国企、政务、金融企业建设信息系统时，密评和等保测评这两项合规任务几乎绕不开。很多负责人会问：两项测评能不能合并实施，还是必须先后分开进场？核心结论是：密评和等保测评可以同步联合开展，但两项测评不能互相替代，最终需要分别出具两份独立报告。
第一，两项测评定位与法规要求不同，不可相互替代。
等保测评依据《网络安全法》与GB/T 22239，面向信息系统整体安全，覆盖物理、网络、主机、应用、管理等全部安全控制点，由公安主管；密评依据《密码法》及商用密码相关标准，专门核查系统密码应用，重点看国密算法选用、密钥全生命周期管理、密码设备部署，由密码管理部门监管。三级及以上系统、关键信息基础设施，两项测评均属强制性要求，只做其中一项无法满足监管要求。
第二，法规支持同步测评，鼓励避免重复测评。
《密码法》第二十七条明确，商用密码应用安全性评估应当与网络安全等级测评相衔接，减少重复测评。两项测评在流程上高度重合，都包含前期资产调研、方案编制、现场访谈、技术测试、问题汇总等环节，核查的资产范围一致。采用“一次入场，同步双评”模式，一套人员进场，统一收集资料，合并现场测试，不用分两次接待测评团队，对业务系统的干扰大幅降低。
第三，联合测评有明确实施要点，需规避项目风险。
一是前期定级备案先行，先完成系统定级与公安备案，同步规划安全方案和国密改造方案，避免后期整改返工。
二是区分整改优先级，把等保、密评的问题清单统一梳理，合并整改项，一次性完成安全加固和密码改造，减少重复投入。
三是报告独立交付，联合测评不等于合并报告，等保、密评各自形成独立报告，分别提交对应监管单位。
第四，合理规划项目周期，提前识别改造难点。 如果系统密码基础薄弱，缺少国密算法、密钥管理混乱，就要预留充足的整改周期，不要临近上报才启动测评。联合测评模式最适合新建系统上线验收，以及每年定期合规复测场景。
联合测评能不能做成，关键在前期规划和整改衔接。数达与权威机构紧密合作，提供评估、整改一站式服务，可以在项目启动阶段就帮企业把两项测评的入场节奏和整改清单对齐，减少沟通成本，避免重复投入。
联系我们
联系地址
北京市海淀区互联网文化创意产业园22号楼
服务热线：
热线：400-113-3015
售前热线
售前：15510626229
电子邮箱
邮箱：shuda@datatosec.com