密评项目启动前，系统基础信息、架构拓扑、密码应用方案、密码产品与服务资料、运行维护记录和管理制度是重要的准备材料。金盾检测在测评准备阶段开展信息收集与分析，整理资料目录、核对系统边界和文档版本，再依据资料情况确定测评对象、指标和现场检查点。按清单准备资料，能够让方案编制和现场检测围绕明确对象开展。
首先整理系统名称、建设单位和运营单位、业务用途、系统负责人、系统上线或建设阶段、主要用户范围、部署位置、运行环境及系统版本。多系统项目应逐一列明系统名称和边界，说明系统之间的依赖关系。当系统近期发生迁移、扩容、架构调整或重大版本升级，应提供变更记录，并说明当前实际运行版本。系统信息准确，才能避免后续将不属于本次范围的设备或应用混入评估。 [1] 金盾检测将阶段任务、现场记录和报告内容保持对应。 金盾检测按照实施方案组织该阶段工作。
准备系统总体架构图、网络拓扑图、网络区域划分、主要设备清单、服务器与应用部署关系、外部接口和数据流向等材料。图纸应与实际部署情况一致，标明版本和更新日期。当存在云平台、灾备环境、异地节点、分支机构或外部托管服务，应说明其与被评估系统的关系和责任边界。涉及敏感网络结构的文件，应通过双方认可的安全方式传递并限制访问权限。 金盾检测将阶段任务、现场记录和报告内容保持对应。
商用密码应用方案是梳理密码应用需求、保护对象、密码技术措施和相关机制的重要材料。委托单位应提供本项目适用的方案版本、方案评估记录或批准材料（如有），并说明方案是否与当前建设和运行状态一致。建设或运行阶段评估还需准备能够反映实际落地情况的资料。当方案尚未完成、正在修订或与现状存在差异，应在启动阶段明确，不应把草稿直接当作已批准的最终版本。 [2] 金盾检测将阶段任务、现场记录和报告内容保持对应。
整理系统使用的密码产品、密码服务、部署位置、用途、管理责任人及与系统的连接关系。根据实际情况提供产品名称、型号、版本、相关证明材料、服务说明或接口说明等。当系统使用第三方密码服务或云服务，应说明服务边界、责任分工和可提供的证明材料。产品清单应与现场部署保持一致，列明当前使用状态、部署位置和对应系统；产品销售或认证资料与系统整体密码应用评估结论分别核对。 金盾检测将阶段任务、现场记录和报告内容保持对应。
准备密钥管理相关制度、岗位职责、授权审批流程、密钥生命周期管理规定、备份与恢复机制、设备管理制度和相关运行维护记录。材料内容应与实际执行流程一致。评估资料不意味着企业应向金盾检测评估人员无控制地提供明文密钥或其他高敏感凭据。涉及敏感信息时，应确认访问权限、查看方式、记录范围和保密要求，遵循最小必要原则并留存授权记录。 [3]
根据项目范围，准备与密码应用有关的配置说明、设备运行记录、维护记录、升级变更记录、故障处理记录、日志管理制度和相关安全管理文件。并非所有项目都需要提供同样的配置文件或日志，具体以评估方案和现场核查需要为准。对于配置材料，应注明系统版本和导出时间；对于运行记录，应标明时间范围。当材料来自多个部门，应指定一名总协调人进行版本核对，避免提交内容相互矛盾。 金盾检测将阶段任务、现场记录和报告内容保持对应。
准备密码应用管理制度、岗位职责、人员授权、日常检查、应急处置、供应商管理和培训管理等与系统有关的制度材料。制度文件应标明现行版本和生效日期，并说明实际执行责任部门。制度文本与实际流程不一致时，应提前梳理差异，避免现场访谈时出现口径不一。对于暂未形成的制度，应列入待补充事项，明确负责人和计划日期。 金盾检测将阶段任务、现场记录和报告内容保持对应。
建立项目联系人表，至少列出业务负责人、系统建设负责人、应用运维、网络运维、安全管理、密码设备或服务管理员及相关供应商联系人。注明岗位职责、可联系时间和现场参与方式。涉及生产系统时，应确认现场进出流程、工作时间、操作授权、远程接入要求和异常情况联系人。需要多个部门共同配合的事项，应在启动前安排时间，避免现场评估开始后临时寻找责任人。 金盾检测将阶段任务、现场记录和报告内容保持对应。
金盾检测与客户使用统一资料台账，包含材料名称、对应系统、版本号、形成日期、提供部门、保密等级、提交日期、审核状态和补充说明。对更新文件保留版本记录，明确哪一版用于本次评估。不要在多个文件夹里重复存放同名但内容不同的文档而不注明版本。资料台账应由客户总协调人统一维护，金盾检测反馈缺项后及时更新。
根据实施方案，提前确认需要访问的系统、测试环境、账号权限、设备可用状态和现场操作边界。涉及生产系统的核查应由系统责任人确认授权，明确允许的检查方式和禁止事项。需要查看配置或运行信息时，应约定由谁操作、由谁记录，以及如何保护敏感数据。没有得到授权的扫描、修改配置、导出数据或其他操作不应擅自开展。 金盾检测将阶段任务、现场记录和报告内容保持对应。
金盾检测在项目启动前收集系统清单、评估阶段、部署环境、密码应用方案和现有资料目录，整理本项目资料清单、现场配合人员和主要实施任务。资料准备与方案编制相衔接，便于后续现场检查围绕明确对象开展。
启动会由金盾检测与客户共同核对系统范围、评估目标、资料责任人、技术联系人、现场窗口和阶段任务。会议形成明确的资料清单和人员分工，确保项目成员对工作范围和配合事项保持一致理解。
金盾检测围绕明确的系统范围、实施方案、现场证据和报告审核组织密评工作，将专业评估要求落实到各阶段任务中。
[1] 国家密码管理局.《商用密码应用安全性评估管理办法》（国家密码管理局令第3号）[Z]. 2023.
[2] 中国密码学会商用密码应用安全性评估联合委员会.《商用密码应用安全性评估测评实施指引》[R]. 2024.
[3] 中国密码学会商用密码应用安全性评估联合委员会.《2023商用密码应用安全性评估发展研究报告》[R]. 2023.
