密码科普|密码应用安全性评估的定位（下）
01、密码应用安全性评估与信息系统安全的关系
在信息系统建设时，按照通过评估的密码应用方案及系统安全方案部署密码产品和信息安全产品，只是确保信息系统安全的基础，动态地进行安全性评估能有效反映和保障信息系统的安全水平。这是因为系统结构性脆弱点，并不是随意部署单个或几个产品就可以弥补的，需要客观、全面地分析系统风险，并利用密码应用安全性评估、网络安全等级保护测评等手段对信息系统的安全进行系统评估。
密码应用安全性评估对信息系统采用的密码算法、密码技术、密码产品和密码服务进行全面规范，对密码应用技术和管理的各个层面提出系统性的要求，并在信息系统规划、建设和运行等阶段规范实施，能够有效保障密码应用的整体安全、系统安全和动态安全。此外，除了要对信息系统的密码应用安全进行评估，还需要对信息系统的业务和服务安全进行评估（如进行网络安全等级保护测评）。需要指出的是，无法通过密码应用安全性评估的系统通常也不安全，因为信息安全的基础——密码的应用安全没有得到保障。
02、密码应用安全性评估与信息安全风险评估的关系
分析信息系统的密码应用安全需求、制定密码应用方案，需要基于信息安全风险评估的结果；进行密码应用安全性评估时，在给出测评结果后，还需判断密码应用是否有效解决了相关的安全问题、是否还存在高风险的情况。
具体来说，测评人员要根据威胁类型和威胁发生频率，判断测评结果汇总中部分符合项或不符合项所产生的安全问题被威胁利用的可能性；根据资产价值的高低，判断测评结果汇总中部分符合项或不符合项所产生的安全问题被威胁利用后，对被测系统的业务信息安全造成的影响程度；综合前两者的结果，测评机构根据自身经验和相关国家标准要求，对被测系统面临的安全风险进行赋值（例如，高、中、低）。
如果存在高风险项，则认为信息系统面临高风险；同时也需要考虑多个中低风险叠加可能导致的高风险问题。存在高风险的信息系统不能通过密码应用安全性评估。可以看出，密码应用安全性评估借鉴了风险评估的原理和方法，测评人员需要具有系统化、专业化的密码应用安全性评估能力和一定的信息安全风险评估能力。
——内容摘录自《商用密码应用与安全性评估》
