密评全攻略：3分钟读懂密评！

国密算法是中国自主研发的商用密码算法标准，广泛应用于政府、金融、电信等行业，以保障信息安全。以下是一些常用的国密算法：

1. 基础信息网络：电信网络、广播电视网、互联网；

2. 涉及国计民生和基础信息资源的重要信息系统：能源、教育、公安、测绘地理、社保、交通、卫生计生、金融等信息系统

3. 重要工业控制系统：核设施、航空航天、先进制造、石油石化、油气管网、电力系统、交通运输、水利枢纽、城市设施等工业控制系统；

4. 面向社会服务的政务信息系统：党政机关和使用财政性资金的事业单位和团体组织使用的面向社会服务的信息系统。

基本要求:主要依据国家标准 GBIT 39786-2021《信息安全技术信息系统密码应用基本 要求》，此标准于 2021 年 10 月1日正式实施，旨在指导、规范信息系统密码应用的规 划、建设、运行及测评对于规范和引导信息系统合规、正确、有效应用密码，切实维 护国家网络与信息安全具有重要意义。

评估方法:目前主要参考的文件是 2021 年发布的 GM/T 0115-2021《信息系统密码应用 测评要求》、GM/T 0116-2021《信息系统密码应用测评过程指南》，中国密码学会密评 联委会修订形成的《信息系统密码应用高风险判定指引》《商用密码应用安全性评估量 化评估规则》。

量化评估结果判定规则:根据《商用密码应用安全性评估量化评估规则》，若整体量化 评估结果为 100 分，则判定被测信息系统符合 GBIT 39786-2021 相应等级要求;结果低 于 100 分、不低于阈值，且经风险评估发现没有高风险，则判定被测信息系统基本符合 GBIT 39786-2021 相应等级要求;否则，判定被测信息系统不符合 GBIT 39786-2021 相 应等级要求,

根据《信息系统密码应用测评要求》，进行测评的典型密码产品有智能 I℃ 卡/智能密码 钥匙、密码机、VPN 产品和安全认证网关、电子签章系统、动态口令系统、电子门禁 系统、证书认证系统。

密评通过相关技术手段对密码产品实施测评，检验产品是否具备传输机密性、存储机密性、传输完整性、存储完整性、真实性、不可否认性的密码功能。

密评工作主要分为两个阶段:一是信息系统规划阶段的密码应用方案评估，这一环节主要用于保证建设方案的安全性;二是信息系统建设完成后针对该系统开展现场测试。

1、密评定级备案咨询

参考相关国标、行标及行业主管单位下发的指导文件，协助用户确定测评系统边界，并明确定级标准与测评定级。协助完成《密评备案表》和《专家评审意见》等材料，完成系统测评备案流程。

2、密码应用差距分析

通过工具扫描和人工核查等安全测试方法，对被测系统进行安全风险评估、排查与差距分析，结合密码应用测评标准提供差距分析报告与整改实施建议。

3、密评建设方案支撑

根据《GB/T39786-2021 信息系统密码应用基本要求》等相关标准文件，结合行业特性要求、监管单位要求和密码安全业务需求进行密码应用方案设计与撰写，协助用户对方案进行机构评审或专家评审。

4、密评整改咨询指导

对系统密码应用设计与建设方案进行评估，梳理密码支撑能力建设合规性与合理性，提供密码应用支撑体系建设与实施难点咨询服务，指导用户开展密码合规性建设与密码服务运营。