密码与认证合规50 条

密评范围判断：谁的系统需要做

密码法要求法律、行政法规和国家有关规定要求使用商用密码保护的关键信息基础设施开展密评；实践中行业规定与等保级别共同决定具体范围，判断时应结合主管部门要求。

判断步骤

1 系统是否属于关键信息基础设施？
2 是否有法律、行政法规或国家有关规定要求使用商用密码保护？
3 行业主管部门是否有明确的密评要求（金融、能源、政务等领域常另发细则）？
4 结合等保级别与数据敏感度确定评估对象与频次

拿不准时建议与行业主管部门或密码管理部门沟通确认，并以书面口径作为执行依据。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌