《商用密码应用安全性评估测评实施指引》发布，重点内容解读

《商用密码应用安全性评估测评实施指引》由中国密码学会密评联委会提出并归口，为商用密码应用安全性评估的测评实施工作提供指导。该文件主要依据相关标准，结合密码应用技术和管理测评指标，重点给出测评对象确定、测评方式推荐、测评实施操作说明、取证结果说明等内容，旨在解决测评实施过程的规范性以及取证结果的准确性和完备性问题。重点内容如下：

一、测评实施原则

准确性原则：结合 GB/T 43206 中的测评指标及相关内容开展工作，确保测评实施内容、取证结果和指标考查内容一致。

完备性原则：在不同检查点获取证据并相互验证，如在应用服务器调用密码机实现重要数据传输完整性保护场景中，需多种方式确认密码机调用和密码功能使用情况。

可靠性原则：结合不同类型测评方式获取证据并相互验证，鼓励采用高可靠方式获取的证据作为判定依据，如对基于 SM2 证书的数字签名实现真实性场景进行测评时，需多方式核查。

差异性原则：针对不同密码实现方式，测评关注点不同。合规密码产品需检查其使用安全性等；非合规产品需检查密码实现版本及相关安全性。

二、测评方式

第一类：以访谈、文档审查、实地查看为主，实施难度小，但证据可靠性低，适用于所有测评指标默认采用，不局限于现场测评。

第二类：通过工具测试、配置检查、代码审查、试错测试等 “简单实操” 方式，从实际业务中获取证据，可靠性较高，适用于多种测评场景，如对合规密码产品使用的配置检查、对开源密码库的代码审查等。

第三类：包括跟踪测试、基于密码机制的主动分析等，以验证密码机制正确有效为重点，实施难度大，可靠性高，通常补充和增强第二类测评方式获取的证据，如对密码保护过程进行跟踪分析。

三、测评实施规则

密码应用技术测评：优先采用推荐测评方式，结合通用测评实施指引获取证据；若客观条件限制无法采用推荐方式，可选用其他可靠方式替代。取证结果原则上应获取关键证据，无法获取时可用一般证据弥补并说明原因。

密码应用管理测评：采用第一类测评方式获取证据，不区分关键证据，均应采集。不同类别测评方式结果不一致时，以高可靠程度的测评方式为准。

四、密评测评实施总体框架

测评准备：若有密码应用方案，以此为依据掌握信息系统情况；否则结合相关文件收集信息，并核实方案与实际情况的一致性。

方案编制：梳理并核实指标适用情况、测评对象及其密码应用需求，确定实际采用的测评方式和检查点，编写测评实施内容。

现场测评：执行测评实施内容获取证据，包括技术测评和管理测评，同时关注密码使用有效性及操作行为记录。

分析与报告编制：依据报告模板编制密评报告，对测评指标进行判定，形成结论并备案。

五、通用测评实施指引

密码使用有效性：涵盖传输机密性、存储机密性、传输完整性、存储完整性、真实性、不可否认性等方面，分别介绍了其对应的指标、可能涉及的密码产品及测评实施操作说明，如传输机密性测评需了解相关情况、确认机制实现方式等，并通过不同测评方式进行验证。

密码算法 / 技术合规性：包括密码算法合规性和密码技术合规性，明确了测评指标、对象及实施操作说明，如密码算法合规性测评需确认算法发布形式、查看配置信息等。

密钥管理安全：涉及密码产品合规性、密码服务合规性、密钥管理安全性，详细说明了各项的测评指标、对象及操作流程，如密码产品合规性测评需确认证书情况、比对产品信息等。

六、技术测评实施指引

物理和环境安全：给出测评指标、对象、可能涉及人员及文档工具，不同指标有相应测评实施内容、推荐方式和取证结果说明，如身份鉴别需参考相关内容，电子门禁记录数据存储完整性有特定测评方式和取证要求。

网络和通信安全：明确测评指标、对象等，如 IPSec VPN 通信信道场景下的测评需检查相关配置、协定算法等，通过不同方式获取证据并明确取证示例。

设备和计算安全：规定测评指标、对象等，以设备远程管理场景为例，介绍了测评检查点和证据示例，包括堡垒机身份鉴别和远程管理通道安全的相关检查及证据获取。

应用和数据安全：阐述测评指标、对象等，针对应用系统的不同密码应用场景，如用户登录身份鉴别、数据存储机密性和完整性保护、关键操作行为不可否认性等，说明了测评检查点和证据示例，如用户登录场景下需检查登录方式、验证证书等。

管理测评实施指引：涉及管理制度、人员管理、建设运行、应急处置等方面，各部分明确了测评指标、对象、实施操作说明及取证结果说明，如管理制度中密码应用安全管理制度的测评需确认制度内容及发布情况，人员管理中需考查相关人员对法律法规和制度的了解遵守情况等。

（谢绝转载，更多内容可查看我的专栏）