2022年，“密评”（即“商用密码应用安全性评估”）成了各行业关注的热词。

在《中华人民共和国密码法》等要求下，在国标《信息安全技术信息系统密码应用基本要求》（GB/T 39786-2021）等指导下，各地各行业积极、严谨地开展密评工作，将是推动密码应用的良好开端。

各行业纷纷出台了相关标准、要求，将密评工作提上日程，关键信息基础设施、政务信息系统、等保三级以上信息系统建设，都要“过密评”。

面对各式各样的产品和众说纷纭的方案，究竟密评该如何过，应该遵照哪些技术标准，关注哪些要点，有哪些误区……小编带你一探究竟

误区一：业务系统零改造，信息系统免集成，即可通过密评

现状：有些厂家提出业务系统零改造过密评的方案，还有些密码服务厂商抓住了客户信息系统改造难度大、成本高的痛点，打出“信息系统免集成，即可通过密评”的宣传口号。

专家解读：事实上信息系统开展密评工作主要目的在于推动密码应用的合规性、正确性、有效性。在常见的密码应用中的安全性问题包括：密码技术被弃用（例如完全未用密码）、密码技术被乱用（例如简化使用密码协议导致出现安全漏洞）、密码技术被误用（例如使用固定值而非随机数作为初始向量）。这一切都指向“用”，即信息系统要正确调用密码产品、密码服务。不针对信息系统实际情况、重要数据安全需求等加以分析，进而适当改造信息系统以“用”密码，是难以全面保障信息系统安全，也难以通过密评。

误区二：忽略应用层，只靠物理、网络层也能过密评

现状：部分厂商向客户提出“应用层不拿分，靠其他几层拿分也能及格”的说辞。

专家解读：根据《商用密码应用安全性评估量化评估规则》第6部分整体结论判定，整体量化评估结果是百分制，应用和数据安全占30分。只有达到分数阈值、且没有高风险项，才能判定被测信息系统基本符合GB/T 39786-2021相应等级要求。目前执行的阈值是60分，这意味着如果应用和数据层完全不拿分，就只剩下10分的机动空间；更重要的是，应用和数据安全涉及5项高风险项，如果完全不加以考虑，很容易碰到高风险“一票否决”。

误区三：密评是针对密码产品的测评

现状：一些机构疑问：“如果系统中没有应用密码技术或密码产品，是不是就不需要过密评，或者可以直接通过密评？”

专家解读：密评是针对应用方业务系统的测评，看密码是否得到合规、正确、有效的应用，而非针对密码产品的检测。按照相关法律法规规定，关键信息基础设施、政务信息系统、等保三级以上信息系统需要同步规划、同步建设、同步运营密码保障系统，定期进行密评，这项要求与其当前是否使用密码无关。如果上述业务系统完全未用到密码，那么在密评中“高风险项”是肯定存在的，因而肯定无法通过密评。

辨别误区：密评大考在即，教你如何过密评！