密评
密码应用合规的“体检”，依据 GB/T 39786 的强制性评估
概述
商用密码应用安全性评估（密评）是依据《密码法》和 GB/T 39786《信息安全技术 信息系统密码应用基本要求》，对信息系统密码应用的合规性、正确性、有效性进行检测评估的法定工作。关键信息基础设施、网络安全等级保护第三级及以上系统必须开展密评，且密评结论是系统上线运行与等保测评的重要依据。
核心能力
方案评估
在系统规划阶段对密码应用方案进行合规性审查，含密码算法、协议、密钥管理设计。
合规性评估
核查密码算法（SM2/SM3/SM4/SM9）、密码产品与服务是否合规，是否使用国密局核准产品。
正确性评估
验证密码算法调用、密钥管理、协议实现是否符合规范，避免错误实现导致安全失效。
有效性评估
通过渗透测试与安全分析，验证密码措施在实际攻击下是否真实有效。
风险分析与整改
识别密码应用薄弱环节，输出整改建议并协助整改后复评。
典型应用场景
等保三级及以上系统的强制密评
关键信息基础设施密码应用合规
政务系统与金融系统的密码改造前后评估
新建系统的密码应用方案审查
密评整改后的复评与合规证明
代表国产厂商 （3 家 · 排序不分先后）
选型建议
中国网络安全审查认证和市场监管大数据中心
国家级密码应用安全性评估机构
中电科网安
密码与网络安全综合服务，具备密评资质与密码产品能力
各省密码测评机构
属地化密评机构，便于现场评估与沟通
实施与合规要点
密评关键要求：① 密评机构须为国家密码管理局核准，可在官方目录核验，严禁选择无资质机构；② 必须使用国家密码管理局核准的商用密码产品，未经核准的产品不得用于密评项目；③ 密评应在系统上线前完成方案评估，上线后一年内完成首次评估；④ 三级及以上系统原则上每年评估一次；⑤ 密评与等保存在交叉，建议统筹规划，共享部分测评证据以降低重复工作量。
市场格局
《密码法》实施后，密评成为等保三级及以上系统与关键信息基础设施的法定要求，市场需求快速增长。具备密评资质的机构数量有限，形成较高行业门槛。
