2023年4月21日，吉林省卫生健康信息中心组织开展“数字素养提升工程”第19期活动，邀请国家信息技术安全研究中心总师江海主讲“密码应用与安全性评估介绍”专题讲座。

       江海从密码应用政策法规、密码应用的要求、密码应用安全性评估三个方面进行了介绍。《网络安全法》第二十一条规定网络运营者应当采取数据分类、重要数据备份和加密等措施。《密码法》中第二十七条规定,法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。《个人信息保护法》第五十一条规定,个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等采取相应的加密、去标识化等安全技术措施。

       江海还介绍了《信息安全技术 信息系统密码应用基本要求》GB/T 39786-2021标准，标准主要包括通用要求、密码技术应用要求、密钥管理和安全管理。通用要求规定了系统使用的密码算法、密码技术、密码产品和密码服务应当满足国家标准和行业标准。密码技术要求从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个方面进行了规定。密钥管理对密钥的整个生命周期，包括生成、存储、分发、备份、恢复、销毁等过程进行了详细的规定。安全管理从管理制度、人员管理、建设运行和应急处置等方面进行了规定。

       江海说商用密码应用安全性评估（密评）是指按照有关法律法规和标准规范，对网络与信息系统使用商用密码技术、产品和服务的合规性、正确性、有效性进行检测分析和评估验证的活动。国家密码管理局在相关文件中要求网络与信息系统运营者应按照法律、法规、规章和国家有关规定，同步规划、同步建设、同步运行商用密码保障系统，规范开展密评工作，履行备案程序。

       目前，密评所参照的是整体网络安全保护等级，根据《信息安全技术网络安全等级保护定级指南》完成定级备案后，其密码应用等级也相应确定。

李兵报道 孙黎春摄影

---

---

审核：武金玲
编辑：石丽丽