在政务项目里，等保与密评的先后关系可以概括为：等保定级备案是前置门槛，密评方案评估在建设前启动，等保测评与密评报告则在系统上线前并行完成。很多项目方把这两件事当成两条平行线，或者机械地认为必须先等保后密评，它们的先后有明确逻辑，但不必等一个完全结束再做另一个，关键节点把握住,工期和预算都能省心不少。
等保和密评有什么区别？政务项目里先做哪个
要回答先后,先得厘清这两个概念。
等保（网络安全等级保护）是对信息系统整体安全防护能力的分级要求，覆盖物理环境、网络通信、主机计算、应用和数据等所有层面，密评（商用密码应用安全性评估）只聚焦密码应用是否合规，比如数据是否用国密算法加密、签名验签是否可靠、密钥管理是否安全。
简单说，等保是“全景体检”，密评是“专项检查”。
政务项目里，两者的关系不是并列，而是交叉，等保2.0里已经有密码应用的基本要求，但写得比较粗，密评则依据《密码法》单独开展，标准更细，而且实行“一票否决”密码应用不合规,系统就不能通过验收。
那么先做哪个？核心看定级，密评的评估等级直接引用等保定级结果，所以等保定级备案必须在前，没有等保级别，密评就失去了基准，但这不意味着等保测评要全部结束才做密评，实际项目中，密评方案评估可以和等保定级备案同步启动，建设完成后再做系统密评，准确说法是：等保定级备案先行，密评方案评估紧跟，系统密评和等保测评并行收尾。
密评是等保的必须项吗？常见认知误区
有项目人员问：等保过了，密评是不是就不用做了？这是典型误区。
行业共识认为，密评不是等保测评的附属项，而是一项法定独立评估，只要政务系统使用了商用密码保护敏感数据，或者被主管部门定义为重要网络与信息系统，就必须要做密评，等保测评报告和密评报告互不替代,但会互相引用。
现实中，多数政务系统在等保测评时会被要求同时提供密评报告，哪怕等保级别是二级，只要业务涉及公民个人信息、政务数据交换，当地密码管理部门也会要求密评，与其到验收前被卡住,不如在立项时就把两项都纳入合规清单。
政务系统等保密评多少钱？预算怎么估算
等保和密评的费用是分开预算的，等保测评根据系统等级和复杂度，三级系统常见费用在几万元到十几万元之间；密评费用同样按系统级别、密码设备数量和测评点位数计算，通常略高于等保测评，一个县级政务系统，两项加起来往往在数十万元量级，业内专家指出，具体价格受地域、机构资质和项目规模影响较大，建议在可行性研究阶段预留两项独立费用,不要只算等保一笔账。
政务项目等保测评和密评的顺序怎么安排
这里给出一套可落地的操作路径,适用于大多数非涉密政务系统。
- 第一步，确定等级。 在系统规划阶段，根据业务重要性和数据敏感度，参照《网络安全等级保护定级指南》确定安全保护等级，政务系统以三级为主,部分地市级核心系统到四级。
- 第二步，等保定级备案。 向当地公安机关网安部门提交定级材料，取得备案证明,这一步通常在项目启动后1到2个月内完成。
- 第三步，同步开展密评方案评估。 委托具备商用密码检测资质的机构，对系统密码应用方案进行评审，出具评估意见，这一步可以和定级备案并行,因为不需要等系统建成。
- 第四步，按方案建设整改。 依据等保要求和密评意见，部署防火墙、堡垒机、密码机、SSL网关等设备,同步调整业务系统的加密逻辑。
- 第五步，组织测评进场。 系统建设完成后，等保测评机构和密评机构先后或同时进场，建议密评先完成密码侧的检测，等保测评再覆盖整体安全,避免两个报告结论打架。
- 第六步，整改复核并报告。 测评机构给出问题清单，建设单位限期整改，复核通过后出具正式报告,分别提交公安和密码管理部门。
这就是一个典型的“先等保定级，后并行测评”的流程，注意，这里的“先”不是指等保测评全部完成，而是等保定级备案优先落地，实际工期里，密评方案评估往往比等保测评提前两个月启动,这样才能给后期整改留出空间。
等保定级备案是前置门槛
备案这个动作所花时间不长，但意义重大，没有备案证明，密评机构无法确定系统对应等级，后续所有工作都得停下来，有的项目为了赶进度，跳过定级直接做密评，结果被监管退回,反而浪费三周以上时间。
密评方案评估在建设阶段就要启动
很多项目把密评拖到最后，以为只是一次检测，实际上密评分“方案评估”和“系统评估”两个阶段，方案评估在建设之前做，能帮项目方提前发现算法选型、密钥管理、密码设备配置等问题，如果等到系统上线前才做，设计缺陷已经固化,改代码和换设备的成本会明显上升。
上线前测评阶段如何排期
以三级政务系统为例，等保测评和密评合计进场时间通常在1个月左右，密评侧重抓包分析、算法验签和密钥管理检查，等保测评侧重漏洞扫描、配置核查和渗透测试，两者会相互引用对方的部分结论，所以建议错峰进场，先密评后等保，这样密评发现的安全缺陷可以在等保报告里体现为“已整改”,整体结论更干净。
先等保还是先密评？关键看这三个因素
虽然推荐顺序是“等保定级备案 → 密评方案评估 → 等保测评+密评”，但具体项目中也要根据实际情况调整,以下三个因素影响最大。
- 验收时间点。 如果项目将在年底验收，时间非常紧张，那就更要提前启动密评方案评估，不要等建设完成后才想起密码环节,否则一个算法不合规就能让整个系统延期至少两个月。
- 系统是否涉及敏感数据。 涉及社保、医疗、公积金等信息的政务系统，密评几乎是必选项，这类系统要把密评和等保放到同一优先级,财务预算也要按双报告准备。
- 采购与招投标流程。 等保测评和密评属于不同资质服务，需要分别招标，密评机构需要持有国家密码管理局颁发的商用密码检测资质，这类机构数量有限，排期可能较慢,所以要更早启动采购流程。
实操中容易踩的坑：顺序搞反会怎样
看几个典型反面场景。
- 坑一：先做等保测评，密评排在最后。 等保测评通过后，以为万事大吉，密评进场发现业务系统没有使用国密算法，必须重新改造密码模块，代码要改，数据要迁移,工期增加2到3个月。
- 坑二：忽略密评方案评估。 系统建设完成后才提交方案评审，机构要求补做方案评估，但系统架构已经定死，方案意见无法落地,只能边整改边论证。
- 坑三：认为等保二级不需要密评。 部分区县级政务小系统存在这种想法，但在实际监管中，二级系统如果涉及个人敏感信息，同样会被要求开展密评，等公安和密码管理部门联合检查时发现问题，项目已经上线,整改代价更大。
顺序理顺后，这些坑基本可以避开，核心原则是：让等保定级备案提供基准，让密评方案评估提前暴露风险，让两套测评在收尾阶段高效并行。
政务项目里，等保与密评不是前后脚走完全程，而是从定级备案后就一路结伴，牢记一个动作：等保定级备案先行，密评方案评估紧跟，上线前两份报告落地，这样安排能最大程度减少返工,也为后续监管检查省去不少麻烦。
等保与密评常见问答
Q1：等保测评和密评可以同时进行吗？
可以，两个测评机构能并行进场，但建议密评先启动，因为密评要验证业务系统的密码算法和密钥管理，等保测评需要引用这些结果来评价整体安全控制，实际项目中，两个机构可以先开一次沟通会，明确各自检测范围和接口边界,再分头干活。
Q2：先过等保再过密评,工期会不会来不及？
如果项目已经过了等保测评再启动密评，确实有风险，密评发现的问题通常是硬伤，比如算法不满足要求，应用层需要改代码，网络侧要替换密码设备，返工周期最长，更合理的安排是等保定级备案后，立即委托密评方案评估,把硬伤消灭在设计阶段。
Q3：密评报告和等保测评报告需要分别提交吗？
需要，等保测评报告提交至公安机关网安部门，密评报告提交至同级密码管理部门，部分政务服务系统由大数据局统一归集，但仍需向这两个部门分别报备，已经实现“密评结果与等保测评互认”的地区，报告电子版可在政务服务平台上多部门共享,具体流程建议在项目启动前向当地主管部门确认。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/734587.html
