‘壹’ 关键信息基础设施商用密码使用管理规定
面对国家安全的新形势 ,我国已在多部法律法规中明确规定了密码应用的要求,包括《密码法》、《网络安全法》、《商用密码管理条例》、《关键信息基础设施安全保护条例(征求意见稿)》、《网络安全等级保护条例(征求意见稿)》等。
01《中华人民共和国密码法》
《密码法》按照中央确定的密码管理原则和应用政策,规定了密码应用的主要制度和要求。
一是强调国家积极规范和促进密码应用,提升使用密码保障网络与信息安全水平,保护公民、法人和其他组织依法使用密码的权利。
二是建立商用密码检测认证体系,鼓励从业单位自愿接受商用密码检测认证。涉及国家安全、国计民生、社会公共利益的商用密码产品,应当依法列入网络关键设备和网络安全专用目录,由具备资格的机构检测认证合格后,方可销售或者提供。商用密码服并激务使用网络关键设备和网络安全专用产品的,应当经商用密码认证机构对该商用密码服务认证证合格。
三是明确关键信息基础设施使用密码和进行密码应用安全性评估的要求,规定法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施,其运营者应当使用商用密码进行保护,自行或者委托商用密码检测机构开展商用密码应用安全性评估。
四是建立安全审查机制,规定对可能影响国家安全的、涉及商用密码的网络产品和服务按照国家安全审查的要求进行安全审查。
五是规定国家密码管理部门对采用商用密码技术从事电子政务电子认证服务的机构进行认定。
02《中华人民共和国网络安全法》
《网络安全法》对网络运营者应该履行的安全保护义务做出了明确要求,而维护网络数据的完整性、保密性、真实性及不可否认性,都需要发挥密码技术的核心支撑作用。
《网络安全法》第十条:"建设、运营网络或者通过网络提供服务,应当依照法律、行政法规的规定和国家标准的强制性要求,采取技术措施和其他要措施,保障网络安全、稳定运行,有效应对网络安全事件,防范网络违法犯罪活动,维护网络数据的完整性、保密性和可用性。"
《网络安全法》第十六条:"国务院和省、自治区、直辖市人民政府应当统筹规划,加大投入,扶持重点网络安全技术产业和项目,支持网络安全技术的研究开发和应用,推广安全可信的网络产品和服务,保护网络技术知识产权,支持企业、研究机构和高等学校等参与国家网络安全技术创新项目。"而安全可信的网络产品和服务,需要以密码为基因构建。
《网络安全法》第二十一条:"国家实行网络安全等级保护制度, 网络运营者应当按照网络安全等级保护制度的要求,履行下列安全保护义务,保障网兄蔽塌络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改:...... 采取数据分类、重要数据备份和加密等措施
03《商用密码管理条例》
1999年发布的《商用密码管理条例》规定国家对商用密码产品的研发、生产、销售和使用实行专控管理。为落实《密码法》有关立法精神,《商用密码管理条例》修订将充分体现国家“放管服”改革要求,取消对科研、生产、销售单位等的行政许可事项,强化密码应用要求,突出对关键信息基础设施和网络安全等级保护第三级及以上信息系统的密码应用监管,并实施商用密码应用安全性评估和安全审查制度。
04《关键信息基础设施安全保护条例(征求意见稿)》
国家对于关键信息基础设施中的密码应用高度重视。《网络安全法》第三十一条规定:"国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的关键信息基础设施,在网络安全等级保度的基础上,实行重点保护。"按照《网络安全法》要求,《关键信息基础设施保护条例》正在起草制定,并于2017年7月向社会公开征求意见。
《关键信息基础设施安全保护条例(征求意见稿)》明确了在关键信息基础设施保护工作中,依据密码管理法律法规开展有关密码管理工作,充分体现了密码管理在国家网络安全大局中的重要地位和作用。其中规定,"运营单位对保护工作部门开展的网络安全检查工作,以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的检查应当予以配合","对使用未经或未通过安全审查网络产品和服务的责任单位处采购金额一倍以上十倍以下罚款,对责任人员处一万元以上十万元以下罚羡圆款","关键信息基础设施密码的使用和管理,还应当遵守密码法律、行政法规的规定“。该《条例》明确了关键信息基础设施的密码应用要求,压实了网络安全运营者和主管部门有关密码应用和密码安全的主体责任,为密码管理部门开展网络空间密码保护工作,尤其是网络安全检查和安全审查等工作提供了法律依据,同时也为开展密评工作提供了强有力的支撑。
05《网络安全等级保护条例(征求意见稿)》
2018年6月27日,《网络安全等级保护条例(征求意见稿)》向社会公开征求意见,其中设置了密码管理专章,体现了密码管理在网络安全等级保护工作中的重要作用,明确了网络安全等级保护密码管理的主要思路、方式和手段,强调了网络安全等级保护第三级及以上系统使用密码进行保护的义务,突出了商用密码应用安全性评估作为等级保护密码管理主要抓手的地位和作用,强化了密码管理部门在等级保护技术标准制定、监督检查、密码应用安全性评估工作开展等方面的职权,明确规定了“国家密码管理部门负责网络安全等级保护工作中有关密码管理工作的监督管理”,还从网络安全等级保护的事前备案审核、事中应用要求,以及事中事后监管和法律责任各环节对密码管理和应用进行了规定。
《网络安全等级保护条例》颁布实施后,将替代现行的《信息安全等级保护管理办法》,对我国的网络安全等级保护进行规范和管理。届时,国家密码管理局将与公安部等部门密切配合,依法开展密评工作,并修订《信息安全等级保护商用密码管理办法》等配套规章。
06《信息安全等级保护商用密码管理办法》
《信息安全等级保护商用密码管理办法》规定:“信息安全等级保护中使用的商用密码产品,应当是国家密码管理局准予销售的产品”。
为配合《信息安全等级保护商用密码管理办法》的实施,进一步规范信息安全等级保护商用密码工作,国家密码管理局印发《信息安全等级保护商用密码管理办法实施意见》,规定“第三级及以上信息系统的商用密码应用系统建设方案应当通过密码管理部门组织的评审后方可实施”,“第三级及以上信息系统的商用密码应用系统,应当通过国家密码管理部门指定测评机构的密码测评后方可投入运行。密码测评包括资料审查、系统分析、现场测评、综合评估等”,这些制度均明确了信息安全等级保护第三级及以上信息系统的商用密码应用要求。
07《电子认证服务密码管理办法》
《电子认证服务密码管理办法》主要规定面向社会公众提供电子认证服务应当使用商用密码,明确了申请电子认证服务使用密码许可应当具备的基本条件和程序,对电子认证服务系统的运行和技术改造等做出了规定。同时,要求电子认证服务系统要由具有商用密码产品生产和密码服务能力的单位,按照GM T 0034-2014《基于SM2 密码算法的证书认证系统密码及其相关安全技术规范》的要求承建,并通过国家密码管理局组织的安全性审查。
08《政务信息系统政府采购管理暂行办法》
2017年12月26日,财政部印发的《政务信息系统政府采购管理暂行办法》第八条规定:“采购需求应当落实国家密码管理有关法律法规、政策和标准规范的要求,同步规划、同步建设、同步运行密码保障系统并定期进行评估。”
第十二条规定:“采购人应当按照国家有关规定组织政务信息系统项目验收,根据项目特点制定完整的项目验收方案。验收方案应当包括项目所有功能的实现情况、密码应用和安全审查情况、信息系统共享情况、维保服务等采购文件和采购合同规定的内容,必要时可以邀请行业专家、第三方机构或相关主管部门参与验收。
09《国家政务信息化项目建设管理办法》
2019年12月30 日,《国家政务信息化项目建设管理办法》发布,对国家政务信息系统的规划、审批、建设、共享和监管做出规定,其中明确规定了多项密码应用有关要求。
政务信息化项目建设单位,应同步规划、同步建设、同步运行密码保障系统并定期进行评估;按要求向发改委备案的备案文件应当包括密码应用方案和密码应用安全性评估报告;项目的密码应用和安全审查情况应当作为项目验收的重要内容之一,密码应用安全性评估报告应当作为提交验收申请的必要材料;对于不符合密码应用和网络安全要求的政务信息系统,不安排运行维护经费,项目建设单位不得新建、改建、扩建政务信息系统;国务院有关部门对密码应用情况实施监督管理,不符合要求的,视情予以通报批评、暂缓安排投资计划、暂停项目建设直至终止项目;国务院各部门应当严格按要求采用密码技术,并定期开展密码应用安全性评估,确保政务信息系统运行安全和政务信息资源共享交换的数据安全。
‘贰’ 密码法应当遵循什么原则
密码法应当遵循统一领导、分级负责、创新发展、服务大局、依法管理、保障安全的原则。密码是国家重要战略资源,是保障网络与信息安全的核心技术和基础支撑。密码工作是党和国家的一项特殊重要工作,直接关系国家政治悉隐安全、经济安全、国防安全和信息安全。新时代密码工作面临许多新的机遇和挑战,担负更加繁重的保障和管理任务。
国家密码管理部门负责管理睁芦厅全国的密码工作。县级以上地方各级密码管理部门负责管理本行政区域的密码工作。国家机关和涉及密码工作的单位在其职责范围内负责本机关、本单位或者本系统的密码工作。
核心密码、普通密码用于保护国家秘密信息，核心密码保护信息哗银的最高密级为绝密级，普通密码保护信息的最高密级为机密级。核心密码、普通密码属于国家秘密。密码管理部门依照本法和有关法律、行政法规、国家有关规定对核心密码、普通密码实行严格统一管理。
‘叁’ 根据中华人民共和国密码法
《中华人民共和国密码法》具体如下：
1、为了规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益，制定本法；
2、 密码工作坚持总体国家安全观，遵循统一领导、分级负责，创新发展、服务大局，依法管理、保障安全的原则；
3、 坚持中国共产党对密码工作的领导。中央密码工作领导机构对全国密码工作实行统一领导，制定国家密码工作重大方针政策，统筹协调国家密码重大事项和重要工作，推进国家密码法治建设；
4、 国家密码管理部门负责管理全国的密码工作。县级以上地方各级密码管理部门负责管理本行政区域的密码工作。国家机关和涉及密码工作的单位在其职责范围内负责本机关、本单位或者本系统的密码工作。
【法律法规】
《中华人民共和国密码法（释义）》
第二十七条 法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。
关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当按照《中华人民共和国网络安全法》的规定，通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。
关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域。
关键信息基础设施的运营者，是指关键信息基础设施的所有者、管理者和网络服务提供者。
商用密码应用安全性评估。是指在采用商用密码技术、产品和服务集成建设的网络和信息系统中，对其密码应用的合规性、正确性和有效性进行评估。
‘肆’ 中华人民共和国密码法遵循什么原则
法律分析：密码法重点把握以下三个原则：
1、明确对核心密码、普通密码与商用密码实行分类管理的原则。在核心密码、普通密码方面,深入贯彻总体国家安全观,将现行有效的基本制度、特殊管理政策及保障措施法治化;在商用密码方面,充分体现职能转变和“放管服”改革要求,明确公民、法人和其他组织均可依法使用。
2、注重把握职能转变和“放管服”要求与保障国家安全的平衡。在明确鼓励商用密码产业发展、突出标准引领作用的基础上,对涉及国家安全、国计民生、社会公共利益,列入网络关键设备和网络安全专用产品目录的产品,以及关键信息基础设施的运营者采购等部分,规定了适度的管制措施。
3、注意处理好密码法与网络安全法、保守国家秘密法等有关法律的关系。在商用密码管理和相应法律责任设定方面,与网络安全法的有关制度,如强制检测认证、安全性评估、国家安全审查等作了衔接;同时,鉴于核心密码、普通密码属于国家秘密,在核心密码、普通密码的管理方面与保守国家秘密法作了衔接。
法律依据：《中华人民共和国密码法》 第三条 密码工作坚持总体国家安全观，遵循统一领导、分级负责，创新发展、服务大局，依法管理、保障安全的原则。
‘伍’ 网络密码如何保护
法律分析：针对芦敬碧不同网站，设定不同安全等级的密码。比如常用的重要网站，密码要自己容易记住，别人稿盯不一定知道，不陪举要使用简单的数字或者生日。最好是数字，大小写字母结合，定期修改的。不重要的如各类中小网站、论坛、社区、个人网站等使用。可以使用通用性强，容易记住的，但是也不要使用电话号码，生日这样的数字。默认是可以丢失的密码。
法律依据：《中华人民共和国网络安全法》 第三十六条 关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订安全保密协议，明确安全和保密义务与责任。
‘陆’ 国家公民怎样使用商用密码法
第三章商用密码
第二十一条国家鼓励商用密码技术的研究开发、学术交流、成果转化和推广应用，健全统一、开放、竞争、有序的商用密码市场体系，鼓励和促进商用密码产业发展。
各级人民政府及其有关部门应当遵循非歧视原则，依法平等对待包括外商投资企业在内的商用密码科研、生产、销售、服务、进出口等单位（以下统称商用密码从业单位）。国家鼓励在外商投资过程中基于自愿原则和商业规则开展商用密码技术合作。行政机关及其工作人员不得利用行政手段强制转让商用密码技术。
商用密码的科研、生产、销售、服务和进出口，不得损害国家安全、社会公共利益或者他人合法权益。
第二十二条国家建立和完善商用密码标准体系。
国务院标准化行政主管部门和国家密码管理部门依据各自职责，组织制定商用密码国家标准、行业标准。
国家支持社会团体、企业利用自主创新技术制定高于国家标准、行业标准相关技术要求的商用密码团体标准、企业标准。
第二十三条国家推动参与商用密码国际标准化活动，参与制定商用密码国际标准，推进商用密码中国标准与国外标准之间的转化运用。
国家鼓励企业、社会团体和教育、科研机构等参与商用密码国际标准化活动。
第二十四条商用密码从业单位开展商用密码活动，应当符合有关法律、行政法规、商用密码强制性国家标准以及该从业单位公开标准的技术要求。
国家鼓励商用密码从业单位采用商用密码推荐性国家标准、行业标准，提升商用密码的防护能力，维护用户的合法权益。
第二十五条国家推进商用密码检测认证体系建设，制定商用密码检测认证技术规范、规则，鼓励商用密码从业单位自愿接受商用密码检测认证，提升市场竞争力。
商用密码检测、认证机构应当依法取得相关资质，并依照法律、行政法规的规定和商用密码检测认证技术规范、规则开展商用密码检测认证。
商用密码检测、认证机构应当对其在商用密码检测认证中所知悉的国家秘密和商业秘密承担保密义务。
第二十六条涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的机构检测认证合格后，方可销售或者提供。商用密码产品检测认证适用《中华人民共和国网络安全法》的有关规定，避免重复检测认证。
商用密码服务使用网络关键设备和网络安全专用产品的，应当经商用密码认证机构对该商用密码服务认证合格。
第二十七条法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。
关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当按照《中华人民共和国网络安全法》的规定，通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。
第二十八条国务院商务主管部门、国家密码管理部门依法对涉及国家安全、社会公共利益且具有加密保护功能的商用密码实施进口许可，对涉及国家安全、社会公共利益或者中国承担国际义务的商用密码实施出口管制。商用密码进口许可清单和出口管制清单由国务院商务主管部门会同国家密码管理部门和海关总署制定并公布。
大众消费类产品所采用的商用密码不实行进口许可和出口管制制度。
第二十九条国家密码管理部门对采用商用密码技术从事电子政务电子认证服务的机构进行认定，会同有关部门负责政务活动中使用电子签名、数据电文的管理。
第三十条商用密码领域的行业协会等组织依照法律、行政法规及其章程的规定，为商用密码从业单位提供信息、技术、培训等服务，引导和督促商用密码从业单位依法开展商用密码活动，加强行业自律，推动行业诚信建设，促进行业健康发展。
第三十一条密码管理部门和有关部门建立日常监管和随机抽查相结合的商用密码事中事后监管制度，建立统一的商用密码监督管理信息平台，推进事中事后监管与社会信用体系相衔接，强化商用密码从业单位自律和社会监督。
密码管理部门和有关部门及其工作人员不得要求商用密码从业单位和商用密码检测、认证机构向其披露源代码等密码相关专有信息，并对其在履行职责中知悉的商业秘密和个人隐私严格保密，不得泄露或者非法向他人提供。