商用密码应用与安全性评估要点笔记（通用测评方法、报告编制）

4.9 通用测评方法

测评方面	测评要点
密码算法核查	(1)了解系统使用的算法信息；(2)针对每个算法核查是否以国家标准或行业标准形式发布，或是否取得国家密码管理部门同意其使用的证明文件。不单独判定符合性
密码技术核查	在算法核查基础上，进一步核查密码协议、密钥管理等是否符合国家和行业标准规定。重点是评估这些密码技术的使用是否符合标准规定。如证书使用前要验证。不单独判定符合性
密码产品核查	是重点。(1)是否有型号证书或认证证书或合格检查报告。(2)产品是否被正确有效使用。如产品符合但使用了未经认可的算法或协议；又如产品错误使用配置被旁路，要做配置检查、工具检查。不单独判定符合性GM/T0115 附录B
密码服务核查	系统使用了第三方电子认证服务的，（国家密码管理机构或商用密码认证机构）具备相应证书，且证书有效期内。不单独判定符合性
密钥管理安全性	GM/T 0115-2021 [5.5] 附录A不单独判定符合性

4.10 报告编制及监督检查

词条	内容
测评报告生命周期	报告编制、审核、批准和签发、存档、作废和销毁，以及必要时进行报告的更正
测评报告编制	编制人应当为项目组成员 使用统一封面、统一固定格式 测评报告页面应清晰、整洁、报告签发后，不允许随意修改。
测评报告审核	由项目负责人对报告进行审核 编制依据的各种原始记录、单据的规范性和完整性 测试报告和原始记录的一致性 采用的测评依据的适用性和有效性 测评工具的适用性和有效性 测评报告格式的规范性 测评报告内容的完整性和正确性 单项测评结果/结论和整体测评结果/结论的客观性、准确性。 审核人员发现问题，应与测评人员和报告编制人员确认，经确认后由报告编制人员进行修改。
测评报告批准和签发	批准由测评机构授权签字人负责实施。检查出必须纠正的问题，由签字人在测评报告上提出并退回相关部门或人员，由报告编制人员实施修改。 测评报告是否经过了审核 报告内容是否完整规范 测评结果是否正确，测评结论是否合理 授权签字人认为有必要检查的其他内容 经批准的报告打印装订后，统一加盖测评报告专用章和骑缝章。
测评报告存档	由测评机构文档管理人员对测评报告副本及相关原始记录（包含电子版）进行归档保存，且原始记录归档前需加盖骑缝章。 测评报告副本及原始记录保存期一般为6年。 测评机构存档的报告及相关文档只允许相关内部人员查阅，查阅测评报告须经过审批。
测评报告更正	委托单位自身原因提出，测评机构确认所提要求合理的 委托单位对测评报告存在异议，申诉后经复验证明原测评报告存在问题的 测评机构发现测评报告存在问题的 加入明显标识“本报告为XXXXXX号报告的更正报告，原报告作废。”更正报告按要求编制、审核和批准。签发日期为实际签发日期。
测评报告作废和销毁	需对报告进行销毁时，由机构文档管理人员首先填写申请，报测评机构签发部门负责人批准后，再进行统一销毁。 对于因为法律、知识积累、溯源等因素需要保留作废文件的，加盖明显标识印章，防止其与有效文件相混淆，发生误用或乱用。
保密要求	确保测评相关信息的安全、保密 测评委托单位提供的资料 测评活动生成的数据 依据上述信息做出的分析和专业判断 对测评机构、测评人员具体要求如下： 与测评无关的人员不得接触、不得参与测评和编制测评报告，知情人不得私自透露 未经委托单位授权，不得将测评报告转交他人、不得擅自公布测评结果。当远程传输测评报告时，应用正式的书面委托并证实相关通信方式可靠后，方可执行发送。 留存测评机构保管的所有报告副本及测评原始记录、技术资料，由档案管理员妥善保存。 严格按保密规定权限使用测评报告，无关人员不得接触，必要时采取加密措施。 接触被测单位对象、资料及其他相关信息的人员应履行为被测单位保护所有权的义务，不得利用被测单位的有关知识产权牟利。
测评相关信息报送	测评报告的备案。测评机构发送给被测信息系统责任单位，由被测信息系统责任单位将测评报告送所在地设区市密码管理部门进行备案，并做好数据的归档保存。 被测信息系统密码应用数据的采集报送。测评机构填写数据表单，报送所属省部密码管理部门。
测评信息的采集、报送	国家密码管理部门组织开展密码应用数据库建设，数据三方面来源：（1）系统运营单位填报（2）结合系统密码应用安全性评估情况，由测评单位填报更为详细的密码应用数据（3）重要领域密码应用检查时，对有关数据进行核实校正。 表单设计：单位密码应用基本情况表（单位的基础信息、密码使用管理信息）；网络与信息系统密码应用情况表（信息系统基本情况、信息系统密码应用情况）；使用的密码产品情况表（产品基本信息、信息系统使用密码产品的情况） 报送流程：测评机构依据测评报告提取出被测信息系统密码应用数据进行填报，并提交密码管理部门。
测评报告监督检查	测评报告的真实性、客观性、公正性检查 测评机构开展测评工作的规范性、客观性、公正性、独立性检查 重点领域的网络与信息系统的密码应用情况检查
监督检查要点	检查主体：国家密码管理部门对测评机构进行监督检查，并根据需要对测评机构的评估结果进行检查 检查内容：测评报告的真实性、客观性、公正性，包括测评报告的规范性、内容的完整性，对存在疑问的报告，可委托其他测评机构进行复测，核验两次测评结果的一致性 重点检查：被举报、投诉的测评机构；评估结果过期、近期存在整改不合格记录的重要领域的网络与信息系统；本年度新建的重要领域的网络与信息系统；国家密码管理部门确定需要检查的测评机构和重要领域的密码应用单位。
检查方式	采取抽查方式，对测评报告进行检查。“双随机”方式，选取抽查对象、参与抽查的人员，抽查对象选取比例可动态调整，应不低于5%。 对测评报告检查发送处理意见书的情形主要包括：测评报告与实际情况不符，测评结果不公正、不客观，以及其他违反规定的情况。
罚则	整改：发现的一般问题，被检查单位进行整改、报送国家密码管理部门、对整改情况进行复查 警告：复测结果不一致的；对逾期不整改的测评机构给予警告 取消资质：测评报告出现严重问题。出具的测评报告不合格比例超过5%，未按规定流程限期整改；出现重大测评事故；出具虚假报告；其他严重违规的情况。
报告编制常见问题	测评理解不深入 测评对象不全面 测评过程不合理 测评结论不正确
测评理解不深入	未对信息系统实现的密码应用业务逻辑进行梳理（只有功能没有流程梳理） 对测评指标“不适用”未说明依据或者依据不合理 整改建议切实可行，而不是对标准条款的简答重复
测评对象不全面	总体方面，测评对象不能笼统定为“整个系统”。要深入到各类具体的密码产品和密码服务 物理和环境安全层面，信息系统涉及的所有机房，以及每个机房电子门禁系统和视频监控系统 网络和通信安全层面，不仅包括VPN相关密码产品，还应把所需要保护的网络通信信道都列为测评对象。 设备和计算安全方面，信息系统中所有类型的设备都应当纳入测评对象；对于设备较多的情况，可对每一类设备进行抽查。 应用和数据安全方面，一个系统多个应用的情况，应对各个应用逐一测评。 密钥管理，密钥描述要准确，严格区分密钥的类型和用途，不能含混指代；密码技术各个层面涉及到密码技术的部分，理论上都对应由密钥及相应的密钥管理，都应当列为密钥管理的测评对象。 安全管理，测评对象落实到具体的制度、记录、文件、人员层面。
测评过程不合理	测评过程和结果记录描述非常简略，无法判断测评结论的正确性。 测评记录简单照搬标准原文进行应付，应描述具体测评过程结果记录。 对于已过检的密码设备仅核查相应证书，未实地察看、配置检查等。 明显可以使用工具测试进行测试的部分，未使用工具进行测评。（如HTTPS）
测评结论不正确	对所有”部分符合“和”不符合“项进行风险评估 仅仅是被测单位声称所使用的商用密码算法合规，但未经过国家密码管理部门核准，就不能认定合规