发展背景
密码是保障网络空间安全秩序的国之利器，是维护国家安全的重要战略资源。随着我国数字经济的快速发展，密码技术已成为赋能数字经济发展的核心技术和基础支撑。
密评即商用密码应用安全性评估，是指按照有关法律法规和标准规范，对网络与信息系统使用商用密码技术、产品和服务的合规性、正确性、有效性进行检测分析和评估验证的活动。（引自《商用密码应用安全性评估管理办法》（国家密码管理局令第3号））
相关政策
《中华人民共和国密码法》2020年1月1日
密码法是为了规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，制定的法律。是中国密码领域的综合性、基础性法律。
《商用密码管理条例》2023年7月1日
商用密码管理条例是规范商用密码应用和管理的重要法规，明确了商用密码的定义、适用范围等，规定县级以上密码管理部门及相关部门的管理职责，旨在加强商用密码管理，保护信息安全及公民和组织合法权益，维护国家安全和利益。
《商用密码应用安全性评估管理办法》2023年11月1日
该办法旨在规范商用密码应用安全性评估工作，明确了评估的定义、管理体制等内容，规定重要网络与信息系统的运营者需使用商用密码保护，制定方案并定期开展评估，有利于保障网络与信息安全，维护国家安全和社会公共利益。
《中华人民共和国密码法》2020年1月1日
密码法是为了规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，制定的法律。是中国密码领域的综合性、基础性法律。
《商用密码管理条例》2023年7月1日
商用密码管理条例是规范商用密码应用和管理的重要法规，明确了商用密码的定义、适用范围等，规定县级以上密码管理部门及相关部门的管理职责，旨在加强商用密码管理，保护信息安全及公民和组织合法权益，维护国家安全和利益。
《商用密码应用安全性评估管理办法》2023年11月1日
该办法旨在规范商用密码应用安全性评估工作，明确了评估的定义、管理体制等内容，规定重要网络与信息系统的运营者需使用商用密码保护，制定方案并定期开展评估，有利于保障网络与信息安全，维护国家安全和社会公共利益。
密评发展历程
密评项目建设流程
在密评建设过程中，要从技术要求和管理制度两个方面进行全面考虑，落实国家密码管理有关法律法规和标准规范的要求，同步规划、同步建设、同步运行密码保障系统并定期进行评估，即“三同步一评估”。
天融信可为客户提供有针对性的现状分析和方案设计，除完善的建设方案和配套措施外，还能够为客户提供应急响应、管理制度建设和运维管理服务等整套体系，在密评项目开展的各阶段，全流程为用户提供技术支持与保障，帮助客户顺利通过密评。
天融信密评整改方案
方案背景
随着信息化快速发展，网络与信息系统安全事件呈现快速增长趋势，密码作为保护网络与信息系统安全的重要手段，在身份识别、信息加密、完整性保护和抗抵赖性等方面发挥着不可替代的重要作用。网络运营者应当按照国家网络安全等级保护制度，使用商用密码保护网络安全。
方案设计
天融信依据GB/T 39786—2021《信息安全技术 信息系统密码应用基本要求》从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个技术层面，以及管理制度、人员管理、建设运行、应急处置四个管理层面，充分结合客户信息系统实际需求和网络安全等级保护要求，采用“三同步一评估”原则，为客户提供密码保障体系建设和密评改造方案。
天融信密评方案，能够满足符合客户信息系统网络安全等级保护1至4级对应的密评建设要求，同时在满足通用安 全要求的基础上，也进一步满足了云场景密评要求，全面符合对应场景下的密评建设需要，构建完善的商用密码 安全防护能力。本方案涉及的全部密码产品均是采用基于国密算法的密码产品，并且都具备商用密码产品认证证 书，符合密评要求。
• 物理和环境安全
在系统所在机房重要物理区域部署国产密码算法的安全电子门禁和视频监控系统，通过调用服务器密码机进行身份鉴别。 通过调用服务器密码机的SM3-HMAC实现对门禁数据和视频数据进行完整性保护。
• 网络和通信安全
通过部署国密SSL/IPSEC VPN确保人员身份的真实性。 建立国密SSL通道通过SM3-HMAC运算保障通信数据完整性，并且通过SM4运算保障通信数据机密性。 SSL/IPSEC VPN通过SM3-HMAC对自身网络边界访问控制信息进行完整性保护。 通过SSL/IPSEC VPN的控制策略对外部接入设备进行权限认证。
• 设备和计算安全
通过智能密码钥匙+数字证书确保登录系统的客户端身份鉴别。 通过SSL/IPSEC VPN建立远程管理通道，确保远程管理通道安全性。 通过调用服务器密码机对系统资源访问控制信息和重要信息资源安全标记进行完整性保护。 通过调用服务器密码机的SM3-HMAC实现日志记录完整性并保护。 根据应用程序的报备审核和发布系统查验应用程序信息，并向签名验签服务器申请应用程序签名，通过调用签名验签服务器实现对重要可执行程序完整性和来源真实性进行保护。
• 应用和数据安全
依托智能密码钥匙、国密浏览器和SSL VPN进行应用层人员身份鉴别 统一身份认证网关通过SM3-HMAC对自身访问控制信息进行完整性保护 通过国密浏览器与SSL/IPSEC VPN之间建立国密SSL通道保障数据传输机密性、完整性。 通过数据库加密机进行透明加密保护或调用硬件密码模块标准国密接口进行数据存储的机密性、完整性保护。 通过调用时间戳服务器、电子签章系统进行有效签名，确保原发证件、接收证据行为的不可否认性
方案价值
满足密评合规要求
在项目建设中，帮助客户梳理系统需求，充分理解密评建设内容，落实相应能力措施，从技术要求和管理制度两方面构建完善的密码保障体系，满足密评建设要求。
全面提升密码安全防护能力
基于系统密码安全建设需求，依据商用密码安全建设标准与规范，从管理制度到技术要求提供整体建设方案与技术措施，有效提升系统密码安全防护能力。
有效提升系统稳定性和业务连续性
从实际的业务需求出发，采用合规的密码技术和设备，制定合理的管理制度与措施，从而保障业务系统稳定运行。
天融信密评能力
天融信成立于1995年，是上市公司中成立最早的网络安全企业，也是最早开展商用密码产品研发及产业化的企业之一。在密码产品方面，2000年，天融信率先研制发布国内第一台商用VPN密码机，累计发布密码产品近20类；在密码科研方面，荣获“密码科技进步一等奖”、“密码科技进步三等奖”等多个奖项，参与研制20余项密码领域已发布的国家/行业标准；在密码人才培养方面，天融信已连续八年联合主办全国高校密码数学挑战赛，累计吸引了300余所高校、1800余支队伍、5200余人参与，积极促进“产学研用”的一体化协同发展。2023年，天融信还联合山东区块链研究院推出密码技术创新应用高级研修班，多层次助力密码领域专业人才培养；在密码技术融合应用方面，将密码与零信任、隐私计算、量子计算等进行深入融合，积累了多项融合应用成果。
行业覆盖
天融信拥有10万+客户群体，包括政府、金融、交通、公安、教育、烟草、能源、医疗等各行业及重点领域，涵盖从国家部委到地方机构，从集团总部到分公司的全层级客户群体。
-
政府 -
金融 -
交通 -
公安 -
教育 -
烟草 -
能源 -
卫生
