2. 密码应用安全评估的合规框架

开展密码应用安全评估，第一步不是打开工具或扫描系统，而是把“依据”摆正。评估结论是否站得住脚，取决于它是否落在明确的法规与标准坐标系内。我国密码应用安全评估的合规框架，可以理解为三层结构：以《中华人民共和国密码法》为顶层法律依据，以《商用密码管理条例》为行政法规支撑，以GB/T 39786等国家标准为技术落地准则。三者层层递进，共同回答“为什么评、评什么、怎么评、评到什么程度算合格”。

《密码法》确立了密码工作的基本制度。它把密码分为核心密码、普通密码和商用密码，其中商用密码用于保护不属于国家秘密的信息。对大多数行业信息系统而言，评估对象正是商用密码的应用。密码法明确要求：法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，并自行或者委托商用密码检测机构开展商用密码应用安全性评估。这句话是评估工作的“授权来源”，也界定了责任主体——运营者负责，检测机构受托实施。

《商用密码管理条例》把法律要求转化为可执行的行政管理规则。它进一步细化了商用密码的检测认证、应用安全性评估、监督管理等要求，明确关键信息基础设施的商用密码应用安全性评估应当与网络安全等级保护制度衔接。也就是说，一个系统如果既是等级保护对象又涉及商用密码保护，其密码评估不是孤立动作，而要与等保的定级、建设整改、测评形成配合。条例还规定了评估的周期要求：关键信息基础设施运营者应当自行或者委托检测机构每年至少开展一次商用密码应用安全性评估。这个“至少每年一次”是很多项目排期的硬约束。

GB/T 39786《信息安全技术 信息系统密码应用基本要求》是技术层面的核心标准。它按密码应用的安全等级划分要求，从四个技术层面和两个管理层面提出具体指标。四个技术层面是：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；两个管理层面是：管理制度、人员管理、建设运行和应急处置（通常合称为安全管理）。每个层面又分解为若干控制点，例如应用和数据安全层面包括身份鉴别、访问控制信息完整性、重要数据机密性、重要数据完整性、重要数据不可否认性等。评估时，正是逐条对照这些控制点，判断“该用的密码有没有用、用得对不对、强度够不够”。

理解这三层关系后，实际评估中还要注意几个容易混淆的点。第一，GB/T 39786是“基本要求”，不是唯一标准。针对特定领域还有GB/T 43206、GB/T 42574等配套标准，分别面向信息系统密码应用测评和密码模块检测。评估方案设计时，应根据系统定级和行业要求选择适用的标准组合。第二，标准中的要求分为“应”“宜”“可”三个强度等级。“应”是必须满足的强制项，不满足即判不符合；“宜”是推荐项，不满足通常判部分符合或给出改进建议；“可”是可选增强项。评估结论的严格程度，直接取决于对这三类措辞的准确区分。

第三，评估依据不是静态清单，而是与系统边界和业务场景绑定的。例如，一个三级信息系统，其网络和通信安全层面要求采用密码技术保证通信双方身份真实性、通信数据完整性和机密性。评估时就要具体看：是否使用了合规的密码算法（如SM2、SM3、SM4），密钥管理是否符合要求，协议实现是否避免了降级攻击。如果系统只在内网传输非敏感数据，某些控制点可能判定为“不适用”，但必须在评估报告中说明理由，不能默认跳过。

从评估实践看，合规框架的价值不仅在于“合法”，更在于“可复现”。不同评估人员对同一系统得出相近结论，前提是大家引用同一套条款、同一套判据。密码法、商用密码管理条例和GB/T 39786共同提供了这个共同语言。评估工程师需要做到：看到一条不符合项，能说出它违反了哪条法规或标准的哪个控制点；看到一条符合项，能说出支撑它的密码算法、密钥管理和证据材料。这种“依据—对象—证据”的对应能力，是密码应用安全评估的基本功。

最后需要强调，合规框架是底线，不是上限。满足GB/T 39786的基本要求，意味着系统密码应用达到了相应等级的基线水平，但并不等于系统绝对安全。评估报告中的“符合”结论，应理解为“在评估范围内、依据适用标准、未发现不符合项”，而不是对系统安全性的无限担保。评估人员应在报告中清晰界定评估范围、依据标准和局限性，这本身就是合规框架对专业性的要求。