蓬勃发展的商用密码应用安全性评估

摘 要：

随着信息技术的飞速发展，网络环境日益复杂、安全形势瞬息万变，网络安全威胁的范围在不断扩散，我国面临的网络安全问题也越来越严峻。商用密码是保障网络空间安全的根本性核心技术和基础支撑，因此，更加标准和规范的管理和使用密码技术就显得尤为重要。实现这一目标的唯一途径是发展先进的密码评估技术，并建立完善的密码检测和认证系统 ^[1] 。密码测评技术已成为信息安全测评的重要内容，它是构建国家信息安全测评认证体系的基础。本文先介绍了近十几年信息安全领域层出不穷的安全事件，然后整理了我国为规范密码使用，在密码领域出台的相关法律法规，随后从商用密码应用安全性评估的角度，指出了信息系统密码应用要求，最后从测评主要内容、测评原则、测评风险和测评过程四个方面介绍了商用密码应用安全性评估。

1 引 言

21世纪以来，世界范围内迎来一场新的信息技术革命，人类社会信息化、数字化、网络化水平空前提高，信息网络已经成为了全国乃至全世界的“中枢神经”。但是随着信息技术越来越复杂，系统的脆弱性、漏洞和安全风险也随之增加，受到的攻击也越来越多样化。从多年前的CSDN密码库泄露事件，5000多万CSDN网络账户密码被公开，到近年的11亿8千多万淘宝用户信息泄露事件，滴滴事件，incaseformat蠕虫病毒大规模爆发事件，导致所有非系统分区文件被删除，对用户造成了不可挽回的损失。因此，做好网络安全防护，规范有效的管理密码技术就显得尤为重要。

1996年，我国指定了商用密码发展战略，目前已经在金融、保险、交通运输、电子政务等多个方面得到了广泛的应用，但是人们往往会更多的关注系统的功能够不够强大、性能够不够好，而忽略了其安全防护的问题。为了加强商用密码管理，国务院在1999年10月颁布了我国密码领域的第一部行政法规《商用密码管理条例》，并在随后出台了一系列保证商用密码安全的法律法规，直到2020年1月1日《中华人民共和国密码法》正式施行，标志着我国在密码的应用和管理等方面有了专门性的法律保障^[3]。

随着我国密码相关法规的不断发展和完善，商用密码应用安全性评估应运而生并不断发展，《密码法》第二十七条“法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。”因此，开展商用密码应用安全性评估是贯彻落实《密码法》的要求，是各行各业合规、正确和有效的使用密码，保障网络安全的关键。

2 信息安全乱象

随着互联网飞速发展，网络安全形势愈发严峻，各种安全威胁来势汹汹，勒索攻击、数据泄露等各种安全事件层出不穷。

2011年8月，黑客入侵了荷兰CA供应商DigiNotar的证书服务器，并使用其设备为Google和Gmail等网站发行SSL伪造证书，随后还利用证书拦截了HTTPS流量，并监视了30多万人。DigiNotar因为此次攻击被众多浏览器开发商和操作系统开发商列为“不受信任”并破产。这次攻击使得众多如Google这样的科技巨头更为警惕，随后全面改革了SSL/TLS证书的整个颁发过程，这其中的许多程序至今还在被使用。

2014年，安全公司Codenomicon和谷歌安全工程师发现一个严重的安全漏洞，Heartbleed。Heartbleed安全漏洞在2012年就被引入OpenSSL加密库，但直到2014年才被发现，该漏洞一经公开披露很快就被利用，在2014年引发了一系列攻击，但直到今天，仍有很多系统还未安装有效补丁。

2016年，雅虎在四个月内宣布了两起数据泄露事件，先是在9月宣布在2014年数据泄露事件中，5亿用户的真实姓名、电子邮件地址和电话号码被泄露，在调查这一事件的过程中，雅虎还跟踪到2013年的一次安全漏洞，并在12月份宣布该漏洞影响到了10亿用户，最后在2017年将数据更新为30亿。

2018年2月，平昌冬奥会开幕式期间，主办方遭到黑客攻击，服务器被入侵，为了防止黑客进行下一步行动，主办方立即关闭网络服务器，系统宕机，直播终端，观众无法打印门票进场。同样在2018年，万豪国际酒店5亿客户的联系信息、护照号码、支付卡号以及其他个人信息被泄露，超过1亿客户的信用卡号被盗，该漏洞2014年就存在并被黑客入侵，一直潜伏到2018年9月才被发现。在这样的背景下，对密码应用进行标准化和规范化管理就显得愈发重要。

3 商用密码相关政策法规

为了促进商用密码应用的标准化和规范化，我国制定了一系列商用密码相关的法律法规。1999年10月，国务院颁布了我国密码领域的第一部行政法规《商用密码管理条例》，它首次以国家行政法规形式明确了商用密码定义、管理机构和管理体制，同时对商用密码科研、生产、销售、使用、安全保密等方面做出了规定。

为了规范电子签名行为，确立电子签名的法律效力，维护有关各方的合法权益而制定的法律，2004年8月28日全国人大常务委员会会议通过《中华人民共和国电子签名法》，该法赋权国家密码管理局对电子认证服务使用密码的行为依法实施管理，明确规定“可靠的电子签名与手写签名或者盖章具有同等的法律效力”,为我国信息化建设提供了重要的法律制度保障。

为加快推进信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，2007年6月22日，公安部、国家保密局、国家密码管理局、原国务院信息化工作办公室联合印发了《信息安全等级保护管理办法》，随后为配合《信息安全等级保护商用密码管理办法》的实施，进一步规范信息安全等级保护商用密码工作，2009年10月29日国家密码管理局印发《信息安全等级保护商用密码管理办法实施意见》，规定“第三级及以上信息系统的商用密码应用系统建设方案应当通过密码管理部门组织的评审后方可实施”，“第三级及以上信息系统的商用密码应用系统，应当通过国家密码管理部门指定测评机构的密码测评后方可投入运行。密码测评包括资料审查、系统分析、现场测评、综合评估等”，这些制度均明确了信息安全等级保护第三级及以上信息系统的商用密码应用要求。

为了推进网络基础设施建设和互联互通，鼓励网络技术创新和应用，培养网络安全人才，建立健全网络安全保障体系，国家制定并不断完善网络安全战略，2016年11月7日，全国人民代表大会常务委员会于发布《中华人民共和国网络安全法》，自2017年6月1日起施行。

2019年10月26日十三届全国人大常委会第十四次会议表决通过《中华人民共和国密码法》，这标志着我国在密码的应用和管理等方面有了专门性的法律保障。《密码法》按照中央确定的密码管理原则和应用政策，规定了密码应用的主要制度和要求。其中明确了关键信息基础设施使用密码和进行密码应用安全性评估的要求，规定法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。

4 信息系统密码应用要求

为了规范指导和评估我国信息系统中密码应用的使用情况，国家密码管理局在2018年2月公布了GM/T 0054-2018《信息系统密码应用基本要求》，该制度是面向等级保护体系制定的，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、密钥管理和安全管理六个方面制定了等级保护一至四级的密码应用要求。公安部于2018年6月27日发布《网络安全等级保护条例（征求意见稿）》，其中提出“第三级以上网络运营者应在网络规划、建设和运行阶段，按照密码应用安全性评估管理办法和相关标准，委托密码应用安全性测评机构开展密码应用安全性评估”。GM/T 0054标准因而也成为密码应用安全性评估所遵循的重要标准。2021年3月，GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》正式发布，于2021年10月1日起正式实施，GB/T 39786-2021相比GM/T 0054，标准的内容更加规范、要求更加明确、逻辑更加清楚，并且对密评实施过程中出现的问题也做了相应的修订，使得密评工作可以更有序、快速的推进。其中主要修改的内容有以下几个方面：

①GB/T 39786将第三级对完整性要求的约束程度由“应”调整为“宜”，这样可以更好地与GB/T 22239《网络安全等级保护要求》形成衔接。

②GB/T 39786对系统应配用的密码产品有了更明确的标准，对于第三级信息系统要求更改为“应达到GB/T 37092二级及以上安全要求”，第四级信息系统仍然维持标准为“应达到GB/T 37092三级及以上安全要求”。而GM/T 0054则要求第三、第四级信息系统均“应采用符合GM/T 0028的第三级及以上密码模块或通过国家密码管理部门标准的硬件密码产品”。

③GB/T 39786密钥管理相关内容，在正文中只针对密钥的管理和使用提出了管理性质的要求，将密钥管理周期中涉及到的相关技术要求放在了附录A。密钥生命周期的技术性要求，在本质上是对实现密钥产生、存储、分发、使用等功能的密码产品的要求，这些功能均由密码产品实现，而商用密码应用安全性评估是直接信任商用密码产品认证证书的，并不会对密码产品的具体实现进行重复性检测，因此进行这样的转变是更合理的。

不同等级的信息系统密码应用要求略有不同，下文将以第三级密码应用基本要求为例，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管理制度、人员管理、建设运行、应急处理八个方面介绍密码应用基本要求。

4.1物理和环境安全密码应用要求

第三级要求包括：

a）宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；

b）宜采用密码技术保证电子门禁系统进出记录数据的存储完整性；

c）宜采用密码技术保证视频监控音像记录数据的存储完整性；

d）以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经商用密码认证机构认证合格；

e）以上采用的密码产品，应达到GB/T 37092二级及以上安全要求。

物理和环境安全是实现信息系统安全的基础，如果物理和环境安全受到了威胁，那么系统的物理设备，系统中的重要信息以及应用都将会受到损失。因此，物理和环境安全的要求主要有以下两方面：①身份鉴别需求，使用密码技术保证只有经授权的人员才可以进入重要场所，才可访问重要设备；②完整性保护，使用密码技术保证监控设施的视频记录以及门禁进出记录不被恶意篡改。这样方可保护重要设备不被直接入侵，实现事前震慑、事中监控、事后追责^[2]。

4.2 网络和通信安全密码应用要求

第三级要求包括：

a）应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性；

b）宜采用密码技术保证通信过程中数据的完整性；

c）应采用密码技术保证通信过程中重要数据的机密性；

d）宜采用密码技术保证网络边界访问控制信息的完整性；

e）可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性；

f）以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经商用密码认证机构认证合格；

g）以上采用的密码产品，应达到GB/T 37092二级及以上安全要求。

信息系统实现与外界的互通需要通过网络，而网络和通信安全层面的主要是使用密码技术保护网络通信信道的安全。如果网络层和传输层使用了安全通信协议，就应使用符合我国密码行业标准的通信协议，使用国密算法套件。如果未使用安全通信协议，系统责任单位应将整体技术方案，包括技术路线、密码协议、产品选型等内容，提交至国家密码管理部门进行安全审查后方可使用。

4.3 设备和计算安全密码应用要求

第三级要求包括：

a）应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；

b）远程管理设备时，应采用密码技术建立安全的信息传输通道；

c）宜采用密码技术保证系统资源访问控制信息的完整性；

d）宜采用密码技术保证设备中的重要信息资源安全标记的完整性；

e）宜采用密码技术保证日志记录的完整性；

f）宜采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证；

g）以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经商用密码认证机构认证合格；

h）以上采用的密码产品，应达到GB/T 37092二级及以上安全要求。

设备和计算安全主要是对设备中的访问控制信息、重要信息资源安全标记、日志记录、重要可执行程序等提出安全要求。其本质是保证密码技术的运行和计算环境安全，主要针对的设备有两种，一种是密码产品，另一种是通用设备。密码产品自身可直接完成密钥管理和密码计算，只要其具有商用密码产品认证证书，即通过国家密码管理部门审批或由具备资格的机构检测认证合格，其安全性就可以得到保证。而通用设备则需要通过使用内置密码部件（如加密硬盘、密码卡等）或智能密码钥匙以及服务器密码机来实现设备和计算安全^[4]。

4.4 应用和数据安全密码应用要求

第三级要求包括：

a）应采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性;

b）宜采用密码技术保证信息系统应用的访问控制信息的完整性；

c）宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性；

d）应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；

e）应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；

f）宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性；

g）宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；

h）在可能涉及法律责任认定的应用中，宜采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性；

i）以上如采用密码服务，该密码服务应符合法律法规的相关要求，需依法接受检测认证的，应经商用密码认证机构认证合格；

j）以上采用的密码产品，应达到GB/T 370921二级及以上安全要求。

应用和数据安全主要是针对系统中的关键业务和重要数据提出的安全要求，是密码保护网络安全的最终层面。尽管在网络和通信安全以及设备和计算安全以及提供了安全防护，但仍有一些业务应用系统需要特殊保护。这种多层次的深度防御在单层安全机制失效时可以发挥非常有效的作用。

4.5 管理制度密码应用要求

第三级要求包括：

a）应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬件及介质管理等制度；

b）应根据密码应用方案建立相应密钥管理规则；

c）应对管理人员或操作人员执行的日常管理操作建立操作规程；

d）应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定，对存在不足或需要改进之处进行修订；

e）应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制；

f）应具有密码应用操作规程的相关执行记录并妥善保存。

4.6 人员管理密码应用要求

第三级要求包括：

a）相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；

b）应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限：

1）根据密码应用的实际情况，设置密钥管理员、密码安全审计员、密码操作员等关键安全岗位；

2）对关键岗位建立多人共管机制；

3）密钥管理、密码安全审计、密码操作人员职责互相制约互相监督，其中密码安全审计员岗位不可与密钥管理员、密码操作员兼任；

4）相关设备与系统的管理和使用账号不得多人共用。

c）应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能；

d）应定期对密码应用安全岗位人员进行考核；

e）应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。

4.7 建设运行密码应用要求

第三级要求包括：

a）应依据密码相关标准和密码应用需求，制定密码应用方案；

b）应根据密码应用方案.确定系统涉及的密钥种类、体系及其生存周期环行,各环力密钥管理要求参照附录B；

c）应按照应用方案实施建设；

d）投入运行前应进行密码应用安全性评估,评估通过后系统方可正式运行；

e）在运行过程中,应严格执行既定的密码应用安全管理制度,应定期开展密码应用安全性评估及攻防对抗演习,并根据评估结果进行整改。

4.8 应急处理密码应用要求

第三级要求包括：

a）应制定密码应用应急策略，做好应急资源准，当密码应用安全事件发生时，应立即启动应急处置措施，结合实际情况及时处置；

b）事件发生后，应及时向信息系统主管部门进行报告；

c）事件处置完成后，应及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况。

5 商用密码应用安全性评估

5.1 密评工作的主要内容

密码测评是指对采用了商用密码技术、产品和服务集成建设的网络和信息系统，按照商用密码管理政策和相关密码标准，对其密码应用的合规性、正确性、有效性进行评估。

5.1.1 合规性要求

合规性要求主要是指信息系统中所使用的密码算法、密码技术、密码协议、密码产品、密码服务等必须满足《商用密码管理条例》等密码相关标准规范和要求，采用符合国家密码法规的密码算法，如ZUC、SM2、SM3、SM4、SM9等；采用通过国家密码管理部门核准的密码产品和密码模块；采用通过国家密码管理部门许可的密码服务；按照相关标准政策法规进行密码应用方案设计。

5.1.2 正确性要求

由于信息系统的复杂性和多样性，其面临的攻击方法也是多种多样的。在面对不同的信息系统时，应使用符合系统安全要求的密码算法、密码技术、密码产品和密码服务，对系统中的敏感数据进行保护，在改造或建设密码保障系统的过程中，正确的进行密码产品和服务的部署。

5.1.3 有效性

信息系统并不是一成不变的，因此，系统中采用的密码协议、密钥管理体系以及密码安全防护机制等不仅在设计规划时要合理有效，在建设运行时也要保证密码应用始终有效，在进行应用修改、配置管理调整等动态变化时，更要紧跟系统变化进行安全评估，保证发挥密码效用，实现密码应用的系统安全、体系安全和动态安全^[5]。

5.2 密码测评基本原则

（1）客观公正原则

在进行测评时，测评方必须确保在最少的主观判断情况下，且测评方案需被测方认可，测评方式需明确定义的条件下开展测评工作。

（2）经济性和可复用性原则

测评工作可以复用商用密码产品检测结果和商用密码应用安全性评估测评结果。所复用的测评结果应该以结果适用于待测系统为前提，并且需要能够客观反应当前系统的安全状态。

（3）可重复性和可再现性原则

使用同样的测评方法，在同样的测评要求和测评环境下，不同测评机构的测评结果应该相同，且对于每个测评过程进行重复执行都应得到相同的结果。

5.3 测评风险

（1）验证测试可能影响系统正常运行

在测评过程中需要对系统和设备进行测评工作，针对测评内容需要上机对信息进行查看，可能会对系统的运行产生影响。

（2）工具测试可能影响系统正常运行

在现场测评过程中，需要使用测评工具对系统进行测试，而测评工具在使用过程中可能会产生冗余数据的写入，从而对系统的负载造成一定影响，进而对系统的通信甚至服务器造成影响。

（3）可能导致敏感信息泄露

在测评过程中，系统中的敏感信息如业务流程、用户敏感信息、加密机制以及机密文档可能会遭到泄露。

（4）其他可能面临的风险

在测评过程中，也有可能会出现影响信息系统的可用性、保密性和完整性的风险。

5.4 密码测评过程

5.4.1 测评准备活动

测评准备活动主要的目的是顺利启动测评项目，以便接下来测评方案的编制。测评准备活动包括项目启动、信息收集和分析、工具和表单准备三项主要工作。

（1）项目启动

在项目启动任务中，测评方根据双方签订的委托测评协议书和系统规模，挑选人员组建测评项目组，并编制项目计划书，项目计划书应该包括项目概述、工作依据、技术思路、工作内容和项目组织等，还需获取被测单位及信息系统的基本情况，从人员、计划安排、基本资料等方面为项目做准备。

测评方还需要委托单位提交一些基本信息，其中包括被测系统的总体描述、安全管理制度文件、密钥管理制度、相关流程管理记录、测评委托单位信息化建设与发展状况及联络方式、安全保护等级定级报告、系统验收报告、安全需求分析报告、安全总体方案、自查或上次测评报告等材料。

（2）信息收集和分析

测评方通过查阅被测系统相关资料或者使用已有调查表格的方式，对整个系统的密码使用情况进行调查，为撰写测评方案以及现场测评提供基础。若调查表格填写不准确或出现互相矛盾，测评方应进行现场调查，以确认正确的调研信息。

（3）工具和表单准备

测评人员在进行现场测评之前，应确定和熟悉相关测评工具、并准备各种表单，如风险告知书、现场测评授权书、会议记录表单、会议签到表单等。

5.4.2 方案编制活动

方案编制活动主要是为了对测评准备活动中的资料进行归纳和整理，并拟定出测评方案，为现场测评工作提供指导方案和规范性文件。方案编制活动主要包括测评对象确定、测评指标确定、测试检查点确定、测评内容确定及测评方案编制五项主要工作。

（1）测评对象确定

首先根据调查表格以及现场调查，获取被测系统的基本情况，包括其网络边界、安全设备、密码产品、物理环境、网络拓扑图结构与网络边界、业务应用系统等，及其密码使用情况。随后根据上述信息，以网络拓扑图为基础对被测系统进行描述。随后测评方需要根据被测系统的基本情况，来确认系统的核心资产、设备和组件的情况，并对资产的价值进行认定，最终确定测评对象，包括物理和环境、业务应用软件、主机和服务器、数据库、网络安全设备、密码产品以及密码管理文档等，并以列表的形式对设备名称、用途、信息等进行描述。

（2）测评指标确定

根据被测系统的定级结果，《信息系统密码测评要求》中相应等级对应的测评指标以及系统的实际情况，对系统所有的不适用项及其具体情况进行确认和检查评估，并详细论述其安全需求和不适用的原因。

（3）测试检查点确定

在测评过程中，需要对关键设备及关键业务进行抓包测试、查看关键设备配置，以查看其使用的密码算法、密码技术及密钥管理是否是通过国家密码管理部门认证或行业主管部门认可的。测试的检查点需要在编制测评方式时确定。

（4）测评内容确定

将测评指标、测评对象、测评方法根据《信息系统密码应用基本要求》和《信息系统密码测评要求》结合起来，并简要编制各个测评单元相应的现场测评测试内容。

（5）测评方案编制

汇总项目概述、测评对象、测评指标、测试检查点、单元测评实施以及其他内容，形成测评方案。

5.4.3 现场测评活动

（1）现场测评准备

确认测评工具、现场测评需要的资源，委托单位的配合人员以及提供的测评条件等，并签署现场测评授权书。

（2）现场测评和结果记录

测评方安排测评人员在约定的时间段内，通过对被测系统的工具测试、配置审查、文档审查、实地查看以及相关人员访谈的方式对被测系统进行现场测评，并将测评结果记录表格。

（3）结果确认和资料归还

现场测评完成后，测评人员汇总现场测评记录并检查是否有遗漏，并交由委托单位确认签字，最后将借阅的所有文档资料以及安全设备归还。

5.4.4 分析与报告编制活动

（1）单项测评结果判定

该工作的目的是将评价指标中的单个测评项与特定的测评对象相结合，对测评证据进行客观、准确的分析，从而得出一个初步的单项测评结果以及分数。单项测评结果是测评结论的依据。

（2）单元测评结果判定

该任务主要是以将单项测评结果按不同的测评层面进行汇总，从而得出单元测评结果和分数。

（3）整体测评

该任务主要是将单元测评结果进行汇总，得出整体测评结果以及最后的分数。

（4）风险分析

测评人员根据信息系统密码应用的相关规范额标准，结合单项测评结果与单元测评结果，对信息系统中可能出现的安全威胁进行风险分析。

（5）测评结论形成

对测评结果汇总表格、整体测评分数以及风险分析结果进行分析，若测评结果中所有测评项均为符合，信息系统未发现安全问题，则测评结论为符合；若信息系统中存在安全问题，综合得分小于100分不低于60分，且系统的密码应用无高风险，则测评结论为部分符合；若信息系统中存在安全问题，综合得分低于60分或者密码应用存在高风险，则测评结论为不符合。

（6）测评报告编制

将概述、被测信息系统描述、测评对象说明、测评指标说明、测评内容和方法说明、单元测评、整体测评、测评结果汇总、风险分析和评价、测评结论、整改建议等内容进行汇总，编制成测评报告^[5]。

6 结束语

随着信息安全产业的蓬勃发展，密码技术在政务、金融、教育、医疗卫生、公共服务以及关键信息基础设施等诸多领域的保障作用日益凸显。当今世界正处于百年未有之大变局，密码技术作为信息安全的基础支撑和核心技术，已成为各国政府和国际组织关注的重点。因此，发展密码测评，规范密码技术的使用，提高网络与信息系统密码应用的合规性、有效性、正确性，是保障我国网络空间安全、维护国家安全的必然需求。