两项密码国家标准正式实施
2024年4月1日，国家市场监督管理总局、国家标准化管理委员会联合发布的《GB/T 43207-2023 信息安全技术 信息系统密码应用设计指南》（以下简称《信息系统密码应用设计指南》）和《GB/T 43206-2023 信息安全技术 信息系统密码应用测评要求》（以下简称《信息系统密码应用测评要求》）两项国家标准正式实施。
《信息系统密码应用设计指南》简述
《信息系统密码应用设计指南》给出了信息系统密码应用设计指南,包括信息系统密码应用框架、密码应用方案设计原则、密码应用方案设计过程和密码应用方案设计指南，适用于指导信息系统密码应用方案的设计,也可作为信息系统密码保障建设、密码应用安全性评估和密码管理部门密码应用安全性评估备案工作的参考。
该标准在商用密码应用“三同步一评估”过程中，为规划、建设、运行等工作提供重要指导和建议，主要包含信息系统应用层设计指南、密码服务支撑设计指南、计算平台密码应用设计指南、密钥管理设计指南等多个方面。其中，信息系统应用层设计指南部分详细阐述了如何进行身份鉴别、访问控制信息完整性、数据传输安全、数据存储安全和行为不可否认性等方面的设计要求；密码服务支撑设计指南部分强调了密码服务支撑的重要性，包括真实性保护功能设计、机密性与完整性保护功能设计、不可否认性保护功能设计等方面，并要求配备相应的密码支撑产品和技术路线；计算平台密码应用设计指南部分从物理和环境安全、网络和通信安全、设备和计算安全三个层面描述了具体的设计指南；密钥管理设计指南部分包括密钥策略设计、密钥功能划分、系统计算平台密钥管理设计、信息系统应用层密钥管理设计等方面的详细内容。
《信息系统密码应用测评要求》简述
《信息系统密码应用测评要求》规定了信息系统第一级到第四级密码应用的通用测评要求、技术测评要求、管理测评要求,并给出了整体测评要求、风险分析和评价、测评结论的要求；适用于指导、规范信息系统密码应用安全性评估工作中的测评活动。
密码应用合规现状概述
2020年1月1日起施行的《中华人民共和国密码法》、2023年7月1日起施行的《商用密码管理条例》、2023年11月1日起施行的《商用密码应用安全性评估管理办法》等法律法规和《信息安全技术 信息系统密码应用基本要求（GB/T 39786-2021）》、《信息系统密码应用设计指南（GB/T 43207-2023）》《信息系统密码应用测评要求（GB/T 43206-2023）》等国家标准以及《金融行业信息系统商用密码应用基本要求（JR/T 0255-2022）》、《信息系统商用密码应用测评要求（JR/T 0256-2022）》、《信息系统密码应用测评过程指南（JR/T 0257-2022）》等行业标准组成了密码应用从政策要求、规划设计、建设实施到运行保障的系统性合规要求和体系化指导参考。
根据《商用密码管理条例》，密码应用服务对象为重要网络与信息系统，不仅涵盖了关键信息基础设施，还包含其他大量网络与信息系统，覆盖客户群体包括但不限于关键信息基础设施运营者（如电信、能源、交通、金融等领域核心系统）、大型企业与机构（如银行、互联网公司、医疗保健机构等）、政府机关与公共部门（各级政府、事业单位及其处理政务数据、公民信息、公共服务数据的系统）、第三方服务提供商（云计算、大数据平台等）、中小型企业（处理敏感信息或依赖信息系统的核心业务）、特定行业与领域（如国防、电力、电商、在线支付等）。
另外，《中华人民共和国密码法》明确规定：未按照要求开展商用密码应用安全性评估的，由密码管理部门责令改正，给予警告。《商用密码应用安全性评估管理办法》也规定重要网络与信息系统的运营者违反本办法规定，由密码管理部门责令改正；逾期未改正或者改正后仍不符合要求的，处1万元以上10万元以下罚款，对直接负责的主管人员处5000元以上5万元以下罚款。
CFCA不断推进密码应用与评估工作
中国金融认证中心（CFCA）是经国家信息安全管理机构批准成立的权威电子认证机构。也是我国重要的信息安全基础设施之一。
CFCA专注于信息安全风险管理领域，全面完善的信息安全服务贯穿信息系统整个生命周期。密码服务团队以扎实的知识技能、丰富的实践经验和多年积累的知识库，服务于众多金融机构、非银行机构、政府机构和大中型企事业单位，帮助企业构建安全可靠的信息系统。
CFCA将以高度的责任心、使命感、紧迫感，坚定不移推进密码应用与评估工作，更好地为我国数字经济保驾护航。
密码服务业务联系人
鲁老师 13611236014（同微）
王老师 13321199636（同微）
