文章总结： 本文系统介绍了商用密码应用安全性评估（密评）的概念、法规依据及GB/T39786-2021标准下的核心内容，详述了三级系统在物理环境、网络通信等层面的技术与管理要求，并列举了UKEY、服务器密码机等合规设备，旨在指导企业落实密码合规与安全建设。 综合评分： 84 文章分类： 技术标准,政策法规,解决方案,安全建设

---

必须了解的密评知识

原创

Caigensec

菜根网络安全杂谈

2025年4月16日 09:15 安徽

点击标题下「蓝色微信名」可快速关注

免责声明：本公众号尊重知识产权，如有侵权请联系我们删除。

01

密评介绍

1、基本概念

商用密码应用安全性评估（简称密评）是指依据国家法规与标准，对重要信息系统的商用密码应用进行合规性、有效性和安全性的全面评估，确保密码技术正确实施，保障数据与系统安全。

2、法规依据

《密码法》：要求关键信息基础设施必须使用商用密码，并定期开展密评。

《商用密码应用安全性评估管理办法》：规范商用密码应用安全性评估工作，保障网络与信息安全。

第十条规定，重要领域网络和信息系统投入运行后，责任单位应当委托测评机构定期开展商用密码应用安全性评估。评估未通过，责任单位应当限期整改并重新组织评估。关键信息基础设施、网络安全等级保护第三级及以上信息系统，每年至少评估一次，测评机构可将商用密码应用安全性评估与关键信息基础设施网络安全测评、网络安全等级保护测评同步进行。其他信息系统定期开展检查和抽查。

《网络安全法》《数据安全法》：强化密码在整体安全架构中的作用。

02

评估内容

标准规范：GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》为核心评估依据。

密码应用的基本要求分为5个级别，从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个技术层面密码应用技术要求，并从管理制度、人员管理、建设运行和应急处置四个方面提出了密码应用管理要求。

1、第三级密码应用基本要求（示例）

（1）物理和环境安全

本级要求包括：

a)     宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；

b)    宜采用密码技术保证电子门禁系统进出记录数据的存储完整性；

c)     宜采用密码技术保证视频监控音像记录数据的存储完整性；

d)    以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经 商用密码认证机构认证合格；

e)     以上采用的密码产品，应达到 GB/T 37092 二级及以上安全要求。

（2）网络和通信安全

本级要求包括：

a)     应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性；

b)    宜采用密码技术保证通信过程中数据的完整性；

c)     应采用密码技术保证通信过程中重要数据的机密性；

d)    宜采用密码技术保证网络边界访问控制信息的完整性；

e)     可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性；

f)     以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经 商用密码认证机构认证合格；

g)    以上采用的密码产品，应达到GB/T 37092 二级及以上安全要求。

（3）设备和计算安全

本级要求包括：

a)     应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；

b)    远程管理设备时，应采用密码技术建立安全的信息传输通道；

c)     宜采用密码技术保证系统资源访问控制信息的完整性；

d)    宜采用密码技术保证设备中的重要信息资源安全标记的完整性；

e)     宜采用密码技术保证日志记录的完整性；

f)     宜采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证；

g)  以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经 商用密码认证机构认证合格；

h)    以上采用的密码产品，应达到 GB/T 37092 二级及以上安全要求。

（4） 应用和数据安全

本级要求包括：

a)     应采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性；

b)    宜采用密码技术保证信息系统应用的访问控制信息的完整性；

c)     宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性；

d)    应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；

e)     应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；

f)     宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性；

g)    宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；

h)    在可能涉及法律责任认定的应用中，宜采用密码技术提供数据原发证据和数据接收证据，实现 数据原发行为的不可否认性和数据接收行为的不可否认性；

i)      以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经 商用密码认证机构认证合格；

j)     以上采用的密码产品，应达到GB/T 37092 二级及以上安全要求。

（5）  管理制度

使用密码技术的信息系统应符合以下管理制度要求：

a)     应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬 件及介质管理等制度；

b)    应根据密码应用方案建立相应密钥管理规则；

c)     应对管理人员或操作人员执行的日常管理操作建立操作规程；

d)    应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定，对存在不足 或需要改进之处进行修订；

e)     应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制；

f)     应具有密码应用操作规程的相关执行记录并妥善保存。

（6）人员管理

使用密码技术的信息系统应符合以下人员管理要求：

a)    相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；

b)    应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限：

1)  根据密码应用的实际情况，设置密钥管理员、密码安全审计员、密码操作员等关键安全 岗 位 ；

2)  对关键岗位建立多人共管机制；

3)  密钥管理、密码安全审计、密码操作人员职责互相制约互相监督，其中密码安全审计员岗 位不可与密钥管理员、密码操作员兼任；

4)  相关设备与系统的管理和使用账号不得多人共用。

c)     应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位 所需专业技能；

d)    应定期对密码应用安全岗位人员进行考核；

e)     应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。

（7）建设运行

本级要求包括：

a)     应依据密码相关标准和密码应用需求，制定密码应用方案；

b)    应根据密码应用方案，确定系统涉及的密钥种类、体系及其生存周期环节，各环节密钥管理要求参照附录 B;

c)     应按照应用方案实施建设；

d)    投入运行前应进行密码应用安全性评估，评估通过后系统方可正式运行；

e)     在运行过程中，应严格执行既定的密码应用安全管理制度，应定期开展密码应用安全性评估及 攻防对抗演习，并根据评估结果进行整改。

（8） 应急处置

本级要求包括：

a)     应制定密码应用应急策略，做好应急资源准备，当密码应用安全事件发生时，应立即启动应急 处置措施，结合实际情况及时处置；

b)    事件发生后，应及时向信息系统主管部门进行报告；

c)     事件处置完成后，应及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处 置情况。

2、满足密评要求的密码设备列举

（1）智能密码钥匙（UKEY）

智能密码钥匙是一种具备密码运算、密钥管理能力，可提供密码服务的终端密码设备，其主要作用是存储用户秘密信息(如私钥、数字证书)，完成数据加解密、数据完整性校验、数字签名、访问控制等功能。智能密码钥匙一般使用USB接口形态，因此也被称作USB Token或者USB Key。

（2）动态令牌认证系统

动态令牌认证系统是一种基于时间同步或事件同步的一次性密码系统，旨在提升身份认证的安全性，通常采用双因素认证机制，结合用户已知的信息（如用户名和静态密码）和用户所持有的动态令牌生成一次性密码。

（3）协同签名认证系统

协同签名系统是一种先进的数字签名技术，它允许多个参与方共同完成数字签名的过程，而无需暴露各自的私钥，通常配合手机盾一起使用，基于数字证书和协同签名技术实现移动端接入鉴权以及数据传输加解密，此类系统增强了签名的安全性，并且可以有效防止私钥泄露导致的风险。

（4）国密浏览器

国密浏览器是是专门设计用于支持国密算法和国密SSL协议的浏览器。支持国密SSL协议和国际标准SSL/TLS协议，支持国密SM2证书和基于SM2/SM3/SM4的密码套件。

（5）安全网关

VPN设备采用硬件密码模块进行密码算法运算，采用国家密码管理局规定的SM1/SM2/SM3/SM4商用密码算法，自主可控的密码算法结合VPN隧道技术，确保在密评建设中数据传输的私密性、完整性。

（6）服务器密码机

服务器密码机主要为应用提供最为基础和底层的密钥管理和密码计算服务。

（7）签名验签服务器

签名验签服务器是一种用于服务端为应用实体提供基于PKI体系和数字证书的数字签名、验证签名等运算功能的服务器。

（8） 密钥管理系统

密钥管理系统为用户提供密钥的全生命周期管理、以及数据加解密服务。系统支持应用密钥、加密密钥、分散密钥、设备密钥等多种密钥应用场景，并提供丰富的密钥接口，包括密钥的申请、更新、归档、注销等。

（9） 密码服务平台

密码服务平台是一种面向应用提供统一密码服务的软件密码产品，平台通过屏蔽密码机底层指令的复杂性，由统一的业务接口提供密码服务。

THE END

亲爱的朋友，若你觉得文章不错，请点击关注。你的关注是笔者创作的最大动力，感谢有你！

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：菜根网络安全杂谈 Caigensec《必须了解的密评知识》