【炼石网络】图解《商用密码管理条例》

《商用密码管理条例》总结

核心内容概述

《商用密码管理条例》于2023年5月24日发布，自2023年7月1日起施行，旨在规范商用密码应用和管理，鼓励商用密码产业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益。

主要观点与关键信息

修订背景与意义

• 适应新时代发展需求：随着商用密码应用范围的扩大，其在维护国家主权、安全和发展利益方面作用日益凸显。
• 落实密码法要求：2020年《密码法》施行后，需细化相关制度，落实行政审批制度改革精神。
• 平衡发展与安全：在促进商用密码科技创新的同时，对涉及国家安全、国计民生、社会公共利益的商用密码产品、服务及关键信息基础设施实施重点管控。

条例亮点

• 六大重点修订：涵盖科技创新、标准化、检测认证、电子认证、进出口管理、应用促进等方面，应对技术进步和产业发展中的新情况新问题。
• 放宽市场准入：取消原条例中对商用密码产品生产、销售单位的审批和许可，实行检测认证制度。
• 加强事中事后监管：监管重点从事前审批转向事前、事中、事后全流程监管，激发市场活力。

商用密码定义与适用范围

• 定义：商用密码是指采用特定变换方法对不属于国家秘密的信息等进行加密保护、安全认证的技术、产品和服务。
• 适用范围：涵盖商用密码科研、生产、销售、服务、检测、认证、进出口、应用及监督管理等活动。

监管体系

• 监管机构：国家密码管理部门负责全国商用密码工作，县级以上地方密码管理部门负责本行政区域工作。
• 协作机制：密码管理部门与网信、商务、海关、市场监管等部门协作，形成统一监管体系。

人才培养与宣传教育

• 人才培养：鼓励和支持密码相关学科和专业建设，规范商用密码社会化培训，促进人才交流。
• 宣传教育：各级政府及部门应加强商用密码宣传教育，增强密码安全意识。

标准化与科技创新

• 标准制定：规范商用密码标准的制定、实施、监督与国际化，明确强制性和推荐性标准。
• 创新促进：建立健全商用密码科技创新促进机制，支持技术成果转化和产业化应用，保护知识产权。

检测认证制度

• 检测认证体系：鼓励自愿接受检测认证，对关键领域产品和服务实行强制性检测认证。
• 资质审批：商用密码检测和认证机构需经国家密码管理部门认定，依法取得资质。
• 从业规范：检测和认证机构需独立、公正、科学、诚信地开展工作，定期报送实施情况。

电子认证服务

• 电子认证要求：明确电子认证服务使用密码要求和规范，建立电子认证信任机制。
• 电子政务认证：对电子政务电子认证服务机构实行资质审批，实行外商投资安全审查。

进出口管理

• 进出口机制：对涉及国家安全、社会公共利益或国际义务的商用密码实施进出口许可或出口管制。
• 清单制定：国务院商务主管部门会同密码管理部门和海关总署制定进口许可清单和出口管制清单。
• 大众消费类产品：不实行进出口许可和出口管制制度。

应用促进与监管

• 应用促进：鼓励各主体依法使用商用密码保护网络与数据安全，支持网络产品和服务使用商用密码提升安全性。
• 关键信息基础设施：运营者需使用商用密码进行保护，制定应用方案，进行安全性评估，与网络安全等级保护制度衔接。
• 监管要求：建立商用密码监督管理协作机制，推进与社会信用体系衔接，加强监督检查。

法律责任

• 处罚机制：对违反条例的单位或个人，轻者给予警告、罚款，重者依法承担刑事责任或民事责任。
• 违规情形：包括未经认定开展检测认证、使用未经认证的商用密码产品和服务、非法使用密码、阻挠监督管理等。

商用密码应用安全性评估（密评）

• 密评定义：对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。
• 密评目的：确保密码应用符合国家标准，提升防护能力，维护用户合法权益。
• 密评流程：包括确定评估对象、开展测评工作、输出测评报告、上报测评结果。
• 密评与等保衔接：第三级以上的等保测评对象同时也是密评对象，避免重复评估。

评估对象与周期

• 评估对象：涵盖法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施。
• 评估周期：每年至少一次。

评估内容与原则

• 评估内容：包括技术层面（物理和环境、网络和通信、设备和计算、应用和数据）和管理层面（管理制度、人员管理、建设运行、应急处置）。
• 评估原则：遵循独立、客观、公正的原则，依据《信息系统密码应用基本要求》等相关标准。

评估等级与要求

• 等级划分：信息系统密码应用安全要求划分为五个等级（第一级至第五级），要求逐级增强。
• 通用要求：包括密码算法、密码技术、密码产品和服务需符合法律法规及相关标准。

评估指标体系

• 物理和环境安全：根据等级要求，对重要区域访问、数据存储完整性等提出相应要求。
• 网络和通信安全：涵盖身份鉴别、数据传输安全等，需达到相应安全等级标准。

与相关法律法规衔接

• 与《密码法》衔接：条例对《密码法》相关制度进行细化，确保实施效果。
• 与《数据安全法》衔接：密评与数据安全评估相互配合，提升整体安全水平。
• 与《个人信息保护法》衔接：对涉及个人信息保护的商用密码应用进行规范。

总结

《商用密码管理条例》的修订体现了国家对商用密码管理的全面升级，从原先的全环节严格管控转向重点环节监管，推动了商用密码的创新发展与安全应用。通过建立检测认证制度、电子认证机制、进出口管理机制等，条例有效规范了商用密码的使用与管理，同时加强了与《密码法》、《数据安全法》、《个人信息保护法》等法律法规的衔接，确保商用密码在保障信息安全方面发挥重要作用。