密评流程是什么
商用密码应用安全性评估（密评）是依据 GB/T 39786 与 GB/T 43206 等标准，对信息系统的密码应用是否合规、正确、有效作出的评价。按系统生命周期分两类：规划与建设阶段做方案评估，运行阶段做系统评估，均由具备资质的测评机构实施。
基本信息
| 依据 | GB/T 39786 密码应用基本要求；GB/T 43206 信息系统密码应用测评要求 |
|---|---|
| 评估阶段 | 规划建设阶段做方案评估，运行阶段做系统评估 |
| 评估对象 | 密码应用方案、密码产品、密钥管理与运行记录 |
| 实施方 | 具备资质的商用密码应用安全性评估机构 |
| 常见周期 | 按主管部门与行业要求执行，实践多按年度安排系统评估 |
| 产出 | 评估报告、问题清单与整改建议 |
典型使用场景
- 等保三级及以上系统上线前，需同步准备密码应用方案与密评材料
- 关键信息基础设施运营者按年度开展密码应用安全性评估
- 密码改造立项时先做方案评估，避免建成后再返工
- 密钥管理制度修订后，用评估验证制度与运行记录是否一致
- 复测环节核对上次问题清单是否真正整改完成
流程（要点）
流程（要点）
1 确定评估对象与范围（定级、边界、重要数据）
2 收集材料：密码应用方案、密码产品证书、密钥管理制度
3 方案评估（规划建设阶段）或系统评估（运行阶段）
4 现场测评：访谈、文档审查、配置检查、工具测试
5 出具评估报告与问题清单
6 整改与复测；纳入年度工作计划四个评估维度
| 维度 | 看什么 | 典型证据 |
|---|---|---|
| 合规性 | 算法、产品、服务是否符合商用密码管理规定 | 产品认证证书、检测报告 |
| 正确性 | 算法使用方式与协议实现是否正确 | 配置核查、抓包验证、模式检查 |
| 有效性 | 密码措施是否真正生效并覆盖关键环节 | 登录、传输、存储链路抽样验证 |
| 密钥管理 | 全生命周期是否受控 | 密钥生成、分发、轮换、销毁记录 |
密评与等保的关系：等保条款中涉及密码的要求可借助密评结论支撑，但两者标准、结论相互独立，不能用一个替代另一个。
GB/T 43206 给出了测评的单元划分与判定方法，准备材料时按其中的指标项建台账，逐项挂证据，现场效率最高。