一文搞懂密码评测

大家好，欢迎来到IT知识分享网。

“密评”全称“密码应用安全性评估”，是指在采用密码技术、产品和服务集成建设的网络和信息系统中，对其密码应用的合规性、正确性和有效性进行评估。

密码系统可分为国密、普密、商密，都是对信息等进行加密保护、安全认证的一整套技术、产品和服务。根据《中华人民共和国密码法》规定，这三套密码系统现在的全称分别为“核心密码”、“普通密码”和“商用密码”。

核心密码、普通密码都属于国家秘密，都用于保护国家秘密信息。而商用密码用于保护不属于国家秘密的信息，公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。它可用于保护工作秘密、商业秘密、个人信息等，广泛用于金融、电子政务、通信、能源、交通等关键信息基础设施的网络和信息系统。

现在说的密评是针对商用密码。

密码评测

密评的必要性：

1. 《中华人民共和国密码法》：该法律明确规定，关键信息基础设施的运营者必须使用密码进行保护，并定期开展密评。等保三级以上的单位，由于其信息系统的重要性和敏感性，往往被归类为关键信息基础设施的一部分，因此必须遵守这一法律规定，开展密评工作。
2. 《网络安全等级保护条例（征求意见稿）》：该条例强化了密码应用要求，突出密码应用监管，并明确要求网络安全等级保护第三级及以上系统落实密码应用安全性评估制度。等保三级以上的单位，必须按照这一要求，委托专业机构对其信息系统进行密评，以确保密码应用的合规性、正确性和有效性。

商密算法有SM1、SM2、SM3、SM4、SM7、SM9、ZUC等，

密评的对象：关键信息基础设施、 网络安全等级保护第三级及以上信息系统、国家政务方面

密评的依据：GB/T 39786-2021 《信息安全技术信息系统密码应用基本要求》http://www.scmgj.gov.cn/scsmmglj/c/2022/7/22/26e91cea58773c3e7b31a83fd/files/%E4%BF%A1%E6%81%AF%E5%AE%89%E5%85%A8%E6%8A%80%E6%9C%AF%20%E4%BF%A1%E6%81%AF%E7%B3%BB%E7%BB%9F%E5%AF%86%E7%A0%81%E5%BA%94%E7%94%A8%E5%9F%BA%E6%9C%AC%E8%A6%81%E6%B1%82%EF%BC%-2021).pdf

（这是贯彻落实《中华人民共和国密码法》,指导商用密码应用与安全性评估工作的一项基础性标准）

全国范围内可以开展密码评测的单位与机构包含在国家密码管理局公告（第42号）共48家

商用密码应用安全性评估试点机构目录https://www.sca.gov.cn/sca/xwdt/2021-06/11//files/6ca2b42dedb87874bf4c3f83.pdf密评流程：

密评工作主要包括密码应用方案评估、测评准备、方案编制、现场测评、分析和报告编制五个环节。

方案编制是不可或缺的一步，有方案可得七八分。

        根据政策基本要求，确定测评对象和测评指标，合理选择测试接入点，分析系统内部算法、密码协议应用的合规性和正确性，整理测评准备阶段中获取的信息系统相关资料，为现场测评提供基本的文档和指导方案，并最终绘制成密码测评方案。

方案的依据：GB/T 43207—2023《信息安全技术 信息系统密码应用设计指南》http://www.scmgj.gov.cn/scsmmglj/c/2024/5/7/055e2c48f7b74483b89c7d74182ca6f2/files/06-GB-T%%E2%80%%20%E4%BF%A1%E6%81%AF%E5%AE%89%E5%85%A8%E6%8A%80%E6%9C%AF%20%E4%BF%A1%E6%81%AF%E7%B3%BB%E7%BB%9F%E5%AF%86%E7%A0%81%E5%BA%94%E7%94%A8%E8%AE%BE%E8%AE%A1%E6%8C%87%E5%8D%97.pdf（内含密码应用方案模板）

方案评估方式：

• 自行评估（不认可）
• 第三方评估（测评机构评估）

评估结论：（阈值60分）

1. 符合
   信息系统中未发现安全问题，测评结果中所有单元测评结果中部分符合和不符合项的统计结果全为0，综合得分为100分；
   
2. 基本符合
   信息系统中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致信息系统面临高等级安全风险，且综合得分不低于阈值
   
3. 不符合
   信息系统中存在安全问题，部分符合项和不符合项的统计结果不全为0，而且存在的安全问题会导致信息系统面临高等级安全风险，或综合得分低于阈值。 
   

密评报告出具后25日内备案初审 （提交密评报告+备案信息表）

密评要求（采用的密码产品应达到GB/T 37092二级及以上安全要求）

机房环境（10分）

• 采用密码技术进行物理访问身份鉴别,保证重要区域进入人员身份的真实性;
• 采用密码技术保证电子门禁系统进出记录数据的存储完整性﹔
• 宜采用密码技术保证视频监控音像记录数据的存储完整性。

网络和通信安全（20分）

• 采用密码技术对通信实体进行身份鉴别,保证通信实体身份的真实性；
• 采用密码技术保证通信过程中数据的完整性、重要数据的机密性；
• 采用密码技术保证网络边界访问控制信息的完整性﹔
• 采用密码技术对从外部连接到内部网络的设备进行接入认证,确保接入的设备身份真实性;

 设备和计算安全（10分）

• 采用密码技术对登录设备的用户进行身份鉴别,保证用户身份的真实性﹔
• 远程管理设备时,应采用密码技术建立安全的信息传输通道;
• 采用密码技术保证系统资源访问控制信息的完整性﹔
• 采用密码技术保证设备中的重要信息资源安全标记的完整性﹔
• 采用密码技术保证日志记录的完整性;
• 采用密码技术对重要可执行程序进行完整性保护,并对其来源进行真实性验证;

应用和数据安全（30分）

• 应采用密码技术对登录用户进行身份鉴别,保证应用系统用户身份的真实性;
• 宜采用密码技术保证信息系统应用的访问控制信息的完整性﹔
• 宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性;
• 应采用密码技术保证信息系统应用的重要数据在传输和存储过程中的机密性、完整性﹔
• 在可能涉及法律责任认定的应用中,宜采用密码技术提供数据原发证据和数据接收证据,实现数据原发行为的不可否认性和数据接收行为的不可否认性;

人员管理、建设运行、应急处置 （30分）

对应的商密改造的产品 （应达到GB/T 37092二级及以上）

机房环境

电子门禁系统、视频监控系统、智能IC卡、服务器密码机、数据加密系统等

网络与通信安全

IPSec VPN、SSL VPN、安全认证网关、堡垒机等

设备与计算安全

智能密码钥匙、服务器密码机、签名验签服务器等

应用与数据安全

智能密码钥匙、动态令牌、服务器密码机、签名验签服务器、电子签章系统、时间戳服务器等

密评解决方案