结论分档与含义
商用密码应用安全性评估（密评）的结论分为符合、基本符合与不符合三档。评估报告会逐条列出不符合项，并单独标注高风险项。结论不是终点：基本符合与不符合都要求制定整改计划、明确责任人与完成时间，整改完成后复测，评估与整改情况按要求报送主管部门与行业主管。
基本信息
| 依据 | 《商用密码应用安全性评估管理办法》与 GB/T 39786 |
|---|---|
| 结论档位 | 符合 / 基本符合 / 不符合 |
| 关键概念 | 高风险项往往具有一票否决性质 |
| 后续动作 | 整改台账、复测、情况报送 |
| 复评周期 | 按管理办法与行业细则定期开展，重大变更后重新评估 |
典型使用场景
- 拿到报告后的分派：把不符合项拆到具体团队与系统模块
- 整改台账建立：问题编号、责任人、期限与验证方式一一对应
- 复测安排：整改完成后安排复测并保留验证证据
- 报送监管：按要求提交评估与整改情况说明
- 预算沟通：高风险项的改造通常需要单独立项与预算
结论处理策略
结论处理策略
符合：保持运行，按周期复评，记录纳入合规证据库
基本符合：按不符合项清单整改，逐项跟踪到复测通过
不符合：限期整改；高风险项优先处理（如未用密码保护关键数据）
共同动作：整改台账 + 责任人 + 完成时间 + 验证证据
风险提示：高风险项通常直接决定结论档位，不能只按总分排序分档与处理
| 结论 | 处理动作 | 注意事项 |
|---|---|---|
| 符合 | 保持运行，到期复评 | 体系变更后仍需重新评估 |
| 基本符合 | 整改并复测 | 整改证据要可复核 |
| 不符合 | 限期整改，高风险项优先 | 可能需要先做方案评审再改造 |
结论判定规则（评分方式与高风险项否决）以评估规范与管理办法为准；对结论有异议应按程序沟通，不要自行改口径对外解释。
整改证据建议按问题编号归档：改前配置、改后配置、验证命令输出与测试记录，复测时可一对一调取。