“商密”市场风起，深度剖析“密评”的前世今生
宣布时间 2022-05-09商用密码管理生长简述
1999年10月，《商用密码管理条例》正式由国务院颁布施行，标志着我国商用密码生长和管理今后走上了法治化的轨道。
2003年9月，《国家信息化领导小组关于加强信息宁静保障事情的意见》（中办发[2003]27号）文件，第一次明确提出“加强以密码技术为基础的信息�；ず屯缧湃翁逑到ㄉ琛�。
2013年6月，“棱镜计划”被曝光，加之后续不停被披露的“后门”事件，导致国际形势庞大水平日益加剧，我国要害技术领域自主可控被战略性提出。这使得国家商用密码管理的进程明显加快。
在密码算法层面上，国家密码管理局先后颁布了一系列商用密码算法，包罗SM1、SM2、SM3、SM4、SM7、SM9以及祖冲之密码算法（ZUC）等。其中，SM1、SM4、SM7以及祖冲之密码算法（ZUC）属于对称加密算法，SM2、SM9属于非对称密码算法，而SM3是密码杂凑算法，即哈希算法。SM1、SM7算法不果然，需要通过专用加密芯片接口进行调用；SM2、SM3、SM4和SM9算法均已被接纳为ISO/IEC国际尺度。
在制度文件层面上，从2018年中办、国办联合宣布的《金融和重要领域密码应用与创新生长事情规划（2018-2022）》（厅字[2018]36号），到2019年《国务院办公厅关于印发国家政务信息化项目建设管理措施的通知》（国办发〔2019〕57号），再到2020年《贯彻落实网络宁静品级�；ぶ贫群鸵π畔⒒∩枋┠脖；ぶ贫鹊闹傅家饧罚ü病�2020〕1960号）等一系列指导文件陆续出台，为我国商用密码应用推广提供了强有力的制度支撑，注入了强劲的生长动能。
特别是2020年1月1日《中华人民共和国密码法》的正式施行，更是为密码工业的规�；ぬ峁┝酥卮蠡�，也为商用密码应用市场的生长提供了广阔舞台。同时，作为指导商用密码应用与宁静性评估事情的基础性尺度，《信息宁静技术信息系统密码应用基本要求》（GB/T39786-2021）也已经于2021年10月1日正式实施，这对于规范和引导信息系统合规、正确、有效应用密码，切实开展密评建设事情具有重要意义。
信息系统密评的须要性
“密评”全称为商用密码应用宁静性评估，指在接纳商用密码技术、产物和服务集成建设的网络和信息系统中，对其密码应用的合规性、正确性和有效性进行评估。
概括地讲，开展密评事情的须要性包罗以下三个方面：
1、应对网络宁静形势的实际需求
密码是重要领域网络和信息系统要害设备自主可控的必选项，不用密码或者不用自主可控的密码，就好比一个屋子，其他部门建得再牢，但锁是简易锁，或者钥匙是别人的，不行能宁静可控。
通过开展密评事情，能够及时发现在密码应用过程中存在的问题，为网络宁静建设提供科学的评价要领，继而逐步规范密码的使用和管理，从基础上改变密码应用不广泛、不规范、不宁静的现状，确保密码在信息系统中得到有效应用，有效构建起坚实可靠的密码应用宁静保障体系。
2、国家相关执法规则的明确要求
《中华人民共和国网络宁静法》第十条：建设、运营网络或者通过网络提供服务，应当依照执法、行政规则的规定和国家尺度的强制性要求，接纳技术措施和其他须要措施，保障网络宁静、稳定运行，有效应对网络宁静事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。
《中华人民共和国密码法》第二十七条：执法、行政规则和国家有关规定要求使用商用密码进行�；さ囊π畔⒒∩枋�，其运营者应当使用商用密码进行�；�，自行或者委托商用密码检测机构开展商用密码应用宁静性评估。
《商用密码应用宁静性评估管理措施（试行）》第三条：涉及国家宁静和社会公共利益的重要领域网络和信息系统的建设、使用、管理单元应当健全密码保障体系，实施商用密码应用宁静性评估。第十条：要害信息基础设施、网络宁静品级�；さ谌都耙陨闲畔⑾低�，每年至少评估一次。
《国家政务信息化项目建设管理措施》第十五条：项目建设单元应当落实国家密码管理有关执法规则和尺度规范的要求，同步规划、同步建设、同步运行密码保障系统并定期进行评估。
3、相关责任主体的法定职责
密评事情的责任主体是涉及国家宁静和社会公共利益的重要领域网络和信息系统的建设、使用、管理单元。密评工具包罗基础信息网络、涉及国计民生和基础信息资源的重要信息系统、重要工业控制系统、面向社会服务的政务信息系统，以及要害信息基础设施、网络宁静品级�；さ谌都耙陨系男畔⑾低�。
因此，开展密评事情是国家相关执法规则提出的明确要求，是网络宁静运营者的法定责任和义务。
密评建设事情的要诀
1、数据分类分级，密评建设之前提
众所周知，数据分类分级是密评建设事情的前提。无论是物理和环境、设备和计算、网络和通信层面，还是应用和数据层面，均强调的是对重要数据的宁静�；な虑�。尤其是在应用和数据层面，更是明确要求保证信息系统重要数据在传输、存储过程的机密性和完整性；如访问控制信息、鉴别数据、重要业务数据、重要审计数据、个人敏感信息均是信息系统和网络中的重要数据。
通过数据分类分级管理，能够厘清数据资产、确定数据重要性及敏感水平，知晓重要数据存储在哪里，以便凭据密评要求对其实行�；�，满足密评事情对于重要数据的宁静�；ひ�，防控数据风险、保障数据交易、释放数据价值。
2、制止触碰红线，做到宁静合规
《信息系统密码应用高风险判定指引》是由中国密码学会密评联委会宣布的指导文件，是密评事情中的重要参考基线，也就是涉及到高风险的测评项，均为一票否决项（共16项），即常说的密评建设中的红线。
因此，在实际密评建设项目的方案设计、集成实施中必须有效规避或消除16条一票否决项，制止触碰红线，保障密码应用的宁静性、合规性。
3、应用系统开发革新，绕不外去的坎
当前，对应用系统进行开发革新来满足密评的要求，简直是个绕不外去的坎，也是密评建设事情的一个要害点。
我们已经了解，密评建设要做到宁静、合规，无论是已有信息系统，还是新建信息系统，都必须与服务器密码机、签名验签服务器、时间戳服务器等密码类产物进行对接开发，即第三方应用系统直接调用此类密码产物的尺度API接口，来满足数据加解密、数据完整性�；ぁ⑹萸┟�/验签（身份鉴别）、权威时间标志等技术要求。
密码应用宁静建设已经成为我国网络宁静建设的第三大合规市场，除了传统密码厂商，还有许多企业也已经或正在进入这个赛道，并陆续推出自己的密码卡、服务器密码机、宁静认证网关等密码类产物。由此，在未来的3~5年时间里，密码应用宁静建设的市场格式可能会泛起网络宁静企业与传统密码厂商之间既相互竞争，又相互融合的新局面。
东森平台作为网络宁静工业中主力经典工业板块的龙头企业，同时也是新兴前沿工业板块的引领企业和可连续健康业务模式和健康工业生态的支柱企业，将重点结构和掌握新的市场生长机遇，凭借自身奇特优势和过硬技术实力，加强核心技术攻关，连续推进国家商密事业稳健前行。
小贴士
①“密评”，指的是由密评机构对用户单元信息系统密码应用的合规性、正确性和有效性进行检测和评估事情。
②“密评建设”，或“密评革新”，本文又称为“密码应用宁静建设”，指的是由集成商或署理商对用户单元的信息系统为了有效切合“密评”而进行的项目集成实施或革新事情。
京公网安备11010802024551号