文章目录
《国家政务信息化项目建设管理办法》第十五条规定，“项目建设单位应当落实国家密码管理有关法律法规和标准规范的要求，同步规划、同步建设、同步运行密码保障系统并定期进行评估”。国务院印发《关于加强数字政府建设的指导意见》(国发2022〕14号)第三条“构建数字政府全方位安全保障体系”第(二)点“落实安全制度要求”中也明确指出:“建立健全网络安全、保密监测预警和密码应用安全性评估的机制，定期开展网络安全、保密和密码应用检查，提升数字政府领域关键信息基础设施保护水平”。这些法律法规明确规定数字政府信息化系统中的密码应用建设应做到“三同步一评估”，即数字政府信息化系统的密码应用与安全性评估贯穿于系统的规划、建设和运行阶段，具体实施过程如图：
一、数字政府密码应用工程规划阶段
在数字政府信息化系统密码应用规划阶段，项目建设单位应首先对现有系统密码应用进行深入分析，明确面临的安全风险、风险控制需求与密码应用需求等;然后根据系统密码应用的网络安全保护等级，依据GB/T39786一2021《信息安全技术息系统密码应用基本要求》等相关标准，编制数字政府密码应用方案，并申请进行商用密码应用安全性评估(以下简称“密评”)。只有密码应用方案通过密评，项目才能立项。以下简要介绍信息化系统密码应用规划阶段的主要工作，见下图（数字政府信息化系统密码应用规划）：
首先是密码应用需求分析。为了保障数字政府信息化系统密码应用的安全稳定运行，数字政府信息化系统密码应用建设、使用、管理单位需根据信息系统等级保护定级情况和实际安全需求，参照GB/T39786-2021有关内容，对数字政府信息化系统密码应用开展安全需求分析。具体分析包括数字政府信息化系统密码应用拟定等保级别、部署运行的环境及网络等，在此基础上，进一步确定数字政府信息化系统中的商用密码应用的具体需求。
其次是系统敏感数据梳理。根据数字政府信息化系统中产生、管理、使用的业务数据，参考行业、单位内部数据安全分类分级标准，梳理出该数字政府信息化系统
中的敏感数据，并标明数据类型及保护措施。
1)数据类型:公开数据、内部公开数据、内部受控数据及个人信息等。
2)保护措施:确保数据在传输和存储过程中的机密性保护、完整性保护及关键操作行为的抗抵赖性保护。
第三是密码应用方案编制。在编制密码应用方案的过程中，数字政府信息化系统的使用方和建设方需配合、协助密码应用建设专业团队或公司，完成需求调研及理工作。
依据数字政府信息化系统密码应用建设、使用、管理单位的设计目标、设计思路和安全策略，密码应用建设专业团队或公司需从物理和环境安全、网络和通信安全设备和计算安全、应用和数据安全及密码安全管理等方面，开展商用密码应用规划设计，并形成密码应用方案。
最后是密码应用方案评审。数字政府信息化系统密码应用建设、使用、管理单位应组织专家或委托测评机构对密码应用方案进行评审，评估结果将作为项目规划立项的重要依据和申报使用财政性资金的必备材料。
二、数字政府密码应用工程建设阶段
在数字政府信息化系统密码应用建设阶段，系统集成单位在项目建设单位的明确要求下，按照通过密评的密码应用方案建设密码保障系统，确保系统中的密码应用符合国家密码管理要求。若在建设阶段涉及调整优化密码应用方案，项目建设单位应再次委托密评机构对调整后的密码应用方案进行评审确认。系统建设完成后，项目建设单位委托密评机构对系统开展密评。系统通过密评是项目验收的必要条件数字政府信息化系统密码应用工程建设阶段，如图下图所示。
(1)密码产品选型
数字政府信息化系统密码应用建设、使用、管理单位应按照国家商用密码管理要求，选用经国家密码管理部门核准的商用密码产品、许可的密码服务。
(2)新建密码应用开发
新建的数字政府信息化系统密码应用应当依据商用密码应用需求，同步规划建设密码保障体系，增加密码应用功能模块，采用国产商用密码进行保护
(3)已建密码应用改造
对于现有的数字政府信息化系统密码应用，若未使用密码技术或国产商用密码算法，项目建设单位需依据商用密码应用需求进行密码国产化改造，增加或改造密码应用功能模块，使其能够适配国产商用密码算法
(4)数字政府信息化系统密码应用建设、使用、管理单位应制定密码实施方案。方案内容应包括但不限于信息系统概述、安全需求分析、商用密码系统设计方案、商用密码产品清单(包括产品资质、功能及性能列表、产品生产单位等)、商用密码系统安全管理与维护策略、商用密码系统实施计划等。
(5)密码应用集成实施
按照密码应用方案和实施方案，数字政府信息化系统密码应用建设、使用、管理单位需开展数字政府密码应用集成实施工作。
(6)密码应用安全性评估
在数字政府信息化系统投人运行前，数字政府信息化系统密码应用建设、使用、管理单位应当委托国家密码管理局认可的密评机构，对其进行商用密码应用安全性评估。评估结果将作为项目验收的必备材料。
若某数字政府信息化系统密码应用未通过密评，项目建设单位应针对评估中发现的安全问题及时整改，整改完成后可请密评机构进行复评，更新评估结果。若整改后仍未通过评估，该项目不得通过验收。
三、数字政府密码应用工程运行阶段
在数字政府信息化系统运行阶段，项目使用单位应定期委托密评机构对系统开展密评工作，如下图所示。对于网络安全保护等级第三级及以上的数字政府信息化系统密码应用，每年至少进行一次密评，可与关键信息基础设施安全检测评估、网络安全等级保护测评等工作统筹考虑、协调开展。在对密码应用安全性评估时，相应指标要求如下:“- -”表示该项不做要求;“应”表示信息系统管理者应遵循相关要求:“宜”表示由审查通过的信息系统密码应用方案，决定遵循或不遵循相应的要求来实现安全保护，如不遵循，应说明原因，以及替代性安全措施;“可”表示信息系统管理者可按照业务实际情况，自主选择遵循或不遵循相应的要求来实现安全保护。
数字政府信息化系统运行期间的密码应用安全应遵循持续改进的原则，根据安全需求、系统脆弱性、风险威胁程度、系统环境变化以及对系统安全认识的深化等及时检查、总结、调整现有的密码应用措施，确认系统各项密码技术和管理措施是否落实到位。若系统约束条件发生重要变化，项目使用单位必要时需修订密码应方案，并升级改造系统。若运行阶段的数字政府信息化系统密码应用未通过密评项目使用单位应按要求对系统进行整改，之后再次开展密评工作。整改期间，项目使用单位应保证系统的安全性。
