什么是密評？密評的依據是什么？

時(shí)間：2022-7-5 11:12:45    閱讀：1248    來(lái)源：太原密評

一、什么是密評？

商用密碼應用安全性評估（簡(jiǎn)稱(chēng)“密評”）是指在采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設的網(wǎng)絡(luò )和信息系統中， 對其密碼應用的合規性、正確性和有效性進(jìn)行評估的活動(dòng)。密評是對密碼應用安全的評估，立足系統安全、體系安全和動(dòng)態(tài)安全，對包括密碼算法、密碼協(xié)議和密碼設備等進(jìn)行整體安全性評估。

二、密評的依據是什么？

1、2019年10月26日第十三屆全國人民代表大會(huì )常務(wù)委員會(huì )第十四次會(huì )議表決通過(guò)《中華人民共和國密碼法》，自2020年1月1日起施行。

具體要求：

第25條：商用密碼檢測、認證機構應當依法取得相關(guān)資質(zhì)，并依照法律、行政法規的規定和商用密碼檢測認證技術(shù)規范、規則開(kāi)展商用密碼檢測認證。

第26條：涉及國家安全、國計民生、社會(huì )公共利益的商用密碼產(chǎn)品，應當依法列入網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品目錄，由具備資格的機構檢測認證合格后，方可銷(xiāo)售或者提供。

第27條：要求使用商用密碼進(jìn)行保護的關(guān)鍵信息基礎設施，其運營(yíng)者應當使用商用密碼進(jìn)行保護，自行或者委托商用密碼檢測機構開(kāi)展商用密碼應用安全性評估。

懲罰措施

對于關(guān)鍵基礎信息設施未按照要求使用商用密碼或開(kāi)展商用密碼應用安全性評估的，由密碼管理部門(mén)責令改正，給予警告；

對于拒不改正或者導致危害網(wǎng)絡(luò )安全等后果的，對單位處十萬(wàn)元以上一百萬(wàn)元以下罰款，對直接負責的主管人員處一萬(wàn)元以上十萬(wàn)元以下罰款。

使用未經(jīng)安全審查或者安全審查未通過(guò)的產(chǎn)品或者服務(wù)的，由有關(guān)主管部門(mén)責令停止使用，處采購金額一倍以上十倍以下罰款；對直接負責的主管人員和其他直接責任人員處一萬(wàn)元以上十萬(wàn)元以下罰款。

2、基于2007年國家發(fā)改委55號令，修訂2019年12月30日印發(fā)，2020年2月1日起施行《國家政務(wù)信息化項目建設管理辦法》

具體要求：

第9條：各部門(mén)政務(wù)信息化項目，應按規定履行審批程序并向國家發(fā)改革委進(jìn)行備案。備案文件包括密碼應用方案和密碼應用安全性評估報告。

第15條：政務(wù)信息化項目建設單位，應同步規劃、同步建設、同步運行密碼保障系統并定期進(jìn)行評估。

第16條：政務(wù)信息化項目在項目報批階段，要對產(chǎn)品的安全可靠情況進(jìn)行說(shuō)明，包括項目密碼應用和安全審查情況。

第25條：政務(wù)信息化項目建成后半年內應組織驗收，驗收報告須有密碼應用安全性評估報告。材料驗收不合格的，不得通過(guò)項目驗收。

第28條：對于不符合密碼應用要求的政務(wù)信息系統，不安排運行維護經(jīng)費，項目建設單位不得新建、改建、擴建政務(wù)信息系統。

第30條：國辦、發(fā)改委等部門(mén)會(huì )同有關(guān)職能部門(mén)，對密碼應用情況實(shí)施監督管理，視情予以通報批評、暫緩安排投資計劃、暫停項目建設直至終止項目。

第30條：各部門(mén)應當嚴格按要求采用密碼技術(shù)，并定期開(kāi)展密碼應用安全性評估，確保政務(wù)信息系統運行安全和政務(wù)信息資源共享交換的數據安全。

3、《商用密碼應用安全性評估管理辦法(試行)》

“第三條涉及國家安全和社會(huì )公共利益的重要領(lǐng)域網(wǎng)絡(luò )和信息系統的建設、使用、管理單位（以下簡(jiǎn)稱(chēng)責任單位），應當健全密碼保障體系，實(shí)施商用密碼應用安全性評估。重 要領(lǐng)域網(wǎng)絡(luò )和信息系統包括：基礎信息網(wǎng)絡(luò )、涉及國計民生和基礎信息資源的重要信息系統、重要工業(yè)控制系統、面向社會(huì )服務(wù)的政務(wù)信息系統，以及關(guān)鍵信息基礎設施、網(wǎng)絡(luò )安全等級保護第三級及以上的信息系統?！?br />
4、《信息系統密碼應用測評要求》等5項 密碼應用與安全性評估指導性文件

依據《中華人民共和國密碼法》等法律法規,中國密碼 學(xué)會(huì )密評聯(lián)委會(huì )組織編制了《信息系統密碼應用測評要求》等5項指導性文件,現已公開(kāi)發(fā)布,可供相關(guān)單位開(kāi)展商用密碼應用與安全性評估工作參考。

信息系統密碼應用測評要求

信息系統密碼應用測評過(guò)程指南

信息系統密碼應用高風(fēng)險判定指引

商用密碼應用安全性評估量化評估規則

商用密碼應用安全性評估報告模板（2020版）