密評(píng)定義
密評(píng)即商用密碼應(yīng)用安全性評(píng)估，是指依據(jù)國(guó)家和行業(yè)相關(guān)標(biāo)準(zhǔn)規(guī)范，對(duì)采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設(shè)的網(wǎng)絡(luò)和信息系統(tǒng)密碼應(yīng)用的合規(guī)性、正確性和有效性進(jìn)行評(píng)估。
密評(píng)依據(jù)
《密碼法》
第二十七條 法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定要求使用商用密碼進(jìn)行保護(hù)的關(guān)鍵信息基礎(chǔ) 設(shè)施，其運(yùn)營(yíng)者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù)，自行或者委托商用密碼檢測(cè)機(jī)構(gòu)開(kāi)展商用密碼應(yīng)用安全性評(píng)估。
第三十七條 關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者違反本法第二十七條第一款規(guī)定，未按照要求使用商用密碼，或者未按照要求開(kāi)展商用密碼應(yīng)用安全性評(píng)估的，由密碼管理部門責(zé)令改正，給予警告；拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處十萬(wàn)元以上一百萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員處一萬(wàn)元以上十萬(wàn)元以下罰款。
《商用密碼管理?xiàng)l例》
第三十八條 法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定要求使用商用密碼進(jìn)行保護(hù)的關(guān)鍵信息基礎(chǔ)設(shè)施，其運(yùn)營(yíng)者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù)，制定商用密碼應(yīng)用方案，配備必要的資金和專業(yè)人員，同步規(guī)劃、同步建設(shè)、同步運(yùn)行商用密碼保障系統(tǒng)，自行或者委托商用密碼檢測(cè)機(jī)構(gòu)開(kāi)展商用密碼應(yīng)用安全性評(píng)估。
前款所列關(guān)鍵信息基礎(chǔ)設(shè)施通過(guò)商用密碼應(yīng)用安全性評(píng)估方可投入運(yùn)行，運(yùn)行后每年至少進(jìn)行一次評(píng)估，評(píng)估情況按照國(guó)家有關(guān)規(guī)定報(bào)送國(guó)家密碼管理部門或者關(guān)鍵信息基礎(chǔ)設(shè)施所在地省、自治區(qū)、直轄市密碼管理部門備案。
第四十一條 網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)制度要求，使用商用密碼保護(hù)網(wǎng)絡(luò)安全。國(guó)家密碼管理部門根據(jù)網(wǎng)絡(luò)的安全保護(hù)等級(jí)，確定商用密碼的使用、管理和應(yīng)用安全性評(píng)估要求，制定網(wǎng)絡(luò)安全等級(jí)保護(hù)密碼標(biāo)準(zhǔn)規(guī)范。
《商用密碼應(yīng)用安全性評(píng)估管理辦法》
第六條 法律、行政法規(guī)和國(guó)家有關(guān)規(guī)定要求使用商用密碼進(jìn)行保護(hù)的網(wǎng)絡(luò)與信息系統(tǒng)（以下簡(jiǎn)稱重要網(wǎng)絡(luò)與信息系統(tǒng)），其運(yùn)營(yíng)者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù)，制定商用密碼應(yīng)用方案，配備必要的資金和專業(yè)人員，同步規(guī)劃、同步建設(shè)、同步運(yùn)行商用密碼保障系統(tǒng)，并定期開(kāi)展商用密碼應(yīng)用安全性評(píng)估。
第七條 重要網(wǎng)絡(luò)與信息系統(tǒng)規(guī)劃階段，其運(yùn)營(yíng)者應(yīng)當(dāng)依照相關(guān)法律法規(guī)和標(biāo)準(zhǔn)規(guī)范，根據(jù)商用密碼應(yīng)用需求，制定商用密碼應(yīng)用方案，規(guī)劃商用密碼保障系統(tǒng)。重要網(wǎng)絡(luò)與信息系統(tǒng)的運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托商用密碼檢測(cè)機(jī)構(gòu)對(duì)商用密碼應(yīng)用方案進(jìn)行商用密碼應(yīng)用安全性評(píng)估。商用密碼應(yīng)用方案未通過(guò)商用密碼應(yīng)用安全性評(píng)估的，不得作為商用密碼保障系統(tǒng)的建設(shè)依據(jù)。
第九條 重要網(wǎng)絡(luò)與信息系統(tǒng)建成運(yùn)行后，其運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托商用密碼檢測(cè)機(jī)構(gòu)每年至少開(kāi)展一次商用密碼應(yīng)用安全性評(píng)估，確保商用密碼保障系統(tǒng)正確有效運(yùn)行。未通過(guò)商用密碼應(yīng)用安全性評(píng)估的，運(yùn)營(yíng)者應(yīng)當(dāng)進(jìn)行改造，并在改造期間采取必要措施保證網(wǎng)絡(luò)與信息系統(tǒng)運(yùn)行安全。
第十七條 重要網(wǎng)絡(luò)與信息系統(tǒng)的運(yùn)營(yíng)者違反《中華人民共和國(guó)密碼法》、《商用密碼管理?xiàng)l例》和本辦法規(guī)定，有下列情形之一的，由密碼管理部門責(zé)令改正，給予警告；拒不改正或者有其他嚴(yán)重情節(jié)的，處10萬(wàn)元以上100萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員處1萬(wàn)元以上10萬(wàn)元以下罰款：
（一）重要網(wǎng)絡(luò)與信息系統(tǒng)規(guī)劃階段，未對(duì)商用密碼應(yīng)用方案進(jìn)行商用密碼應(yīng)用安全性評(píng)估的；
（二）重要網(wǎng)絡(luò)與信息系統(tǒng)建設(shè)階段，未按照通過(guò)商用密碼應(yīng)用安全性評(píng)估的商用密碼應(yīng)用方案建設(shè)商用密碼保障系統(tǒng)的；
（三）重要網(wǎng)絡(luò)與信息系統(tǒng)運(yùn)行前，未開(kāi)展商用密碼應(yīng)用安全性評(píng)估的；
（四）重要網(wǎng)絡(luò)與信息系統(tǒng)運(yùn)行前，未通過(guò)商用密碼應(yīng)用安全性評(píng)估且未進(jìn)行改造的；
（五）重要網(wǎng)絡(luò)與信息系統(tǒng)建成運(yùn)行后，未定期開(kāi)展商用密碼應(yīng)用安全性評(píng)估的；
（六）重要網(wǎng)絡(luò)與信息系統(tǒng)建成運(yùn)行后，未通過(guò)定期開(kāi)展的商用密碼應(yīng)用安全性評(píng)估且未進(jìn)行改造的；
（七）違反法律法規(guī)、標(biāo)準(zhǔn)規(guī)范要求開(kāi)展商用密碼應(yīng)用安全性評(píng)估的；
（八）不符合相關(guān)要求自行開(kāi)展商用密碼應(yīng)用安全性評(píng)估的。
第十八條 重要網(wǎng)絡(luò)與信息系統(tǒng)的運(yùn)營(yíng)者違反本辦法規(guī)定，有下列情形之一的，由密碼管理部門責(zé)令改正；逾期未改正或者改正后仍不符合要求的，處1萬(wàn)元以上10萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員處5000元以上5萬(wàn)元以下罰款：
（一）對(duì)商用密碼應(yīng)用安全性評(píng)估結(jié)果施加不當(dāng)影響的；
（二）未為商用密碼應(yīng)用安全性評(píng)估活動(dòng)提供必要支持的；
（三）未按照要求進(jìn)行商用密碼應(yīng)用安全性評(píng)估結(jié)果備案的。
《國(guó)家政務(wù)信息化項(xiàng)目建設(shè)管理辦法》
第十五條 項(xiàng)目建設(shè)單位應(yīng)當(dāng)落實(shí)國(guó)家密碼管理有關(guān)法律法規(guī)和標(biāo)準(zhǔn)規(guī)范的要求，同步規(guī)劃、同步建設(shè)、同步運(yùn)行密碼保障系統(tǒng)并定期進(jìn)行評(píng)估。
第三十條第三款 各部門應(yīng)當(dāng)嚴(yán)格遵守有關(guān)保密等法律法規(guī)規(guī)定，構(gòu)建全方位、多層次、一致性的防護(hù)體系，按要求采用密碼技術(shù)，并定期開(kāi)展密碼應(yīng)用安全性評(píng)估，確保政務(wù)信息系統(tǒng)運(yùn)行安全和政務(wù)信息資源共享交換的數(shù)據(jù)安全。
《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》
第四十二條 運(yùn)營(yíng)者對(duì)保護(hù)工作部門開(kāi)展的關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全檢查檢測(cè)工作，以及公安、國(guó)家安全、保密行政管理、密碼管理等有關(guān)部門依法開(kāi)展的關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全檢查工作不予配合的，由有關(guān)主管部門責(zé)令改正；拒不改正的，處5萬(wàn)元以上50萬(wàn)元以下罰款，對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處1萬(wàn)元以上10萬(wàn)元以下罰款；情節(jié)嚴(yán)重的，依法追究相應(yīng)法律責(zé)任。
密評(píng)對(duì)象
密評(píng)的對(duì)象是指采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設(shè)的網(wǎng)絡(luò)與信息系統(tǒng)，主要包括以下幾類：
基礎(chǔ)信息網(wǎng)絡(luò)
如電信網(wǎng)絡(luò)、廣播電視網(wǎng)、互聯(lián)網(wǎng)等，這些網(wǎng)絡(luò)是信息傳輸和交換的基礎(chǔ)平臺(tái)，承載著大量的重要數(shù)據(jù)和業(yè)務(wù)，密評(píng)可保障網(wǎng)絡(luò)通信的安全和穩(wěn)定。
涉及國(guó)計(jì)民生和基礎(chǔ)信息資源的重要信息系統(tǒng)
涵蓋能源、教育、公安、測(cè)繪地理、社保、交通、衛(wèi)生計(jì)生、金融等領(lǐng)域的信息系統(tǒng)。例如金融信息系統(tǒng)涉及大量資金交易和客戶敏感信息，能源信息系統(tǒng)關(guān)乎國(guó)家能源供應(yīng)和安全，對(duì)這些系統(tǒng)進(jìn)行密評(píng)至關(guān)重要。
重要工業(yè)控制系統(tǒng)
包括核設(shè)施、航空航天、先進(jìn)制造、石油石化、油氣管網(wǎng)、電力系統(tǒng)、交通運(yùn)輸、水利樞紐、城市設(shè)施等工業(yè)控制系統(tǒng)。這些系統(tǒng)的安全運(yùn)行直接關(guān)系到國(guó)家的工業(yè)生產(chǎn)、基礎(chǔ)設(shè)施穩(wěn)定以及社會(huì)生活的正常運(yùn)轉(zhuǎn)，密評(píng)可防止其遭受網(wǎng)絡(luò)攻擊導(dǎo)致生產(chǎn)事故或基礎(chǔ)設(shè)施癱瘓。
面向社會(huì)服務(wù)的政務(wù)信息系統(tǒng)
指黨政機(jī)關(guān)和使用財(cái)政性資金的事業(yè)單位、團(tuán)體組織使用的面向社會(huì)服務(wù)的信息系統(tǒng)，如政務(wù)審批系統(tǒng)、公共服務(wù)平臺(tái)等，密評(píng)有助于保障政務(wù)信息的安全，提高政務(wù)服務(wù)的質(zhì)量和公信力。
關(guān)鍵信息基礎(chǔ)設(shè)施
公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或數(shù)據(jù)泄露，可能嚴(yán)重危害國(guó)家安全、國(guó)計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，是密評(píng)的重點(diǎn)對(duì)象。
網(wǎng)絡(luò)安全等級(jí)保護(hù)第三級(jí)及以上的信息系統(tǒng)
根據(jù)信息系統(tǒng)在國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度等因素，信息系統(tǒng)安全等級(jí)保護(hù)分為五級(jí)，三級(jí)及以上系統(tǒng)受到破壞后會(huì)對(duì)社會(huì)秩序、公共利益甚至國(guó)家安全造成嚴(yán)重?fù)p害，需要通過(guò)密評(píng)確保其密碼應(yīng)用安全。
密評(píng)內(nèi)容
依據(jù)《GB/T 39786-2021信息系統(tǒng)密碼應(yīng)用基本要求》、《GB/T 43206-2023 信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》、《GM/T 0116-2021 信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)過(guò)程指南》等標(biāo)準(zhǔn)和要求，對(duì)密碼算法、密碼技術(shù)、密碼產(chǎn)品、密碼服務(wù)、密鑰管理等通用要求，以及物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全、密碼應(yīng)用管理（制度、人員、應(yīng)急、實(shí)施）等方面進(jìn)行全維度合規(guī)性、正確性和有效性評(píng)估檢測(cè)，編制密碼應(yīng)用安全性評(píng)估報(bào)告，根據(jù)測(cè)評(píng)結(jié)果，給出整改意見(jiàn)；協(xié)助進(jìn)行備案工作等；覆蓋網(wǎng)絡(luò)和信息系統(tǒng)規(guī)劃、建設(shè)、運(yùn)行全生命周期。
服務(wù)標(biāo)準(zhǔn)
GB/T 39786—2021《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》
GB/T 43206—2023 《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》
GM/T 0116-2021 《信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)過(guò)程指南》
服務(wù)資質(zhì)
