商用密码应用安全性评估从业人员考核正式启动：行业影响、备考要点与职业发展指南
事件
2026年3月28日，国家密码管理局在官网发布《关于开展商用密码应用安全性评估从业人员考核的公告》（国家密码管理局公告，2026年3月24日），宣布将于近期组织开展商用密码应用安全性评估（以下简称"密评"）从业人员考核。
公告明确了三类对象：
- 已获批开展密评业务的商用密码检测机构：需组织人员参加考核
- 有意向从事密评工作的机构：可组织人员参加考核
- 各省（区、市）密码管理局：负责接收报名咨询
这是继2023年修订《商用密码管理条例》、2026年7月1日施行《电子认证服务使用密码管理办法》后，国家密码管理局在人才资质管理领域的又一重要举措。
分析
为什么此时启动密评从业人员考核？
行业背景：自2017年《密码法》实施以来，密评行业经历了高速发展期。根据中国密码学会 2025 年行业报告，全国商用密码检测机构已超过100家，从业人员超过5000人。但长期以来，从业资质缺乏统一标准，导致：
- 技术水平参差不齐：部分从业人员对 GM/T 系列标准理解不深
- 评估结果可信度存疑：不同机构的密评报告质量差异显著
- 合规风险：低质量密评导致关基系统存在安全隐患
国际趋势：美国 NIST 的 CMVP（Cryptographic Module Validation Program）要求测试人员通过特定认证考试；欧盟的 Common Criteria 认证体系也有类似的人员资质要求。中国建立密评考核制度，既是国内合规需要，也是与国际标准接轨的前置条件。
考核对象与报名条件
公告附件明确了报名单位的资质要求：
- 境内注册、独立承担法律责任的企事业单位
- 不从事商用密码产品生产、销售（检测工具类除外）
- 不从事信息系统或商用密码保障系统集成、运营
- 不从事电子认证服务或电子政务电子认证服务
- 参加考核人员应为报名时在职的正式员工
考核范围预测
虽然公告未公布具体考核大纲，但基于 GM/T 0054-2018《信息系统密码应用基本要求》和 GM/T 0055-2018《商用密码应用安全性评估管理办法》，考核内容预计覆盖以下领域：
| 领域 | 可能涉及的知识点 |
|---|---|
| 密码学基础 | SM2/SM3/SM4/SM9 算法原理、密钥管理 |
| 密码标准 | GM/T 0054-2018、GM/T 0024-2014、GM/T 0034-2014 等 |
| 安全协议 | 国密 TLS、IPSec VPN、SSH 等 |
| 评估方法 | 密评流程、风险分析、报告编写 |
| 法律法规 | 《密码法》、《商用密码管理条例》等 |
| 物理安全 | 密码模块安全、侧信道防护 |
影响
对检测机构的影响
短期：小型检测机构面临人员资质压力。如果核心人员未通过考核，可能影响其继续开展密评业务。
中期：行业将出现整合。技术能力强、人员素质高的机构将扩大市场份额，低水平机构可能被淘汰或整合。
长期：密评服务质量整体提升，有利于建立行业公信力。
对企业客户的影响
积极面：企业可更放心地选择有资质的密评机构，评估结果更具权威性。
挑战面：短期内密评服务供给可能减少，导致评估周期延长、成本上升。
对从业人员的影响
机遇：密评行业职业化路径清晰，持证人员将获得更好的职业发展机会。
挑战：需要系统学习密码学基础标准和评估方法，考试压力增加。
备考建议
1. 系统学习国密标准
核心标准清单：
- GM/T 0002-2012《SM4 分组密码算法》
- GM/T 0003-2012《SM2 椭圆曲线公钥密码算法》
- GM/T 0004-2012《SM3 密码杂凑算法》
- GM/T 0024-2014《SSL VPN 技术规范》
- GM/T 0034-2014《基于 SM2 的证书认证系统密码及安全规范》
- GM/T 0054-2018《信息系统密码应用基本要求》
- GM/T 0055-2018《商用密码应用安全性评估管理办法》
2. 掌握评估实操
密评不仅是理论考试，更注重实操能力。建议重点掌握：
- 密评方案编写
- 现场核查方法
- 密码配置核查（Nginx、Tomcat、MySQL 等）
- 风险分析和报告编写
3. 关注政策动态
定期查阅国家密码管理局官网（oscca.gov.cn）和各省密码管理局网站，关注：
- 考核大纲发布
- 考试时间安排
- 题库更新
- 评分标准
4. 参加培训
国家密码管理局和行业协会可能组织考前培训。关注以下渠道：
- 中国密码学会
- 各省密码行业协会
- 商用密码产业联盟
趋势
1. 密评行业职业化
密评从业人员考核将推动行业从"野蛮生长"走向"规范化发展"。未来可能出现：
- 分级制度（初级/中级/高级评估师）
- 继续教育要求
- 信用管理和奖惩机制
2. 人才需求增长
随着等保2.0、关基保护条例等政策的深入推进，密评人才需求将持续增长。具备以下能力的人才将最受欢迎：
- 密码学理论基础
- 等保和密评实操经验
- 编程能力（Python、Go 等）
- 行业知识（金融、政务、医疗等）
3. 国际互认
中国的密评制度可能逐步与国际标准接轨。未来可能出现：
- 与 CMVP、CC 等评估体系的互认
- 国际密评机构进入中国市场的准入要求
- 中国密评机构参与国际标准制定
行动建议
对检测机构
- 立即行动：组织核心人员准备报名，确保在4月10日前完成报名
- 内部培训：安排每周学习时间，重点突破薄弱环节
- 模拟考试：参考等保测评师考试形式，组织内部模拟考试
- 资源储备：收集标准文档、评估案例等备考资料
对企业客户
- 选择机构：优先选择有持证人员的密评机构
- 评估周期：预留充足的评估时间（通常需要2-4周）
- 整改预算：根据评估结果预留整改预算
- 持续合规：建立密码合规的长效机制
对从业人员
- 报名参考：如果所在机构符合条件，建议报名参加
- 系统学习：制定3-6个月的备考计划
- 实践结合：将备考知识与日常工作结合
- 职业规划：考虑取得密评资质后的职业发展方向
总结
密评从业人员考核制度的启动，标志着中国商用密码行业进入规范化发展新阶段。对于检测机构、企业客户和从业人员而言，这既是挑战也是机遇。
从短期看，考核将淘汰一批不合规的从业者，提升行业整体水平。从长期看，密评行业的职业化将增强社会对密码安全的信任，推动《密码法》的全面贯彻落实。
对于正在或计划从事密评工作的人员来说，现在正是最好的时机——尽早获得资质，将在未来的职业竞争中占据先机。