商用密码应用安全性评估（“密评”）是商用密码检测认证体系建设的重要组成部分，也是保证商用密码应用合规、正确、有效的重要手段。从商用密码产业角度看，密评制度的建立对于推动商用密码技术的创新发展，规范商用密码产业发展，促进商用密码服务能力、实施能力和方案集成能力的提升都有重要的现实意义。 

经历了近几年的密评试点，2020 年开始实施的《中华人民共和国密码法》 首次正式提出“商用密码应用安全性评估”的要求。2020 年也是密评工作取得长足进步的一年：4月，系统介绍我国商用密码应用与安全性评估的著作《商用密码应用与安全性评估》由电子工业出版社出版发行；7 月，国家密码管理局正式公布了全国首批 24 家密评试点机构目录；9 月，经人员培训考核、实战模拟考核和远程现场评审等严格遴选过程，国家密码管理局认定了第二批试点密评机构共 36 家，进一步充实了密评队伍；12 月，为配合《信息系统密码应用基本要求》国标版本的实施，中国密码学会密评联委会组织制定了《信息系统密码应用测评要求》等 5 项指导性文件，并在国家密码管理局 官方网站发布。2021 年 3 月 9 日，GB/T 39786—2021《信息安全技术信息系统密码应用基本要求》正式发布，将于 2021 年 10 月 1 日实施。

（1）区块链领域 

区块链技术与实体经济正在加速融合，应用规模也在进一步扩大。与区块链相关的安全问题主要缘于其信任机制的设计和维护，如果信任风险得不到有效控制，区块链技术的大规模应用将无从谈起。依托商用密码技术构建安全的区块链体系，是推动其广泛应用的关键所在。首先，保障区块链密钥体系的安全是最核心的任务；其次，依托安全认证机制做好上层智能合约和风险控制，是维系区块链系统全生命周期的重要措施；最后，鉴于合约账本的可公开特性，利用密码技术对上链数据进行必要的隐私保护，是解决隐私问题的有效途径。 

（2）云计算领域 

由于云环境与传统信息系统在应用场景方面存在显著的差异，传统密码产品和技术难以发挥其核心支撑能力。因此，面对云环境基础设施部署模式、服务支撑形式、持续运营方式等多方面需求，商用密码厂商需要探索适合于云化业务的新型密码技术架构和云密码服务模式，实现从实体密码机到虚拟密码机的转变，以及从本地密码服务到云平台综合密码服务的转变。 

（3）物联网领域 

物联网设备和通信实体往往运算能力和功率有限，因此需要更加轻量级的密码应用技术。与此同时，庞大的节点数量、丰富的设备种类，也对密码基础设施的处理性能提出了挑战，需要密码从业单位在处理规模化设备和实体接入能力方面有所创新。 

（4）大数据领域 

大数据加密普遍采用国外算法，鉴于加密方式的合规性要求、适用场景的多样性需求以及对大数据开源组件的可控力度不够等原因，迄今为止我国的商用密码算法在大数据加密方面未得到广泛的使用。首先，算法方面亟需 一系列合规的、高性能的安全密码模块与大数据开源体系框架实现广泛融合，为海量数据的加密保护提供基础支撑；其次，大数据环境下的权责体系复杂，亟需依托密码技术构建适用于各类相关场景的身份管理机制、数权管理和认定机制，为大数据环境提供一个高度灵活、广泛适用的信任保障体系。

（5）5G 领域 

在5G网络广泛应用了SDN和NFV等关键技术后，网络边界越来越模糊。5G 领域的安全设备需要进一步满足轻量化、标识化、高负载、高弹性的应用需求，将多元化的安全功能、密码功能嵌入到 5G 通信环境的各类组件中。

坚持以自主可控为立足之本，稳步控制供应链安全风险。商用密码企业应及时、自主、有计划地对自身供应链安全进行评估，从设计、生产、原材料等各环节进行自主可控布局，确保在极端条件下能够保障可持续的研发能力和供货能力。同时，要努力在密码算法设计与分析评估技术、密码芯片设计技术、认证及密钥交换技术、密文计算与隐私保护技术、密码检测与应用安全性评估技术等方面突破技术瓶颈，最大限度地解决“卡脖子”问题。 

顺应新兴技术的发展态势，用创新思维解决关键密码技术难题。紧跟信息技术前沿动态和国家政策导向，确立自主发展策略，开展密码技术与物联网、区块链、大数据等新技术和新业态的融合应用研究，有效完善以商用密码为中心的多边安全产业生态，推动高速密码技术与云计算、物联网、大数据、5G 等新兴技术空间中的融合应用。例如，重视布局云 - 管 - 边 - 端的密码应用生态链，将密码基础硬件应用于云平台底层设备、网络管道设备、边缘计 算设备和移动智能终端等，推动高速密码技术与新技术、新形态的融合；以应用需求为牵引，依托试点示范项目建设，通过技术创新、适配验证等手段，协助密码需求方构建以密码为基石的网络安全与信任体系；以密码融合安全，安全融合网络，网络融合智能为原则，持续发展高速密码技术，研发高速密码产品，建设高速密码应用技术支撑体系。

把握重点行业的应用需求，精准输出高质量的密码支撑能力。将用户需求和市场导向融入到自主创新的整个过程，特别是面向金融、能源、通信、交通、电子政务等关键信息基础设施的业务场景，着力打造与业务需求相契合的新型综合密码支撑体系，为客户提供一体化、融合化、服务化的密码支撑保障能力。

健康的商用密码产业生态建设需要需求方、供给方、监管方通力合作。作为密码需求方，要在相关政策引导下，逐步建立相对完备的密码知识，与密码供给方进行良好沟通。作为密码供给方，要以《信息系统密码应用基本要求》为主线，提升密码规划、实施、运行能力，同时开展服务能力创新，加强密码技术咨询、密码方案集成、密码安全运维、密码意识培训等新型密码服务，促进商密产业多样化发展和全覆盖发展。作为密码监管方，要明确和持续完善密码测评要求、测评方法、测评工具、监督检查规范等要点内容，引导供给方和需求方构建有效的商用密码防护体系。 

在密码支撑系统的建设过程中，需要商用密码企业加强技术创新研究，使好用的、经济的、高效的密码技术逐步与业务需求相匹配。随着密码技术的发展和密码产品的成熟度不断提高，以及共性需求越来越多，密码与应用的深度融合会在更多行业领域取得新的成果。