第4章 密碼應用安全性評估實施要點
密碼應用安全性評估包括兩部分重要內容：信息系統規划階段對密碼應用方案的評審/評估和建設完成后對信息系統開展的實際測評。
4.1 密碼應用方案設計
4.1.1 設計原則
總體性原則 科學性原則 完備性原則 可行性原則
4.1.2 設計要點
密碼應用方案包括密碼應用解決方案、實施方案和應急處置方案。
密碼應用解決方案設計要點：要進行系統現狀分析 要對信息系統面臨的安全風險和風險控制需求進行分析 要從技術角度闡述密碼應用解決方案的詳細設計 要進行管理體系設計和運維體系設計 要對所設計的密碼應用解決方案進行自查
密碼應用實施方案設計要點：實施方案應包括項目概述、項目組織、實施內容、實施計划、保障措施、經費概算等內容。
密碼應用應急處置方案設計要點：重點識別在項目實施過程中和在密碼系統/設備運行過程中可能發生的安全事件，並對安全事件進行分類和分級描述。
4.2 密碼應用基本要求與實現要點
物理和環境安全 網絡和通信安全 設備和計算安全 應用和數據安全
4.3 密碼測評要求與測評方法
密評與密碼產品檢測既有區別又有聯系，主要體現在以下幾個方面：
對象不同 依據不同 目的不同 方法不同 聯系緊密
密鑰管理測評：密鑰管理測評是密碼應用安全性評估工作的一項重要內容。測評人員首先確認所有關於密鑰管理的操作都是由符合規定的密碼產品或密碼模塊實現的，然后厘清密鑰流轉的關系，對信息系統內密鑰（尤其是對進出密碼產品的密鑰）的安全性進行檢查。
4.4 密碼應用安全性評估測評過程指南
基本原則：客觀公正原則 經濟性和可重用性原則 可重復性和可再現性原則 結果完善性原則
密碼應用方案評估的內容：密碼應用解決方案評估、實施方案評估和應急處置方案評估
方案編制活動的主要任務：測評對象確定 測評指標確定 測試檢查點確定 測評內容確定 測評方案編制
分析與報告編制活動的主要任務：單項測評結果判定 單元測評結果判定 整體測評 風險分析 測評結論形成 測評報告編制
4.5 密碼應用安全性評估測評工具
測評工具體系主要包括通用測評工具、工具管理平台、專用測評工具等
商用密碼算法檢測工具
商用密碼算法檢測工具主要用於對常見的商用密碼算法計算結果進行正確性驗證，工具包括密碼算法驗證檢測工具軟件系統和必要的配套軟硬件，可用於現場測評過程中的密碼算法正確性驗證測試。
數字證書格式合規性檢測工具能夠依據GM/T 0015-2012《基於SM2密碼算法的數字證書格式規范》，對數字證書格式、數字證書簽名等進行合規性檢測，並能夠分析證書使用是否合規。