隨著我國加快推進(jìn)制造強(qiáng)國、網(wǎng)絡(luò)強(qiáng)國和數(shù)字中國建設(shè)，推動互聯(lián)網(wǎng)+、5G+、人工智能+在各行業(yè)各領(lǐng)域的廣泛應(yīng)用，特別是在通信、金融、能源、交通、智能制造等領(lǐng)域，產(chǎn)業(yè)深度融合，促進(jìn)網(wǎng)絡(luò)互聯(lián)、信息互通、數(shù)據(jù)共享，其中的網(wǎng)絡(luò)安全、數(shù)據(jù)安全保護(hù)越來越重要。
密碼技術(shù)作為網(wǎng)絡(luò)安全的基礎(chǔ)性核心技術(shù)，是信息保護(hù)和網(wǎng)絡(luò)信任體系建設(shè)的基礎(chǔ)，是保障網(wǎng)絡(luò)空間安全的關(guān)鍵技術(shù)。信息時(shí)代，萬物互聯(lián)、人機(jī)互認(rèn)、天地一體，網(wǎng)絡(luò)空間的信任至關(guān)重要，密碼算法和密碼協(xié)議可解決人、機(jī)、物的身份標(biāo)識、身份鑒別、統(tǒng)一管理、信任傳遞和行為審計(jì)問題，是實(shí)現(xiàn)安全、可信、可控的互聯(lián)互通的核心技術(shù)手段。在復(fù)雜的安全需求下，密碼技術(shù)是最有效、最可靠、最經(jīng)濟(jì)的解決方案。
密碼是指使用特定變換的方法對信息等進(jìn)行加密保護(hù)、安全認(rèn)證的技術(shù)、產(chǎn)品和服務(wù)。在密碼法中將密碼分為三種：核心密碼、普通密碼和商用密碼。核心密碼、普通密碼用于保護(hù)國家秘密信息，商用密碼是對不涉及國家秘密信息進(jìn)行加密保護(hù)或者安全認(rèn)證所使用的密碼技術(shù)和密碼產(chǎn)品。
黨中央、國務(wù)院高度重視商用密碼工作，頒布了《密碼法》、《商用密碼管理?xiàng)l例》等有關(guān)法律法規(guī)，建設(shè)了商用密碼檢測制度體系。商用密碼作為數(shù)字世界的 “隱形衛(wèi)士”，與人們的生活息息相關(guān)。最常見的就是通過加密、認(rèn)證、防篡改等手段保障用戶隱私和財(cái)產(chǎn)安全。例如：
??日常支付安全，人們在使用手機(jī)支付時(shí)，通過密碼技術(shù)加密指紋數(shù)據(jù)并安全驗(yàn)證實(shí)現(xiàn)身份認(rèn)證；
??簽署電子合同與法律文書時(shí)，電子簽名平臺通過密碼技術(shù)固化文件簽署時(shí)間；
商用密碼應(yīng)用安全性評估貫穿信息系統(tǒng)的全生命周期，主要包括兩部分重要內(nèi)容：信息系統(tǒng)規(guī)劃階段對密碼應(yīng)用方案的評估/評審和建設(shè)、運(yùn)行階段對信息系統(tǒng)開展的實(shí)際測評。
?。?）方案評估/評審：密碼應(yīng)用方案一般由責(zé)任單位組織商用密碼從業(yè)單位編寫,包括：《密碼應(yīng)用解決方案》、《實(shí)施方案》和《應(yīng)急處置方案》。責(zé)任單位完成密碼應(yīng)用方案編寫后，應(yīng)組織自行評估或委托測評機(jī)構(gòu)評估，并向密碼局進(jìn)行備案。
?。?）系統(tǒng)評估：系統(tǒng)評估主要從物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全、管理制度、人員管理、建設(shè)運(yùn)行和應(yīng)急處置等八個(gè)層面展開。當(dāng)信息系統(tǒng)具有通過評審/評估的密碼應(yīng)用方案時(shí)，依據(jù)方案但以實(shí)際測評情況為主開展系統(tǒng)評估并出具評估報(bào)告；當(dāng)信息系統(tǒng)沒有密碼應(yīng)用方案或密碼應(yīng)用方案未通過評審/評估時(shí)，依據(jù)GB/T 39786-2021《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》開展并出具評估報(bào)告。
中國信息通信研究院西部分院（以下簡稱中國信通院西部分院）作為中西部地區(qū)權(quán)威的數(shù)字化檢測實(shí)驗(yàn)室，多年來建設(shè)有國家級軟件測評和市級工業(yè)安全中心，自2023年來，建設(shè)商用密碼和數(shù)據(jù)安全實(shí)驗(yàn)室，擁有完備的商用密碼相關(guān)檢驗(yàn)檢測、培訓(xùn)實(shí)訓(xùn)軟硬件環(huán)境、工具和高效的服務(wù)團(tuán)隊(duì)，成功取得了國家密碼管理局認(rèn)定的第一批密評機(jī)構(gòu)資質(zhì)證書。
商用密碼應(yīng)用安全性評估包含了方案密評和系統(tǒng)密評，此外中國信通院西部分院還開展數(shù)據(jù)要素、商密應(yīng)用技術(shù)研究，數(shù)字安全方面政府支撐、科技合作、規(guī)劃設(shè)計(jì)、評估評測、安服運(yùn)維、數(shù)據(jù)安全、商用密碼、工信安全、軟件測評、個(gè)人信息保護(hù)等業(yè)務(wù)，以及針對人才培訓(xùn)的工業(yè)互聯(lián)網(wǎng)安全、商用密碼技術(shù)應(yīng)用培訓(xùn)/認(rèn)證。
本案例根據(jù)《密碼法》、《網(wǎng)絡(luò)安全法》等法律法規(guī)要求，結(jié)合云管平臺自身特色，采用國密算法（SM2/SM3/SM4）替換國際算法，實(shí)現(xiàn)密碼資源池化管理和服務(wù)標(biāo)準(zhǔn)化，支撐關(guān)鍵數(shù)據(jù)存儲、傳輸、身份認(rèn)證及運(yùn)維審計(jì)等場景，保障系統(tǒng)密碼應(yīng)用安全，針對性提出安全解決方案。
整套方案覆蓋密碼資源管理、身份認(rèn)證、數(shù)據(jù)傳輸及運(yùn)維安全，形成完整的密碼服務(wù)生態(tài)：云池密碼服務(wù)平臺統(tǒng)一管理密碼資源并封裝業(yè)務(wù)接口；簽名驗(yàn)簽服務(wù)器基于PKI體系保障身份真實(shí)性；服務(wù)器密碼機(jī)提供數(shù)據(jù)加解密服務(wù)確保機(jī)密性與完整性；國密SSL VPN網(wǎng)關(guān)建立加密傳輸通道；國密堡壘機(jī)實(shí)現(xiàn)運(yùn)維通道的國密算法身份鑒別與安全通信；智能密碼鑰匙強(qiáng)化用戶登錄認(rèn)證；國密瀏覽器支持國密算法HTTPS加密。
中國信通院西部分院立足重慶，以川陜渝地區(qū)為重要支點(diǎn)，積極輻射中西部區(qū)域，將充分發(fā)揮自身專業(yè)優(yōu)勢，圍繞信息系統(tǒng)網(wǎng)絡(luò)、數(shù)據(jù)安全防護(hù)以及商用密碼應(yīng)用等關(guān)鍵領(lǐng)域，開展全方位技術(shù)檢測服務(wù)，提升商用密碼保障水平，為區(qū)域內(nèi)各行業(yè)數(shù)字化轉(zhuǎn)型筑牢安全根基，推動中西部地區(qū)在安全、穩(wěn)定的數(shù)字環(huán)境中加速發(fā)展。