在上篇文章中我们介绍了什么是“密评”以及进行“密评”工作的必要性，接下来我们针对“密评”的实施流程做下简单介绍。

目前“密评”依据GM/T 0054-2018信息系统密码应用基本要求（以下简称“0054”）开展。0054是信息系统在规划、建设、运行三个阶段对密码应用情况进行安全性评估的核心标准，提出了总体要求、密码功能要求、密码技术应用要求、密钥管理和安全管理五方面的安全要求。

基础信息网络：电信网、广播电视网、互联网。

重要信息系统：能源、教育、公安、测绘地理信息、社保、交通、卫生计生、金融等涉及国计民生和基础信息资源的重要信息系统。

重要工业控制系统：核设施、航空航天、先进制造、石油石化、油气管网、电力系统、交通运输、水利枢纽、城市设施等重要工业控制系统。

面向社会服务的政务信息系统：党政机关和使用财政性资金的事业单位和团体组织使用的面向社会服务的信息系统。

对于新建系统需在系统规划阶段，可组织专家或委托测评机构进行评估；

对于已建系统需在系统建设完成后以及运行阶段，由测评机构进行评估。

“密评”的测评工作主要包括密码应用方案评估、测评准备、方案编制、现场测评、分析和报告编制五个环节。

（1）密码应用方案评估

密码应用方案评估是根据系统的定级情况，审查系统密码应用设计方案或系统安全设计方案中密码应用设计部分密码防护措施是否满足密码使用要求或规定。

新建系统，需在系统规划阶段编制符合0054相关条款的《密码应用解决方案》、《密码应用实施方案》、《密码应急方案》。对于已建系统，测评专家或机构会针对系统网络拓扑、已有密码产品、密钥管理层次、密钥生命周期管理以及重要数据资源在系统中流转和受保护情况进行评估，上报主管部门审核并备案。

（2）测评准备

被测评单位编制项目计划书，提供基本资料，如管理架构、技术体系、运行情况、各种密码安全管理制度及相关管理记录等，填写系统调查表，调查被测系统的基本信息、行业特征、密码管理策略、网络及设备部署情况，以供测评人员和机构初步了解被测信息系统的实际情况。同时准备好相关测评工具，如漏扫工具、性能测试工具、协议分析工具等。

（3）方案编制

根据0054基本要求，确定测评对象和测评指标，合理选择测试接入点，分析系统内部算法、密码协议应用的合规性和正确性，整理测评准备阶段中获取的信息系统相关资料，为现场测评提供基本的文档和指导方案，并最终绘制成密码测评方案。

（4）现场测评

开展访谈、文档审查、实地查看、工具测试等，并做好过程与结果的记录；确认具备测评开展的条件，测评对象工作正常，系统处于相对良好的状况。测评结束后，确认测评工作是否对测评对象造成影响，测评对象及系统是否工作正常。

（5）分析和报告编制

现场测评完成后，根据现场的测评结果记录进行分析，输出测评结果，并准备编制测评报告。

”密评“的结论包括单项测评结论、整体测评结论、风险分析结论及最终的评估结论。

a. 单项（单元）测评：根据单向测试结果情况，分为符合、不符合、部分符合和不试用四种情况。

b. 整体测评：分为符合、部分符合、不符合三种情况。

c. 风险分析：针对测评结果中部分符合项或不符合项所产生的安全问题，分析可能对被测系统造成的安全影响。根据威胁类型和威胁发生频率，结合资产价值的高低和安全保护等级，对被测系统的风险值进行判定。

d 报告编制：报告包括概述、被测系统描述、测评对象说明、测评指标说明、测评内容和方法、单项测评、整体测评、结果汇总、风险分析、测评结论以及整改建议等章节。

测评机构根据现场测评记录，经单项测评机构判定、单项测评结果汇总分析、单元结果判定、整体测评、风险分析等工作，综合分析得出结论，并输出密码测评报告。

等保三级及以上信息系统，评估报告还需由被测单位上报至系统受理备案(即等级保护定级备案)的公安机关。

相关推荐：

解读 | 为什么要做“密评”？