图解《商用密码应用安全性评估管理办法（征求意见稿）》-炼石_23页_9mb

商用密码应用安全性评估管理办法（征求意见稿）总结

核心内容

《商用密码应用安全性评估管理办法（征求意见稿）》旨在规范商用密码应用安全性评估工作，保障网络与信息安全，维护国家安全和社会公共利益。该办法根据《中华人民共和国密码法》和新修订的《商用密码管理条例》等法律法规制定，明确了商用密码应用安全性评估的定义、管理体制、实施规范、监督及法律责任等内容。

主要观点

• 评估制度的建立：商用密码应用安全性评估制度依法确立，评估机构统一纳入商用密码检测机构管理，以确保评估工作的权威性和规范性。
• “三同步一评估”原则：强调网络与信息系统在规划、建设、运行各阶段需同步规划、同步建设、同步运行商用密码保障系统，并定期进行评估。
• 评估活动的系统性：评估活动需按照统一标准、统一程序、统一活动内容进行，确保评估工作的全面性和一致性。
• 法律责任明确：重要网络与信息系统运营者若违反相关规定，将面临警告、罚款等处罚措施，以强化评估工作的执行力度。
• 过渡期安排：办法施行前已建设或运行的重要系统，需按照办法要求进行评估，以确保评估制度的全面实施。

关键信息

评估范围与责任主体

• 评估范围：适用于依法应当使用商用密码进行保护的网络与信息系统。
• 责任主体：网络与信息系统运营者需自行或委托商用密码应用安全性评估机构开展评估活动。
• 评估机构要求：评估机构需经国家密码管理局认定并取得商用密码检测机构资质，以确保评估结果的权威性。

评估实施要求

• 评估阶段：包括规划阶段、建设阶段、运行阶段的评估。
• 评估内容：
  • 规划阶段：需进行商用密码应用方案的评估与论证。
  • 建设阶段：需对密码技术、产品和服务的选用进行合规性、安全性分析。
  • 运行阶段：需对商用密码应用的正确性、有效性进行检测分析和评估验证。
• 运营者支持义务：需提供重要数据备份、设备清单、网络拓扑、运营维护记录等资料，配合评估工作。

评估报告与备案

• 报告要求：评估报告需符合相关国家标准、行业标准和规定要求，并由运营者负责人签字确认、加盖公章。
• 备案义务：重要网络与信息系统运营者需向管理部门备案评估报告。
• 报告保存：评估原始记录和报告需归档留存，保存期限不少于6年。

监督与法律责任

• 监管措施：国家密码管理局及地方密码管理部门可对评估活动进行专项检查。
• 处罚措施：
  • 未按要求开展评估的，责令改正并给予警告；拒不改正的，处10万至100万元罚款。
  • 未通过评估且未进行改造的，处10万至100万元罚款。
  • 未提供必要支持或影响评估结果的，处1万至10万元罚款。
  • 未备案评估报告的，处1万至10万元罚款。

实施规范

• 办法施行时间：本办法自2023年6月9日起施行，具体施行日期待定。
• 过渡期安排：
  • 施行前正在建设的重要系统，需加强商用密码应用方案编制与实施。
  • 施行前已运行的重要系统，需按照办法第九条开展评估。

附注

• 炼石公司定位：炼石公司以“免改造”为特色，专注于数据安全领域，提供全面的数据保护解决方案。
• 产品特色：
  • 支持灵活部署，兼容多种开发语言与操作系统。
  • 采用高性能国密技术，实现快速加密与解密。
  • 提供集中式管控与分布式保护体系，确保数据安全。
• 服务体系：包括4项通用服务和2项专项咨询，涵盖数据安全规划、建设、运维、培训等方面。

总结

《商用密码应用安全性评估管理办法（征求意见稿）》通过明确评估制度、责任主体、实施规范、监督机制和法律责任，旨在提升商用密码应用的安全性与合规性。办法强调“三同步一评估”原则，要求网络与信息系统在建设与运行过程中同步引入商用密码保障措施，并定期进行评估。同时，为确保评估工作的权威性，评估机构需依法取得资质，评估报告需符合标准并妥善保存。该办法的实施将有助于推动商用密码应用安全性评估工作的规范化与系统化，为数据安全提供坚实保障。