mg不朽情缘

引言

“十四五”规划和2035年蓝图指标纲领对我国的数字化发展作出战术部署
，其重要内容能够概括为“413”框架：“4”是指要建设网络强国、数字经济、数字当局、数字社会；“1”是指通过数字化转型驱动；“3”是指通过数字化转型
，推进出产方式、生涯方式和治理方式刷新。这个战术框架对将来我国数字化发展将产生深远影响。

随着全球数字经济发展
，网络空间必将成为战术威慑和节造的新领域、守护经济社会不变的新阵地以及将来列国军事角逐的新战场
，网络安全被纳入国度安全沉要战术职位。密码作为保险网络安全的主题技术
，是构建网络信赖的基础支持。我们利用密码的安全认证、加密；ぁ⑿爬荡莸雀鲂
，来解除或节造潜在的“安全；”
，这是我们大力发展密码工作、密码事业和全面发展密评工作的重要原因。

一、关于商用密码

1. 商用密码的界说

商用密码的界说：对不涉及国度奥秘内容的信息进行加密；せ蛘甙踩现
，所使用的密码技术和密码产品。

商用密码的主题：商用密码技术
，国度将其列为国度奥秘
，任何单元和幼我都有责任和使命；ど逃妹苈爰际醯陌旅。

图1 商用密码技术图解

国表的密码算法：DES、3DES、AES、SHA-1、SHA-256、SHA-384、DSA、RSA、RC4等。

高危密码算法：MD5、DES、RSA2048以下、SSH1.0、SSL3.0以下、SHA1等。

2. 密码算法

密码算法通？煞治罄啵对称密码算法、非对称密码算法、密码杂凑算法。

密码的四大个性：真实性、齐全性、机密性、不成否定性。

• 对称密码算法：在加密与解密时使用一样的密钥
  ，两个过程是“对称”的。常见的对称密码算法：SM1、SM4、SM7、ZUC、DES、3DES、AES、RC4。
• 非对称密码算法：加密和解密使用分歧的密钥。其中加密的密钥能够公开
  ，称为公钥；解密的密钥必要保密
  ，称为私钥。公私钥成对出现
  ，公钥推倒出私钥在理论上不成行。常见的非对称密码算法：SM2、SM9、RSA、ECDSA、Elgamal。
• 密码杂凑算法：将肆意长度的二进造值映射为较短的固定长度的二进造值。常见的密码杂凑算法：SM3、MD5、SHA1、SHA2、SHA3。

密码杂凑算法具备三大个性：

单向性：为一个给定的输出找出能映射到该输出的一个输入在推算上是难题。

弱抗碰撞性：为一个给定的输入找出能映射到统一个输出的另一个输入在推算上是难题的的。

强抗碰撞性：要发现分歧的输入映射到统一输出在推算上是难题的。

二、关于密评

1. 密评的界说

密评全称：商用密码利用安全性评估

密评界说：对选取商用密码技术、产品和服务集成建设的网络和信息系统密码利用的合规性、正确性、有效性进行评估。

这句话精简一下
，即：对网络和信息系统密码利用进行评估。在网络和信息系统中
，密码险些无处不在
，用户登录、治理员操作、业务系统之间相互挪用数据…全都跟密码息息有关
，因而在做密评的时辰
，必要针对整个网络和信息系统进行测评。

2. 密评的对象

• 电信网、广播电视网、互联网等基础信息网络；
• 能源、教育、交通、卫生计生、金融等涉及国计民生和基础信息资源的沉要信息系统；
• 石油石化、电力系统、交通运输、水利枢纽、城市设施等沉要工业节造系统电力系统、石油天然气、油气管路等沉要信息系统和沉要工业控系统；
• 党政机关和使用财政资金的事业单元、集体组织使用的面向社会服务的信息系统；
• 基础信息网络、涉及国计民生和基础信息资源的沉要信息系统、沉要工业节造系统。

国度网络安全和密码有关司法律规明确要求非涉密的关键信息基础设施、等保三级及以上系统、国度政务等沉要信息系统要发展密评工作。并且
，密评治理法子也明确划定：关键信息基础设施、网络安全等级；さ谌都耙陨闲畔⑾低
，必要每年至少评估一次。

3. 密评的内容

密评工作重要有规划评估和系统评估两部门沉要内容组成。

（1）信息系统规划阶段的密码利用规划评估：对于新建/刷新信息系统
，密码利用建设规划/刷新规划
，通常由责任单元组织商用密码从业单元编写。

蕴含：〖码利用解决规划》、《执行规划》和《应急措置规划》。责任单元编写密码利用建设规划/刷新规划后
，应委托测评机构对规划进行评估。

（2）信息系统建设实现后的信息系统商用密码利用安全性评估：凭据GB/T39786的技术要求和治理要求发展评估工作
，系统评估重要从物理和环境、网络和通讯、设备和推算、利用和数据、密钥治理、安全治理等方面发展。

测评机构实现系统评估后
，出具评估汇报。在密评活动实现30个工作日内
，将评估了局报密码治理部门等有关部门登记。

图 2 密评领域

• 物理和环境：密码技术实现物理接见节造、监控纪录齐全性；さ纫。
• 网络和通讯：密码技术实现网络传输过程的通讯双方真实性
  ，数据的机密性、齐全性；さ纫。
• 设备和推算：密码技术实现设备用户身份真实性
  ，接见节造信息齐全性
  ，日志纪录齐全性等要求。
• 利用和数据：密码技术实现身份真实性
  ，数据传输和存储的机密性、齐全性
  ，数据收刊行为的不成诡辩性等要求。
• 密钥治理：密钥全性命周期治理
  ，蕴含密钥天生、存储、使用、分发、备份/复原、归档等。
• 安全治理：治理造度
  ，人员治理
  ，建设运行
  ，应急措置。

4. 密评的尺度

对选取商用密码技术、产品和服务集成建设的网络和信息系统密码利用
，必要满足合规性、正确性、有效性的要求
，具体内容如下：

合规性：信息系统使用的密码技术、产品和服务是否切合国密要求。

正确性：受；ざ韵笫欠衩魅
，密码职能是否实现正确
，密码产品参数是否配置正确。

有效性：检验或验证密码利用是否合规、正确
，是否真正实现了受；ざ韵蟮陌踩阑ば枰。

律例/政策凭据：

GB/T 39786-2021 信息安全技术 信息系统密码利用根基要求

GB/T 43206-2023 信息安全技术 信息系统密码利用测评要求

信息系统密码利用测评过程指南

信息系统密码利用高风险判定指引

商用密码利用安全性评估计化评估规定

GB/T 32907-2016 信息安全技术 SM4分组密码算法

GB/T 32918-2016 信息安全技术 SM2椭圆曲线公钥密码算法

GB/T 32905-2016 信息安全技术 SM3密码杂凑算法

……

5. 密评的流程

密评流程分为四个根基测评活动：测评筹备活动、规划假造活动、现场测评活动、分析与汇报假造活动；在整个密码利用安全性评估过程中
，测评双方将会持续进行沟通和刷新。

• 测评筹备阶段：测评项目启动、信息网络与分析、工具和表单筹备

在假造项目打算书时
，被测评单元必要提供根基资料
，如治理架构、技术系统、运行情况、各类密码安全治理造度及有关治理纪录等
，填写系统调查表
，调查被测系统的根基信息、行业特点、密码治理战术、网络及设备部署情况等信息。以供测评人员和机构初步相识被测信息系统的现实情况。同时筹备好有关测评工具
，如漏扫工具、机能测试工具、和谈分析工具等。

• 规划假造阶段：测评对象和指标确定、测评工具切入点确定、测评规划假造

凭据政策根基要求
，首先必要确定测评对象和测评指标
，而后要合理选择测试接入点
，分析系统内部算法、密码和谈利用的合规性和正确性
，整顿测评筹备阶段中获取的信息系统有关资料
，最后将绘造成密码测评规划
，为现场测评提供根基的文档和领导规划。

• 现场测评阶段：现场测评执行筹备、现场测评和了局纪录、了局确认和资料送还

发展访谈、文档审查、实地查看、工具测试等活动时
，必要当真纪录过程和了局。必要确认是否具备测评发展的前提
，确保测评对象工作正常
，系统处于相对优良的情况。测评实现后
，必要确认测评工作是否对测评对象造成了影响
，以及测评对象和系统是否工作正常。

• 汇报假造阶段：测评了局判定、了局风险分、汇报假造

现场测评实现后
，凭据现场的测评了局纪录进行分析
，输出测评了局
，并筹备假造测评汇报
，蕴含单项测评结论、整体测评结论、风险分析结论及最终的评估结论。

三、为什么要做密评？

发展商用密码利用安全性评估
，是为解决商用密码利用中存在的凸起问题
，为网络和信息系统的安全提供科学评价步骤
，逐步规范商用密码的使用和治理
，从底子上扭转商用密码利用不宽泛、不规范、不安全的近况
，确保商用密码在网络和信息系统中有效使用。

（1）政策要求：〖码法》、国办发57号文、《关键信息基础设施安全；ぬ趵贰ⅰ兜缱尤现し务密码治理法子》等有关政策律例要求信息系统要发展密码利用安全性评估。

（2）行业监管：通过行业主管部门的监管
，要求行业单元必要通过密评
，提高系统安全防御能力
，如金融、医疗等。

（3）等保延长：等Ｄ芄唤饩鐾缂嗫亍⑻烨捣阑ぁ⒓邪踩卫怼⒔蛹谠臁踩蠹频
，密评可进一步有效解决数据传输和存储机密性及齐全性、数据起源真实可信、操作行为不成否定。

（4）安全需要：保障数据机密性、齐全性、起源真实性等.

（5）业务属性：谍报板、网站等防篡改、电子合同、电子单据等防篡改及否定、网上买卖、医疗健全等防泄漏。

（6）数据合规：《数据安全法》出台
，加快我国数据安全合规的过程
，通过密码可以为数据采集、存储、整合、出现与使用、分析与利用、归档和销毁全性命周期保驾护航。

四、不做密评有什么影响？

〖码法》 第三十七条

关键信息基础设施的运营者违反本法第二十七条第一款划定
，未依照要求使用商用密码
，或者未依照要求发展商用密码利用安全性评估的
，由密码治理部门责令更正
，赐与忠告；拒不更正或者导致风险网络安全等后果的
，处十万元以上一百万元以下？
，对直接掌管的主管人员处一万元以上十万元以下？。

《国度政务信息化项目建设治理法子》 第二十八条

加强国度政务信息化项目建设投资和运行守护经费协同联动……对于不切合密码利用和网络安全要求
，或者存在沉大安全隐患的政务信息系统
，不铺排运行守护经费
，项目建设单元不得新建、改建、扩建政务信息系统。

《数据安全法》 第四十五条

拒不更正或者造成大量数据泄露等严沉后果的
，处五十万元以上二百万元以下？
，并能够责令暂停有关业务、破产整顿、撤除有关业务许可证或者撤除交易牌照
，对直接掌管的主管人员和其他直接责任人员处五万元以上二十万元以下？。

《关键信息基础设施安全；ぬ趵返谒氖条

运营者对；すぷ鞑棵欧⒄沟墓丶畔⒒∩枋┩绨踩槌觳夤ぷ
，以及公安、国度安全、保密行政治理、密码治理蹬仔关部门依法发展的关键信息基础设施网络安全查抄工作不予共同的
，由有关主管部门责令更正；拒不更正的
，处5万元以上50万元以下？
，对直接掌管的主管人员和其他直接责任人员处1万元以上10万元以下？；情节严沉的
，依法查究相应司法责任。