从入门到精通：密评科普系列（二）看懂密评只需四步

密评全称：商用密码应用安全性评估

定义：对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。

这句话精简一下，即：对网络和信息系统密码应用进行评估。在网络和信息系统中，密码几乎无处不在，用户登录、管理员操作、业务系统之间互相调用数据…全都跟密码息息相关，因此在做密评的时候，需要针对整个网络和信息系统进行测评。

■  电信网、广播电视网、互联网等基础信息网络；

■  能源、教育、交通、卫生计生、金融等涉及国计民生和基础信息资源的重要信息系统；

■  石油石化、电力系统、交通运输、水利枢纽、城市设施等重要工业控制系统电力系统、石油天然气、油气管道等重要信息系统和重要工业控系统；

■  党政机关和使用财政资金的事业单位、团体组织使用的面向社会服务的信息系统；

■  基础信息网络、涉及国计民生和基础信息资源的重要信息系统、重要工业控制系统。

国家网络安全和密码相关法律法规明确要求非涉密的关键信息基础设施、等保三级及以上系统、国家政务等重要信息系统要开展密评工作。并且，密评管理办法也明确规定：关键信息基础设施、网络安全等级保护第三级及以上信息系统，需要每年至少评估一次。

对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用，需要满足合规性、正确性、有效性的要求，具体内容如下：

合规性：信息系统使用的密码技术、产品和服务是否符合国密要求

正确性：受保护对象是否明确，密码功能是否实现准确，密码产品参数是否配置正确

有效性：检验或验证密码应用是否合规、正确，是否真正实现了受保护对象的安全防护需求

技术要求：

-  保障信息系统的实体身份真实性、重要数据的机密性和完整性/操作行为的不可否认性

-  密钥全生命周期的各个环节：密钥生成、存储、分发、导入、导出、使用、备份、恢复、归档与销毁的安全要求

管理要求：

-  密码应用安全管理相关流程制度的制定、发布、修订的规范性要求;

-  密码相关安全人员的密码安全意识以及关键密码安全岗位员工的密码安全能力的培养,人员工作流程要求等;

-   建设运行过程中密码应用安全要求及方案落地执行的一致性和有效性要求；

-  处理密码应用安全相关的应急突发事件的能力要求。

密评流程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动；在整个密码应用安全性评估过程中，测评双方将会持续进行沟通和改造。

测评准备阶段：测评项目启动 / 信息收集与分析 / 工具和表单准备

方案编制阶段：测评对象和指标确定 / 测评工具切入点确定  / 测评方案编制

现场测评阶段：现场测评实施准备 / 现场测评和结果记录  /结果确认和资料归还

报告编制阶段：测评结果判定 / 结果风险分  / 报告编制