选密评机构，很多企业习惯先看资质、再比价格、最后问周期，三件事谈完就准备签约。这套流程不能说不合理，但漏掉了最关键的一环：对方到底能不能把事干完、干好、干到底。资质是门槛，价格是成本，真正决定项目顺不顺的，是下面几个问题谈没谈透。
第一个问题，现场测评是你们自己的人做，还是转包出去。这个问题必须当面问，而且要问得具体。有些机构资质齐全，但测评工程师不够，现场环节转给合作方做，报告回来自己盖章。这种模式下，现场发现的问题、沟通的细节、判断的依据，企业都接触不到，出了问题责任也分不清。问的时候可以追问一句：现场测评的工程师是什么背景、做过多少同类项目、能不能在方案里明确到人。答得含糊的，要多留个心眼。
第二个问题，整改方案能不能落到我们的系统和设备上。这是区分"出报告的"和"能落地的"最关键一问。只出问题清单的机构，企业拿到手还得自己找集成商、找密码产品厂商，中间来回对接，周期拉长，责任边界也模糊。能落地的机构，会在报告之外给出结合现有架构的整改路径，密码改造怎么排期、配置怎么调、哪些设备需要换、哪些不用换，说得清楚。问这个问题的时候，可以拿自己的一两个核心系统让对方现场说说思路，看是真懂还是套模板。
第三个问题，复测和报告采信，你们负不负责到底。正规密评按商用密码评估规范执行，方案编制、现场勘查、工具检测、资料核验、问题研判、报告编制，每一步都有标准动作。但企业真正关心的是报告交上去能不能被认可。谈的时候直接问：报告格式和内容要求你们清不清楚、同类项目里实际采信情况怎么样、如果主管部门提出疑问你们配不配合解释。流程简化、只走形式的机构，这几个问题一问就露怯。
第四个问题，系统升级、业务新增之后，还管不管。密评不是一锤子买卖。系统改造、新业务上线、架构调整之后，密码应用的适用性会变，需要定期复核。有的机构交付完就联系不上，企业遇到监管问询连个问的人都没有。谈的时候把后续服务问在前面：政策更新谁提醒、系统变更谁复核、年度复核怎么安排。愿意正面回答、答得具体的，通常是把这件事当长期生意做的。
这四个问题问下来，资质之外的东西基本就摸清了。数达与紧密合作的权威机构一起做密评，习惯把评估、整改、复测放在一条线上推进，企业不用在测评机构和整改厂商之间来回传话，这也是很多客户选我们的原因。
联系我们
联系地址
北京市海淀区互联网文化创意产业园22号楼
服务热线：
热线：400-113-3015
售前热线
售前：15510626229
电子邮箱
邮箱：shuda@datatosec.com