炼石图解《商用密码应用安全性评估管理办法》V1.0-炼石网络_37页_15mb

图解 国家密码管理局与《商用密码应用安全性评估管理办法》总结

核心内容

《商用密码应用安全性评估管理办法》（国家密码管理局令第3号）于2023年10月7日发布，自2023年11月1日起施行。该办法旨在规范商用密码应用安全性评估工作，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益。

主要观点

• 规范评估工作：办法明确了商用密码应用安全性评估的定义、对象、程序、内容及实施规范，确保评估活动依法依规开展。
• 强调“三同步一评估”原则：重要网络与信息系统应同步规划、同步建设、同步运行商用密码保障系统，并定期进行安全性评估。
• 明确监管职责：国家密码管理局及地方密码管理部门负责监督和管理商用密码应用安全性评估工作，运营者需配合评估活动。
• 加强行业支持：支持商用密码检测机构发展，鼓励设立行业组织，推动密评工作的标准化和规范化。
• 细化评估实施：明确了评估活动的实施依据，包括法律、行政法规和国家有关规定，确保评估内容的合规性、正确性和有效性。

关键信息

1. 商用密码应用安全性评估定义

商用密码应用安全性评估是指按照有关法律法规和标准规范，对网络与信息系统使用商用密码技术、产品和服务的合规性、正确性、有效性进行检测分析和评估验证的活动。

2. 评估对象范围

• 法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施
• 网络安全等级保护第三级及以上信息系统
• 面向社会服务的政务信息系统
• 重要工业控制系统
• 基础信息网络

3. 评估实施依据

• 《中华人民共和国密码法》
• 《商用密码管理条例》
• 其他相关法律法规及政策文件

4. 评估实施规范

• 明确评估机构资质要求
• 规范评估程序，涵盖规划、建设、运行各阶段
• 实施结果备案制度
• 强调运营者需自行或委托评估机构开展评估
• 提出应急处置相关要求

5. 监督检查及法律责任

• 县级以上密码管理部门有权开展监督检查
• 明确运营者的违法情形及相应法律责任
• 规定评估管理人员的责任与义务

6. 评估试点机构

截至2023年8月，共有48家商用密码应用安全性评估试点机构。

附录内容概览

附录1：国家层面密码应用及密评相关法律法规

• 《密码法》（2020年1月1日施行）：明确关键信息基础设施需进行密评。
• 《网络安全法》（2017年6月1日施行）：提出网络安全等级保护要求。
• 《数据安全法》（2021年9月1日施行）：强调数据安全保护义务。
• 《个人信息保护法》（2021年11月1日施行）：要求采取加密、去标识化等安全措施。
• 《商用密码管理条例》（2023年4月14日发布）：细化密评对象、程序、内容及备案要求。

附录2：国家层面密码应用及密评相关政策文件

• 《国务院关于加强数字政府建设的指导意见》（2022年6月8日发布）：提出密评机制与网络安全等级保护制度衔接。
• 《国务院办公厅关于加快推进电子证照扩大应用领域和全国互通互认的意见》（2022年1月20日发布）：强调区块链、隐私计算等新兴技术在密评中的应用。
• 《“十四五”数字经济发展规划》（2021年12月12日发布）：支持常态化安全风险评估及密评。

附录3：各部门密码应用及密评相关政策文件

• 国家铁路局：要求铁路关键信息基础设施每年至少进行一次密评。
• 国家能源局：提出电力行业需落实密评，完善密码支撑体系。
• 国家卫生健康委：推动医疗行业密评，提升数据安全防护能力。
• 交通运输部：强调在公路水路关键信息基础设施中开展密评。
• 国家密码管理局：规范密评机构管理，加强备案审查。

附录4：各省及新疆生产建设兵团密码应用及密评政策

• 北京市：强调密评备案程序，要求同步规划、建设、运行密码保障系统。
• 上海市：提出密评结果审查、网络安全等级保护及密评工作指南。
• 江苏省：明确密评与备案流程，纳入绩效考核依据。
• 浙江省：强化密评备案管理，推动密评结果审查。
• 安徽省：提出“三同步一评估”要求，加强密评与绩效考核的关联。
• 福建省：推进密评与“四电”应用结合，加强政务系统密码应用。
• 山东省：推动密评与网络安全服务模式升级，加强密评备案管理。
• 河南省：提出密评检查、备案及“三同步一评估”要求，强化执法检查。

总结

《商用密码应用安全性评估管理办法》是国家密码管理局为加强和规范商用密码应用安全性评估工作而制定的重要政策文件，其核心在于保障网络与信息安全，提升密码应用水平。该办法通过“三同步一评估”原则，确保重要网络与信息系统在规划、建设、运行各阶段均落实密码保障措施。同时，明确评估机构资质要求，规范评估程序及内容，并加强监督检查与法律责任，确保评估工作的有效性和合规性。此外，办法还强调对密评结果的备案制度，推动密评工作的制度化和规范化。各省级政府和相关部门也陆续出台相关措施，进一步细化和落实密评要求，推动商用密码在政务、交通、能源、医疗等重要领域的应用与管理。