什么是密评？给密码应用的年度体检

密评，说白了就是给信息系统里的“锁”做年度体检——你的系统里凡是用了加密保护的地方，国家要请专业的“验锁师傅”上门，逐一检查：锁是不是国家标准锁芯？钥匙管得严不严？有没有装了锁却忘上锁的地方？这套检查，全称叫商用密码应用安全性评估，业内人嫌字长，简称“密评”。

为什么现在值得了解？因为从政务、银行、电网，到你手机里的健康码类应用，越来越多系统被要求“没过密评就别上线”；密码行业、安全行业还在大量招“密评工程师”。这个词正在从安全圈的小众行话，变成企业IT部门的年度必答题。

目录

1. 密评是什么？——人话定义与生活化类比
2. 为什么最近这么火？——三部法规递进的热度曲线
3. 一张图看懂——密评的体检流程
4. 和我有什么关系？——普通人/从业者/企业各看一眼
5. 一分钟总结
6. 延伸阅读与参考来源

一、密评是什么？

1.1 一句话定义

密评（商用密码应用安全性评估）：由具备资质的第三方机构，按照国家标准，对一个信息系统里“密码用得对不对、全不全、稳不稳”进行的合规性检查，重点对象是关基系统，每年至少一次。

拆开这串字：

• 商用密码：指民用的加密技术。注意它不是说“卖钱的密码”，而是相对“核心密码、普通密码”（这两类是保护国家机密的，归专门体系管）而言、企业和老百姓日常用的那套加密技术。你手机支付时的加密、银行App的数字证书，用的就是商用密码。
• 应用安全性评估：不是考你“密码设了没有”，而是查“密码这套防护体系用得规不规范”。

1.2 生活化类比：汽车年检，但查的是防盗系统

把信息系统想象成一辆车：

• 等保（网络安全等级保护，本栏目之前讲过，相当于系统的“消防验收+整车年检”）查的是：刹车灵不灵、灯光亮不亮、车身结不结实——也就是系统整体的安全防护。
• 密评则是专门趴下来检查你车的防盗体系：门锁是不是国标锁芯？钥匙是不是放在规定的地方？有没有人图省事把钥匙插在门上？遥控加密会不会被截获？

为什么非要单独立一项？因为车灯不亮是“看得见的危险”，而锁芯不合规是“看不见的隐患”——车好好的、能跑能停，但小偷用万能钥匙三秒就开。密码也一样：系统看起来一切正常，但加密算法过时了、密钥随手一放，数据在黑客眼里就是裸奔。 密评就是替你发现这种“看起来没事、其实锁不行”的隐患。

1.3 它解决什么问题？

密码保护有个反直觉的特点：装了密码 ≠ 安全。常见翻车姿势有三种：

1. 用错锁：还在用早已被破解的老算法（好比用十年代的挂锁看大门）；
2. 装假锁：加密模块只是个摆设，实际数据根本没走加密通道；
3. 钥匙乱放：算法没问题，但密钥（加密用的“钥匙”）硬编码写在代码里、存在没加密的文件里，等于锁买了钥匙挂门上。

密评就是把这三类问题按国家标准逐项打钩检查，逼着系统把密码真正用对。

二、为什么最近这么火？

密评不是新词，但它最近几年热度一路走高，背后是三部法规的递进，像三级火箭：

第一级：《密码法》施行（2020年）——立了法

2019年10月通过、2020年1月1日施行的《中华人民共和国密码法》第二十七条写明：关键信息基础设施（金融、能源、交通、水利、医疗、教育、政务等关系国计民生的系统，业内简称“关基”）的运营者，应当使用商用密码进行保护，并自行或委托检测机构开展商用密码应用安全性评估；关基的密评还要求与网络安全等级保护测评（即“等保测评”）制度衔接。一句话：给关基做密评，从“建议”变成了“法定义务”。

第二级：配套条例与国标落地（2021年前后）——给了尺子

• GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》：密评的“考纲”。它按系统重要程度分四级要求，并规定从物理和环境、网络和通信、设备和计算、应用和数据四个技术层面，外加管理制度、建设管理、运行管理等管理维度，逐项提出“应采用/宜采用”的密码要求。
• 《关键信息基础设施安全保护条例》（2021年9月施行）：把关基保护的监管框架立起来，密评作为其中“密码保护”环节的抓手，地位水涨船高。

第三级：《商用密码应用安全性评估管理办法》（2023年）——给了细则

2023年，国家密码管理局发布《商用密码应用安全性评估管理办法》（国家密码管理局令），对谁能做密评（测评机构需具备资质）、怎么评、评出问题怎么办（整改与复评）给出了操作细则。至此，“要评、拿什么评、找谁评、评完怎么办”全链条打通，密评从法规条文变成了企业每年真实要走的流程。

火上浇油的三个新变量

1. 数据安全与AI时代的数据焦虑：大模型训练要吞海量数据，政务、医疗、金融数据一旦泄漏后果严重，“加密合规”从IT话题升级为经营话题。
2. 信创浪潮（信息技术应用创新，即软硬件国产化替代）：替换国产软硬件时，配套把加密体系换成国密算法（国家自主研发的加密算法标准，如SM2公钥算法、SM3哈希算法、SM4对称算法，可理解为“国产标准锁芯”），密评正好是检验“换没换对”的尺子，“信创+密评”常常打包进行。
3. 市场放量：随着第一批评过关基系统的密评周期到期，年度复评形成常态化需求，密评机构、密码改造服务商、密评工程师需求上涨，招聘市场上“密评工程师”“密码测评师”职位明显增多。

三、一张图看懂

下面这张图梳理了密评的“体检流程”，自上而下看：

flowchart TD
    A[密码法 2020年施行] --> B[关基系统每年至少一次密评]
    B --> C[依据 GB/T 39786 国标]
    C --> D1[物理和环境<br/>门禁与监控加密]
    C --> D2[网络和通信<br/>传输加密与身份认证]
    C --> D3[设备和计算<br/>登录认证与存储加密]
    C --> D4[应用和数据<br/>业务加密与数据保护]
    D1 --> E[持证测评机构现场测评]
    D2 --> E
    D3 --> E
    D4 --> E
    E --> F[量化打分并出结论]
    F --> G[达标通过<br/>出报告归档备查]
    F --> H[不达标<br/>限期整改后复评]

三个小白常问的细节：

• 查什么算法？ 密评高度关注“合规性”：要用国家认可的商用密码算法（如SM2/SM3/SM4等国密算法）。用国际算法本身不一定直接判死，但在政务、关基场景下，“该用国密而没用”是典型扣分项。
• 怎么打分？ 密评采用量化评分制，按各层面指标加权计算，最终给出“符合/基本符合/不符合”结论。60分是一个重要门槛——达不到就要整改。所以业内戏称密评是“及格万岁”的考试，但对关基来说，“及格”背后是大量改造工作。
• 多久评一次？ 关基系统原则上每年至少一次；其他按等保定级的重要系统也建议参照执行。是的，和车一样，是“年检”，不是“一考定终身”。

四、和我有什么关系？

4.1 普通人

你是密评的受益人，虽然看不见它。你扫码支付的加密通道、医院里你的电子病历、政务App里的身份信息，背后系统是否真正加了密，密评在替你把关。类比：你不需要懂消防验收，但楼房过没过消防验收，直接关系你的安全。

4.2 从业者

这是一个正在扩容的岗位赛道：

• 安全工程师、等保测评员向“等保+密评”双证方向发展，竞争力翻倍；
• 密码改造（把老系统加密体系换成合规国密方案）催生大量集成项目，懂加密协议、密钥管理（管理加密钥匙的全套系统和流程）的工程师吃香；
• 学习路径清晰：先读GB/T 39786国标原文，再了解典型密码产品（服务器密码机、签名验签服务器、密钥管理系统等，可理解为“各种国标锁具产品”），最后跟一次完整密评项目。

4.3 企业与投资者

• 企业IT负责人：如果你的系统定级为等保三级及以上、或属于关基，密评大概率是你的年度必修课。建议提前做“密评预检”——自查算法合规、密钥管理、加密覆盖面，别等现场测评才发现要大改。
• 成本视角：密评本身是费用，但真正的成本在整改。越早合规，改造成本越低；临检抱佛脚，往往要大动架构。
• 投资视角：密码产业（加密芯片、密码卡、密评服务、密码软件）受益于合规强制需求，属于“政策驱动型”赛道，研究时可关注“密评通过率”“密码改造订单”这类行业指标。

五、一分钟总结

1. 密评＝商用密码应用安全性评估，给信息系统里的“锁”做年度体检。
2. 法律依据是《密码法》第二十七条，操作标准是国标GB/T 39786，细则来自国家密码管理局的评估管理办法。
3. 检查四个技术层面：物理环境、网络通信、设备计算、应用数据，外加管理制度。
4. 关基系统每年至少评一次，量化打分，不达标就整改复评。
5. 和等保是“兄弟双轨”：等保管整车安全，密保管防盗系统，关基两个都得过。

延伸阅读

想继续深挖，可以关注这三个相关名词（本栏目后续可能展开）：

• 国密算法：SM2/SM3/SM4这套“国产标准锁芯”到底和AES、RSA有什么区别？
• 数字证书与PKI：网银盾、https小锁头背后的“网络身份证”体系如何运转？
• 密钥管理系统（KMS）：密评最常翻车的“钥匙管理”，规范做法长什么样？

参考来源

1. 《中华人民共和国密码法》全文（中国政府网） — 密评的直接法律依据，重点看第二十七条
2. 国家密码管理局官网 — 《商用密码应用安全性评估管理办法》等配套法规的权威发布渠道
3. 全国标准信息公共服务平台（国家市场监管总局） — 可检索GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》标准信息

注：本文制度框架与法规时间线基于公开法规文本整理；文中涉及的市场规模、机构数量等动态数据未给出精确值，建议以国家密码管理局及行业主管部门最新公开信息为准。

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。