密评是什么
商用密码应用安全性评估（简称密评）评估的是信息系统商用密码应用的合规性、正确性与有效性：法律、行政法规和国家有关规定要求使用商用密码进行保护的系统（如关键信息基础设施），应当按规定开展评估并接受监督检查。它不是买一台密码机就完事，而是要看密码是否真正被用在关键环节，用对了算法、参数与密钥管理。
基本信息
| 依据 | 密码法、商用密码管理条例与密评相关管理办法 |
|---|---|
| 评估对象 | 法律、行政法规和国家有关规定要求使用商用密码保护的系统（如关键信息基础设施） |
| 三类评估 | 规划阶段的方案评估、建设完成后的系统评估、运行阶段的定期评估 |
| 产出 | 评估报告、问题清单、整改与复测记录 |
| 时机 | 方案评估在规划建设阶段完成，系统评估在投入使用前完成 |
评估三性
评估三性
# 三性缺一不可
合规性：算法、产品、服务是否符合国家要求
正确性：密码技术的使用方式是否正确（模式、参数、密钥管理）
有效性：是否真正起到防护作用（覆盖重要数据与关键环节）落地顺序
- 现状梳理：列出系统里用到的密码算法、产品与证书
- 差距分析：对照要求找出现状与合规要求的差距
- 方案设计：明确改造范围、算法选型与密钥管理方式
- 实施与自测：完成改造并做自测，准备评估材料
- 评估与整改：评估发现问题后整改并复测，形成闭环
密钥管理是密评的重点查看对象：密钥如何生成、如何分发、如何更换、如何销毁，都要有制度与记录支撑，仅部署密码设备不足以证明合规。
只买密码机不做应用改造，评估看的是应用是否真正使用密码保护数据，设备清单无法替代实际效果。