導語：
當前，國際國內網(wǎng)絡空間安全形勢嚴峻，安全事件層出不窮。密碼應用既是保障網(wǎng)絡空間安全的迫切需要，也是促進密碼創(chuàng)新發(fā)展、發(fā)揮密碼功能特性的必然選擇，開展商用密碼應用安全性評估是發(fā)揮密碼作用的必要手段。
國家密碼管理局2017年4月22日印發(fā)的《商用密碼應用安全性評估管理辦法》（試行）中明確規(guī)定：
第一章第三條
涉及國家安全和社會公眾利益的重要領域網(wǎng)絡與信息系統(tǒng)的建設、使用、管理單位（以下簡稱責任單位），應當健全密碼保障體系，實施商用密碼應用安全性評估。重要領域網(wǎng)絡與信息系統(tǒng)包括：基礎信息網(wǎng)絡、涉及國計民生和基礎信息資源的重要信息系統(tǒng)、重要工業(yè)控制系統(tǒng)、面向社會服務的政務信息系統(tǒng)，以及關鍵信息基礎設施、網(wǎng)絡安全等級保護三級及以上的信息系統(tǒng)。
第二章第八條
在重要領域網(wǎng)絡與信息系統(tǒng)規(guī)劃階段，責任單位應當依據(jù)商用密碼應用安全性有關標準，制定商用密碼應用建設方案，組織專家或委托測評機構進行評估。評估結果作為項目規(guī)劃立項的重要依據(jù)和申報使用財政資金項目的必備材料。
密碼應用方案設計是信息系統(tǒng)密碼應用的起點，它直接決定著信息系統(tǒng)的密碼應用能否合規(guī)、正確、有效地部署實施。密碼應用方案還是開展信息系統(tǒng)密碼應用情況分析和評估工作的基礎條件，是開展密評工作不可或缺的重要參考文件。
密碼應用方案的設計需依照《信息系統(tǒng)密碼應用基本要求》，結合信息系統(tǒng)的實際情況進行設計，并遵循以下設計原則和設計要求：
密碼應用方案設計原則
1、總體性原則。密碼在信息系統(tǒng)中的應用不是孤立的，必須與信息系統(tǒng)的業(yè)務相結合才能發(fā)揮作用。密碼應用方案應做好頂層設計，明確應用需求和預期目標，與信息系統(tǒng)整體網(wǎng)絡安全保護等級相結合，通過系統(tǒng)總體方案和密碼支撐總體架構設計來引導密碼在信息系統(tǒng)中的應用。
2、科學性原則。在密碼應用方案設計中，不能簡單的對照《信息系統(tǒng)密碼應用基本要求》中的每項要求堆砌密碼產品，應通過成體系、分層級的設計，形成包括密碼支撐總體架構、密碼基礎設施建設部署、密鑰管理體系構建、密碼產品部署及管理等內容的總體方案。
3、完備性原則。密碼應用設計方案設計應在密碼技術應用（包含物理和環(huán)境安全、網(wǎng)絡和通信安全、設備和計算安全、應用和數(shù)據(jù)安全四個層面）和密鑰管理、安全管理等方面滿足相關要求。
4、可行性原則。密碼應用方案設計需進行可行性論證，在保證信息系統(tǒng)業(yè)務正常運行的同時，綜合考慮信息系統(tǒng)的復雜性、兼容性及其他保證措施等因素，保證方案切合實際、合理可行。
密碼應用方案設計要求
密碼應用方案包括密碼應用解決方案、實施方案和應急處置方案。針對不同方案要求如下：
密碼應用解決方案主要包括系統(tǒng)現(xiàn)狀分析、安全風險及控制需求、密碼應用需求、總體方案設計、密碼技術方案設計、管理體系設計與運維體系設計、安全與合規(guī)性分析等幾個部分，并附加密碼產品和應用情況、業(yè)務應用系統(tǒng)改造/建設情況、系統(tǒng)和環(huán)境改造/建設情況等內容。應符合內容全面、思路清晰、重點突出、資料翔實、數(shù)據(jù)可靠、方法正確等要求。
密碼應用實施方案應包括項目概述、項目組織、實施內容、實施計劃、保障措施、經(jīng)費概算等內容。應符合任務目標清晰、計劃科學合理、配套設施完備等要求。
密碼應用應急處置方案應明確應急處置組織的結構與職責，并針對潛在安全威脅給出技術和管理上的應急響應機制及風險防范措施，還應當包括在安全事件發(fā)生后的信息公告流程和損失評估程序，并給出各個應急處置方案的激活條件。應符合針對性強、安全事件識別準確、處置措施合理有效等要求。
