2023-10-21-炼石网络-炼石图解_商用密码应用安全性评估管理办法_V1.0_37页_15mb

商用密码应用安全性评估管理办法总结

立法背景与目的

• 规范商用密码应用安全性评估工作，保障网络安全，维护国家安全和社会公共利益。
• 根据《中华人民共和国密码法》《商用密码管理条例》制定，自2023年11月1日起施行。

主要内容

1. 定义与范围

   • 商用密码应用安全性评估指对网络与信息系统使用商用密码技术、产品和服务的合规性、正确性和有效性进行检测分析和评估的活动。
   • 适用对象：法律、行政法规要求使用商用密码的关键信息基础设施（如等保三级以上系统）。

2. 管理体制

   • 国家密码管理局负责全国评估工作的管理与监督。
   • 地方密码管理部门负责本行政区域内评估工作的指导与检查。
   • 评估机构资质：从事商用密码应用安全性评估的机构需经国家密码管理局认定。

3. 实施要求

   • “三同步一评估”：重要网络与信息系统规划、建设、运行阶段必须同步规划、同步建设、同步运行密码保障系统，并定期进行评估。
   • 评估范围：关键信息基础设施、网络等保三级以上系统、政务信息系统等。
   • 评估备案制度：运营者每年至少进行一次评估，并将评估报告备案。

4. 监督检查与法律责任

   • 监督检查：密码管理部门对评估结果进行抽查，评估机构需配合提供数据。
   • 违规处理：未按规定进行评估或未整改的，处以罚款；情节严重的，可能解除合同或暂停资金支持。

政策背景

• 《密码法》明确规定商用密码应用需遵循标准化、合规化要求。
• 多部门联合发布政策（如网信办、发改委等），推动密码技术与数据安全深度融合。
• 各地区已出台实施细则，明确本地评估流程、备案时限及考核机制。

附则

• 过渡期规定：已建系统需在政策施行后5年内完成合规性整改和评估。
• 技术支持：鼓励商用密码技术创新和自主可控产品应用，建立密码检测平台和动态监测机制。