商用密码应用安全评估实施方案(50页PPT)

商用密码应用安全评估:简称密评，是指在采用商用密码技术、产品和服务集成建设的网络和信息系统中，对其密码应用的合规性、正确性和有效性进行评估的过程。这一评估过程是根据《中华人民共和国密码法》等相关法规和标准进行的。

合规性评估主要是检查密码应用是否符合国家相关法律法规和标准的要求，例如《商用密码管理条例》等。正确性评估主要是验证密码设备的配置、密码协议的实现等是否正确，是否存在可能导致安全隐患的问题。有效性评估主要是测试安全措施如身份认证、访问控制、数据加密等是否有效，能否达到预期的安全效果。

我国的《密码法》中对密码的定义是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。同时《密码法》明确规定，国家对密码实行分类管理，密码分为核心密码、普通密码和商用密码。

核心密码是采用加密保护和安全认证措施用于保护传输、存储及处理国家绝密级、机密级、秘密级信息的密码。核心密码广泛应用于国防、外交、安全等领域。对于维护国家的安全和利益具有重要的作用。

普通密码是采用加密保护和安全认证措施用于保护传输、存储及处理国家机密级、秘密级信息的密码。相比于核心密码，普通密码保护的信息级别较低，普通密码的应用范围可能更加广泛，例如在政府机构、金融机构、教育机构等领域都有应用。

商用密码是指对不涉及国家秘密内容的信息进行加密保护或安全认证所使用的密码技术和密码产品。商用密码技术是商用密码的核心，是信息化时代社会团体、组织、企事业单位和个人用于保护自身权益的重要工具。国家将商用密码技术列入国家秘密，任何单位和个人都有责任和义务保护商用密码技术的秘密。

典型的商用密码应用场景包括：密钥管理系统、身份鉴别系统、金融IC卡发卡系统和交易系统、网上银行系统 、远程移动支付服务业务系统、信息采集系统、智能网联汽车共享租赁业务系统、综合网站群系统以及政务云系统等。

随着数字化、网络化、智能化的深入发展，大数据、云计算、区块链、AI等技术的变革，越来越多的系统日益强调全域安全，强信任、强安全、强可控、强防护成为必然要求。包括云计算、物联网、工业互联网、移动办公等场景进行密码防护方案设计，构建以商用商用密码为核心的信息系统安全防护体系。

但是，商用密