随着云计算、物联网、大数据、人工智能等新技术的发展，保障安全成为信息系统的基本需求，密码技术作为不可或缺的重要手段，商用密码应用将不断深入和拓展。商用密码安全性评估（简称“密评”）在多个领域成为行业“刚需”，今年7月1日起实施的《商用密码管理条例》对密评提出更高要求，变“推荐性”为“强制化”。密评正是为了避免或纠正密码技术应用过程中可能出现的各种安全性问题，所采取的一种安全评估手段。根据《商用密码应用安全性评估测评过程指南》中的相关内容，通过评估的商用密码应用方案可作为开展密评工作测评阶段的重要实施依据。

商用密码应用方案编制是信息系统密码应用的起点，它直接决定着信息系统的商用密码应用能否合规、正确、有效地部署实施。根据GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》，在建设运行中要求应依据密码相关标准和密码应用要求，制定密码应用方案。《信息系统密码应用高风险判定指引》要求，未制定密码应用方案或密码应用方案未通过评审会被判定为高风险项。所以制定商用密码应用方案是密评中不可或缺的一部分，是密评工作开展的重要一环。

此外，国务院办公厅在2020年印发的《国家政务信息化项目建设管理办法》明确规定“有关部门自行审批新建、改建、扩建，以及通过政府购买服务方式产生的国家政务信息化项目，应当按规定履行审批程序并向国家发展改革委备案。备案文件应用包括……密码应用方案和密码应用安全性评估报告等内容。”由此可见，商用密码应用方案及评估结果目前已经作为项目规划立项的重要依据和申请使用财政性资金项目的必备材料。

商用密码应用方案的设计需依照GB/T 39786-2021《信息系统密码应用基本要求》，结合信息系统的实际情况进行设计，并遵循以下设计原则和设计要求：

总体性原则。应做好顶层设计，明确应用需求和预期目标，与信息系统整体网络安全保护等级相结合，通过系统总体方案和商用密码支撑总体架构设计来引导密码在信息系统中的应用。

科学性原则。应通过成体系、分层级的设计，形成包括支撑总体架构、基础设施建设部署、管理体系构建、产品部署及管理等内容的总体方案。

完备性原则。应在商用密码技术应用（包含物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面）和密钥管理、安全管理等方面满足相关要求。

可行性原则。需进行可行性论证，在保证信息系统业务正常运行的同时，综合考虑信息系统的复杂性、兼容性及其他保证措施等因素，保证方案切合实际、合理可行。

针对新建/改造信息系统，在系统规划阶段需编制商用密码应用方案，一般包括3个子方案，分别是密码应用设计方案、实施方案和应急方案。

密码应用设计方案需结合信息系统的实际情况进行设计，并保证其具有总体性、科学性、完备性和可行性，包括系统现状分析、安全风险及控制需求、密码应用需求、总体方案设计、技术方案设计、安全与合规性分析、管理体系设计与运维体系设计等部分。

主要对目标系统的网络拓扑、信息资源、软硬件组成、管理机制和密码应用等现状加以分析，从而明确密码应用解决方案所要保护的信息资源和所涉及的范围，对信息系统形成一个总体认识。

要对信息系统面临的安全风险和风险控制需求进行分析，描述风险分析结果（包括每个风险点的威胁、脆弱点和影响），并给出降低每个风险点的控制措施，同时应重点标示拟通过密码技术解决的风险控制需求。

对风险控制需求分析完成后，还需进一步明确密码应用需求，同时要确保密码应用的合规性，即符合国家法律法规和相关标准的规定。

需要明确设计的基本原则和依据，并给出密码应用方案的总体架构。

根据密码应用需求设计密码应用技术框架，重点考虑物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个方面，并且在配置上需要列出已有的密码产品和密码服务，并在此基础上给出需要新增的密码服务和备选的密码产品。

要对信息系统的安全性和合规性进行自查，重点对政策法规、标准规范的符合程度进行自我评价，并详细介绍《信息系统密码应用基本要求》中每个要求项对应的密码产品/服务和实现思路，对每一项符合性进行自评价（符合或不适用）。对于自查中不适用的项目，逐一说明其原因，并指出所对应的风险点采用了何种替代性风险控制措施来达到等效控制。

主要是通过管理制度、人员管理、建设运行、应急处置等保障措施，合理有效地将密码技术方案部署到信息系统中，确保密码技术方案在实施、运行阶段能够按照预期的设计目标对信息系统进行安全保护。

实施方案是密码应用方案具体项目实施、落地的一整套解决方案，是项目能否顺利和成功实施的重要保障和依据。该方案应至少包括实施内容、实施计划、保障措施、经费概算以及项目管理等相关内容。

实施内容：包含但不限于采购、软硬件开发或改造、系统集成、综合调试、试运行等。

实施计划：包含实施路线图、进度计划、重要节点等。

保障措施：包含项目实施过程中的组织保障、人员保障、经费保障、质量保障、监督检查等措施。

经费概算：对密码应用及应用改造项目建设和产生的相关费用进行概算，新增的密码产品和相关服务应描述产品名称和服务类型、数量等。

应急方案应当首先对潜在的安全威胁（风险）进行分析，重点识别在项目实施过程中和在密码系统/设备运行过程中可能发生的安全事件，并对安全事件进行分类和分级描述。

其次，应明确应急处置组织的结构与职责，并针对潜在安全威胁给出技术和管理上的应急响应机制及风险防范措施。

此外，还应当包括在安全事件发生后的信息公告流程和损失评估程序，并给出各个应急处置流程的触发条件。

商用密码应用方案编制完成后需经专家或测评机构评审，明确GB/T39786-2021《信息安全技术信息系统密码应用基本要求》中“宜”的条款。商用密码应用方案评估是根据系统的定级情况，审查系统密码应用设计方案或系统安全设计方案中密码应用设计部分，密码防护措施是否道普信息由山东省计算中心所属山东省软件评测中心于2016年通过科研成果转化成立，是全国首批24家商用密码应用安全性评估试点机构之一，已经为政府、金融、医疗、教育、交通等行业用户提供密评服务。