+ + + + + + + + + + + 

近年來國(guó)家陸續發布《網絡安(ān)全法》、《密碼法》、《保守國(guó)家秘密法（修訂）》、《關鍵信息基礎設施安(ān)全保護條例》、《數據安(ān)全法》、《電(diàn)子簽名(míng)法》、《商(shāng)用(yòng)密碼應用(yòng)安(ān)全性評估管理(lǐ)辦(bàn)法》（試行）等，為(wèi)網絡安(ān)全和密碼應用(yòng)提供了法律保障。

自2021年開始，國(guó)家正式通過商(shāng)用(yòng)密碼應用(yòng)安(ān)全性評估（簡稱“密評”），針對當前密碼應用(yòng)不廣泛、不規範、不安(ān)全的現狀，大力促進以國(guó)家認可(kě)的密碼技(jì )術為(wèi)基礎，以整體(tǐ)性、規範性和協同性為(wèi)原則的密碼規範使用(yòng)和管理(lǐ)，推動科(kē)學(xué)規範的網絡安(ān)全密碼屏障體(tǐ)系盡快形成，保證密碼在網絡和信息系統中(zhōng)的有(yǒu)效使用(yòng)，打造以密碼為(wèi)基石的網絡空間新(xīn)安(ān)全架構，牢牢守住網絡安(ān)全最後一道防線(xiàn)。

商(shāng)用(yòng)密碼應用(yòng)安(ān)全評估與國(guó)家正在推進實施的網絡安(ān)全等級保護、涉密信息系統分(fēn)級保護、關鍵信息基礎設施保護等一起共同構成我國(guó)信息安(ān)全評估與管理(lǐ)的四項基本制度；除了密評本身對于密碼應用(yòng)安(ān)全提出系統性的要求，其他(tā)三項基本制度也都從各自角度分(fēn)别對密碼安(ān)全應用(yòng)提出了明确的法定要求。

為(wèi)此，根據 GB/T 39786-2021的要求，結合密碼保障體(tǐ)系建設和服務(wù)的專業經驗，建議從數字轉型和網絡安(ān)全頂層設計出發，引入《密碼應用(yòng)服務(wù)中(zhōng)台》為(wèi)中(zhōng)心，對接全域密碼設備和服務(wù)，規劃建設統一的《密碼安(ān)全保障基礎平台》，面向全域密碼應用(yòng)和管理(lǐ)，以全新(xīn)的平台化模式總成交付，通過對全域密碼應用(yòng)的全程追蹤、總體(tǐ)管控和統一服務(wù)，提高密碼應用(yòng)管理(lǐ)與服務(wù)的集約化和精(jīng)細化水平，全面掌握密評合規和密碼應用(yòng)安(ān)全保障的主動權，固本清源，切實守住網絡安(ān)全的最後一道防線(xiàn)。

+ + + + + 

密評最終目的是要系統性地推進和規範全域密碼應用(yòng)，隻有(yǒu)真正領會GB/T 39786-2021的要求，從密碼服務(wù)、應用(yòng)、管理(lǐ)同步進行，實現對全域密碼應用(yòng)的全程追蹤、總體(tǐ)管控和統一服務(wù)，才能(néng)從根本上真正滿足密評合規所要求的整體(tǐ)性、協同性和規範性要求。實踐中(zhōng)需要切實把握規範化、體(tǐ)系化、主動性和成長(cháng)性等幾個基本要則：

· 規範化。選用(yòng)國(guó)家認可(kě)的密碼算法、技(jì )術、産(chǎn)品和服務(wù)，确保密碼服務(wù)可(kě)用(yòng)。這一條涉及密評高風險項聚集的領域，需要首先保證。

 · 體(tǐ)系化。保持全域密碼應用(yòng)的全程追蹤和總體(tǐ)管控，确保可(kě)知、可(kě)管、可(kě)控。這一條涉及密評完備性和協同性，是克服密碼碎片化、避免疏漏的關鍵。

 · 成長(cháng)性。網絡信息系統是發展的，密改方案需支持動态擴展，确保其延續性。密評年檢制決定了密改的長(cháng)期性，必須在正确軌道上保持開放敏捷性設計。

 · 主動性。密評是手段，不是目标，密改需要與數字轉型和網絡安(ān)全規劃融合。以密碼為(wèi)内生安(ān)全基因構建網絡安(ān)全新(xīn)體(tǐ)系，才是密評工(gōng)作(zuò)的真正目的，也是密評合規的底層邏輯。

綜上所述。需求分(fēn)類歸納如下：

1. 規範完備的密碼服務(wù)功能(néng)體(tǐ)系

檢測定位不合格的密碼算法、技(jì )術、産(chǎn)品和服務(wù)，選配國(guó)家認可(kě)的密碼算法、技(jì )術、産(chǎn)品和服務(wù)。比如具(jù)有(yǒu)國(guó)密型号的服務(wù)器密碼機/密碼卡、數字證書系統（CA）、簽名(míng)驗簽服務(wù)器、時間戳服務(wù)器、協同簽名(míng)系統、電(diàn)子簽章系統、安(ān)全認證網關、SSL VPN/IPsec VPN、多(duō)因素認證系統、統一認證系統，以及具(jù)有(yǒu)工(gōng)信部許可(kě)的CA電(diàn)子認證服務(wù)等等。滿足全域對真實性、機密性、完整性和不可(kě)否認性等密碼服務(wù)保障能(néng)力的需求，構成規範完整、科(kē)學(xué)專業的密碼服務(wù)功能(néng)體(tǐ)系。

2. 科(kē)學(xué)系統的密碼服務(wù)管理(lǐ)體(tǐ)系

針對全域的密碼應用(yòng)統一管理(lǐ)，除了基本信息的登記備案，還需要實現服務(wù)方、依賴方（調用(yòng)方）和管理(lǐ)方三者及其相關策略的統一管理(lǐ)與協調一緻，避免密碼服務(wù)在管理(lǐ)上出現漏洞。

3. 安(ān)全穩定的密碼受控服務(wù)體(tǐ)系

對接全域密碼服務(wù)的功能(néng)和管理(lǐ)體(tǐ)系，按照設定的訪問策略，面向密碼應用(yòng)方提供安(ān)全可(kě)控和穩定高效的差異化密碼服務(wù)，在密碼産(chǎn)品安(ān)全合規的同時，确保全域密碼應用(yòng)體(tǐ)系的結構性安(ān)全，并具(jù)備适當的應急保障能(néng)力。

4. 獨立權威的密碼服務(wù)數據體(tǐ)系

針對全域碎片化的密碼服務(wù)數據進行彙總梳理(lǐ)和完整性保護，并針對密碼服務(wù)情況提供權威的查詢展示和審計服務(wù)。

5. 便捷高效的密碼服務(wù)運行體(tǐ)系

全程跟蹤展示密碼應用(yòng)情況；保障平台高質(zhì)量安(ān)全運行；支持平台運營日常維護以及用(yòng)戶自助服務(wù)的極簡高效；提供第三方開發者二次開發和仿真調測環境等。

6. 支持多(duō)樣化用(yòng)戶終端場景

密碼客戶端需要适配多(duō)樣化用(yòng)戶終端場景，比如手機、電(diàn)腦、pad等終端設備；SDK、插件、APP、小(xiǎo)程序、專用(yòng)客戶端等終端軟件形态；支持外接USBKey或者内置密碼軟件模塊；支持主流操作(zuò)系統和信創平台等等，确保用(yòng)戶體(tǐ)驗。

7. 支持靈活擴展專項密碼應用(yòng)系統

要求無縫擴展提供各種密碼類專項服務(wù)，滿足特定項目對于密碼服務(wù)的個性化定制。比如身份治理(lǐ)、電(diàn)子簽署、電(diàn)子合同、電(diàn)子證照、電(diàn)子存證等。

8. 支持基于密碼的網絡安(ān)全新(xīn)體(tǐ)系

支持平滑演進為(wèi)電(diàn)子認證、零信任框架、區(qū)塊鏈網絡等以密碼為(wèi)基石的網絡安(ān)全新(xīn)體(tǐ)系，充分(fēn)發揮密碼的核心基礎價值，守住新(xīn)形勢下網絡安(ān)全的最後一道防線(xiàn)。

總之，密評不隻是政策紅利和法定責任，以密碼為(wèi)内生安(ān)全基因構建網絡安(ān)全新(xīn)體(tǐ)系的未來已經來到，責任單位盡早統籌規劃統一的密碼應用(yòng)安(ān)全保障體(tǐ)系，并據此安(ān)排分(fēn)步實施落實，避免陷入“盲人摸象，欲速則不達”的誤區(qū)。

來源：數觀天下