【摘要】
密码是网络安全的基石。《密码法》自2020年1月1日起施行，把密码分为核心密码、普通密码与商用密码三类，确立了分类管理的制度框架。2023年修订的《商用密码管理条例》（国务院令第760号）进一步细化了商用密码的检测认证、应用与监督管理要求。对湖南地区的信息系统建设与运营单位、密码产品与服务提供者而言，理解”哪些系统必须做密评””商用密码产品如何合规使用””密评怎么做”三件事，既是合规底线，也是项目验收与招投标的常见门槛。本文系统梳理密码分类、商用密码管理制度、商用密码应用安全性评估（密评）的流程与要点。
一、密码的分类与法律框架
（一）三类密码的定位
| 类型 | 保护对象 | 管理部门 |
|---|---|---|
| 核心密码 | 国家秘密信息 | 国家密码管理部门 |
| 普通密码 | 国家秘密信息 | 国家密码管理部门 |
| 商用密码 | 不属于国家秘密的信息 | 国家密码管理部门（市场化应用） |
核心密码与普通密码用于保护国家秘密，由密码管理部门严格管理；商用密码则面向社会，用于保护不属于国家秘密的信息，是企业和机构日常最常接触的一类。
（二）法律与规章体系
- 《密码法》：2020年1月1日施行，确立分类管理、商用密码市场化、关键信息基础设施密评等基本制度；
- 《商用密码管理条例》（国务院令第760号，2023年修订施行）：细化商用密码科研、生产、销售、服务、检测认证、应用与监督管理；
- 配套标准：GB/T 39786《信息安全技术 信息系统密码应用基本要求》等，是密评的技术依据。
（三）监管的核心逻辑
商用密码监管遵循”放管服”与”安全底线”并重的思路：一方面取消商用密码产品生产单位审批、销售许可等事前许可，改为检测认证与事中事后监管；另一方面对关键信息基础设施提出强制性密评要求，把安全责任压到运营者身上。
二、商用密码产品的合规使用
（一）检测认证制度
商用密码产品需通过具备资质的机构检测认证，列入商用密码产品认证目录的产品应取得认证证书。采购方在选择密码产品时，应核实产品的认证状态、适用范围与执行标准，避免使用来源不明、未认证的产品。
（二）密码服务的合规
提供商用密码服务（如电子认证、密码应用集成）的机构，需符合相应要求。使用密码服务时，应关注服务提供者的资质、密钥管理能力与责任约定。
（三）电子认证服务与密码的关系
电子认证服务依赖密码技术实现签名与验证。提供电子认证服务需取得许可，其使用的密码技术应合规。企业在选择电子签名、电子印章服务时，应确认服务方的合规资质与签名的法律效力依据。
三、商用密码应用安全性评估（密评）
（一）哪些系统要做密评
关键信息基础设施应当使用商用密码进行保护，并开展商用密码应用安全性评估。此外，法律法规或主管部门要求开展密评的政务信息系统、重要行业信息系统，也应纳入评估范围。实践中，密评已成为不少政府项目、国企项目的验收前置条件。
（二）密评的四个技术维度
| 维度 | 核心要求 | 常见问题 |
|---|---|---|
| 密码技术应用 | 使用合规的密码算法与产品 | 使用自研或未认证算法 |
| 密钥管理 | 密钥全生命周期安全管理 | 密钥硬编码、明文存储 |
| 密码服务 | 通过合规服务实现密码功能 | 以普通软件模拟密码功能 |
| 安全管理 | 制度、人员、培训、应急 | 制度缺失、责任不清 |
（具体要求以 GB/T 39786 等标准为准。）
（三）密评的三个阶段
密评不是一次性动作，而是贯穿信息系统生命周期的过程：
- 规划阶段：在系统设计初期就明确密码应用方案，编制密码应用方案并评估其合理性；
- 建设阶段：按方案实施密码应用，开展建设阶段密评；
- 运行阶段：系统上线运行后定期开展密评，形成常态化的评估与整改机制。
未通过密评的系统，应限期整改；关键信息基础设施未按要求开展密评的，可能面临主管部门的通报与处罚。
四、落地实施的关键动作
（一）先做资产与系统梳理
实施密码应用改造前，应梳理信息系统清单、数据分类分级情况与关键业务链路，明确哪些系统需要改造、需要保护哪些数据、涉及哪些环节。
（二）再看方案与产品
密码应用方案应由具备能力的单位编制，明确选用的算法、产品、密钥管理策略与部署方式。产品选择应遵循合规、适配、可持续维护三原则，避免为一次性验收而”买而不用”。
（三）最后建制度与留痕
密码应用不仅是技术问题，也是管理问题。应建立密码设备管理、密钥管理、人员权限、应急处置等制度，并保留密评报告、整改记录与运行日志，以备监督检查。
五、给企业与机构的建议
- 把密评纳入项目计划：涉及政务、国企、关键行业的项目，应在立项阶段预留密评时间与预算，避免验收时被动；
- 区分强制与自愿：关键信息基础设施与法定要求的信息系统必须做，其他系统可根据风险与业务需要自愿开展；
- 不要”重产品轻管理”：大量问题出在密钥管理与制度落实上，技术采购解决不了管理缺失；
- 关注服务方资质：密码服务、密评服务的提供方应具备相应能力，合同中应明确交付物与责任。
密码应用改造的实施路径
（一）第一步：确定范围
不是所有系统都需要做密评。建议先按”数据敏感度、业务重要性、合规强制要求”三个维度排序：处理重要数据、涉及大量个人信息的系统优先级最高；被主管部门明确要求开展密评的系统必须纳入；其他系统可结合风险自愿开展。范围确定后，应形成清单并明确责任部门。
（二）第二步：梳理密码应用需求
密码应用需求来自三个方面：一是法律法规与标准的要求；二是业务系统自身的防护需求，如身份鉴别、访问控制、数据完整性与保密性；三是风险管理要求，即针对已识别的风险点确定密码保护措施。把需求写成清单，避免为了用密码而用密码。
（三）第三步：编制密码应用方案
方案应包括系统概况与边界、安全需求分析、密码技术应用设计、密钥管理设计、产品选型与部署、改造实施计划、投资估算与验收方式。方案的质量直接决定后续改造的成败。
（四）第四步：实施与密评
按方案实施改造后进行建设阶段密评，评估通过后组织上线；上线运行后按周期开展运行阶段密评。
| 阶段 | 主要工作 | 关键交付物 |
|---|---|---|
| 规划 | 需求分析与方案编制 | 密码应用方案 |
| 建设 | 设备部署与系统集成 | 实施方案、测试报告 |
| 评估 | 建设阶段密评 | 密评报告 |
| 运行 | 运行阶段密评与整改 | 年度评估报告 |
（五）三个常见误解
一是认为用了 HTTPS 就等于密码应用合规——传输加密只是其中一个维度，身份鉴别、密钥管理、数据完整性同样需要评估；二是认为买了密码产品就通过了——产品只是工具，方案合理性与管理落实才是关键；三是认为密评只是运维部门的事——密评涉及规划、建设、运行全流程，需要业务、技术、管理多方协同。
总结与建议
商用密码合规不是一次性的技术采购，而是一项持续的安全工程。建议企业与机构建立清单化、台账化、周期化的管理方式：清单化明确哪些系统需要保护，台账化记录密码产品与密钥使用情况，周期化开展密评与整改，把安全能力沉淀为组织能力。
密评与信息系统的生命周期
需要强调的是，密评不是项目验收的最后一道手续，而是贯穿系统生命周期的常态化工作。系统上线后，业务变化、技术演进与外部威胁都会带来新的风险，运行阶段的定期评估必不可少。建议把密评纳入年度安全工作计划，与等级保护测评、风险评估等工作统筹安排，避免重复投入、分散精力。
此外，密评报告中的整改建议应转化为可执行的任务清单，明确责任人与完成时限，并在下一次评估时复核整改效果，形成评估、整改、复核的闭环。
最后一点体会：密评的价值不在于报告本身，而在于它迫使组织系统地梳理信息安全短板。把每一次评估都当成一次体检，把整改建议转化为长期机制，安全水位才能持续提升。对中小企业而言，如果暂时不具备全面改造的条件，也应从最关键的系统和最敏感的数据入手，分步推进，而不是一拖了之。
密评常见问题与整改要点
（一）方案层面的问题
常见问题包括方案未覆盖全部技术要求、密钥管理设计缺失、产品选型与方案不匹配。整改应从方案入手，避免打补丁式的局部修改，否则容易出现改了这处、漏了那处的情况。
（二）实施层面的问题
如密码设备未按要求配置、系统调用方式不合规、日志记录不完整。建议在建设阶段先开展自测，提前发现问题，避免正式评估时集中暴露。
（三）管理层面的问题
如制度缺失、密钥管理无台账、人员培训无记录。管理类问题整改成本低，但最容易被忽视。建议优先补齐，因为管理缺失往往导致技术措施难以持续有效。
（四）整改的组织方式
建议组建跨部门整改小组，明确责任人与时限，形成整改台账并逐项验收。整改完成后应重新评估，确保问题闭环，并保留完整的过程记录。
给决策者的三点提示
一是密评不是技术部门的独角戏，需要业务与管理部门共同参与，否则容易出现技术与业务两张皮。二是应预留足够的时间与预算，避免临近项目验收时仓促整改。三是把密评成果沉淀为制度与流程，而不是一次性应付，让安全能力真正留在组织内部。
常见问题
问题1：所有信息系统都必须做商用密码应用安全性评估吗？
不是。法律法规明确要求开展密评的主要是关键信息基础设施，以及主管部门另有规定的信息系统。其他系统可结合自身风险与业务需要自愿开展。但若项目招标文件或验收标准提出密评要求，则应按规定执行。
问题2：商用密码产品还有生产许可和销售许可吗？
在”放管服”改革后，商用密码产品的生产单位审批与销售许可已取消，改为检测认证与事中事后监管。采购方应关注产品是否通过合规检测认证，而不是只看是否”有许可”。
问题3：密评不通过会有什么后果？
关键信息基础设施未通过密评且未按期整改的，主管部门可依法采取通报、约谈、限期整改等措施；对政府投资或国企项目，密评结果往往与项目验收、资金拨付挂钩。因此建议在项目计划阶段就预留整改时间。
行动建议
商用密码合规的关键是”合规产品＋合规方案＋合规管理”三条腿走路。建议企业从系统梳理入手，识别需要保护的数据与系统，编制密码应用方案，选用通过认证的产品，并按规划、建设、运行三个阶段落实密评。对涉及政务与关键行业的项目，把密评纳入合同与验收条件，是最稳妥的做法。