01 · 密评制度框架
1.1 制度要素全览
| 要素 | 内容 | 依据 |
|---|---|---|
| 评估对象 | 法律、行政法规和国家有关规定要求使用商用密码保护的网络与信息系统（重要网络与信息系统） | 《密码法》《商用密码管理条例》、办法第六条 |
| 评估阶段 | 规划（方案评估）、建设（实施核查）、运行前（上线评估）、运行期（年度复评）全周期覆盖 | 办法第七、八、九条 |
| 评估主体 | 运营者自行开展（须具备能力条件）或委托经认定的商用密码检测机构（取得密评资质） | 办法第四、十三条 |
| 结果运用 | 方案未通过不得作为建设依据；运行前未通过不得投入运行；运行期未通过须改造 | 办法第七、八、九条 |
| 备案与时限 | 重要系统报告形成后30日内报国家或省级密码管理部门备案 | 办法第十四条 |
| 记录保存 | 原始记录与报告归档留存不少于6年 | 办法第十三条 |
| 罚则 | 未按要求开展密评等情形：责令改正、警告；拒不改正或情节严重的，处10万—100万元罚款，对直接负责人员处1万—10万元罚款 | 办法第十七条 |
1.2 标准体系
- GB/T 39786-2021《信息系统密码应用基本要求》（2021-10-01实施）：密评基础性国标，前身是GM/T 0054-2018行业标准；按信息系统安全保护等级（等保级别）差异化提出要求。
- GB/T 43206-2023《信息系统密码应用测评要求》（2023-09-07发布，2024-04-01实施）：规范测评活动的技术要求与判定方法。
- 配套文件：《信息系统密码应用测评过程指南》（测评流程）、《信息系统密码应用高风险判定指引》（密评联委会发布，风险判定依据）、《商用密码应用安全性评估量化评估规则》（计分方法）。
02 · 测评指标体系（GB/T 39786-2021）
2.1 四个技术层面与证书的关联度
| 技术层面 | 密码应用要求（摘要） | 与证书体系的关联 |
|---|---|---|
| 物理和环境安全 | 门禁、视频监控等记录数据的机密性与完整性保护 | 间接：CA/KM机房与介质管理 |
| 网络和通信安全 | 通信双方身份鉴别；传输机密性；传输完整性；访问控制信息完整性 | 直接：TLCP+双证书、证书链验证、套件合规 |
| 设备和计算安全 | 设备身份鉴别；重要日志完整性；密钥管理合规 | 直接：设备证书、服务器密码机、密钥台账 |
| 应用和数据安全 | 应用实体身份鉴别；重要数据存储机密性/完整性；操作行为不可否认性 | 直接：用户签名证书、电子签章、数字信封 |
2.2 四个管理层面
管理制度（密码应用管理制度与操作规程）、人员管理（密钥管理员/密码操作员/审计员的职责分离与培训）、建设运行（密码应用方案的编制论证与变更管理）、应急处置（密码应用安全事件应急预案与演练）。管理层面是证书治理"三账"体系（第3页）的测评落点——大量密评失分不在技术而在"有密码应用、无管理证据"。
03 · 证书相关测评点深度解析
3.1 身份鉴别测评点
身份鉴别是证书体系在密评中最重的分量，测评关注三个递进层次：
- 用了没有：通信实体间是否采用密码技术进行身份鉴别（未使用即触发高风险判定）；
- 用得对不对：是否基于合规的数字证书机制（证书链验证、有效期校验、吊销状态检查是否真实执行）；
- 算法合不合规：证书算法、套件算法是否为批准的商用密码算法（SM2/SM3/SM4），是否存在MD5、SHA-1、DES、1024比特及以下RSA等存在安全问题或强度不足的算法。
3.2 机密性与完整性测评点
| 测评关注点 | 证书侧核查动作 |
|---|---|
| 传输机密性 | TLCP套件是否为合规套件；是否存在静默回退国际通道（对照第6页回退审计基线） |
| 传输完整性 | 套件完整性机制（HMAC-SM3/GCM AEAD）是否启用；算法黑名单扫描 |
| 存储机密性 | 重要数据加密密钥的来源（KM托管流程合规性）；加密证书密钥用法正确性 |
| 不可否认性 | 签名证书密钥生成环境（介质内生成证据）；时间戳应用；签名验证留痕 |
| 密钥管理 | 密钥台账、权限分离、托管/恢复记录、销毁留痕（第3页"三账"） |
测评方法论提示：密评判定遵循"客观凭据"原则——测评人员以配置截图、日志记录、制度文件、现场演示为据，而非仅凭口头说明。证书体系的每项要求都应对应可提取的证据物（CRL/OCSP响应样本、握手抓包、密钥操作审计日志、CP/CPS文件等）。提前按证据清单归档（本章第05节），可显著压缩现场测评周期。
04 · 高风险判定与罚则
4.1 证书相关典型高风险项
依据《信息系统密码应用高风险判定指引》的判定逻辑，以下情形在密评中通常被判定为高风险（具体判定以最新版指引与测评机构执行为准）：
| 高风险情形 | 风险机理 | 降低风险方向 |
|---|---|---|
| 通信实体未采用密码技术身份鉴别 | 无法确认通信对端身份，中间人攻击敞口 | 部署合规证书机制（TLCP双证书/双向认证） |
| 采用存在安全问题或强度不足的算法 | MD5/SHA-1/DES/1024位及以下RSA等可被实际攻破或接近攻破 | 全量替换为SM2/SM3/SM4或合规国际算法 |
| 证书验证环节缺失或形同虚设 | 客户端不校验证书链/有效期/吊销状态，伪造证书即可冒充 | 启用完整链验证与吊销检查；禁用"信任所有证书"调试配置 |
| 密钥明文存储或传输 | 私钥/对称密钥以明文落盘或明文通道传输 | 密码机/密钥管理系统托管；传输加密与访问控制 |
| 签名私钥第三方可接触 | 抗抵赖性丧失（第3页红线），电子签名法律效力动摇 | 介质内生成、私钥不出介质、双人控制 |
| 无密钥管理记录与审计 | 密钥全生命周期不可追溯，事件无法调查 | 建立"三账"体系（第3页）；审计日志防篡改保护 |
4.2 罚则的合规含义
办法第十七条对"未开展密评、未通过且未改造、未定期复评"等情形设定了双罚制（单位+直接责任人员）；第十八条另对"对评估结果施加不当影响、未提供必要支持、未按要求备案"三种情形，设单位1万—10万元罚款，对直接负责的主管人员处5000元—5万元罚款。合规含义明确：密评是运营者的法定义务且不可外包责任——即使委托机构测评，未按期备案、对结果施加不当影响的责任仍由运营者承担。
05 · 证书治理审计清单
以下为课题整理的可操作核查表，供内部审计与密评准备使用；条目依据GB/T 39786-2021、高风险判定指引与第3页治理框架归纳。
5.1 算法与套件
| # | 核查项 | 核查方式 | 频次 |
|---|---|---|---|
| A1 | 证书算法均为SM2-with-SM3，无MD5/SHA-1/DES/弱RSA残留 | 证书解析+配置扫描 | 每季度 |
| A2 | TLCP套件白名单仅含合规套件（优先ECDHE/GCM） | 网关配置审计 | 每季度 |
| A3 | 双栈回退事件全部留痕，异常回退率纳入告警 | 日志审计 | 每月 |
5.2 证书生命周期
| # | 核查项 | 核查方式 | 频次 |
|---|---|---|---|
| B1 | 证书台账与CA签发记录对账一致（含影子证书排查） | 台账对账 | 每半年 |
| B2 | 双证书同步更新，无单边过期窗口 | 到期监控 | 实时告警 |
| B3 | 吊销证书在CRL/OCSP中实际可查且更新及时 | 抽查验证 | 每季度 |
| B4 | 证书CN/SAN与实际域名一致，无错配证书在役 | 配置扫描 | 每季度 |
5.3 密钥与托管
| # | 核查项 | 核查方式 | 频次 |
|---|---|---|---|
| C1 | 签名私钥均在合规介质内生成，无集中生成记录 | 介质台账+生成日志 | 每半年 |
| C2 | 加密私钥KM托管记录完整，恢复流程双人审批留痕 | KM审计日志 | 每半年 |
| C3 | 密钥台账状态（在用/冻结/销毁）与实物一致 | 盘点核对 | 每年 |
| C4 | 密钥操作权限分离（管理员/操作员/审计员）有效 | 权限审计 | 每季度 |
| C5 | 介质发放/回收（尤其离职场景）无悬空记录 | 人事联动核查 | 每月 |
5.4 文档与证据
| # | 核查项 | 核查方式 | 频次 |
|---|---|---|---|
| D1 | CP/CPS现行有效并在工信部备案 | 文档核验 | 每年 |
| D2 | 密评原始记录与报告保存≥6年且可调取 | 档案核查 | 每年 |
| D3 | 证书相关操作审计日志防篡改保护启用 | 技术核查 | 每季度 |
| D4 | 密码应用方案与实际建设一致（变更经论证） | 对照核查 | 变更触发 |
06 · 常见问题与整改
| 常见失分/违规 | 根因 | 整改路径 |
|---|---|---|
| 证书过期导致密评扣分 | 无到期台账与预警，双证书不同步 | 建立到期监控（第3页台账）；双证书绑定续期SOP |
| 国际证书与SM2证书混用未论证 | 双栈改造的灰度遗留 | 出具混用论证文档；明确各通道合规边界与回退审计 |
| 网关"信任所有证书"调试配置入生产 | 上线检查清单缺失 | 配置基线扫描；将证书校验项纳入发布闸门 |
| 签名密钥服务器集中生成 | 运维便利优先于合规设计 | 改介质内生成；存量密钥制定轮换计划 |
| 密钥管理记录缺失 | 未建立"三账"或记录未留痕 | 按第3页框架补建台账；审计日志防篡改改造 |
| 密评通过后又引入不合规组件 | 变更管理未纳入密码合规审查 | 建立密码合规变更审查节点；年度复评前全量核查 |
给运营者的一句话：密评的本质是"密码应用的合规性、正确性、有效性"三性核查，而证书体系是三性交汇的枢纽——算法合规（合规性）、验证完整（正确性）、吊销/更新/托管有效（有效性）。把第3页的治理框架跑成日常运营，密评就从"年度大考"变为"例行体检"。
07 · 测评机构与结论管理
7.1 测评机构资质
密评应由具备商用密码检测能力的机构开展：国家密码管理部门对从事密评活动的商用密码检测机构实行目录管理与公告制度，运营者委托测评时应核验机构资质在公告目录内且覆盖相应测评范围；运营者自行开展密评的，须具备办法规定的专业能力条件并接受监督检查。测评活动的技术要求、流程与文档依据GB/T 43206-2023及配套《测评过程指南》执行。
7.2 测评结论与整改闭环
密评结论依据《商用密码应用安全性评估量化评估规则》形成——以百分制量化得分结合高风险项判定综合定级，实践中通常以"符合/基本符合/不符合"区分系统密码应用水平；存在高风险项的须整改后复测。对"基本符合"结论，运营者应依据测评报告的改进建议制定整改计划并留痕，作为下一年度复评输入。
7.3 两条易踩的程序红线
- 报告备案时限：重要系统测评报告形成后30日内报密码管理部门备案（办法第十四条）——逾期即落入第十八条罚则范围；
- 不得施加不当影响：以任何形式干预测评独立性（包括暗示结论、限定整改范围）均属第十八条明令处罚情形。
声明：测评结论的具体判定口径以GB/T 43206-2023与当年有效的量化评估规则为准，本节为通用性归纳，不构成对具体系统测评结论的预判，亦不替代测评机构的正式意见。
本节参考来源（本页）
以下均为真实可查的权威来源，用于支撑本页合规事实。
《商用密码应用安全性评估管理办法》（国家密码管理局令第3号，2023-11-01施行）全文：oscca.gov.cn 原文。
GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》（2021-10-01实施，前身为GM/T 0054-2018）：国家标准全文公开系统 openstd.samr.gov.cn。
GB/T 43206-2023《信息安全技术 信息系统密码应用测评要求》（2023-09-07发布，2024-04-01实施）：国家标准全文公开系统。
中国密码学会密评联委会《信息系统密码应用高风险判定指引》《商用密码应用安全性评估量化评估规则》《信息系统密码应用测评过程指南》。
《商用密码管理条例》（2023年修订，2023-07-01施行）：《密码法》（2020-01-01施行）：oscca.gov.cn。