【图文详解】商用密码应用安全性评估！

《中华人民共和国密码法》《商用密码管理条例》公安部【2020】1960号文【2019】57号文商用密码应用安全性评估管理办法

第六条 法律、行政法规和国家有关规定要求使用商用密码进行保护的网络与信息系统（以下简称重要网络与信息系统），其运营者应当使用商用密码进行保护，制定商用密码应用方案，配备必要的资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统，并定期开展商用密码应用安全性评估。

第七条 重要网络与信息系统规划阶段，其运营者应当依照相关法律法规和标准规范，根据商用密码应用需求，制定商用密码应用方案，规划商用密码保障系统。重要网络与信息系统的运营者应当自行或者委托商用密码检测机构对商用密码应用方案进行商用密码应用安全性评估。商用密码应用方案未通过商用密码应用安全性评估的，不得作为商用密码保障系统的建设依据。

第九条 重要网络与信息系统建成运行后，其运营者应当自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估，确保商用密码保障系统正确有效运行。未通过商用密码应用安全性评估的，运营者应当进行改造，并在改造期间采取必要措施保证网络与信息系统运行安全。

第十七条　重要网络与信息系统的运营者违反《中华人民共和国密码法》、《商用密码管理条例》和本办法规定，有下列情形之一的，由密码管理部门责令改正，给予警告；拒不改正或者有其他严重情节的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款：

（一）重要网络与信息系统规划阶段，未对商用密码应用方案进行商用密码应用安全性评估的；

（二）重要网络与信息系统建设阶段，未按照通过商用密码应用安全性评估的商用密码应用方案建设商用密码保障系统的；

（三）重要网络与信息系统运行前，未开展商用密码应用安全性评估的；

（四）重要网络与信息系统运行前，未通过商用密码应用安全性评估且未进行改造的；

（五）重要网络与信息系统建成运行后，未定期开展商用密码应用安全性评估的；

（六）重要网络与信息系统建成运行后，未通过定期开展的商用密码应用安全性评估且未进行改造的；

（七）违反法律法规、标准规范要求开展商用密码应用安全性评估的；

（八）不符合相关要求自行开展商用密码应用安全性评估的。

第十八条　重要网络与信息系统的运营者违反本办法规定，有下列情形之一的，由密码管理部门责令改正；逾期未改正或者改正后仍不符合要求的，处1万元以上10万元以下罚款，对直接负责的主管人员处5000元以上5万元以下罚款：

（一）对商用密码应用安全性评估结果施加不当影响的；

（二）未为商用密码应用安全性评估活动提供必要支持的；

（三）未按照要求进行商用密码应用安全性评估结果备案的。

“十四五”发展规划

政务

“十四五”推进国家政务信息化规划

GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》 GM/T0115-2021 信息系统密码应用测评要求

商用密码应用安全性评估

商用密码应用安全性评估,简称“密评”,是指按照有关法律法规和标准规范,对网络与信息系统使用商用密码技术、产品和服务的合规性、正确性和有效性进行检测分析和评估验证的活动。

密码应用管理过程应遵循信息安全管理科学规律，采用“计划-实施-检查-改进”循环，以保证密码应用管理体系的持续改进。密评使密码应用管理过程构成闭环，促进密码应用管理体系待续改进。密评活动贯穿于密码应用管理过程整个生命周期，包含信息系统规划阶段对密码应用方案进行评估和建设运行阶段对信息系统进行初次评估、定期评估和应急评估。

三同步一评估

密评的对象⸺重要网络与信息系统：法律、法规和国家哎有关规定要求使用商用密码进行保护的网络与信息系统。

三同步一评估：重要网络与信息系统同步规划、同步建设、同步运行密码保障系统，并定期开展商用密码应用安全性评估。

密评流程

密码应用方案评估

信息系统密码测评报告编制