國家標準

3月9日,國家市場監(jiān)管總局、國家標準化管理委員會發(fā)布公告,正式發(fā)布國家標準GB/T39786-2021《信息安全技術(shù) 信息系統(tǒng)密碼應用基本要求》（下稱《基本要求》）,將于2021年10月1日起實施。這是貫徹落實《中華人民共和國密碼法》,指導商用密碼應用與安全性評估工作的一項基礎(chǔ)性標準,對于規(guī)范和引導信息系統(tǒng)合規(guī)、正確、有效應用密碼,切實維護國家網(wǎng)絡空間與信息安全具有重要意義。

2018年,國家密碼管理局發(fā)布實施了密碼行業(yè)標準的密碼應用基本要求（下稱“行標”）。與行標相比,《基本要求》結(jié)合近年來國內(nèi)商用密碼應用與安全性評估工作實踐對部分內(nèi)容進行了優(yōu)化、調(diào)整，和現(xiàn)有的網(wǎng)絡安全等級保護相呼應，《基本要求》同樣對信息系統(tǒng)密碼應用劃分為自低向高的五個等級，提出密碼保障能力逐級增強的要求。網(wǎng)絡和信息系統(tǒng)管理部門按照業(yè)務實際情況選擇相應級別的密碼保障技術(shù)能力及管理能力。

總體上《基本要求》從物理和環(huán)境安全、網(wǎng)絡和通信安全、設(shè)備和計算安全、應用和數(shù)據(jù)安全等四個層面提出了密碼應用技術(shù)要求，保障信息系統(tǒng)的實體身份真實性、重要數(shù)據(jù)的機密性/完整性、操作行為的不可否認性，并從管理制度、人員管理、建設(shè)運行、應急處置等四方面整體提出密碼應用管理要求，以提供管理方面的密碼應用安全保障。從而對安全性評估產(chǎn)生積極的指導作用。

《基本要求》總體而言有以下看點，在密碼應用安全性評估的角度值得關(guān)注（細微語句增刪或語序調(diào)整不在此處列舉）：

1、數(shù)量精簡，內(nèi)容優(yōu)化合理

各級基本要求的數(shù)量上比行標有所精簡，優(yōu)化調(diào)整了內(nèi)容，更為合理。

 2、應用技術(shù)框架更為完善

行標的密碼功能要求（機密性、完整性等）、管理要求，在《基本要求》更科學的搭建成密碼應用技術(shù)框架，進行總體概括。

 3、第三方密碼服務機構(gòu)服務范圍擴大

行標的密碼服務單純是第三方CA服務；而在《基本要求》中則擴展到物理、網(wǎng)絡等不同層面均可使用第三方提供的密碼服務，但“應經(jīng)商用密碼認證機構(gòu)認證合格”。

 4、密碼管理力度進一步強化

行標中獨立的密鑰管理部分，在《基本要求》中則是分別在管理制度、人員管理和建設(shè)運行等層面具體要求，并沒有降低或削弱控制力度。另外，《基本要求》在附件單獨形成“密鑰生存周期管理”，方便管理部門根據(jù)需求編制密碼管理制度。

5、強化控制力度放寬技術(shù)要求

在以往的評估工作實踐中對終端的密碼模塊/產(chǎn)品要求爭議較大的，《基本要求》進行優(yōu)化，強化控制力度放寬技術(shù)要求，使評估結(jié)果更貼近實際。

對比

要了解關(guān)于密碼模塊這個較大的調(diào)整，先看下面的簡表進行對比：

由上表可以看出，《基本要求》選用密碼模塊安全要求的2018年國標版；控制力度統(tǒng)一加強為“應采用”；而對產(chǎn)品選型影響較大的產(chǎn)品安全級別，則放寬為最高要求三級模塊，更貼近目前技術(shù)發(fā)展現(xiàn)狀，也更有利于具體項目落地。 

密碼技術(shù)是保障網(wǎng)絡與信息安全的核心技術(shù)和基礎(chǔ)支撐,《密碼法》及相關(guān)法律法規(guī)明確了商用密碼應用與安全性評估的法定要求。此次密碼應用行業(yè)標準經(jīng)修改完善后上升為國家標準,進一步突出了其在商用密碼應用標準體系中的基礎(chǔ)性地位?！痘疽蟆烦蔀榻窈竺艽a工作的重要抓手，必將更好的引領(lǐng)我國商用密碼應用建設(shè)及安全性評估走上快車道。

競遠安全構(gòu)筑安全測評、安全測咨詢、安全保障三位一體服務體系，為各行業(yè)提供一站式的商用密碼應用安全性評估整體服務解決方案。作為國家密碼管理局核準認可的第二批商用密碼應用安全性評估試點機構(gòu)，我們致力于推進商用密碼應用產(chǎn)業(yè)發(fā)展，提高各單位商用密碼應用水平，致力于構(gòu)建具有中國特色的網(wǎng)絡空間密碼應用安全防護體系。同時，我們履行廣東省商用密碼協(xié)會副會長單位的職能，以專業(yè)可靠的服務精神，充分發(fā)揮創(chuàng)新引領(lǐng)作用,積極開拓市場，為會員和各行業(yè)提供更有價值的服務與支持。

規(guī)范引用及對照：

GM/T0024-2014

《信息安全技術(shù) 密碼模塊安全要求》

GM/T0054-2018

《信息安全技術(shù) 信息系統(tǒng)密碼應用基本要求》

GB/T37092-2018

《信息安全技術(shù) 密碼模塊安全要求》