+ + + + + + + + + + + 

近年來(Come)國家陸續發布《網絡安全法》、《密碼法》、《保守國家秘密法（修訂）》、《關鍵信息基礎設施安全保護條例》、《數據安全法》、《電子簽名法》、《商用(use)密碼應用(use)安全性評估管理辦法》（試行）等，爲(for)網絡安全和(and)密碼應用(use)提供了(Got it)法律保障。

自2021年開始，國家正式通過商用(use)密碼應用(use)安全性評估（簡稱“密評”），針對當前密碼應用(use)不(No)廣泛、不(No)規範、不(No)安全的(of)現狀，大(big)力促進以(by)國家認可的(of)密碼技術爲(for)基礎，以(by)整體性、規範性和(and)協同性爲(for)原則的(of)密碼規範使用(use)和(and)管理，推動科學規範的(of)網絡安全密碼屏障體系盡快形成，保證密碼在(exist)網絡和(and)信息系統中的(of)有效使用(use)，打造以(by)密碼爲(for)基石的(of)網絡空間新安全架構，牢牢守住網絡安全最後一(one)道防線。

商用(use)密碼應用(use)安全評估與國家正在(exist)推進實施的(of)網絡安全等級保護、涉密信息系統分級保護、關鍵信息基礎設施保護等一(one)起共同構成我(I)國信息安全評估與管理的(of)四項基本制度；除了(Got it)密評本身對于(At)密碼應用(use)安全提出(out)系統性的(of)要(want)求，其他(he)三項基本制度也都從各自角度分别對密碼安全應用(use)提出(out)了(Got it)明确的(of)法定要(want)求。

爲(for)此，根據 GB/T 39786-2021的(of)要(want)求，結合密碼保障體系建設和(and)服務的(of)專業經驗，建議從數字轉型和(and)網絡安全頂層設計出(out)發，引入《密碼應用(use)服務中台》爲(for)中心，對接全域密碼設備和(and)服務，規劃建設統一(one)的(of)《密碼安全保障基礎平台》，面向全域密碼應用(use)和(and)管理，以(by)全新的(of)平台化模式總成交付，通過對全域密碼應用(use)的(of)全程追蹤、總體管控和(and)統一(one)服務，提高密碼應用(use)管理與服務的(of)集約化和(and)精細化水平，全面掌握密評合規和(and)密碼應用(use)安全保障的(of)主動權，固本清源，切實守住網絡安全的(of)最後一(one)道防線。

+ + + + + 

密評最終目的(of)是(yes)要(want)系統性地(land)推進和(and)規範全域密碼應用(use)，隻有真正領會GB/T 39786-2021的(of)要(want)求，從密碼服務、應用(use)、管理同步進行，實現對全域密碼應用(use)的(of)全程追蹤、總體管控和(and)統一(one)服務，才能從根本上真正滿足密評合規所要(want)求的(of)整體性、協同性和(and)規範性要(want)求。實踐中需要(want)切實把握規範化、體系化、主動性和(and)成長性等幾個(indivual)基本要(want)則：

· 規範化。選用(use)國家認可的(of)密碼算法、技術、産品和(and)服務，确保密碼服務可用(use)。這(this)一(one)條涉及密評高風險項聚集的(of)領域，需要(want)首先保證。

 · 體系化。保持全域密碼應用(use)的(of)全程追蹤和(and)總體管控，确保可知、可管、可控。這(this)一(one)條涉及密評完備性和(and)協同性，是(yes)克服密碼碎片化、避免疏漏的(of)關鍵。

 · 成長性。網絡信息系統是(yes)發展的(of)，密改方案需支持動态擴展，确保其延續性。密評年檢制決定了(Got it)密改的(of)長期性，必須在(exist)正确軌道上保持開放敏捷性設計。

 · 主動性。密評是(yes)手段，不(No)是(yes)目标，密改需要(want)與數字轉型和(and)網絡安全規劃融合。以(by)密碼爲(for)内生(born)安全基因構建網絡安全新體系，才是(yes)密評工作(do)的(of)真正目的(of)，也是(yes)密評合規的(of)底層邏輯。

綜上所述。需求分類歸納如下：

1. 規範完備的(of)密碼服務功能體系

檢測定位不(No)合格的(of)密碼算法、技術、産品和(and)服務，選配國家認可的(of)密碼算法、技術、産品和(and)服務。比如具有國密型号的(of)服務器密碼機/密碼卡、數字證書系統（CA）、簽名驗簽服務器、時(hour)間戳服務器、協同簽名系統、電子簽章系統、安全認證網關、SSL VPN/IPsec VPN、多因素認證系統、統一(one)認證系統，以(by)及具有工信部許可的(of)CA電子認證服務等等。滿足全域對真實性、機密性、完整性和(and)不(No)可否認性等密碼服務保障能力的(of)需求，構成規範完整、科學專業的(of)密碼服務功能體系。

2. 科學系統的(of)密碼服務管理體系

針對全域的(of)密碼應用(use)統一(one)管理，除了(Got it)基本信息的(of)登記備案，還需要(want)實現服務方、依賴方（調用(use)方）和(and)管理方三者及其相關策略的(of)統一(one)管理與協調一(one)緻，避免密碼服務在(exist)管理上出(out)現漏洞。

3. 安全穩定的(of)密碼受控服務體系

對接全域密碼服務的(of)功能和(and)管理體系，按照設定的(of)訪問策略，面向密碼應用(use)方提供安全可控和(and)穩定高效的(of)差異化密碼服務，在(exist)密碼産品安全合規的(of)同時(hour)，确保全域密碼應用(use)體系的(of)結構性安全，并具備适當的(of)應急保障能力。

4. 獨立權威的(of)密碼服務數據體系

針對全域碎片化的(of)密碼服務數據進行彙總梳理和(and)完整性保護，并針對密碼服務情況提供權威的(of)查詢展示和(and)審計服務。

5. 便捷高效的(of)密碼服務運行體系

全程跟蹤展示密碼應用(use)情況；保障平台高質量安全運行；支持平台運營日常維護以(by)及用(use)戶自助服務的(of)極簡高效；提供第三方開發者二次開發和(and)仿真調測環境等。

6. 支持多樣化用(use)戶終端場景

密碼客戶端需要(want)适配多樣化用(use)戶終端場景，比如手機、電腦、pad等終端設備；SDK、插件、APP、小程序、專用(use)客戶端等終端軟件形态；支持外接USBKey或者内置密碼軟件模塊；支持主流操作(do)系統和(and)信創平台等等，确保用(use)戶體驗。

7. 支持靈活擴展專項密碼應用(use)系統

要(want)求無縫擴展提供各種密碼類專項服務，滿足特定項目對于(At)密碼服務的(of)個(indivual)性化定制。比如身份治理、電子簽署、電子合同、電子證照、電子存證等。

8. 支持基于(At)密碼的(of)網絡安全新體系

支持平滑演進爲(for)電子認證、零信任框架、區塊鏈網絡等以(by)密碼爲(for)基石的(of)網絡安全新體系，充分發揮密碼的(of)核心基礎價值，守住新形勢下網絡安全的(of)最後一(one)道防線。

總之，密評不(No)隻是(yes)政策紅利和(and)法定責任，以(by)密碼爲(for)内生(born)安全基因構建網絡安全新體系的(of)未來(Come)已經來(Come)到(arrive)，責任單位盡早統籌規劃統一(one)的(of)密碼應用(use)安全保障體系，并據此安排分步實施落實，避免陷入“盲人(people)摸象，欲速則不(No)達”的(of)誤區。

來(Come)源：數觀天下