“商密”市场风起，深度分解“密评”的前世今生
颁布功夫 2022-05-09商用密码治理发展简述
1999年10月，《商用密码治理条例》正式由国务院颁布执行，标志取我国商用密码发展和治理从此走上了法治化的轨路。
2003年9月，《国度信息化辅导幼组关于加强信息安全保险工作的定见》（中办发[2003]27号）文件，第一次明确提出“加强以密码技术为基础的信息�；ず屯缧爬迪低辰ㄉ琛�。
2013年6月，“棱镜打算”被曝光，加之后续不休被披露的“后门”事务，导致国际局势复杂水平日益加剧，我国关键技术领域自主可控被战术性提出。这使得国度商用密码治理的过程显著加快。
在密码算法层面上，国度密码治理局先后颁布了一系列商用密码算法，蕴含SM1、SM2、SM3、SM4、SM7、SM9以及祖冲之密码算法（ZUC）等。其中，SM1、SM4、SM7以及祖冲之密码算法（ZUC）属于对称加密算法，SM2、SM9属于非对称密码算法，而SM3是密码杂凑算法，即哈希算法。SM1、SM7算法不公开，必要通过专用加密芯片接口进行挪用；SM2、SM3、SM4和SM9算法均已被选取为ISO/IEC国际尺度。
在造度文件层面上，从2018年中办、国办结合颁布的《金融和沉要领域密码利用与创新发展工作规划（2018-2022）》（厅字[2018]36号），到2019年《国务院办公厅关于印发国度政务信息化项目建设治理法子的通知》（国办发〔2019〕57号），再到2020年《贯彻落实网络安全等级�；ぴ於群凸丶畔⒒∩枋┌踩；ぴ於鹊牧斓级罚ü病�2020〕1960号）等一系列领导文件陆续出台，为我国商用密码利用推广提供了强有力的造度支持，注入了强劲的发展动能。
出格是2020年1月1日《中华人民共和国密码法》的正式执行，更是为密码产业的规�；⒄固峁┝顺链蠡�，也为商用密码利用市场的发展提供了辽阔舞台。同时，作为领导商用密码利用与安全性评估工作的基础性尺度，《信息安全技术信息系统密码利用根基要求》（GB/T39786-2021）也已经于2021年10月1日正式执行，这对于规范和疏导信息系统合规、正确、有效利用密码，切实发展密评建设工作拥有沉要意思。
信息系统密评的必要性
“密评”全称为商用密码利用安全性评估，指在选取商用密码技术、产品和服务集成建设的网络和信息系统中，对其密码利用的合规性、正确性和有效性进行评估。
概括地讲，发展密评工作的必要性蕴含以下三个方面：
1、应对网络安全局势的现实需要
密码是沉要领域网络和信息系统关键设备自主可控的必选项，不用密码或者不用自主可控的密码，就好比一个屋子，其他部门建得再牢，但锁是简易锁，或者钥匙是别人的，不成能安全可控。
通过发展密评工作，可能实时发此刻密码利用过程中存在的问题，为网络安全建设提供科学的评价步骤，继而逐步规芳码的使用和治理，从底子上扭转密码利用不宽泛、不规范、不安全的近况，确保密码在信息系统中得到有效利用，有效构建起坚实靠得住的密码利用安全保险系统。
2、国度有关司法律规的明确要求
《中华人民共和国网络安全法》第十条：建设、运营网络或者通过网络提供服务，该当遵循司法、行政律例的划定和国度尺度的强造性要求，采取技术措施和其他必要措施，保险网络安全、不变运行，有效应对网络安全事务，防备网络违法犯罪活动，守护网络数据的齐全性、保密性和可用性。
《中华人民共和国密码法》第二十七条：司法、行政律例和国度有关划定要求使用商用密码进行�；さ墓丶畔⒒∩枋�，其运营者该当使用商用密码进行�；�，自行或者委托商用密码检测机构发展商用密码利用安全性评估。
《商用密码利用安全性评估治理法子（试行）》第三条：涉及国度安全和社会公共利益的沉要领域网络和信息系统的建设、使用、治理单元该当健全密码保险系统，执行商用密码利用安全性评估。第十条：关键信息基础设施、网络安全等级�；さ谌都耙陨闲畔⑾低�，每年至少评估一次。
《国度政务信息化项目建设治理法子》第十五条：项目建设单元该当落实国度密码治理有关司法律规和尺度规范的要求，同步规划、同步建设、同步运行密码保险系统并定期进行评估。
3、有关责任主体的法定职责
密评工作的责任主体是涉及国度安全和社会公共利益的沉要领域网络和信息系统的建设、使用、治理单元。密评对象蕴含基础信息网络、涉及国计民生和基础信息资源的沉要信息系统、沉要工业节造系统、面向社会服务的政务信息系统，以及关键信息基础设施、网络安全等级�；さ谌都耙陨系男畔⑾低�。
因而，发展密评工作是国度有关司法律规提出的明确要求，是网络安全运营者的法定责任和使命。
密评建设工作的要诀
1、数据分类分级，密评建设之前提
多所周知，数据分类分级是密评建设工作的前提。无论是物理和环境、设备和推算、网络和通讯层面，还是利用和数据层面，均强调的是对沉要数据的安全�；すぷ�。尤其是在利用和数据层面，更是明确要求保障信息系统沉要数据在传输、存储过程的机密性和齐全性；如接见节造信息、甄别数据、沉要业务数据、沉要审计数据、幼我敏感信息均是信息系统和网络中的沉要数据。
通过数据分类分级治理，可能厘清数据资产、确定数据沉要性及敏感水平，通达沉要数据存储在哪里，以便依照密评要求对其尝试�；�，满足密评工作对于沉要数据的安全�；ひ�，防控数据风险、保险数据买卖、开释数据价值。
2、预防触碰红线，做到安全合规
《信息系统密码利用高风险判定指引》是由中国密码学会密评联委会颁布的领导文件，是密评工作中的沉要参考基线，也就是涉及到高风险的测评项，均为一票否决项（共16项），即常说的密评建设中的红线。
因而，在现实密评建设项主张规划设计、集成执行中必须有效躲避或解除16条一票否决项，预防触碰红线，保险密码利用的安全性、合规性。
3、利用系统开发刷新，绕不外去的坎
当前，对利用系统进行开发刷新来满足密评的要求，简直是个绕不外去的坎，也是密评建设工作的一个关键点。
我们已经相识，密评建设要做到安全、合规，无论是已有信息系统，还是新建信息系统，都必须与服务器密码机、署名验签服务器、功夫戳服务器等密码类产品进行对接开发，即第三方利用系统直接挪用此类密码产品的尺度API接口，来满够数据加解密、数据齐全性�；ぁ⑹菔鹈�/验签（身份甄别）、权威功夫象征等技术要求。
密码利用安全建设已经成为我国网络安全建设的第三大合规市场，除了传统密码厂商，还有很多企业也已经或在进入这个赛路，并陆续推出自己的密码卡、服务器密码机、安全认证网关等密码类产品。由此，在将来的3~5年功夫里，密码利用安全建设的市场格局可能会出现网络安全企业与传统密码厂商之间既相互竞争，又相互融合的新局面。
GA黄金甲作为网络安全产业中主力经典产业板块的龙头企业，同时也是新兴前沿产业板块的引领企业和可持续健全业务模式和健全产业生态的支柱企业，将沉点布局和把握新的市场发展机缘，凭借自身怪异优势和过硬技术实力，加强主题技术攻关，持续推动国度商密事业稳重前行。
幼贴士
①“密评”，指的是由密评机构对用户单元信息系统密码利用的合规性、正确性和有效性进行检测和评估工作。
②“密评建设”，或“密评刷新”，本文又称为“密码利用安全建设”，指的是由集成商或代理商对用户单元的信息系统为了有效切合“密评”而进行的项目集成执行或刷新工作。
京公网安备11010802024551号