《密碼法》已經(jīng)正式實(shí)施了一年有余，《密碼法》中規(guī)定相關(guān)網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)自行或者委托商用密碼檢測(cè)機(jī)構(gòu)開展商用密碼應(yīng)用安全性評(píng)估，開展“密評(píng)”工作是網(wǎng)絡(luò)運(yùn)營(yíng)者和信息系統(tǒng)責(zé)任單位必須履行的責(zé)任，也是維護(hù)密碼應(yīng)用安全的必然選擇。

①什么是商用密碼？

商用密碼是指對(duì)不涉及國(guó)家秘密內(nèi)容的信息進(jìn)行加密保護(hù)或安全認(rèn)證所使用的密碼技術(shù)和密碼產(chǎn)品。

②什么是商用密碼安全性評(píng)估？

商用密碼應(yīng)用安全性評(píng)估（簡(jiǎn)稱“密評(píng)”），是指在采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設(shè)的網(wǎng)絡(luò)和信息系統(tǒng)中，對(duì)其密碼應(yīng)用的合規(guī)性、正確性和有效性進(jìn)行評(píng)估。

③誰(shuí)需要做密評(píng)？

國(guó)家網(wǎng)絡(luò)安全和密碼相關(guān)法律法規(guī)明確要求非涉密的關(guān)鍵信息基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全保護(hù)第三級(jí)以上網(wǎng)絡(luò)、國(guó)家政務(wù)信息系統(tǒng)等網(wǎng)絡(luò)與信息系統(tǒng)開展商用密碼應(yīng)用安全性評(píng)估（簡(jiǎn)稱“密評(píng)”）工作。

④密評(píng)工作內(nèi)容有哪些？

密評(píng)工作包括兩部分重要內(nèi)容：

1）信息系統(tǒng)規(guī)劃階段的密碼應(yīng)用方案評(píng)估。

2）信息系統(tǒng)建設(shè)完成后的信息系統(tǒng)商用密碼應(yīng)用安全性評(píng)估。

方案評(píng)估：

對(duì)于新建/改造信息系統(tǒng)，密碼應(yīng)用建設(shè)方案/改造方案，一般由責(zé)任單位組織商用密碼從業(yè)單位編寫, 包括：《密碼應(yīng)用解決方案》、《實(shí)施方案》和《應(yīng)急處置方案》。責(zé)任單位編寫密碼應(yīng)用建設(shè)方案/改造方案后，應(yīng)委托測(cè)評(píng)機(jī)構(gòu)對(duì)方案進(jìn)行評(píng)估。

系統(tǒng)評(píng)估：

依據(jù)GM/T0054-2018《信息系統(tǒng)密碼應(yīng)用基本要求》等標(biāo)準(zhǔn)，系統(tǒng)評(píng)估主要從物理和環(huán)境、網(wǎng)絡(luò)和通信、設(shè)備和計(jì)算、應(yīng)用和數(shù)據(jù)、密鑰管理、安全管理等方面開展。

⑤密評(píng)標(biāo)準(zhǔn)是什么？

GM/T0054-2018《信息系統(tǒng)密碼應(yīng)用基本要求》

《信息系統(tǒng)密碼測(cè)評(píng)要求（試行）》

《商用密碼應(yīng)用安全性評(píng)估測(cè)評(píng)過程指南（試行）》

《商用密碼應(yīng)用安全性評(píng)估管理辦法（試行）》

《商用密碼應(yīng)用安全性評(píng)估作業(yè)指導(dǎo)書》

《商用密碼應(yīng)用安全性評(píng)估測(cè)評(píng)工具使用需求說明書》

⑥密評(píng)工作流程？

目前“密評(píng)”依據(jù)0054開展，其基本工作流程可歸納為確定評(píng)估對(duì)象、開展測(cè)評(píng)工作、輸出密碼測(cè)評(píng)報(bào)告、密評(píng)結(jié)果上報(bào)四個(gè)階段。

⑦密評(píng)工作的結(jié)論是什么？

密評(píng)的結(jié)論包括單項(xiàng)測(cè)評(píng)結(jié)論、單元測(cè)評(píng)結(jié)論、風(fēng)險(xiǎn)分析結(jié)論及最終的評(píng)估結(jié)論。

單項(xiàng)（單元）測(cè)評(píng)結(jié)論有：符合、部分符合、不符合、不適用；風(fēng)險(xiǎn)結(jié)論有高、中、低；最終測(cè)評(píng)結(jié)論有：符合、部分符合、不符合。

⑧密評(píng)活動(dòng)結(jié)束結(jié)果上報(bào)要求？

網(wǎng)絡(luò)運(yùn)營(yíng)者完成測(cè)評(píng)工作后，獲取到“密評(píng)”測(cè)評(píng)報(bào)告后需將密評(píng)報(bào)告、密評(píng)結(jié)果上報(bào)主管部門及所在地區(qū)（部門）密碼管理部門備案，測(cè)評(píng)機(jī)構(gòu)上報(bào)國(guó)密局備案；等保三級(jí)及以上信息系統(tǒng)，評(píng)估報(bào)告還需由被測(cè)單位上報(bào)至系統(tǒng)受理備案(即等級(jí)保護(hù)定級(jí)備案)的公安機(jī)關(guān)。

⑨不做密評(píng)或測(cè)試結(jié)果不合格的影響？

《密碼法》第三十七條第一款

關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者違反本法第二十七條第一款規(guī)定，未按照要求使用商用密碼，或者未按照要求開展商用密碼應(yīng)用安全性評(píng)估的，由密碼管理部門責(zé)令改正，給予警告；拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處十萬(wàn)元以上一百萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員處一萬(wàn)元以上十萬(wàn)元以下罰款。

《國(guó)家政務(wù)信息化項(xiàng)目建設(shè)管理辦法》第二十八條第三款

對(duì)于不符合密碼應(yīng)用和網(wǎng)絡(luò)安全要求，或者存在重大安全隱患的政務(wù)信息系統(tǒng)，不安排運(yùn)行維護(hù)經(jīng)費(fèi)，項(xiàng)目建設(shè)單位不得新建、改建、擴(kuò)建政務(wù)信息系統(tǒng)。

⑩密評(píng)工作測(cè)評(píng)周期是多少？

《商用密碼應(yīng)用安全性評(píng)估管理辦法（試行）》第二章第十條規(guī)定：關(guān)鍵信息基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全等級(jí)保護(hù)第三級(jí)及以上信息系統(tǒng)，每年至少評(píng)估一次。