2020 年1月1日施行的《密码法》填补了密码领域的法律空白，推动密码在网络安全与信息化发展中发挥更大作用。

《密码法》按照中央确定的密码管理原则和应用政策，规定了密码应用主要制度和要求，明确了密码的定义和分类。强调国家积极规范和促进密码应用；建立商用密码检测认证体系，鼓励从业单位自愿接受商用密码检测认证；明确关键信息基础设施使用密码和进行密码应用安全性评估的要求；建立安全审查机制；对采用商用密码技术从事电子政务电子认证服务的机构进行认定。密码是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。密码分为核心密码、普通密码和商用密码。商用密码用于保护不属于国家秘密的信息。

第二十七条  法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。

关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当按照《中华人民共和国网络安全法》的规定，通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。

第十条  建设、运营网络或者通过网络提供服务，应当维护网络数据的完整性、保密性和可用性。

第二十一条  国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

第十四条  任何单位或者个人只能使用经国家密码管理机构认可的商用密码产品,不得使用自行研制的或者境外生产的密码产品。

第三十八条  非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统，其运营者应当使用商用密码进行保护，制定商用密码应用方案，同步规划、同步建设、同步运行商用密码保障系统，自行或者委托商用密码检测机构开展商用密码应用安全性评估。

涉及国家安全和社会公共利益的重要领域网络和信息系统的建设、使用、管理单位应当健全密码保障体系，实施商用密码应用安全性评估，每年至少评估一次。重要领域网络和信息系统包括关键信息基础设施、网络安全等级保护第三级及以上信息系统。

第四条  网络运营者在网络建设过程中，应当同步规划、同步建设、同步运行网络安全保护、保密和密码保护措施。

第四十七条  非涉密网络应当按照国家密码管理法律法规和标准的要求，使用密码技术、产品和服务。第三级以上网络应当采用密码保护，并使用国家密码管理部门认可的密码技术、产品和服务。

2020 年2月1日施行的《国家政务信息化项目建设管理办法》，是为了规范国家政务信息化建设管理。对国家政务信息系统的规划、审批、建设、共享和监管做出规定，其中明确规定了多项密码应用有关要求。包括备案及备案文件要求，安全监管与评估要求，以及不符合规定的系统需承担的后果等。

其中第九条，国家政务信息化项目需向国家发展改革委备案。备案文件应当包括应用系统、等级保护或者分级保护备案情况、密码应用方案和密码应用安全性评估报告等内容。第二十八条，对不符合密码应用和网络安全要求，或存在重大安全隐患的政务信息系统；不安排运行维护经费，项目建设单位不得新建、改建、扩建政务信息系统。第三十条，加强国家政务信息系统的安全监管。按要求采用密码技术，并定期开展密码应用安全性评估，确保政务信息系统运行安全和政务信息资源共享交换的数据安全。

第九条  通过政府购买服务方式产生的国家政务信息化项目，应向国家发展改革委备案。备案文件应当包括密码应用方案和密码应用安全性评估报告等内容。

第十五条  项目建设单位应当落实同步规划、同步建设、同步运行密码保障系统并定期进行评估。

第二十八条  对于不符合密码应用和网络安全要求，或者存在重大安全隐患的政务信息系统，不安排运行维护经费，项目建设单位不得新建、改建、扩建政务信息系统。

第八条  采购需求应当落实国家密码管理有关法律法规、政策和标准规范的要求，同步规划、同步建设、同步运行密码保障系统并定期进行评估。

2018年7月25日印发，简称：36号文。明确指出：深化金融领域密码应用、加强基础设施网络密码应用、促进数字经济密码应用、推进信息惠民密码应用、增强密码科技创新和基础支撑能力，共涉及47项重要工作，30个重要领域（基本涵盖全国范围内所有行业）。

GB/T 39786—2021中的密码应用等级一般由网络安全等级保护的级别确定。信息系统根据GB/T 22240—2020《信息安全技术 网络安全等级保护定级指南》确定等级保护级别时，同步对应确定密码应用等级，即等保定级为第一级的网络与信息系统应遵循GB/T 39786第一级密码应用基本要求，等保定级为第二级的网络与信息系统应遵循GB/T 39786第二级密码应用基本要求，以此类推。对于未完成网络安全等级保护定级的重要信息系统，其密码应用等级至少为第三级。

依据GM/T 0115《信息系统密码应用测评要求》，据信息系统的密码应用方案和方案评估报告/评审意见，决定是否将“宜”的指标要求纳入标准符合性测评范围，具体如下：

（1）若信息系统未编制密码应用方案或在方案中未对“宜”的指标要求做明确说明，则“宜”的指标要求纳入标准符合性测评范围。

（2）若信息系统编制了密码应用方案，且方案通过评估，方案中明确了不适用的“宜”的指标要求项，且有对应的风险控制措施说明的情况下。密评人员在测评时，应根据信息系统的密码应用方案和方案评估报告/评审意见，核实方案中的不适用指标要求项所采用的风险控制措施的适用条件，在实际的信息系统中是否被满足，且信息系统的实施情况与方案中所描述的风险控制措施是否一致，若满足适用条件，该测评指标为“不适用”；若不满足适用条件，则应纳入标准符合性测评范围，进行测评和结果判定。

不能直接判定为“符合”。信息系统采用经认证合格的密码产品仅仅是密钥管理安全性判定为“符合”的必要条件，还应当对以下内容进行核查：

(1) 该密码产品的安全级别是否满足GB/T 39786 相应等级的要求，如GB/T 39786第三级的信息系统应当采用满足GB/T 37092第二级及以上安全要求的密码产品；

(2) 由密码产品产生的密钥在该密码产品外部进行管理，是否进行了相应保护，如密钥在外部数据库中存储/备份/归档时是否进行了机密性和完整性保护；

(3) 该密码产品是否按照产品配套的安全策略文档进行部署和使用，信息系统的密钥管理制度是否能够保证该密码产品被正确地部署和使用等。

物理和环境安全层面的测评对象为被测信息系统所在的物理机房，具体为物理机房的电子门禁系统和视频监控系统。

如果被测信息系统所在的物理机房采用多区域部署或被测信息系统重要资产分布在不同的物理机房中，那么针对该信息系统涉及的所有物理机房均应作为测评对象进行测评，密评人员需现场取证。

针对被测信息系统部署在被测系统单位管辖范围之外的情况，物理和环境安全层面仍然适用，即需要针对该安全层面进行测评。如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等通过了商用密码应用安全性评估，则可以复用商用密码应用安全性评估报告中“物理和环境安全”层面的相关测评结论；如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等未通过或未开展商用密码应用安全性评估，密评人员需现场取证，对于条件不允许的情况，可以要求IDC机房或云服务提供商机房等的运维方提供相关说明文件和证据以支撑测评结论。

网络和通信安全层面的测评对象主要是针对跨网络访问的通信信道，这里的跨网络访问指的是从不受保护的网络区域访问被测系统。

可以从通信主体和网络类型两个方面来确定网络和通信安全层面的测评对象：

(1) 网络类型：这里主要依据网络之间是否相对独立进行分类，如互联网、政务外网、企业专网等；

(2) 通信主体：指的是参与通信的各方，典型的如客户端与服务端。例如，PC机上运行的浏览器与服务器上运行的web服务系统，移动智能终端上运行的APP与服务器上运行的应用系统；也可以是服务端与服务端，例如，IPSec VPN与IPSec VPN之间。

设备和计算层面的测评对象主要包括通用服务器（如应用服务器、数据库服务器）、数据库管理系统、整机类和系统类的密码产品、堡垒机（当系统使用堡垒机用于对设备进行集中管理时，不涉及应用和数据安全层面）等。

交换机、网闸、防火墙、WAF等未使用密码功能的网络设备、安全设备一般不作为设备和计算安全层面的测评对象。需要注意若存在管理通道跨越边界的情况，需在网络和通信安全层面梳理一条远程管理数据传输通道作为测评对象。

建议在密评报告中，对设备和计算层面的测评对象进行分类整理和描述。至少分为密码产品/设备、具有密码功能的网络及安全设备、采用密码技术的其他产品、通用设备、不具有密码功能的网络及安全设备、虚拟设备和系统。

在确认密码产品具有合格的商用密码产品认证证书，且可以确定实际部署的密码产品与获认证产品一致的情况下，考虑到密码产品功能确定且自身安全防护能力较高，针对整机类密码产品的“系统资源访问控制信息完整性”“日志记录完整性”“重要可执行程序完整性、重要可执行程序来源真实性”这三个设备和计算安全层面的指标，可判定为符合。

但是，针对整机类密码产品的“身份鉴别”指标不能直接判定为符合，还需要进一步实地查看密码产品是否采用了密码技术（如智能IC卡、智能密码钥匙、动态口令等）对登录设备的用户等进行身份鉴别，从而保证用户身份的真实性。

应用和数据安全层面的测评对象应包含关键业务应用，具体参考通过专家评审后的密码应用方案设定的范围确定。如无密码应用方案，应根据网络安全等级保护定级报告描述的范围确定。关键业务应用一般情况下应包含被测系统的所有业务应用，关键业务应用中的关键数据一般包含但不限于以下数据：鉴别数据、重要业务数据、重要审计数据、个人敏感信息以及法律法规规定的其他重要数据类型。

对于已建信息系统，其密码应用方案并不追溯到系统最初规划时的方案，该信息系统根据相关标准、密码应用需求以及前期密评的整改建议，制定的密码应用改造方案可视为该系统的密码应用方案。后续，即可依据GM/T 0115《信息系统密码应用测评要求》的相关要求进行判定。需要说明的是，对于新建信息系统，除依据GM/T 0115进行符合性判定外，还应按照《信息系统密码应用高风险判定指引》进行风险评价。