谁的系统需要做密评
密码法要求法律、行政法规和国家有关规定要求使用商用密码保护的关键信息基础设施开展密评。落到企业实际，范围判断通常由四个因素共同决定：系统是否属于关键信息基础设施、是否有法规明确要求使用商用密码保护、行业主管部门是否另有细则、以及系统的等保级别与数据敏感度。拿不准时，建议向主管部门确认并保留书面口径，避免自行扩大或缩小范围。
基本信息
| 依据 | 《密码法》与《商用密码应用安全性评估管理办法》 |
|---|---|
| 关键维度 | 是否属于关键信息基础设施、法规与行业要求 |
| 行业差异 | 金融、能源、政务等领域常另发细则，要求更具体 |
| 频次安排 | 按管理办法与行业要求定期开展，重大变更后重新评估 |
| 沟通方式 | 口径不清时向主管部门沟通并书面留档 |
典型使用场景
- 年度规划：确定哪些系统纳入密评范围与预算
- 新建系统：立项阶段判断是否需要做方案评估
- 系统变更：新增模块或数据流变化后复核范围
- 行业检查：按行业细则核对评估对象与频次
- 对外沟通：用判断依据向管理层或监管说明范围
判断步骤
判断步骤
1 系统是否属于关键信息基础设施？
2 是否有法律、行政法规或国家有关规定要求使用商用密码保护？
3 行业主管部门是否有明确的密评要求（金融、能源、政务等领域常另发细则）？
4 结合等保级别与数据敏感度确定评估对象与频次
5 变更后复核：新增模块、数据流或对外接口可能扩大范围判断维度
| 维度 | 说明 |
|---|---|
| CII 属性 | 被认定为关键信息基础设施的系统通常需要评估 |
| 法规要求 | 有明确要求使用商用密码保护的情形 |
| 行业细则 | 行业主管另有要求时按更具体要求执行 |
| 等保与数据 | 级别与数据敏感度影响评估对象与优先级 |
拿不准时建议与行业主管部门或密码管理部门沟通确认，并以书面口径作为执行依据，避免仅凭内部理解就扩大或缩小范围。