集成商在商用密碼應(yīng)用與安全評估中的定位分析
一、概述
密碼是信息安全的基石，在網(wǎng)絡(luò)空間安全防護中發(fā)揮重要的基礎(chǔ)支撐作用。為了貫徹落實《中華人民共和國密碼法》（以下簡稱密碼法），2020年8月，國家密碼管理局就《商用密碼管理條例（修訂草案征求意見稿）》（以下簡稱條例修訂版）開始面向社會公開征求意見，相比與1999年實施的《商用密碼管理條例》，本次修訂對商用密碼管理制度進行了結(jié)構(gòu)性重塑，內(nèi)容涵蓋了商用密碼的范圍、管理和認證機制、與等保的關(guān)系、商密應(yīng)用等。2019年，國務(wù)院下發(fā)了《國家政務(wù)信息系統(tǒng)項目管理辦法》（2019【57號】）（以下簡稱57號文），明確規(guī)定商用密碼在政務(wù)信息系統(tǒng)規(guī)劃、建設(shè)、驗收、運維等階段作用和要求。在信創(chuàng)化大背景下，商用密碼應(yīng)用與安全評估愈發(fā)重要。
二、商用密碼在政務(wù)領(lǐng)域應(yīng)用的態(tài)勢分析
2020年是商用密碼在政務(wù)領(lǐng)域應(yīng)用的元年，為了充分發(fā)揮商用密碼在政務(wù)領(lǐng)域的作用，相關(guān)部門發(fā)布了多個文件，要求政務(wù)信息系統(tǒng)建設(shè)要充分考慮商用密碼的應(yīng)用，按照GB/T 39786-2021的要求進行密碼保障系統(tǒng)的建設(shè)，但是政務(wù)信息系統(tǒng)經(jīng)過多年的建設(shè)，系統(tǒng)較為復(fù)雜，服務(wù)人群較廣，系統(tǒng)的商密改造困難較大，且對系統(tǒng)性能影響較大。因此，已建系統(tǒng)的商密改造需要另辟新徑。
1、政策文件要求趨于明確
為了貫徹和落實57號文的要求，國家密碼管理局下發(fā)了《關(guān)于請進一步加強國家政務(wù)信息信息密碼應(yīng)用與安全性評估工作的函》（2020【119】號），進一步明確了政務(wù)信息系統(tǒng)商密應(yīng)用規(guī)劃、建設(shè)、運行三同步要求。同時中國密碼學(xué)會發(fā)布了《政務(wù)信息系統(tǒng)密碼應(yīng)用和安全性評估工作指南》，明確了干系方的工作職責(zé)，促進了商用密碼評估工作的落地。2020年12月8號，中國密碼學(xué)會密評聯(lián)委會發(fā)布了《信息系統(tǒng)密碼應(yīng)用測評要求》等5項指導(dǎo)性文件，進一步明確了測評的計分規(guī)則，高風(fēng)險判定、密評報告的主要內(nèi)容等。政策要求趨于明確化，商用密碼應(yīng)用和測評工作也越來越具體化，這也很大程度促進了商用密碼在政務(wù)領(lǐng)域的應(yīng)用。
2、已建系統(tǒng)改造困難較大
政務(wù)信息系統(tǒng)經(jīng)過多年建設(shè)，已經(jīng)成為政府對內(nèi)管理、對外服務(wù)的重要抓手。商用密碼應(yīng)用改造需要從物理和環(huán)境安全層、網(wǎng)絡(luò)和通訊安全層、設(shè)備和計算安全層、應(yīng)用和數(shù)據(jù)安全層等入手，涉及到網(wǎng)絡(luò)傳輸、數(shù)據(jù)存儲、用戶安全身份認證等多個方面加解密、完整性和真實性的校驗，對應(yīng)用系統(tǒng)的改造成本較高，對系統(tǒng)的性能影響也較大。因此，需要另辟新徑，既降低應(yīng)用系統(tǒng)的改造成本，同時對系統(tǒng)性能的影響在可接受的范圍內(nèi)。
3、商密評估工作逐漸落地
根據(jù)條例修訂版的相關(guān)要求，2020年7月，國家密碼管理局推出了第一批24家具有商用密碼評估資質(zhì)的單位。同時要求等保三級以上系統(tǒng)必須進行商用密碼應(yīng)用安全性評估，密碼評估的結(jié)果直接影響著等保測評的結(jié)果，越來越多的政務(wù)信息系統(tǒng)建設(shè)單位開始委托密評機構(gòu)對信息系統(tǒng)開展密碼應(yīng)用安全評估。
三、典型應(yīng)用場景分析
1、物理機部署模式
雖然信創(chuàng)云已經(jīng)成為政務(wù)信息系統(tǒng)建設(shè)的重點，但系統(tǒng)上云遷移改造需要一段時間，物理機部署模式仍然存在。一般來說，為了滿足密碼測評的要求，需要在分支機構(gòu)、核心交換區(qū)、核心業(yè)務(wù)區(qū)、運維管理區(qū)、內(nèi)部辦公區(qū)等區(qū)域部署密碼保障系統(tǒng)，其他安全設(shè)備也需要部署，不在本文討論范圍內(nèi)。
分支機構(gòu)區(qū)：每臺終端部署國密瀏覽器和Ukey,其中國密瀏覽器用于數(shù)據(jù)加解密、數(shù)字簽名等，UKey主要完成身份驗證。同時部署IPSecVPN進行傳輸通道加解密。
內(nèi)部辦公區(qū)：每臺終端部署國密瀏覽器和Ukey。
數(shù)據(jù)災(zāi)備區(qū)：主要部署IPSECVPN，用于傳輸通道的加解密。
核心業(yè)務(wù)區(qū)：主要部署加密機，完成數(shù)據(jù)傳輸、存儲的機密性、完整性保護。也可以部署數(shù)據(jù)加密網(wǎng)關(guān)等設(shè)備。
運維管理區(qū)：主要部署SSLVPN，完成對遠程運維人員的身份鑒別。同時在終端也需要部署國密瀏覽器和UKey。
核心交換區(qū)：主要部署IPSECVPN等設(shè)備。完成與分支機構(gòu)、數(shù)據(jù)災(zāi)備區(qū)等區(qū)域IPSEC VPN設(shè)備的配對使用。
密碼基礎(chǔ)設(shè)施：主要部署數(shù)字證書系統(tǒng)、電子簽章系統(tǒng)、時間戳服務(wù)器等。
2、移動互聯(lián)網(wǎng)
隨著移動互聯(lián)網(wǎng)的普及，移動辦公業(yè)務(wù)越來越多，安全形勢異常嚴峻，密碼作為信息安全的核心，加強密碼保障系統(tǒng)的建設(shè)非常有必要。移動互聯(lián)網(wǎng)密碼保障系統(tǒng)主要分為四個部分，移動終端側(cè)、傳輸網(wǎng)絡(luò)、安全接入等。
終端安全：主要部署商密密碼模塊（TF卡、USB KEY、貼膜卡、軟卡），為終端提供運行環(huán)境隔離，數(shù)據(jù)傳輸加密、數(shù)據(jù)存儲加密（安全SDK）、應(yīng)用安全獲取等安全能力。
信道安全：采用商密SSLVPN協(xié)議和商密2/3/4算法保障業(yè)務(wù)數(shù)據(jù)在無線網(wǎng)絡(luò)和公共網(wǎng)絡(luò)上的安全通信。
接入安全：主要部署綜合安全認證網(wǎng)關(guān)、終端安全管理系統(tǒng)、移動政務(wù)系統(tǒng)等。
服務(wù)端安全：服務(wù)端部署政務(wù)應(yīng)用系統(tǒng)，也需要部署加解密設(shè)備，可參考物理機部署模式。
3、信創(chuàng)云模式
信創(chuàng)云已經(jīng)成為政務(wù)建設(shè)的主流模式，用于承載各政務(wù)部門的公共服務(wù)、社會治理、政務(wù)審批等業(yè)務(wù)。云平臺面臨資源隔離、數(shù)據(jù)存儲、數(shù)據(jù)共享、多租戶、虛擬化等技術(shù)帶來的安全問題，需要利用密碼技術(shù)建立針對云租戶、系統(tǒng)等基礎(chǔ)資源的防護機制。
信創(chuàng)云密碼應(yīng)用的主要內(nèi)容包括密碼資源層、物理資源層、IaaS應(yīng)用層、PaaS應(yīng)用層、SaaS應(yīng)用層等。另外考慮的云平臺運維需求，需要對運維通道和運維人員進行加密處理和身份認證。在網(wǎng)絡(luò)接入邊界需要考慮VPN設(shè)備的部署，滿足移動互聯(lián)用戶、外地分支及機構(gòu)用戶等加密接入的要求。涉及到主要密碼設(shè)備有：云密碼機、密鑰管理系統(tǒng)、電子認證基礎(chǔ)設(shè)施、數(shù)據(jù)庫加密網(wǎng)關(guān)、存儲加密、IPSEC/SLL VPN等。在終端還要部署國密瀏覽器、Ukey等。物理和環(huán)境層要部署符號國密要求的門禁系統(tǒng)，并對視頻監(jiān)控的內(nèi)容進行完整性保護。
四、集成商定位分析
在目前的政務(wù)信息系統(tǒng)建設(shè)過程中，商密的應(yīng)用涉及到多個層次，從物理環(huán)境的門禁系統(tǒng)到應(yīng)用層身份認證、數(shù)據(jù)存儲加密等。集成商作為政務(wù)信息系統(tǒng)的總集成單位，負責(zé)系統(tǒng)最終交付，集成商的技術(shù)水平和能力直接決定著商密應(yīng)用的效果。
1、密碼應(yīng)用方案的撰寫者
根據(jù)57號文的要求，商用密碼保障系統(tǒng)應(yīng)該隨項目同步規(guī)劃、同步建設(shè)、同步運行，并定期進行安全性評估。其中密碼應(yīng)用建設(shè)方案是前提條件，項目報批文件中應(yīng)該含有經(jīng)過專家評審后的密碼應(yīng)用建設(shè)方案。但是由于很多項目早于57號文頒布實施之前已經(jīng)完成立項審批、招標等，集成中標單位會負責(zé)密碼應(yīng)用方案的撰寫工作，作為后續(xù)項目建設(shè)和安全性評估的依據(jù)。密碼應(yīng)用方案一般包括密碼應(yīng)用解決方案、密碼實施方案、密碼應(yīng)急處置方案三個部分。
2、密碼產(chǎn)品的集成實施者
在系統(tǒng)實施過程中，集成商要根據(jù)密碼應(yīng)用方案的要求，完成設(shè)備的采購、部署、聯(lián)調(diào)、測試、上線等工作。尤其是涉及到不同密碼設(shè)備廠家的產(chǎn)品時，需要制定系統(tǒng)間調(diào)用的標準接口，并及時協(xié)調(diào)廠商進行信創(chuàng)化適配。
3、商密安全性評估的配合者
在商密安全性評估過程中，集成商要配合測評單位進行安全性評估，提供網(wǎng)絡(luò)架構(gòu)圖和實施文檔，評估商密測評對整個項目帶來風(fēng)險，制定應(yīng)對措施，盡量避免對系統(tǒng)運行產(chǎn)生較大的影響。
五、項目策略分析
根據(jù)國家密碼管理局【2020】119號函的要求，非涉密的國家政務(wù)信息系統(tǒng)應(yīng)盡快開展密碼應(yīng)用建設(shè)與安全性評估工作。因此，需要根據(jù)項目所處的階段，采用針對性的策略，滿足國家相關(guān)的政策要求。
1、售前交流階段的項目
對處于售前交流的項目，應(yīng)該根據(jù)國家密碼局的要求，在上報審批前，完成密碼應(yīng)用方案的編寫、專家審核等工作，項目預(yù)算中不僅要包括密碼應(yīng)用安全性評估經(jīng)費，還要包括密碼應(yīng)用建設(shè)經(jīng)費，還要考慮關(guān)聯(lián)系統(tǒng)的商密改造費用。
2、已經(jīng)中標正在建設(shè)的項目
對處于正在建設(shè)中的項目，如果需要采購密碼設(shè)備，建議采用項目變更進行處理，優(yōu)先安排密碼應(yīng)用安全性評估的經(jīng)費，對部分重要業(yè)務(wù)應(yīng)用系統(tǒng)進行商密處理時要充分考慮加解密對系統(tǒng)性能的影響。
3、已經(jīng)驗收正在運維的項目
對于已經(jīng)驗收且正在運維的項目，要充分與建設(shè)單位溝通，明確商密應(yīng)用和安全性評估的政策要求，促使建設(shè)單位盡可能另外立項，同時要根據(jù)商用密碼應(yīng)用安全性評估的要求，提前規(guī)劃應(yīng)用系統(tǒng)商密改造方案，明確項目改造實施工作量。
六、總結(jié)
隨著商用密碼相關(guān)等政策的頒布實施，政務(wù)信息化項目必然迎來商用密碼應(yīng)用和安全性評估的高峰期，存量項目需要商密改造，新建項目需要增加商密內(nèi)容。作為集成商，一是要把握商密相關(guān)政策的要求，項目要合規(guī)建設(shè)。二是要掌握商密的技術(shù)，作為商密應(yīng)用最關(guān)鍵的環(huán)節(jié)，集成商要負責(zé)將商密產(chǎn)品、服務(wù)等集成到業(yè)務(wù)應(yīng)用系統(tǒng)中，要考慮對系統(tǒng)性能的影響。三是要加強與商密安全性評估單位的溝通，從安全測評的角度出發(fā)進行商密改造和商密保障系統(tǒng)的建設(shè)。
參考文獻：
1、《中華人民共和國密碼法》
2、國務(wù)院辦公廳《國家政務(wù)信息化項目管理辦法》（2019【57】號文）
3、國家密碼管理局《商用密碼管理條例（修訂版）征求意見稿》
4、國家密碼管理局《關(guān)于請進一步加強國家政務(wù)信息信息密碼應(yīng)用與安全性評估工作的函》（2020【119】號函）
5、中國密碼學(xué)會《信息系統(tǒng)密碼應(yīng)用測評要求》等5項指導(dǎo)性文件
6、GB/T 39786-2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》
密碼是信息安全的基石，在網(wǎng)絡(luò)空間安全防護中發(fā)揮重要的基礎(chǔ)支撐作用。為了貫徹落實《中華人民共和國密碼法》（以下簡稱密碼法），2020年8月，國家密碼管理局就《商用密碼管理條例（修訂草案征求意見稿）》（以下簡稱條例修訂版）開始面向社會公開征求意見，相比與1999年實施的《商用密碼管理條例》，本次修訂對商用密碼管理制度進行了結(jié)構(gòu)性重塑，內(nèi)容涵蓋了商用密碼的范圍、管理和認證機制、與等保的關(guān)系、商密應(yīng)用等。2019年，國務(wù)院下發(fā)了《國家政務(wù)信息系統(tǒng)項目管理辦法》（2019【57號】）（以下簡稱57號文），明確規(guī)定商用密碼在政務(wù)信息系統(tǒng)規(guī)劃、建設(shè)、驗收、運維等階段作用和要求。在信創(chuàng)化大背景下，商用密碼應(yīng)用與安全評估愈發(fā)重要。
二、商用密碼在政務(wù)領(lǐng)域應(yīng)用的態(tài)勢分析
2020年是商用密碼在政務(wù)領(lǐng)域應(yīng)用的元年，為了充分發(fā)揮商用密碼在政務(wù)領(lǐng)域的作用，相關(guān)部門發(fā)布了多個文件，要求政務(wù)信息系統(tǒng)建設(shè)要充分考慮商用密碼的應(yīng)用，按照GB/T 39786-2021的要求進行密碼保障系統(tǒng)的建設(shè)，但是政務(wù)信息系統(tǒng)經(jīng)過多年的建設(shè)，系統(tǒng)較為復(fù)雜，服務(wù)人群較廣，系統(tǒng)的商密改造困難較大，且對系統(tǒng)性能影響較大。因此，已建系統(tǒng)的商密改造需要另辟新徑。
1、政策文件要求趨于明確
為了貫徹和落實57號文的要求，國家密碼管理局下發(fā)了《關(guān)于請進一步加強國家政務(wù)信息信息密碼應(yīng)用與安全性評估工作的函》（2020【119】號），進一步明確了政務(wù)信息系統(tǒng)商密應(yīng)用規(guī)劃、建設(shè)、運行三同步要求。同時中國密碼學(xué)會發(fā)布了《政務(wù)信息系統(tǒng)密碼應(yīng)用和安全性評估工作指南》，明確了干系方的工作職責(zé)，促進了商用密碼評估工作的落地。2020年12月8號，中國密碼學(xué)會密評聯(lián)委會發(fā)布了《信息系統(tǒng)密碼應(yīng)用測評要求》等5項指導(dǎo)性文件，進一步明確了測評的計分規(guī)則，高風(fēng)險判定、密評報告的主要內(nèi)容等。政策要求趨于明確化，商用密碼應(yīng)用和測評工作也越來越具體化，這也很大程度促進了商用密碼在政務(wù)領(lǐng)域的應(yīng)用。
2、已建系統(tǒng)改造困難較大
政務(wù)信息系統(tǒng)經(jīng)過多年建設(shè)，已經(jīng)成為政府對內(nèi)管理、對外服務(wù)的重要抓手。商用密碼應(yīng)用改造需要從物理和環(huán)境安全層、網(wǎng)絡(luò)和通訊安全層、設(shè)備和計算安全層、應(yīng)用和數(shù)據(jù)安全層等入手，涉及到網(wǎng)絡(luò)傳輸、數(shù)據(jù)存儲、用戶安全身份認證等多個方面加解密、完整性和真實性的校驗，對應(yīng)用系統(tǒng)的改造成本較高，對系統(tǒng)的性能影響也較大。因此，需要另辟新徑，既降低應(yīng)用系統(tǒng)的改造成本，同時對系統(tǒng)性能的影響在可接受的范圍內(nèi)。
3、商密評估工作逐漸落地
根據(jù)條例修訂版的相關(guān)要求，2020年7月，國家密碼管理局推出了第一批24家具有商用密碼評估資質(zhì)的單位。同時要求等保三級以上系統(tǒng)必須進行商用密碼應(yīng)用安全性評估，密碼評估的結(jié)果直接影響著等保測評的結(jié)果，越來越多的政務(wù)信息系統(tǒng)建設(shè)單位開始委托密評機構(gòu)對信息系統(tǒng)開展密碼應(yīng)用安全評估。
三、典型應(yīng)用場景分析
1、物理機部署模式
雖然信創(chuàng)云已經(jīng)成為政務(wù)信息系統(tǒng)建設(shè)的重點，但系統(tǒng)上云遷移改造需要一段時間，物理機部署模式仍然存在。一般來說，為了滿足密碼測評的要求，需要在分支機構(gòu)、核心交換區(qū)、核心業(yè)務(wù)區(qū)、運維管理區(qū)、內(nèi)部辦公區(qū)等區(qū)域部署密碼保障系統(tǒng)，其他安全設(shè)備也需要部署，不在本文討論范圍內(nèi)。
分支機構(gòu)區(qū)：每臺終端部署國密瀏覽器和Ukey,其中國密瀏覽器用于數(shù)據(jù)加解密、數(shù)字簽名等，UKey主要完成身份驗證。同時部署IPSecVPN進行傳輸通道加解密。
內(nèi)部辦公區(qū)：每臺終端部署國密瀏覽器和Ukey。
數(shù)據(jù)災(zāi)備區(qū)：主要部署IPSECVPN，用于傳輸通道的加解密。
核心業(yè)務(wù)區(qū)：主要部署加密機，完成數(shù)據(jù)傳輸、存儲的機密性、完整性保護。也可以部署數(shù)據(jù)加密網(wǎng)關(guān)等設(shè)備。
運維管理區(qū)：主要部署SSLVPN，完成對遠程運維人員的身份鑒別。同時在終端也需要部署國密瀏覽器和UKey。
核心交換區(qū)：主要部署IPSECVPN等設(shè)備。完成與分支機構(gòu)、數(shù)據(jù)災(zāi)備區(qū)等區(qū)域IPSEC VPN設(shè)備的配對使用。
密碼基礎(chǔ)設(shè)施：主要部署數(shù)字證書系統(tǒng)、電子簽章系統(tǒng)、時間戳服務(wù)器等。
2、移動互聯(lián)網(wǎng)
隨著移動互聯(lián)網(wǎng)的普及，移動辦公業(yè)務(wù)越來越多，安全形勢異常嚴峻，密碼作為信息安全的核心，加強密碼保障系統(tǒng)的建設(shè)非常有必要。移動互聯(lián)網(wǎng)密碼保障系統(tǒng)主要分為四個部分，移動終端側(cè)、傳輸網(wǎng)絡(luò)、安全接入等。
終端安全：主要部署商密密碼模塊（TF卡、USB KEY、貼膜卡、軟卡），為終端提供運行環(huán)境隔離，數(shù)據(jù)傳輸加密、數(shù)據(jù)存儲加密（安全SDK）、應(yīng)用安全獲取等安全能力。
信道安全：采用商密SSLVPN協(xié)議和商密2/3/4算法保障業(yè)務(wù)數(shù)據(jù)在無線網(wǎng)絡(luò)和公共網(wǎng)絡(luò)上的安全通信。
接入安全：主要部署綜合安全認證網(wǎng)關(guān)、終端安全管理系統(tǒng)、移動政務(wù)系統(tǒng)等。
服務(wù)端安全：服務(wù)端部署政務(wù)應(yīng)用系統(tǒng)，也需要部署加解密設(shè)備，可參考物理機部署模式。
3、信創(chuàng)云模式
信創(chuàng)云已經(jīng)成為政務(wù)建設(shè)的主流模式，用于承載各政務(wù)部門的公共服務(wù)、社會治理、政務(wù)審批等業(yè)務(wù)。云平臺面臨資源隔離、數(shù)據(jù)存儲、數(shù)據(jù)共享、多租戶、虛擬化等技術(shù)帶來的安全問題，需要利用密碼技術(shù)建立針對云租戶、系統(tǒng)等基礎(chǔ)資源的防護機制。
信創(chuàng)云密碼應(yīng)用的主要內(nèi)容包括密碼資源層、物理資源層、IaaS應(yīng)用層、PaaS應(yīng)用層、SaaS應(yīng)用層等。另外考慮的云平臺運維需求，需要對運維通道和運維人員進行加密處理和身份認證。在網(wǎng)絡(luò)接入邊界需要考慮VPN設(shè)備的部署，滿足移動互聯(lián)用戶、外地分支及機構(gòu)用戶等加密接入的要求。涉及到主要密碼設(shè)備有：云密碼機、密鑰管理系統(tǒng)、電子認證基礎(chǔ)設(shè)施、數(shù)據(jù)庫加密網(wǎng)關(guān)、存儲加密、IPSEC/SLL VPN等。在終端還要部署國密瀏覽器、Ukey等。物理和環(huán)境層要部署符號國密要求的門禁系統(tǒng)，并對視頻監(jiān)控的內(nèi)容進行完整性保護。
四、集成商定位分析
在目前的政務(wù)信息系統(tǒng)建設(shè)過程中，商密的應(yīng)用涉及到多個層次，從物理環(huán)境的門禁系統(tǒng)到應(yīng)用層身份認證、數(shù)據(jù)存儲加密等。集成商作為政務(wù)信息系統(tǒng)的總集成單位，負責(zé)系統(tǒng)最終交付，集成商的技術(shù)水平和能力直接決定著商密應(yīng)用的效果。
1、密碼應(yīng)用方案的撰寫者
根據(jù)57號文的要求，商用密碼保障系統(tǒng)應(yīng)該隨項目同步規(guī)劃、同步建設(shè)、同步運行，并定期進行安全性評估。其中密碼應(yīng)用建設(shè)方案是前提條件，項目報批文件中應(yīng)該含有經(jīng)過專家評審后的密碼應(yīng)用建設(shè)方案。但是由于很多項目早于57號文頒布實施之前已經(jīng)完成立項審批、招標等，集成中標單位會負責(zé)密碼應(yīng)用方案的撰寫工作，作為后續(xù)項目建設(shè)和安全性評估的依據(jù)。密碼應(yīng)用方案一般包括密碼應(yīng)用解決方案、密碼實施方案、密碼應(yīng)急處置方案三個部分。
2、密碼產(chǎn)品的集成實施者
在系統(tǒng)實施過程中，集成商要根據(jù)密碼應(yīng)用方案的要求，完成設(shè)備的采購、部署、聯(lián)調(diào)、測試、上線等工作。尤其是涉及到不同密碼設(shè)備廠家的產(chǎn)品時，需要制定系統(tǒng)間調(diào)用的標準接口，并及時協(xié)調(diào)廠商進行信創(chuàng)化適配。
3、商密安全性評估的配合者
在商密安全性評估過程中，集成商要配合測評單位進行安全性評估，提供網(wǎng)絡(luò)架構(gòu)圖和實施文檔，評估商密測評對整個項目帶來風(fēng)險，制定應(yīng)對措施，盡量避免對系統(tǒng)運行產(chǎn)生較大的影響。
五、項目策略分析
根據(jù)國家密碼管理局【2020】119號函的要求，非涉密的國家政務(wù)信息系統(tǒng)應(yīng)盡快開展密碼應(yīng)用建設(shè)與安全性評估工作。因此，需要根據(jù)項目所處的階段，采用針對性的策略，滿足國家相關(guān)的政策要求。
1、售前交流階段的項目
對處于售前交流的項目，應(yīng)該根據(jù)國家密碼局的要求，在上報審批前，完成密碼應(yīng)用方案的編寫、專家審核等工作，項目預(yù)算中不僅要包括密碼應(yīng)用安全性評估經(jīng)費，還要包括密碼應(yīng)用建設(shè)經(jīng)費，還要考慮關(guān)聯(lián)系統(tǒng)的商密改造費用。
2、已經(jīng)中標正在建設(shè)的項目
對處于正在建設(shè)中的項目，如果需要采購密碼設(shè)備，建議采用項目變更進行處理，優(yōu)先安排密碼應(yīng)用安全性評估的經(jīng)費，對部分重要業(yè)務(wù)應(yīng)用系統(tǒng)進行商密處理時要充分考慮加解密對系統(tǒng)性能的影響。
3、已經(jīng)驗收正在運維的項目
對于已經(jīng)驗收且正在運維的項目，要充分與建設(shè)單位溝通，明確商密應(yīng)用和安全性評估的政策要求，促使建設(shè)單位盡可能另外立項，同時要根據(jù)商用密碼應(yīng)用安全性評估的要求，提前規(guī)劃應(yīng)用系統(tǒng)商密改造方案，明確項目改造實施工作量。
六、總結(jié)
隨著商用密碼相關(guān)等政策的頒布實施，政務(wù)信息化項目必然迎來商用密碼應(yīng)用和安全性評估的高峰期，存量項目需要商密改造，新建項目需要增加商密內(nèi)容。作為集成商，一是要把握商密相關(guān)政策的要求，項目要合規(guī)建設(shè)。二是要掌握商密的技術(shù)，作為商密應(yīng)用最關(guān)鍵的環(huán)節(jié)，集成商要負責(zé)將商密產(chǎn)品、服務(wù)等集成到業(yè)務(wù)應(yīng)用系統(tǒng)中，要考慮對系統(tǒng)性能的影響。三是要加強與商密安全性評估單位的溝通，從安全測評的角度出發(fā)進行商密改造和商密保障系統(tǒng)的建設(shè)。
參考文獻：
1、《中華人民共和國密碼法》
2、國務(wù)院辦公廳《國家政務(wù)信息化項目管理辦法》（2019【57】號文）
3、國家密碼管理局《商用密碼管理條例（修訂版）征求意見稿》
4、國家密碼管理局《關(guān)于請進一步加強國家政務(wù)信息信息密碼應(yīng)用與安全性評估工作的函》（2020【119】號函）
5、中國密碼學(xué)會《信息系統(tǒng)密碼應(yīng)用測評要求》等5項指導(dǎo)性文件
6、GB/T 39786-2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》
