# 什么是密评？给密码应用的年度体检 **密评，说白了就是给信息系统里的“锁”做年度体检**——你的系统里凡是用了加密保护的地方，国家要请专业的“验锁师傅”上门，逐一检查：锁是不是国家标准锁芯？钥匙管得严不严？有没有装了锁却忘上锁的地方？这套检查，全称叫**商用密码应用安全性评估**，业内人嫌字长，简称“密评”。 为什么现在值得了解？因为从政务、银行、电网，到你手机里的健康码类应用，越来越多系统被要求“没过密评就别上线”；密码行业、安全行业还在大量招“密评工程师”。这个词正在从安全圈的小众行话，变成企业IT部门的年度必答题。 ## 目录 1. 密评是什么？——人话定义与生活化类比 2. 为什么最近这么火？——三部法规递进的热度曲线 3. 一张图看懂——密评的体检流程 4. 和我有什么关系？——普通人/从业者/企业各看一眼 5. 一分钟总结 6. 延伸阅读与参考来源 --- ## 一、密评是什么？ ### 1.1 一句话定义 > **密评（商用密码应用安全性评估）：由具备资质的第三方机构，按照国家标准，对一个信息系统里“密码用得对不对、全不全、稳不稳”进行的合规性检查，重点对象是关基系统，每年至少一次。** 拆开这串字： - **商用密码**：指民用的加密技术。注意它不是说“卖钱的密码”，而是相对“核心密码、普通密码”（这两类是保护国家机密的，归专门体系管）而言、企业和老百姓日常用的那套加密技术。你手机支付时的加密、银行App的数字证书，用的就是商用密码。 - **应用安全性评估**：不是考你“密码设了没有”，而是查“密码这套防护体系用得规不规范”。 ### 1.2 生活化类比：汽车年检，但查的是防盗系统 把信息系统想象成一辆车： - **等保**（网络安全等级保护，本栏目之前讲过，相当于系统的“消防验收+整车年检”）查的是：刹车灵不灵、灯光亮不亮、车身结不结实——也就是系统整体的安全防护。 - **密评**则是专门趴下来检查你车的**防盗体系**：门锁是不是国标锁芯？钥匙是不是放在规定的地方？有没有人图省事把钥匙插在门上？遥控加密会不会被截获？ 为什么非要单独立一项？因为车灯不亮是“看得见的危险”，而锁芯不合规是“看不见的隐患”——车好好的、能跑能停，但小偷用万能钥匙三秒就开。**密码也一样：系统看起来一切正常，但加密算法过时了、密钥随手一放，数据在黑客眼里就是裸奔。** 密评就是替你发现这种“看起来没事、其实锁不行”的隐患。 ### 1.3 它解决什么问题？ 密码保护有个反直觉的特点：**装了密码 ≠ 安全**。常见翻车姿势有三种： 1. **用错锁**：还在用早已被破解的老算法（好比用十年代的挂锁看大门）； 2. **装假锁**：加密模块只是个摆设，实际数据根本没走加密通道； 3. **钥匙乱放**：算法没问题，但密钥（加密用的“钥匙”）硬编码写在代码里、存在没加密的文件里，等于锁买了钥匙挂门上。 密评就是把这三类问题按国家标准逐项打钩检查，逼着系统把密码真正用对。 --- ## 二、为什么最近这么火？ 密评不是新词，但它最近几年热度一路走高，背后是**三部法规的递进**，像三级火箭： ### 第一级：《密码法》施行（2020年）——立了法 2019年10月通过、2020年1月1日施行的《中华人民共和国密码法》第二十七条写明：**关键信息基础设施**（金融、能源、交通、水利、医疗、教育、政务等关系国计民生的系统，业内简称“关基”）的运营者，应当使用商用密码进行保护，并**自行或委托检测机构开展商用密码应用安全性评估**；关基的密评还要求与网络安全等级保护测评（即“等保测评”）**制度衔接**。一句话：给关基做密评，从“建议”变成了“法定义务”。 ### 第二级：配套条例与国标落地（2021年前后）——给了尺子 - **GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》**：密评的“考纲”。它按系统重要程度分四级要求，并规定从**物理和环境、网络和通信、设备和计算、应用和数据**四个技术层面，外加管理制度、建设管理、运行管理等管理维度，逐项提出“应采用/宜采用”的密码要求。 - **《关键信息基础设施安全保护条例》**（2021年9月施行）：把关基保护的监管框架立起来，密评作为其中“密码保护”环节的抓手，地位水涨船高。 ### 第三级：《商用密码应用安全性评估管理办法》（2023年）——给了细则 2023年，国家密码管理局发布《商用密码应用安全性评估管理办法》（国家密码管理局令），对谁能做密评（测评机构需具备资质）、怎么评、评出问题怎么办（整改与复评）给出了操作细则。至此，“要评、拿什么评、找谁评、评完怎么办”全链条打通，密评从法规条文变成了企业每年真实要走的流程。 ### 火上浇油的三个新变量 1. **数据安全与AI时代的数据焦虑**：大模型训练要吞海量数据，政务、医疗、金融数据一旦泄漏后果严重，“加密合规”从IT话题升级为经营话题。 2. **信创浪潮**（信息技术应用创新，即软硬件国产化替代）：替换国产软硬件时，配套把加密体系换成**国密算法**（国家自主研发的加密算法标准，如SM2公钥算法、SM3哈希算法、SM4对称算法，可理解为“国产标准锁芯”），密评正好是检验“换没换对”的尺子，“信创+密评”常常打包进行。 3. **市场放量**：随着第一批评过关基系统的密评周期到期，年度复评形成常态化需求，密评机构、密码改造服务商、密评工程师需求上涨，招聘市场上“密评工程师”“密码测评师”职位明显增多。 --- ## 三、一张图看懂 下面这张图梳理了密评的“体检流程”，自上而下看： ```mermaid flowchart TD A[密码法 2020年施行] --> B[关基系统每年至少一次密评] B --> C[依据 GB/T 39786 国标] C --> D1[物理和环境
门禁与监控加密] C --> D2[网络和通信
传输加密与身份认证] C --> D3[设备和计算
登录认证与存储加密] C --> D4[应用和数据
业务加密与数据保护] D1 --> E[持证测评机构现场测评] D2 --> E D3 --> E D4 --> E E --> F[量化打分并出结论] F --> G[达标通过
出报告归档备查] F --> H[不达标
限期整改后复评] ``` 三个小白常问的细节： - **查什么算法？** 密评高度关注“合规性”：要用国家认可的商用密码算法（如SM2/SM3/SM4等国密算法）。用国际算法本身不一定直接判死，但在政务、关基场景下，“该用国密而没用”是典型扣分项。 - **怎么打分？** 密评采用量化评分制，按各层面指标加权计算，最终给出“符合/基本符合/不符合”结论。60分是一个重要门槛——达不到就要整改。所以业内戏称密评是“及格万岁”的考试，但对关基来说，“及格”背后是大量改造工作。 - **多久评一次？** 关基系统原则上**每年至少一次**；其他按等保定级的重要系统也建议参照执行。是的，和车一样，是“年检”，不是“一考定终身”。 --- ## 四、和我有什么关系？ ### 4.1 普通人 你是密评的**受益人，虽然看不见它**。你扫码支付的加密通道、医院里你的电子病历、政务App里的身份信息，背后系统是否真正加了密，密评在替你把关。类比：你不需要懂消防验收，但楼房过没过消防验收，直接关系你的安全。 ### 4.2 从业者 **这是一个正在扩容的岗位赛道**： - 安全工程师、等保测评员向“等保+密评”双证方向发展，竞争力翻倍； - 密码改造（把老系统加密体系换成合规国密方案）催生大量集成项目，懂加密协议、密钥管理（管理加密钥匙的全套系统和流程）的工程师吃香； - 学习路径清晰：先读GB/T 39786国标原文，再了解典型密码产品（服务器密码机、签名验签服务器、密钥管理系统等，可理解为“各种国标锁具产品”），最后跟一次完整密评项目。 ### 4.3 企业与投资者 - **企业IT负责人**：如果你的系统定级为等保三级及以上、或属于关基，密评大概率是你的年度必修课。建议提前做“密评预检”——自查算法合规、密钥管理、加密覆盖面，别等现场测评才发现要大改。 - **成本视角**：密评本身是费用，但真正的成本在**整改**。越早合规，改造成本越低；临检抱佛脚，往往要大动架构。 - **投资视角**：密码产业（加密芯片、密码卡、密评服务、密码软件）受益于合规强制需求，属于“政策驱动型”赛道，研究时可关注“密评通过率”“密码改造订单”这类行业指标。 --- ## 五、一分钟总结 1. 密评＝商用密码应用安全性评估，**给信息系统里的“锁”做年度体检**。 2. 法律依据是《密码法》第二十七条，操作标准是国标GB/T 39786，细则来自国家密码管理局的评估管理办法。 3. 检查四个技术层面：物理环境、网络通信、设备计算、应用数据，外加管理制度。 4. 关基系统**每年至少评一次**，量化打分，不达标就整改复评。 5. 和等保是“兄弟双轨”：等保管整车安全，密保管防盗系统，关基两个都得过。 --- ## 延伸阅读 想继续深挖，可以关注这三个相关名词（本栏目后续可能展开）： - **国密算法**：SM2/SM3/SM4这套“国产标准锁芯”到底和AES、RSA有什么区别？ - **数字证书与PKI**：网银盾、https小锁头背后的“网络身份证”体系如何运转？ - **密钥管理系统（KMS）**：密评最常翻车的“钥匙管理”，规范做法长什么样？ ## 参考来源 1. [《中华人民共和国密码法》全文（中国政府网）](https://www.gov.cn/xinwen/2019-10/26/content_5445056.htm) — 密评的直接法律依据，重点看第二十七条 2. [国家密码管理局官网](https://www.sca.gov.cn) — 《商用密码应用安全性评估管理办法》等配套法规的权威发布渠道 3. [全国标准信息公共服务平台（国家市场监管总局）](https://std.samr.gov.cn) — 可检索GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》标准信息 > 注：本文制度框架与法规时间线基于公开法规文本整理；文中涉及的市场规模、机构数量等动态数据未给出精确值，建议以国家密码管理局及行业主管部门最新公开信息为准。 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。