郑州晋元网络科技有限公司 · 服务案例 | 2026年10月
导读
商用密码应用安全性评估（密评）是政务信息系统的合规硬要求，依据 GB/T 39786—2021 分四个层面（物理和环境、网络和通信、设备和计算、应用和数据）逐项核查。很多单位拿到密评调研表的第一反应是懵的：几百个格子，一半不知道找谁问。本文记录我们为某省级市场监管部门食品溯源平台提供密评调研支持的完整过程。
一、系统背景
| 项目 | 情况 |
|---|---|
| 被测系统 | 食品溯源监管平台（覆盖生产、流通、消费全链条追溯） |
| 建设单位 | 某省级市场监督管理局（政务系统） |
| 部署方式 | 省级政务云（互联网区 + 电子政务外网区） |
| 数据库 | 达梦 8.0（国产数据库） |
| 应用架构 | B/S，管理员约 5 人 + 普通用户约 200 人 |
| 运行时间 | 2023 年 7 月投入运行 |
| 评估依据 | GB/T 39786—2021《信息系统密码应用基本要求》 |
二、我们做了什么
1. 调研表全程填报陪跑：基本情况、系统简介、网络拓扑、系统资产四大张表逐项落实——政务云部署的物理环境信息由云方协调获取，资产清单（服务器/网络设备/数据库/关键应用/重要数据）逐条核实填写。
2. 网络拓扑梳理：绘制互联网区（应用代理+链路均衡）、电子政务外网区（应用集群/接口集群/达梦数据库）、用户接入层（社会公众/政务办公/后台管理三类入口）的完整拓扑。
3. 四层面现状摸底：物理层（政务云机房门禁与监控现状）、网络层（各边界通信信道协议盘点）、设备层（堡垒机登录方式、运维协议、密码产品运维方式）、应用层（登录方式、数据传输/存储的机密性与完整性现状）。
4. 差距分析与整改建议：对照 GB/T 39786—2021 逐项标注符合/部分符合/不符合，输出整改优先级清单。
三、摸底发现的典型差距（政务云系统常见）
| 层面 | 发现的差距 | 整改方向 |
|---|---|---|
| 网络和通信 | 部分内网信道仍为 HTTP 明文传输 | 内网信道全面 HTTPS 化，优先国密 SSL（SM2/SM3/SM4） |
| 应用和数据 | 重要数据明文存储、存储完整性保护缺失 | 身份鉴别数据、个人信息密文存储（SM4），增加完整性校验（SM3/HMAC） |
| 物理和环境 | 政务云机房门禁未做国密改造 | 以云平台整体密评结论+缓解措施（值班/监控）组合应对 |
| 设备和计算 | 堡垒机仅账号+口令登录 | 增强为双因素（口令+动态令牌/UKEY），密码产品运维坚持 UKEY 单独通道 |
说明：政务云上系统的物理层问题普遍依赖云平台方的整体评估结论，被测系统重点抓「应用和数据」「网络和通信」两层——这两层是系统建设方能自主整改、也是密评扣分最狠的部分。
四、可复用的经验
1. 密评调研表不是填表任务，是一次系统安全体检：填不出来的格子就是风险点，越早暴露越好。
2. 政务云系统的密评策略：物理层「借力」云平台评估结论，自己主攻应用/数据层和网络/通信层。
3. 明文存储和 HTTP 信道是政务系统密评两大高频扣分项，整改优先级最高、也最容易落地。
4. 国产数据库（达梦）+ 国密算法（SM2/SM3/SM4）的组合是政务系统合规的主流路线，改造时注意与现有系统的兼容测试。
5. 密评和等保的材料高度复用（拓扑、资产、制度），两评联动做，一次梳理两边受益。
服务说明
郑州晋元网络科技有限公司提供服务器运维托管、系统安全加固、等保/密评合规支持等服务：多运营商混合环境资产梳理、Windows/Linux 平台运维、远程接入规范管理、合规调研与整改落地。本案例完整交付模板可按需提供。
www.cnaibot.com
