一、结论先行：数据加密不只是技术选择，还是法定义务
企业谈数据安全，通常把「加密」当作技术方案的一部分，由技术团队自行决定算法与实现。但在法律层面，加密已经是一项有明确规范体系的法定义务：《数据安全法》要求采取技术措施和其他必要措施保障数据安全，《个人信息保护法》把加密、去标识化列为安全措施，而具体到密码的使用，则由《密码法》与《商用密码管理条例》专门规范。
对绝大多数企业而言，需要关注的是商用密码。核心密码、普通密码用于保护国家秘密信息，由国家密码管理部门管理；商用密码保护的是不属于国家秘密的信息，企业是使用主体，也是合规义务主体。合规义务集中在三处：产品与服务的检测认证、进出口管制、特定主体的应用安全性评估。
二、三类密码的分工
| 类别 | 保护对象 | 管理方式 | 企业相关性 |
|---|---|---|---|
| 核心密码 | 国家秘密信息（最高级别） | 国家密码管理部门严格统一管理 | 一般不涉及 |
| 普通密码 | 国家秘密信息 | 国家密码管理部门管理 | 一般不涉及 |
| 商用密码 | 不属于国家秘密的信息 | 依法使用、鼓励推广；特定产品服务实行检测认证与进出口管制 | 直接相关，是本文重点 |
判断某个场景是否属于商用密码，看的是被保护信息的性质，不是技术的先进程度。企业用国密算法加密用户数据库、用数字证书做身份认证、用密码模块保护支付报文，都属于商用密码的应用。
三、产品与服务的检测认证
《密码法》确立的基本规则是：涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供；用于网络关键设备和网络安全专用产品的商用密码服务，也须由具备资格的机构认证合格后方可提供。
这里的关键词是「列入目录」。并非所有商用密码产品都要强制检测认证，只有列入目录的才强制。企业作为采购方的合规动作是：核对供应商是否提供了有效的认证证书或检测报告，并在合同中约定证书失效、产品召回、安全事件的责任承担。
企业作为销售方或服务提供方的合规动作是：确认自身产品是否落入目录，落入的必须完成认证检测；未落入的，也应留存自评依据。「我们的产品不是密码产品」是最常见的抗辩，也是最容易被推翻的抗辩——只要产品具备加密、完整性校验、身份鉴别等密码功能，就存在被认定为商用密码产品的可能。
四、进出口管制
商用密码的进口与出口实行管理：进口商用密码或者含有商用密码技术的设备，涉及国家安全的，应当依照法律、行政法规的规定办理进口许可；出口商用密码或者含有商用密码技术的设备，涉及国家安全的，依法实行出口管制。
实务中容易踩坑的场景包括：跨境业务中向境外部署含加密模块的硬件设备、向境外客户提供带有加密功能的软件、开源加密组件随产品出口、跨境数据传输中使用自研加密协议。判断的关键是「是否涉及国家安全」与「是否属于管制清单范围」，具体以现行有效的许可目录与管制清单为准，不能凭经验推断。
五、密评：谁要做、评什么
《密码法》要求：法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。这就是通常所说的「密评」。
谁要做？直接义务主体是上述关键信息基础设施运营者。但实务中义务会向下传导：为关基提供系统建设、运维、云服务的供应商，会被要求在项目验收中提供密评结论；等保三级以上系统、政务系统、金融与能源行业系统，也常由行业监管要求开展密评。
评什么？密评围绕密码应用的合规性、正确性、有效性三个维度展开：
| 维度 | 核心问题 | 常见缺陷 |
|---|---|---|
| 合规性 | 是否使用符合法律法规与相关标准的密码算法、密码技术、密码产品与服务 | 使用自研算法或已淘汰算法替代国密算法 |
| 正确性 | 密码算法的实现、密钥管理、协议设计是否正确 | 密钥硬编码、IV 复用、随机数不随机 |
| 有效性 | 密码应用是否真正覆盖需要保护的业务环节，能否抵御相应威胁 | 只在传输层加密，存储层明文；只在部分节点部署 |
评估通常分为方案评估（设计阶段）、系统评估（建设完成或运行阶段）与整体评估（多系统综合），三者关注点不同。最经济的做法是在设计阶段做方案评估，因为此时改设计的成本最低；等到系统上线后再评估，往往只能做补救性整改。
六、六个常见不通过原因
- 密钥管理缺失：有加密算法但没有密钥全生命周期管理（生成、分发、使用、轮换、销毁），密钥与代码一起存放。
- 算法不合规：使用 MD5、SHA-1、DES 等已不适宜继续使用的算法，或自研「加密算法」。
- 覆盖不全：只对传输通道加密，数据库内明文存储；或只覆盖核心系统，边缘系统随意接入。
- 身份鉴别薄弱：仅用口令鉴别，未使用基于密码技术的鉴别机制；或证书体系未验证有效性。
- 产品无有效认证：使用了未通过认证检测的密码产品，或证书已过期。
- 文档与实现不一致：方案文档写了国密算法，实际代码仍在调用国际算法库。
七、与等保、数据安全合规的衔接
三套体系的关系可以这样理解：等级保护解决「整体安全能力要达到什么级别」，密评解决「密码这一项技术措施用得对不对、够不够」，数据安全合规解决「数据处理活动本身是否合法」。三者不互相替代，但在执行上高度重叠——等保测评中涉及密码的指标，往往直接引用密评结论；数据安全整改中的加密措施，也要以密评为准。
因此在项目管理上，建议把密评纳入统一的安全合规计划，与等保测评、个人信息保护影响评估、合规审计共用一套资产清单与系统边界图，避免重复盘点和口径冲突。
八、常见问题
问：非关基企业需要做密评吗？《密码法》的直接强制对象是上述关基运营者。但行业监管、等保要求、政府采购与项目验收常另有要求，是否需做应结合所属行业规定与合同约定判断。
问：使用开源加密库需要注意什么？三件事：算法是否合规、密钥管理是否到位、库的版本是否存在已知漏洞。开源本身不构成合规问题，但「用了开源就不需要管理密钥」是错的。
问：密评不通过会有什么后果？可能影响项目验收、等保测评结论、行业监管评价；对关基运营者而言，还涉及《密码法》法律责任章的相应处罚。具体后果应结合行业规定判断。
问：国密算法是否强制使用？在法律法规与相关标准要求使用商用密码保护的场景，应使用符合要求的密码算法与技术；具体要求以现行标准与行业规定为准，不能一概而论。
把密码合规落到日常，其实就三句话：算法要合规、密钥要管住、覆盖要到位。前两条决定能不能通过评估，第三条决定加密是不是真的有用。
法条与依据核验：《密码法》（2020年1月1日施行）第二十六条、第二十七条、第二十八条及法律责任章；《商用密码管理条例》（2023年修订，国务院令第760号，2023年7月1日施行）；《数据安全法》第二十七条；《个人信息保护法》第五十一条。商用密码产品目录、进口许可与出口管制清单的具体范围，以国家密码管理部门现行公布的文件为准。
