推荐 | 等级保护与商用密码安全性评估相关技术、测评要求比对分析

“密评”即商用密码应用安全性评估，是对网络信息系统中所使用的商用密码产品和应用进行的安全性评估。《密码法》于2020年开始实施，其中第二十七条要求关键信息基础设施的运营者需依法使用商用密码进行保护，并自行或委托专业机构开展安全性评估，确保与其他安全检测评估制度相衔接，避免重复工作。

“等保”和“密评”共同构成了我国网络安全防御体系的重要组成部分，两者相互补充，强化了网络空间的整体防御能力，有力地支撑了国家信息化建设的安全稳定。“等保”侧重于对网络信息系统进行整体的安全管理与技术防护，以确保网络信息系统在物理安全、网络安全、主机安全、应用安全和数据安全等方面达到相应的标准和要求。

“密评”则聚焦于使用了商用密码的产品、系统和服务，对其密码算法选择、密码协议设计、密钥管理以及密码模块的安全性等方面进行全面而深入的合规性、正确性和有效性评估。

以下内容将从国家相应的法律法规、测评标准、测评流程以及测评实施等方面对“等保”和“密评”的具体差异与内在联系进行简单的探讨。

一、国家法律法规角度对比

《网络安全法》下的网络安全等级保护测评全面关注国家、公共、关键信息基础设施及个人信息安全，涵盖物理、网络、主机、应用和数据安全等多个维度。该测评重点关注网络与信息安全、系统管理、数据安全、访问控制、恶意代码防范及网络安全事件应急响应等方面，通过设定不同等级的安全保护要求，旨在确保网络基础设施、信息系统和数据的安全，有效预防网络攻击和数据泄露。

相对而言，《密码法》下的商用密码应用安全性评估则聚焦于规范商用密码的应用和管理，深入评估密码算法、协议、应用设计、密钥管理、密码设备及模块的安全性与合规性。其主要目的是保护使用密码技术进行数据加密、身份认证、通信安全等涉及国家安全、商业秘密和个人隐私的信息系统。

二、两者相关标准文件

（一）等级保护2.0相关标准规范

（二）商用密码安全性评估标准规范

三、标准层面对比