密碼法正式發(fā)布，密碼安全性評估成為焦點

10月26日，《中華人民共和國密碼法》正式通過十三屆全國人大常委會第十四次會議表決，將自2020年1月1日起施行。從2014年12月起草至今，五年間密碼法多次面向社會公開征求意見，經(jīng)過反復修改和調整，終于在今天下午正式發(fā)布。

那么，密碼法的發(fā)布將會對企事業(yè)單位帶來怎樣的影響呢?

密碼進行分類管理 需主動進行密碼安全評估

本次發(fā)布的密碼法適用于密碼技術的生產(chǎn)方、使用方以及監(jiān)督主管方，覆蓋密碼的科研、生產(chǎn)、經(jīng)營、進出口、檢測、認證、使用和監(jiān)督管理等活動。

密碼法中將密碼分類為核心密碼、普通密碼與商用密碼，并明確要求對這三類密碼實行分類管理。其中“核心密碼”與“普通密碼”被用來保護國家秘密信息，涉密單位應重點關注對于這兩類密碼的管理。對這兩類密碼，密碼法要求實行密碼“保密責任制”和“安全風險評估”機制。

而商用密碼被用于保護不屬于國家秘密的信息，公民、法人和其他組織可以依法使用商用密碼保護網(wǎng)絡與信息安全。一般來說非涉密單位接觸到的密碼應用，都屬于商用密碼，應遵循國家密碼局商用密碼管理有關條例規(guī)定。

本次密碼法發(fā)布對于非涉密的企事業(yè)單位來說，最大的影響就是必須要主動進行“密碼安全性評估”。根據(jù)《密碼法》要求，商用密碼產(chǎn)品及服務使用方應按照國家密碼管理局有關規(guī)定，對商用密碼產(chǎn)品、密碼服務、密碼技術進行安全性以及合規(guī)性認證。而對關鍵信息基礎設施，應采用商用密碼進行保護，并進行密碼安全性評估，同時與關鍵信息基礎設施安全檢測評估、網(wǎng)絡安全等級測評制度密碼相關要求相銜接。

密碼安全性評估以GM/T0054標準為主要依據(jù)

當前，我國密碼安全性評估主要依據(jù)是《GM∕T 0054-2018 信息系統(tǒng)密碼應用基本要求》，其對信息系統(tǒng)的規(guī)劃、建設、運行三個階段的密碼應用情況安全性評估進行了詳細的規(guī)定，主要集中在密碼算法、密碼技術、密碼產(chǎn)品和密碼服務四個方面。

在密碼算法方面，信息系統(tǒng)中使用的密碼算法應當符合法律、法規(guī)的規(guī)定和密碼相關國家標準、行業(yè)標準的有關要求。如使用國家批準的商用密碼算法SM2、SM3、SM4等;

在密碼技術方面，密碼技術中涉及的標準密碼協(xié)議應符合國內相關密碼標準，如果是自定義的密碼協(xié)議，設計要安全合理，同時遵循相關密碼標準。如針對SSL相關應用，設計標準應遵循《GM/T 0024-2014 SSL VPN 技術規(guī)范》;

在密碼產(chǎn)品方面，信息系統(tǒng)中使用的密碼產(chǎn)品與密碼模塊應通過國家密碼管理部門核準。如信息系統(tǒng)中使用的密碼模塊應具備商密型號證書;

在密碼服務方面，信息系統(tǒng)中使用的密碼服務應通過國家密碼管理部門的許可。

騰訊安全云數(shù)據(jù)加密服務提供全生命周期的國密數(shù)據(jù)保護能力

在密碼服務及數(shù)據(jù)安全方向，騰訊安全打造了端到端的云數(shù)據(jù)全生命周期安全體系，以“云數(shù)據(jù)安全能力中臺”為中心，保障數(shù)據(jù)在識別、使用、消費過程中的安全。在這套數(shù)據(jù)安全體系中，騰訊安全提供全數(shù)據(jù)生命周期、完整的云產(chǎn)品生態(tài)集成、以及完全符合國家密碼局標準的高性能國密算法加密API/SDK服務。

(騰訊安全云數(shù)據(jù)安全能力中臺架構圖)

在騰訊安全云數(shù)據(jù)安全能力中臺的架構中，合規(guī)的密碼運算(算法)、密碼技術、密碼產(chǎn)品以組件化、服務化方式輸出，用戶可便捷的將加密組件集成至云上業(yè)務系統(tǒng)中。典型云產(chǎn)品應用包括密鑰管理系統(tǒng)KMS、云加密機CloudHSM、以及基于國密的SDK套件服務、基于國密KMS標準的憑據(jù)管理服務。

借助騰訊安全云數(shù)據(jù)加密服務中臺提供的極簡化的加密API和SDK服務，用戶可以輕松的在各個業(yè)務環(huán)節(jié)中嵌入合規(guī)的加密及密碼技術，以及便捷的實現(xiàn)對現(xiàn)有業(yè)務的密碼應用進行合規(guī)化改造。

生成海報

免責聲明：本網(wǎng)站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內容可能涉嫌侵犯其知識產(chǎn)權或存在不實內容時，應及時向本網(wǎng)站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內容或斷開相關鏈接。