前后的对照证据。
评估未通过的，运营者应当改造；改造期间还要采取必要措施保证系统运行安全。整改怎么排期，见密评没通过怎么办。
报告出来还没完：归档与备案
如果是自行开展评估，报告要由本单位密码或网络安全负责人签字确认并加盖公章；原始记录和评估报告都要归档留存，保存期限不少于6年，以保证可追溯。
委托机构评估的，运营者应当在报告形成后30日内，把评估报告和相关工作情况报送国家密码管理局或系统所在地省级密码管理部门备案。备案材料要过形式审查，审查未通过需重新提交；国家密码管理局还可以对评估结果抽样检查，抽样不合格的要重新开展评估。备案的具体材料与常见退回原因，见密评备案怎么办；如果同一套系统还要做等保，等保备案的受理渠道可以对照着一起准备。
材料准备这件事，本质上是把日常该做的记录做扎实。平时留痕，评估时只是整理；平时不留，进场前一周再怎么补也补不齐。