炼石网络：炼石图解《商用密码应用安全性评估管理办法》V1.0_37页_15mb

图解 国家密码管理局及《商用密码应用安全性评估管理办法》总结

核心内容概述

《商用密码应用安全性评估管理办法》（国家密码管理局令第3号）于2023年11月1日起施行，旨在规范商用密码应用安全性评估工作，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益。该办法依据《中华人民共和国密码法》和《商用密码管理条例》等法律法规制定，明确了商用密码应用安全性评估的对象范围、程序内容、实施规范、监督检查及法律责任等方面的要求。

主要观点与关键信息

1. 制定目的

• 规范商用密码应用安全性评估工作。
• 保障网络与信息安全，维护国家安全和社会公共利益。
• 保护公民、法人和其他组织的合法权益。

2. 评估对象

• 重要网络与信息系统：包括法律、行政法规和国家有关规定要求使用商用密码进行保护的网络与信息系统。
• 具体范围包括：关键信息基础设施、网络安全等级保护第三级及以上信息系统、政务信息系统等。

3. 评估要求

• 实施“三同步一评估”原则，即同步规划、同步建设、同步运行商用密码保障系统，并定期进行评估。
• 评估内容：根据不同的对象（如商用密码应用方案、网络与信息系统），分别提出评估内容要求。

4. 评估实施规范

• 明确商用密码应用安全性评估的通用行为规范。
• 规定运营者自行或委托评估机构开展评估的基本要求与行为规范。
• 建立评估结果备案制度。
• 规定运营者在发生安全事件时的应急处置内容。

5. 监督检查与法律责任

• 县级以上密码管理部门、国家机关和涉及商用密码工作的单位负责监督检查工作。
• 明确运营者的违法情形及相应法律责任。
• 明确密码管理人员的责任与义务。

6. 评估机构管理

• 评估机构需经国家密码管理局认定，依法取得商用密码检测机构资质。
• 评估机构统一纳入商用密码检测机构管理体系。

7. 政策支持与实施保障

• 国家密码管理局支持商用密码应用安全性评估技术、标准、工具的创新。
• 完善商用密码应用安全性评估标准体系。
• 鼓励设立商用密码应用安全性评估行业组织，加强行业自律。

8. 省级政策支持

• 多个省份（如北京、天津、河北、黑龙江、上海、江苏、江西、山东、河南等）均出台相关政策，进一步细化商用密码应用与安全性评估的具体要求。
• 强调“三同步一评估”原则在省级政务信息系统中的实施。
• 明确评估结果备案制度和密评工作的实施流程。

总体要求

1. 明确概念定义：商用密码应用安全性评估是按照法律法规和标准规范，对网络与信息系统使用商用密码技术、产品和服务的合规性、正确性、有效性进行检测分析和评估验证的活动。
2. 规定管理体制：县级以上密码管理部门、国家机关和涉及商用密码工作的单位承担监督管理职责。
3. 明确从业机构资质：商用密码应用安全性评估机构需依法取得商用密码检测机构资质。
4. 支持密评产业发展：鼓励设立行业组织，加强行业自律。
5. 界定重要网络与信息系统：依据“法律、行政法规和国家有关规定”进行界定。

程序及内容要求

1. “三同步一评估”要求：重要网络与信息系统应同步规划、建设、运行商用密码保障系统，并定期进行评估。
2. 不同阶段的评估程序：包括规划、建设、运行等阶段的评估程序。
3. 不同对象的评估内容：包括商用密码应用方案和网络与信息系统等不同对象的评估内容要求。

实施规范

1. 通用行为规范：规定评估活动的通用行为规范。
2. 运营者自行评估要求：明确运营者自行开展评估的基本要求。
3. 评估结果备案制度：评估结果需按规定备案。
4. 应急处置要求：规定运营者在发生安全事件时的应急处置内容。

监督检查及法律责任

1. 监督检查职权：县级以上密码管理部门、国家机关和相关单位负责监督检查。
2. 违法情形与法律责任：明确运营者违反规定的情形及相应法律责任。
3. 管理人员责任义务：规定密码管理人员的责任与义务。

其他事项

1. 密评施行前的系统要求：对已建和正建系统提出密评要求。
2. 施行时间：2023年11月1日起施行。

政策依据

• 《中华人民共和国密码法》
• 《商用密码管理条例》
• 《网络安全法》
• 《数据安全法》
• 《个人信息保护法》
• 《关键信息基础设施安全保护条例》
• 《网络数据安全管理条例(征求意见稿)》

附录政策文件汇总

附录1：国家层面相关法律法规

附录2：国家层面相关政策文件

附录3：各部门相关政策文件

附录4：各省及兵团相关政策文件

总结

《商用密码应用安全性评估管理办法》是国家密码管理局为规范商用密码应用安全性评估工作而制定的重要法规，涵盖评估对象、程序、实施规范、监督检查及法律责任等方面，确保重要网络与信息系统在全生命周期中落实密码应用安全性评估要求。该办法在国家层面和地方层面均得到了积极响应，各地政府和相关部门均出台了相应政策，推动密评工作的实施和落实。