随着商用密码相关法规落地，政务、教育、国企等各类信息系统，都需要完成商用密码应用安全性评估，不少单位在项目前期都会问到，到底哪些机构可以做密评测评工作。
很多客户容易产生一个误区，以为市面上所有网络安全公司都能承接密评。实际上并不是这样。按照法规要求，只有拿到国家密码管理局认定的商用密码检测机构资质证书，且业务范围包含商用密码应用安全性评估的单位，才可以对外开展密评测评业务，出具具备效力的正式评估报告，非持证机构出具的测评材料，无法用于后期密评备案工作。
密评机构名录由国家密码管理局统一对外发布，会不定期更新调整，大家可以直接在国家密码管理局官网查阅最新目录，里面包含全国各省市具备资质的测评机构完整名单，有北京、上海、广东、重庆、山东、湖北等地多家测评单位，覆盖国内大部分区域的密评业务需求。这里不建议直接照搬网上流传的旧版机构清单，部分机构会出现资质到期、业务范围调整，旧名录存在信息失效风险。
挑选密评机构，不能只看是否在目录内，还有几个实际项目中需要留意的细节。
第一， 确认资质证书有效期，同时核对业务范围，部分机构虽然拥有商用密码检测资质，但仅支持密码硬件产品检测，并不包含信息系统密评业务，这类机构不能做系统密评测评。
第二， 第二，优先了解机构本地项目实施案例，熟悉本地密码管理部门备案要求的机构，后续整改、备案流程会顺畅很多。
第三， 第三，密评机构必须保持独立第三方身份，按照规定，不能同时参与同一个项目的密码改造建设和测评工作，如果一家单位既做国密改造实施，又自己做测评，属于不合规操作。
总的来说，找密评测评机构，核心就是两步：
一是去官方渠道核对最新资质名录，确认机构业务范围；
二是结合项目行业、系统规模，考察机构的实操经验。密评不是简单走流程，前期方案、现场测评、整改闭环、备案提交，每一步都关系项目能否顺利验收，选对合规、有实操经验的第三方机构，才能真正把密码应用落到实处。
说到底，密评落地拼的就是合规与实操。我们数达安全在每一个项目里，始终坚持让改造和测评各司其职、分开合规推进，也愿意把多年积累的密评落地经验，原原本本用到客户的每一个环节上，让密码改造一次到位、少走弯路 —— 把项目交给懂行的第三方，密码应用才能真正落到实处。
联系我们
联系地址
北京市海淀区互联网文化创意产业园22号楼
服务热线：
热线：400-113-3015
售前热线
售前：13261730336
电子邮箱
邮箱：shuda@datatosec.com