炼石网络：图解《商用密码管理条例》_202页_30mb

《商用密码管理条例》总结

核心内容

《商用密码管理条例》于2023年5月24日发布，2023年7月1日起施行，旨在规范商用密码应用和管理，鼓励和促进商用密码产业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益。

主要观点

• 创新发展与安全结合：条例在促进商用密码科技创新和成果转化的同时，对涉及国家安全、国计民生和社会公共利益的商用密码产品、服务和关键信息基础设施的商用密码应用实施管控。
• 放宽准入与加强监管结合：条例取消了部分行政审批事项，实行检测认证制度，管理方式由重事前审批转为加强事前事中事后监管，以激发市场活力和社会创造力。
• 与相关法律法规衔接：条例注重与《密码法》、《网络安全法》、《出口管制法》、《电子签名法》、《认证认可条例》、《关键信息基础设施安全保护条例》等法律法规的衔接，确保制度统一性和法律效力。
• 加强人才培养与宣传教育：国家鼓励和支持密码相关学科和专业建设，规范商用密码社会化培训，增强公民、法人和其他组织的密码安全意识。
• 推动国际标准化：鼓励企业、社会团体和教育、科研机构参与商用密码国际标准化活动，促进中国标准与国际标准的转化和应用。

关键信息

条例亮点：六大重点修订

1. 促进商用密码科技创新

   • 建立商用密码人才发展体制机制和人才评价制度
   • 支持商用密码科技成果转化和产业化应用
   • 优化科研成果审查鉴定审批范围，依法保护知识产权
   • 规范商用密码标准的制定、实施、监督及国际化

2. 检测认证制度

   • 取消产品生产、销售、品种型号审批
   • 实行检测认证制度，对关键领域实行强制性检测认证
   • 明确检测认证机构资质审批条件、程序和从业规范

3. 电子认证管理

   • 明确电子认证服务使用密码要求和使用规范
   • 建立电子认证信任机制，推动电子认证服务互信互认
   • 规范电子政务电子认证服务的资质审批和从业要求

4. 进出口管理

   • 明确涉及国家安全、社会公共利益或中国承担国际义务的商用密码实施进口许可或出口管制
   • 大众消费类产品所采用的商用密码不实行进口许可和出口管制
   • 商务主管部门会同密码管理部门和海关制定进口许可和出口管制清单

5. 商用密码应用促进

   • 鼓励各主体依法使用商用密码保护网络与数据安全
   • 支持网络产品和服务使用商用密码提升安全性
   • 明确关键信息基础设施的商用密码使用要求及安全审查机制
   • 加强商用密码应用安全性评估与网络安全等级保护制度的衔接

6. 监督管理机制

   • 建立商用密码监督管理协作机制，推进与社会信用体系衔接
   • 明确密码管理部门和有关部门的职责权限
   • 保障商用密码检测、认证机构的独立、公正、科学、诚信
   • 对违规行为实施警告、罚款、吊销资质等处罚措施

条例结构

• 第一章 总则：明确立法目的、适用范围、关键定义、监管机构、人才培养、宣传教育、行业自律等。
• 第二章 科技创新与标准化：推动密码科技创新，规范标准制定与实施，鼓励标准国际化。
• 第三章 检测认证：建立检测认证体系，明确检测认证机构资质要求及从业规范。
• 第四章 电子认证：规范电子认证服务，明确电子政务电子认证机构资质及服务要求。
• 第五章 进出口：规范商用密码进出口管理，制定进出口许可清单。
• 第六章 应用促进：鼓励商用密码应用，明确关键信息基础设施的商用密码使用要求。
• 第七章 监督管理：加强商用密码监督管理，建立协作机制，规范监督检查流程。
• 第八章 法律责任：明确违反条例的处罚措施，涵盖不同主体的违法行为及法律责任。
• 第九章 附则：规定条例施行日期及相关事项。

重要定义

• 商用密码：采用特定变换方法对非国家秘密信息进行加密保护、安全认证的技术、产品和服务。
• 关键信息基础设施：涉及国家安全、国计民生、社会公共利益的信息系统和设备。
• 密评（商用密码应用安全性评估）：对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。

商用密码检测与认证

• 检测认证制度：取消产品生产、销售、品种型号审批，实行检测认证制度。
• 检测认证机构：需经国家密码管理部门认定，依法取得资质。
• 检测认证流程：包括资质申请、检测实施、结果上报等。
• 强制性认证：关键领域商用密码产品和服务需经检测认证合格后方可销售或提供。

电子认证服务

• 电子认证要求：电子认证服务需符合技术规范，保证持续合规。
• 电子政务认证：需经国家密码管理部门认定，依法取得资质。
• 外商投资安全审查：影响国家安全的电子政务电子认证服务需进行安全审查。

进出口管理

• 进出口清单：由国务院商务主管部门会同国家密码管理部门和海关制定。
• 合规要求：涉及国家安全、社会公共利益或承担国际义务的商用密码需接受进口许可或出口管制。
• 大众消费类产品：不实行进出口管制。

应用促进

• 鼓励使用：鼓励各主体依法使用商用密码保护网络安全。
• 安全审查机制：关键信息基础设施运营者需通过国家安全审查。
• 密评与等保衔接：避免重复评估，提升评估效率。

监督管理

• 协作机制：建立商用密码监督管理协作机制，推进与社会信用体系衔接。
• 保密义务：密码管理部门及工作人员不得泄露或非法向他人提供在履行职责中知悉的商业秘密、个人隐私等信息。
• 举报机制：单位和个人可依法举报违规行为，接受监管。

法律责任

• 处罚措施：包括警告、罚款、吊销资质、停业整顿等。
• 责任主体：涵盖商用密码检测、认证机构、电子政务电子认证服务机构、网络运营者、关键信息基础设施运营者、国家机关及工作人员、黑客等不法分子等。
• 情节严重者：依法承担刑事责任或民事责任。

附则

• 施行日期：2023年7月1日
• 配套标准：包括《信息安全技术信息系统密码应用基本要求》（GB/T39786-2021）和《信息系统密码应用测评过程指南》（GB/T0116-2021）等。

关键信息基础设施、等保测评、密评关系

• 评估对象：等保测评对象基本涵盖所有网络和信息系统，密评对象为法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施。
• 评估周期：第三级以上的等保测评、关键信息基础设施和密评均为每年至少一次。
• 评估内容：涵盖技术层面（物理和环境、网络和通信、设备和计算、应用和数据）和管理层面（管理制度、人员管理、建设运行、应急处置）。
• 评估结论：分为符合、部分符合、不符合，高风险时评估结论为不符合。

评估原则与要求

• 评估原则：遵循独立、客观、公正原则，依据相关密码标准。
• 分级管理：根据信息系统安全等级，提出不同级别的密码应用安全要求。
• 通用要求：涵盖密码算法、密码技术、密码产品和服务的合规性要求。

基础性标准

• GB/T39786-2021：《信息安全技术信息系统密码应用基本要求》，为商用密码应用提供基础性指导。
• 指标体系：包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全，以及管理制度、人员管理、建设运行、应急处置等。

评估流程

• 密评流程：确定评估对象、开展测评工作、输出测评报告、上报测评结果。
• 等保流程：定级、备案、建设整改、等保测评、监督检查。
• 关基流程：识别认定、安全防护、检测评估、监测预警、事件处置。

评估内容与要求

• 技术要求：包括机密性、完整性、真实性、不可否认性等密码安全功能维度。
• 管理要求：包括管理制度、人员管理、建设运行、应急处置等。
• 保护对象：涵盖身份鉴别信息、密钥数据、传输数据、存储数据、日志记录、访问控制信息等。

重要密码技术定义

• 机密性：保证信息不被泄露给非授权实体。
• 完整性：保证数据未被非授权方式改变。
• 真实性：保证实体是其所声称的实体。
• 不可否认性：保证数据原发和接收行为无法被否认。
• 加密：对数据进行密码变换以产生密文。
• 身份鉴别：证实实体所声称身份的过程。
• 访问控制：按照特定策略允许或拒绝用户对资源的访问。
• 密钥管理：对密钥全生命周期进行管理。
• 消息鉴别码：由消息导出的数据项，用于检查消息完整性和身份真实性。
• 动态口令：基于时间、事件等方式生成的一次性口令。
• 密码算法：符合法律法规和国家标准、行业标准。
• 密码产品和服务：需符合法律法规要求，接受检测认证。

评估等级

• 信息系统密码应用等级：分为一级至五级，逐级增强密码保障能力。
• 第一级：最低等级，符合通用要求和最低管理要求。
• 第二级：增加操作规程、人员培训与考核、应急预案等管理要求。
• 第三级：增加真实性、机密性技术要求及全部管理要求。
• 第四级：增加完整性、不可否认性技术要求。
• 第五级：未在本标准中描述技术要求和管理要求。

评估指标

• 物理和环境安全：涵盖身份鉴别、数据完整性等。
• 网络和通信安全：涵盖数据传输、访问控制等。
• 设备和计算安全：涵盖密钥管理、消息鉴别码等。
• 应用和数据安全：涵盖身份认证、数据完整性等。
• 管理制度：涵盖流程制度制定、发布、修订等。
• 人员管理：涵盖密码安全意识、岗位能力等。
• 建设运行：涵盖方案执行的一致性和有效性。
• 应急处置：涵盖突发事件处理能力。

评估结果

• 符合：满足所有要求。
• 部分符合：部分要求未满足。
• 不符合：未满足主要要求。
• 高风险项：评估中发现的高风险问题。
• 评分规则：依据评估内容进行评分。
• 测评结论：最终评估结果。

总结

《商用密码管理条例》在规范商用密码应用和管理、促进商用密码产业发展、保障网络与信息安全方面具有重要意义。条例通过放宽市场准入、加强事前事中事后监管、建立检测认证体系、推动电子认证服务、规范进出口管理、加强应用促进和监督管理等措施，为商用密码的发展和应用提供了有力的法律保障。同时，条例与《密码法》等法律法规紧密衔接，确保了商用密码管理的系统性和统一性。