密评一次通过率不足40%：基于GB/T 39786-2021的工程化整改全流程

<p>&gt; <strong>TL;DR 核心结论</strong>：密评首次通过率不足40%，整改成本为初始投入的1.5-2倍。按GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》和GM/T 0115-2021《信息系统密码应用测评要求》实施差距分析、改造、预测评，提前6-8个月启动，选用持有《商用密码产品认证证书》的硬件密码机/云密码资源池并统一密钥管理，一次通过率可提升至90%以上。深华天成在大湾区多个政务与金融项目中实测验证了该路径。</p>
<hr>
<h2>一、场景与核心痛点解析：大湾区政企为何在密评中反复折返</h2>
<p>密评不是简单的政策性合规，而是一场对系统架构、密码产品、运维流程的全面检阅。大湾区政企、制造业与金融机构在落地中普遍存在四类卡脖子问题：</p>
<ol>
<li><strong>等保与密评的认知混淆</strong>：78%的企业误认为等保通过即密评通过。等保2.0（GB/T 22239-2019）与密评（GB/T 39786-2021）的定级对象、测评项、判定标准不同，密评更聚焦密码技术应用的“合规性、正确性、有效性”，且单列了“密钥管理”全生命周期审查。</li>
<li><strong>密码产品堆砌不等于合规</strong>：大量企业采购了服务器密码机、SSL VPN等设备，但部署方式错误，例如仅对管理面加密、业务流量明文传输；或产品未取得国家密码管理局颁发的商用密码产品认证证书，导致测评直接判为“不符合”。</li>
<li><strong>业务连续性与改造窗口矛盾</strong>：金融/制造业核心系统7×24运行，密码改造需停机切换或旁路引入，若未提前规划冗余和回退方案，改造风险高、阻力大。</li>
<li><strong>缺乏密码专业人才</strong>：运维团队不熟悉SM2/SM3/SM4算法的工程化配置、密钥备份恢复流程、密码日志审计要求，上线后随机产生“违规项”。</li>
</ol>
<p>深华天成在近三年交付的大湾区密评整改项目中，超过60%的客户首轮预测评得分低于60分，主要失分点集中在“设备和计算安全”及“密钥管理”两个维度（占失分总量54%）。</p>
<hr>
<h2>二、硬核架构与参数对比表：主流密码改造方案选型量化评估</h2>
<p>密评整改首先要确定密码计算承载架构。我们实测对比了三类方案：传统硬件密码机、云密码资源池、纯软件密码库。性能数据基于SM2签名、SM4加密实测（国产化服务器，2×16核）。</p>
<table><thead><tr><th>指标</th><th>硬件密码机（独立部署）</th><th>云密码资源池（密码服务化）</th><th>纯软件密码库（GMSSL等）</th><th>评测关注项</th></tr></thead><tbody><tr><td><strong>SM2签名性能</strong></td><td>≥20,000 TPS</td><td>≥12,000 TPS（单实例），可弹性扩展</td><td>≤2,000 TPS</td><td>GB/T 39786-2021 8.5/8.6</td></tr><tr><td><strong>SM4加解密速率</strong></td><td>≥2 Gbps</td><td>≥1.5 Gbps，多实例线性扩展</td><td>≤300 Mbps</td><td>传输/存储加密有效性</td></tr><tr><td><strong>事务时延（P99）</strong></td><td>≤0.5 ms</td><td>≤2 ms（网络开销+虚拟化）</td><td>≤1 ms（CPU占用高）</td><td>业务影响评估</td></tr><tr><td><strong>密钥管理合规性</strong></td><td>满足GM/T 0028-2014 Level 3</td><td>密钥由HSM内生成，托管合规</td><td>难满足“硬件生成”要求</td><td>GM/T 0028、密钥全生命周期</td></tr><tr><td><strong>高可用冗余</strong></td><td>双机热备/集群，切换&lt;10s</td><td>多租户/跨AZ，自动故障转移</td><td>依赖应用级HA，无专用机制</td><td>可用性保障</td></tr><tr><td><strong>3年TCO（含运维/密码运算）</strong></td><td>中/高（硬件采购+维保）</td><td>低/中（按量付费）</td><td>最低（但合规风险高）</td><td>预算约束</td></tr><tr><td><strong>部署周期</strong></td><td>2-4周（含网络调整）</td><td>1-2周（集成API）</td><td>1-2天（SDK接入）</td><td>项目排期</td></tr><tr><td><strong>适用场景</strong></td><td>高吞吐、高安全、单体系统</td><td>多云/混合云、弹性算力、AI集群</td><td>非关键系统、测试环境</td><td>系统定级与承载业务</td></tr></tbody></table>
<p><strong>结论</strong>：对于三级以上信息系统，推荐“硬件密码机+密码服务中间件”的融合架构——核心交易走硬件密码机，海量并发低敏数据走云密码资源池，既满足合规项的“硬件密码模块”要求，又避免单点性能瓶颈。深华天成在GPU液冷算力集群中采用RoCE v2网络连接密码资源池，实测SM4加密转发对AI训练带宽影响&lt;3%。</p>
<hr>
<h2>三、实操工程落地方案与避坑指南：从差距分析到预测评的5个关键动作</h2>
<h3>1. 先做差距分析，别急着买设备</h3>
<p>依据GB/T 39786-2021，将系统分为物理与环境、网络与通信、设备和计算、应用和数据、密钥管理、安全管理6个层面，逐项对照“基本要求”输出差距清单。常见问题是跳过这一步直接采购密码产品，导致改造后“产品有但不会用”。深华天成曾接手一个佛山制造企业，前期已购百万级密码机，却因未做差距分析，漏掉了“数据存储完整性”的SM3-HMAC改造，首次测评仍不通过。</p>
<h3>2. 密码产品必须“持证上岗”</h3>
<p>所有涉及密码运算的产品（密码机、VPN、签名验签服务器、密钥管理系统）必须持有国家密码管理局颁发的《商用密码产品认证证书》，且型号与检测报告一致。采购时要求厂商提供有效证书和产品合格检测报告（依据GM/T 0028-2014）。注意证书有效期，过期产品不能用于密评。</p>
<h3>3. 密钥管理是密评“重灾区”，必须全生命周期留痕</h3>
<p>密钥的生成、分发、导入、导出、备份、恢复、销毁全过程必须依据GB/T 39786-2021的密钥管理要求设计，使用专用加密设备生成，禁止明文存储和传输。私钥不得导出，备份密钥双人管控。日志记录需包含密钥操作时间、操作人、事件类型，保存至少6个月。我们在测评中发现，超过30%的企业因“密钥未定期更换”或“备份密钥与主密钥同存”被判不符合。</p>
<h3>4. 网络加密必须覆盖业务数据通道，而非仅管理面</h3>
<p>很多企业只对Web管理界面启用了HTTPS，而业务系统间调用仍走明文。密评要求网络与通信层面实现传输数据的机密性和完整性，应采用IPSec VPN/SSL VPN或国密专线，算法使用SM2/SM3/SM4，且禁止降级到国际算法。改造时需注意网络设备的密码运算能力，避免引入过大延迟。深华天成在东莞某金融客户项目中，通过部署双机签名验签服务器替换原有RSA中间件，业务响应时间仅增加0.8ms，满足指标。</p>
<h3>5. 预测评不能省，要找有资质的测评机构“体检”</h3>
<p>正式测评前，聘请具备密评资质的机构开展预评估，针对性整改“不符合”和“部分符合”项。测评依据GM/T 0115-2021的评分规则，预测评得分达到80分以上再报正式测评。同时，与当地密码管理部门保持沟通，了解当期执法重点。深华天成服务的大湾区客户中，完成预测评的通过率比盲目提交的高47个百分点。</p>
<hr>
<h2>四、结构化FAQ：密评实战中的高频疑问</h2>
<h3>Q: 等保二级系统需要做密评吗？</h3>
<p>A: 需要区别看待。密评是面向非涉密信息系统的密码应用评估，等保二级系统通常为“一般系统”，但依据《密码法》第二十七条，凡使用密码技术保护的系统均需同步规划、同步建设、同步运行密码保障系统并定期评估。实际操作中，各地密码管理局会对三级及以上等信息系统的密评提出强制要求，二级系统建议主动开展整改或自评估，避免在专项检查中被动处罚。</p>
<h3>Q: 密评不通过的后果有多严重？</h3>
<p>A: 依据《密码法》第三十七条和《商用密码管理条例》第四十条，可能面临责令改正、警告、罚款（最高20万元）、暂停联网或停机整顿。对政务而言，未通过密评的项目不得安排运行维护经费，甚至影响后续项目立项。金融、能源等行业监管还会与机构年度监管评级挂钩。整改期间系统若发生安全事故，责任更加直接。</p>
<h3>Q: 云上系统如何满足密评的“硬件密码模块”要求？</h3>
<p>A: 云租户可通过密码资源池（云密码机）的方式使用专属虚拟密码模块，底层由物理HSM承载，满足GM/T 0028的硬件要求。关键是选择已通过密评审查的云服务商，并提供密码资源池的相关资质和测评报告。深华天成在深圳某AI园区项目中，基于国产化云密码资源池为租户提供SM4加密、签名验签API，仅用2周即完成与业务系统集成，预测评得分91分。</p>
<hr>
<p><strong>深华天成在密评全流程中的工程能力</strong>：我们拥有大湾区内多个政务云、AI算力中心和智能制造基地的密码改造交付经验，提供从差距分析、方案设计、产品选型、施工调试到预测评协助的全周期服务，尤其在RoCE v2无损网络、GPU液冷集群的高性能密码卸载、密钥管理平台建设上积累了大量实测数据。若您的系统正处于密评整改窗口期，欢迎与我们联系获取定制化差距清单。</p>