详解等保与密评的关系

"等保"（网络安全等级保护）和"密评"（信息系统密码应用安全性评估）是我国信息安全保障体系中两大核心评估体系，二者在信息系统安全合规建设中相互关联，互为补充，但各自侧重点有所不同。以下从背景、目的、评估内容、要求、执行机制及相互关系等方面进行详细介绍。

一、等保与密评的背景与目的

1. 等保的背景与目的

• 背景：网络安全等级保护制度（简称"等保"）起源于《网络安全法》，作为信息系统安全防护的重要框架，等保将信息系统的安全性等级从1级到5级进行划分，以此对安全防护需求进行分级管理。等保已成为各类信息系统特别是政府、金融、能源等关键行业系统必须遵守的安全保护框架。

• 目的：等保的核心目的是确保信息系统的整体安全性、可用性和稳定性，预防外部攻击、内部泄密、系统故障等威胁，保护关键信息基础设施，保障国家和公共安全。

2. 密评的背景与目的

• 背景：密评（信息系统密码应用安全性评估）是针对信息系统中密码技术的应用与管理而提出的专项评估。随着《中华人民共和国密码法》的发布和实施，信息系统在数据保护中的密码应用需求更加明确，密评作为一种对信息系统密码技术应用的安全评估手段，确保系统中的密码应用符合法规要求。

• 目的：密评旨在确保信息系统在存储、传输、处理敏感信息时，应用符合国家标准的密码技术，从而保护数据的机密性、完整性、抗抵赖性，尤其是防止因密码应用不当带来的数据泄露或篡改风险。

二、等保与密评的评估内容与标准

1. 等保评估内容

   等保评估依据《网络安全等级保护基本要求》进行，覆盖信息系统从物理层、网络层、主机层、应用层到数据层的全方位防护需求。

• 物理安全：包括机房安全、设备防护等，确保物理环境的安全。

• 网络安全：保障网络边界的安全性、内部网络的隔离性和数据传输的安全性。

• 主机安全：对操作系统、数据库等主机资源进行防护，保障主机的完整性、可控性。

• 应用安全：对业务应用进行保护，包括访问控制、身份认证、数据完整性检查等。

• 数据安全与备份恢复：保障数据的安全性与可恢复性。

• 安全管理：包括制度建设、人员管理、安全监测、应急响应等，确保安全运营和管理的持续性。

2. 密评评估内容

   密评依据《信息系统密码应用基本要求》及其相关标准执行，严格规范信息系统中密码技术的应用，确保在信息系统中的数据保护需求下，密码应用的合规与有效。

• 密码管理：包括密码的生成、分发、存储、使用、更新和销毁过程的管理，确保符合规范化要求。

• 密码算法与协议：评估密码算法的安全性，确保算法与协议符合国家安全标准，且适用于具体应用场景。

• 密钥管理：保障密钥的生成、存储、分发、使用、更新和销毁等过程的安全，防止密钥泄露。

• 加密应用安全：确保在数据存储、传输、处理等关键节点中的加密应用符合要求，保障数据在各环节的保密性与完整性。

• 身份认证：确保系统用户身份的唯一性和真实性验证，防止身份冒用和认证数据泄露。

三、等保与密评的执行机制与要求

1. 等保执行机制

• 分级保护：等保将信息系统按照安全需求从1级到5级进行划分，等级越高保护需求越严苛。一般情况下，3级及以上系统属于“重点保护级”，需更为严格的安全保护措施。

• 检查流程：等保涉及备案、定级、差距分析、整改加固和监督检查等流程，最终通过审核以满足相应等级的安全要求。

• 法律约束：等保已成为各类信息系统特别是关键信息基础设施必须遵守的法律要求，不符合等保的系统将可能面临法律处罚或运营限制。

2. 密评执行机制

• 合规检测：密评侧重于密码的规范性与应用的合规性，特别是对于关键信息基础设施、政府机关和敏感行业系统而言，密评已成为必备的密码安全合规要求。

• 专项评估：密评的评估包括系统的密码技术选型、密钥管理、加密应用部署等多个环节，通常由具备密评资质的第三方机构进行检测。

• 行业标准：密评的实施依据《信息系统密码应用安全性评估要求》和国家密码管理局颁布的相关标准，并定期检查，确保符合规范要求。

四、等保与密评的关系

1. 相互依赖与补充：等保与密评在保护信息系统的安全性上具有互补作用。等保提供了信息系统整体安全保护的框架，而密评聚焦于密码技术在数据保护中的应用。对于安全要求较高的系统，等保和密评的双重保护能够更全面地应对各类安全威胁，确保数据不泄露、系统不被非法访问或篡改。

2. 等保对密评的依赖：在等保三级及以上的信息系统中，密码应用成为评估的重要部分，这些系统要求通过密评来验证密码应用的合规性，因此密评是等保合规的重要支撑。特别是在数据传输、存储、访问控制等涉及敏感数据的场景中，符合密评标准的密码应用可以有效降低安全风险，满足等保的安全要求。

3. 密评的独立性与专门性：密评具有专门的密码应用规范与要求，是国家密码法和相关法规的具体实施体现，特别适用于信息系统中的敏感数据保护场景。因此，密评不仅支持等保的安全需求，在等保体系之外的其他系统中（如一些私有企业的信息系统）也可以独立实施。

4. 政策上的配套性：国家对信息系统的监管要求逐步提高，尤其是在关键信息基础设施中，等保和密评的合规已成为必要的法律要求。二者通过相辅相成的保护措施形成较为完善的防护体系，使信息系统在技术和管理层面符合国家的网络安全和密码管理政策。

五、总结

等保和密评共同构建了我国网络安全合规框架的重要组成部分。等保覆盖了信息系统的全面安全保障需求，而密评从密码应用的角度补充了等保在数据保护方面的具体安全措施。二者通过互为依托的评估机制，能够更好地适应信息安全的新形势和新需求。在实际应用中，两者往往需要结合进行实施，以确保系统整体安全性与数据保密性。

原文始发于微信公众号（悟安）：详解等保与密评的关系