目前，新疆地区、战略威慑和控制的新领域和国家安全的新战场正在迅速发展。 密码作为网络空间安全和信任机制建设的核心技术和基础支持，是国家安全的重要战略资源，也是国家实现安全可控信息技术体系弯道超车的重要突破。

近年来，国内密码应用形势不容乐观。 一是应用不广泛； 二是应用不规范；三是密码应用不安全。

为解决密码应用中存在的突出问题，国家颁布实施了《网络安全法》、《密码法》、《网络安全审查办法》、《国家政府信息项目建设管理办法》等一系列法律法规，对密码应用安全评价提出了要求

那么，企业在准备商用密码APP在发布安全评估(以下简称密集评估)时，应注意哪些问题，以及如何轻松通过？

问题1 :商用密码是什么？

商业密码是指密码技术和密码产品，用于加密和保护与国家秘密内容无关的信息。 商业密码技术是信息时代社会组织、组织、企事业单位和个人保护自身权益的重要工具。 国家将商业密码技术纳入国家秘密，任何单位和个人都有责任和义务保守商业密码技术秘密。

Q2 )商用密码安全评估是什么？

商用密码应用安全评价（以下简称密集评价）是指在综合商业密码技术、产品和服务建设的网络和信息系统中评价密码应用的合规性、准确性和有效性。

Q3 )为什么要做秘密评估？

密集评价是为了解决商业密码应用中存在的突出问题，为网络和信息系统的安全提供科学的评价方法，逐步规范商业密码的使用和管理，彻底改变商业密码应用不广泛、不规范、不安全的现状，确保商业密码在网络和信息系统中的有效使用，有效构建牢固可靠的网络安全密码屏障。

密集评估是国家网络安全和密码法律法规的明确要求，是法律责任和义务。

第二十七条密码法

法律、行政法规和国家有关规定要求使用商业密码保护的重要信息基础设施，经营者应当使用商业密码保护，或者委托商业密码检测机构评估商业密码应用的安全性。

《商业密码应用安全评价管理办法》第三条、第二十条

网络和信息系统建设、使用和管理单位(以下简称责任单位)涉及国家安全和社会公共利益的重大领域，应当建立和完善密码保障体系，并对商业密码应用进行安全评估。

重要领域的网络和信息系统包括基础信息网络、国民经济民生和基础信息资源重要信息系统、重要产业控制系统、政府信息系统、社会服务重要信息基础设施、网络安全三级以上保护信息系统。

第三条责任单位可以参照本办法独立评估商用密码应用的安全性。

Q4 )谁需要秘密评估？

基本信息网络：

电信网、广播电视网、互联网。

重要信息系统：

能源、教育、公安、地理信息测绘、社会保障、交通、卫生、计划生育、金融等重要信息系统。

重要的工业控制体系：

重要的工业控制系统，如核设施、航空航天、先进制造、石化、油气管网、电力系统、运输、水利枢纽、城市设施等。

政府信息系统面向社会服务：

面向社会服务的信息系统由党政机关、使用财政资金的事业单位和组织使用。

Q5 )不会受到密切评价或测试结果不合格的影响吗？

密码法第三十七条第一款

重要信息基础设施运营者违反本办法第二十七条第一款规定，未按要求使用商用密码或者未按要求开展商用密码应用安全性评估的，由密码管理部门责令改正，给予警告； 拒不改正或者危害网络安全的，处10万元以上100万元以下罚款，直接责任人员处1万元以上10万元以下罚款。

《国家政府信息化项目建设管理办法》第二十八条第三款

对于不符合密码应用和网络安全要求或存在重大安全风险的政府信息系统，项目建设单位不得在不安排运行维护资金的情况下建重建或扩建政府信息系统。

《商业密码应用安全评价管理办法》第二章第十条

每年至少评估一次重要的信息基础设施、网络安全三级及以上信息系统。

Q6 )什么是密评标准？

GM/T0054-2018 信息系统密码应用基本要求

信息系统密码评估要求(试行)

《商用密码应用安全评价过程指南(试行)》

《商业密码应用安全评价管理办法(试行)》

《商用密码应用安全评估操作指导书》

《商用密码应用安全评估工具使用说明书》

Q7 )仔细评价工作内容吗？

方案评估

新建/改造信息系统时，负责单位通常组织商业密码运营商制定密码应用建设方案/改造方案，包括密码应用解决方案、实施方案和应急处置方案。 制定密码应用建设方案/改造方案后，责任单位应委托评估机构对方案进行评估。

系统评价

根据GM/T0054-2018 系统评价主要从物理与环境、网络与通信、设备与计算、应用与数据、密钥管理、安全管理等方面进行。

评估机构完成系统评估后，出具评估报告。 密集评价活动结束后30个工作日内，将评价结果报密码管理部门等有关部门备案。

Q8 )是否仔细评估工作流程？

Q9 )如何分级备案？

密评系统等级参考等级保护系统等级。

根据现行规定，责任单位取得报告后，被测单位应当报主管部门和地区（部门）密码管理部门备案，并报评估单位国密局备案。

三级以上信息系统等保的，评估报告报当地公安部门备案。