密评与密码产品检测的区别：测什么、谁出具、证据能否互用
采购时常听到两种说法：一种说"设备有认证证书，密码这块就算合规了"，另一种说"做过密评，产品不用再管"。这两种说法都把两件事混成了一件。密码产品检测（认证）与密评是两条独立的质量线，对象、依据、出具主体、结果形态都不同，证据也不能互相替代。
一、对象不同：一个测产品，一个测系统
产品检测的对象是产品本身——密码模块的密码运算、密钥管理、物理安全、生命周期保障，考的是"这只盒子做得够不够结实"。
密评的对象是系统。《商用密码应用安全性评估管理办法》第二条把它定义为：对网络与信息系统使用商用密码技术、产品和服务的合规性、正确性、有效性进行检测分析和评估验证。三个词各有落点：合规性看用的是不是认证合格的产品与服务，正确性看配置和调用对不对，有效性看是否真的保护了重要数据。
一句话区分：产品检测回答"这款产品达到几级"，密评回答"这个系统把密码用对了没有"。
二、依据不同：两套标准各管一段
产品侧的依据是认证目录加密码模块标准。《商用密码产品认证目录（第一批）》由市场监管总局与国家密码管理局以 2020 年第 23 号公告发布，列了 22 类产品，2022 年又发布第二批；认证依据以 GM/T 0028《密码模块安全技术要求》为主，对应的国家标准是 GB/T 37092《密码模块安全要求》，按安全能力分四个等级。认证模式为型式试验、初始工厂检查、获证后监督，证书有效期 5 年，靠监督保持效力。
系统侧的依据是指标体系。GB/T 39786《信息系统密码应用基本要求》给出四个技术层面加管理要求的指标，GB/T 43206《信息系统密码应用测评要求》规定怎么判。密评里确实要核产品，但核的是一个指标：三级要求密码产品达到 GB/T 37092 二级及以上、密码服务经认证合格。核的是"有没有、够不够级"，不是把产品重测一遍。
三、出具主体不同：两类资质不通用
产品认证由具备资质的认证机构实施，型式试验由检测机构承担，走的是认证认可体系。
密评的门槛写在《商用密码管理条例》第十三条：向社会出具具有证明作用的密评数据、结果的机构，应当依法取得商用密码检测机构资质；《办法》第四条重复了这一要求。国家密码管理局以公告形式更新发布可开展密评业务的机构目录，未列入目录的机构不得面向社会开展该业务。
于是会出现一种常见错配：拿着产品检测报告当密评结论，或者找做产品检测的机构出系统评估意见。两类资质不通用，报告类型也不通用。
四、证据为什么不能互用
一张产品认证证书，覆盖的是型号与版本，不覆盖部署方式、配置参数和密钥管理。落到系统里，三种情况证书救不了：
- 算法和产品都合格，模式用错。同一把 SM4 密钥，ECB 模式下相同明文出相同密文，机密性指标照样不成立。
- 产品持证，密钥管理失控。密钥明文写在配置文件或数据库里，属高风险项，与产品等级无关。
- 产品持证，链路没覆盖。重要数据在某个环节仍是明文传输，缺的是部署，不是产品。
反过来，密评报告也不能当产品证明。报告里引用证书编号，只是对产品合规性的核查记录，本身不产生认证效力；换型号、换版本，报告里的引用就失效了。
五、什么时候需要哪一种
- 采购与选型：查产品认证证书，核对型号、版本、认证依据与有效期，确认覆盖本次采购的型号。
- 系统上线前：按《办法》第八条做运行前评估，未通过要改造，改造期间不得投入运行。
- 建成运行后：每年至少一次（第九条），报告形成后 30 日内备案（第十四条）。
- 客户尽调或供应商准入：通常两样都要——产品清单加证书，系统侧加密评报告。
费用与周期是两笔账：产品认证取决于型式试验与工厂检查排期；密评单次从现场到报告通常按周计，费用在数万元到十几万元区间。具体以属地要求和项目实际情况为准。
六、四个常见误解
- 有证书就等于系统合规。证书只证明产品，系统还要看指标落实、密钥管理和应用改造。
- 密评报告能替代产品证书。报告是系统结论，不改变产品的认证状态。
- 把等保测评当密评。两套指标，条例第四十一条讲的是衔接，不是替代。
- 一张证书管所有型号。认证单元原则上按型号划分，版本变更要办变更委托。
七、落地怎么排
先拉产品清单，逐项对证书，列出型号、版本、有效期与认证依据，标出缺口；再按系统等级定指标，做差距分析，把"缺产品"和"用错了"分开列；然后编方案、补采购、改配置；最后走运行前评估与年度评估，报告按规定备案。
需要提醒的是，密评报告须由取得资质的检测机构出具。辅导类工作——差距分析、方案编制、整改陪跑、协助对接持牌检测机构——可以由服务方承担，但结论性文件不能由服务方自己出。这条边界，比任何一张证书都重要。