概述
通用测评要求的内容，用于指导密码应用测评要求的实施，不单独实施测评，也不单独体现在密码应用安全性评估报告的单元测评结果和整体测评结果中。
若测评单元涉及两个及以上测评对象，则每个测评对象需要分别进行测评实施并结果判定。测评单元的结果由该单元涉及的所有测评对象的测评实施结果汇总得出。
对于“应”的条款，密评人员应按照相应测评指标要求进行测评和结果判定；若根据信息系统的密码应用方案和方案评估意见，判定信息系统确无与某项或某些项测评指标相关的密码应用需求，则相应测评指标为“不适用”。
对于“宜”的条款，密评人员根据信息系统的密码应用方案和方案评估意见决定是否纳入标准符合性测评范围；若信息系统没有通过评估的密码应用方案或密码应用方案未作明确说明，则“宜”的条款默认纳入标准符合性测评范围。
1）若纳入标准符合性测评范围，则密评人员应按照相应的测评指标要求进行测评和结果判定；
2）若未纳入标准符合性测评范围，密评人员应根据信息系统的密码应用方案和方案评估意见，在测评中进一步核实密码应用方案中描述的风险控制措施使用条件在实际的信息系统中是否被满足，且信息系统的实施情况与所描述的风险控制措施是否一致，若满足使用条件，该测评指标为“不适用”，并在密码应用安全性评估报告中体现核实过程和结果；若不满足使用条件，则按相应测评指标进行测评和结果判定。
对于“可”的条款，由信息系统责任方自行决定是否纳入标准符合性测评范围。若纳入测评范围，则密评人员应按照相应测评指标进行测评和结果判定；否则，该测评指标为“不适用”。
根据信息系统的密码应用方案和方案评估意见，若通过评估的密码应用方案中的要求，高于信息系统对应的密码应用基本要求等级的指标要求，则应按照密码应用方案中的要求进行测评。例如，根据密码应用需求，对安全保护等级第三级的信息系统，选取了安全保护等级第四级信息系统的相关指标要求。对上述特殊情况进行测评实施的结论应体现再密码应用安全性评估报告中。
通用测评要求
密码算法合规性
测评指标：信息系统中使用的密码算法应符合法律、法规的规定和密码相关国家标准、行业标准的有关要求（1-5级）
测评对象：信息系统中使用的密码产品、密码服务以及密码算法实现。
密码技术合规性
测评指标：信息系统中使用的密码技术应遵循密码相关国家标准和行业标准（1-5级）
测评对象：信息系统中的密码产品、密码服务以及密码技术实现。
密码产品合规性
测评指标：信息系统中使用的密码产品应符合法律法规和密码相关国家标准和行业标准的要求（1-5级）
若采用的密码产品遵循密码模块相关标准，则应
·达到密码模块安全等级一级及以上安全要求（第二级）。
·达到密码模块安全等级二级及以上安全要求（第三级）。
·达到密码模块安全等级三级及以上安全要求（第四级）。
测评对象：信息系统中的密码产品
密码服务合规性
测评指标：信息系统中使用的密码服务应符合法律法规和密码相关国家标准和行业标准的要求（1-5级）
测评对象：信息系统中的密码服务。
密钥管理安全性
测评指标：
·信息系统的密钥管理采用的密码产品、密码服务应符合法律法规和密码相关国家标准和行业标准的要求（1-5级）
·信息系统的密钥管理应符合密码相关国家标准和行业标准的要求（1-5级）
测评对象：密钥管理采用的密码产品、密码服务及密钥管理实现。
密码应用测评要求
物理和环境安全
身份鉴别
测评指标：采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性（1-4级）
测评对象：信息系统所在机房等重要区域及其电子门禁系统。
电子门禁记录数据存储完整性
测评指标：采用密码技术保证电子门禁系统进出记录数据的存储完整性（1-4级）
测评对象：信息系统所在机房等重要区域及其电子门禁系统。
视频监控记录数据存储完整性
测评指标：采用密码技术保证视频监控音像记录数据的存储完整性（3-4级）
测评对象：信息系统所在机房等重要区域及其视频监控系统。
网络和通信安全
身份鉴别
测评指标：
·采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性（1-3级）
·采用密码技术对通信实体进行双向身份鉴别，保证通信实体身份的真实性（4级）
测评对象：信息系统与网络边界外建立的网络通信信道，以及提供通信保护功能的设备或组件、密码产品。
通信数据完整性
测评指标：采用密码技术保证通信过程中数据的完整性（1-4级）
测评对象：信息系统与网络边界外建立的网络通信信道，以及提供通信保护功能的设备或组件、密码产品。
通信过程中重要数据的机密性
测评指标：采用密码技术保证通信过程中重要数据的机密性（1-4级）
测评对象：信息系统与网络边界外建立的网络通信信道，以及提供通信保护功能的设备或组件、密码产品。
网络边界访问控制信息的完整性
测评指标：采用密码技术保证网络边界访问控制信息的完整性（1-4级）
测评对象：信息系统与网络边界外建立的网络通信信道，
安全接入认证
测评指标：采用密码技术对外部连接到内部网络的设备进行接入认证，确保接入设备身份的真实性（3-4级）
测评对象：信息系统内部网络，以及提供设备入网接入认证功能的设备或组件、密码产品。
设备和计算安全
身份鉴别
测评指标：采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性（1-4级）
测评对象：通用设备、网络及安全设备、密码设备、各类虚拟设备，以及提供身份鉴别功能的密码产品。
远程管理通道安全
测评指标：远程管理设备时，采用密码技术建立安全的信息传输通道（3-4级）
测评对象：通用设备、网络及安全设备、密码设备、各类虚拟设备，以及提供安全的信息传输的密码产品。
系统资源访问控制信息完整性
测评指标：采用密码技术保证信息系统资源访问控制信息的完整性（1-4级）
测评对象：通用设备、网络及安全设备、密码设备、各类虚拟设备，以及提供完整性保护功能的密码产品。
重要信息资源安全标记完整性
测评指标：采用密码技术保证设备中的重要信息资源安全标记的完整性（3-4级）
测评对象：通用设备、网络及安全设备、密码设备、各类虚拟设备，以及提供完整性保护功能的密码产品。
日志记录完整性
测评指标：采用密码技术保证日志记录的完整性（1-4级）
测评对象：通用设备、网络及安全设备、密码设备、各类虚拟设备，以及提供完整性保护功能的密码产品。
重要可执行程序完整性、重要可执行程序来源真实性
测评指标：采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证（3-4级）
测评对象：通用设备、网络及安全设备、密码设备、各类虚拟设备，以及提供完整性保护和来源真实性功能的密码产品。
应用和数据安全
身份鉴别
测评指标：采用密码技术对登录用户进行身份鉴别， 保证应用系统用户身份的真实性（ 第一级到第四级）。
测评对象：业务应用， 以及提供身份鉴别功能的密码产品。
访问控制信息完整性
测评指标：采用密码技术保证信息系统应用的访问控制信息的完整性（ 第一级到第四级） 。
测评对象：业务应用， 以及提供完整性保护功能的密码产品。
重要信息资源安全标记完整性
测评指标：采用密码技术保证信息系统应用的重要信息资源安全标记的完整性（ 第三级到第四级） 。
测评对象：业务应用， 以及提供完整性保护功能的密码产品。
重要数据传输机密性
测评指标：采用密码技术保证信息系统应用的重要数据在传输过程中的机密性（ 第一级到第四级） 。
测评对象：业务应用， 以及提供机密性保护功能的密码产品。
重要数据存储机密性
测评指标：采用密码技术保证信息系统应用的重要数据在存储过程中的机密性（ 第一级到第四级） 。
测评对象：业务应用， 以及提供机密性保护功能的密码产品。
重要数据传输完整性
测评指标：采用密码技术保证信息系统应用的重要数据在传输过程中的完整性（ 第一级到第四级） 。
测评对象：业务应用， 以及提供完整性保护功能的密码产品。
重要数据存储完整性
测评指标：采用密码技术保证信息系统应用的重要数据在存储过程中的完整性（ 第一级到第四级） 。
测评对象：业务应用， 以及提供完整性保护功能的密码产品。
不可否认性
测评指标：在可能涉及法律责任认定的应用中， 采用密码技术提供数据原发证据和数据接收证据， 实现数据原发行为的不可否认性和数据接收行为的不可否认性（ 第三级到第四级） 。
测评对象：业务应用， 以及提供不可否认性功能的密码产品。
管理制度
具备密码应用安全管理制度
测评指标：具备密码应用安全管理制度， 包括密码人员管理、 密钥管理、 建设运行、 应急处置、 密码软硬件及介质管理等制度（ 第一级到第四级） 。
测评对象：安全管理制度类文档。
密钥管理规则
测评指标：根据密码应用方案建立相应密钥管理规则（ 第一级到第四级） 。
测评对象：密码应用方案、 密钥管理制度及策略类文档
建立操作规程
测评指标：对管理人员或操作人员执行的日常管理操作建立操作规程（ 第二级到第四级） 。
测评对象：操作规程类文档。
定期修订安全管理制度
测评指标：定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定， 对存在不足或需要改进之处进行修订（ 第三级到第四级） 。
测评对象：安全管理制度类文档、 操作规程类文档、 记录表单类文档。
明确管理制度发布流程
测评指标：明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制（ 第三级到第四级） 。
测评对象：安全管理制度类文档、 操作规程类文档、 记录表单类文档。
制度执行过程记录留存
测评指标：具有密码应用操作规程的相关执行记录并妥善保存（ 第三级到第四级） 。
测评对象：安全管理制度类文档、 记录表单类文档。
人员管理
了解并遵循密码相关法律法规和密码管理制度
测评指标：相关人员了解并遵守密码相关法律法规、 密码应用安全管理制度（ 第一级到第四级） 。
测评对象：系统相关人员（ 包括系统负责人、 安全主管、 密钥管理员、 密码安全审计员、 密码操作员等）。
建立密码应用岗位责任制度
测评指标：
· 建立密码应用岗位责任制度， 明确各岗位在安全系统中的职责和权限（ 第二级） 。
· 建立密码应用岗位责任制度， 明确各岗位在安全系统中的职责和权限（ 第三级） ：
- 根据密码应用的实际情况， 设置密钥管理员、 密码安全审计员、 密码操作员等关键安全岗
位； - 对关键岗位建立多人共管机制；
- 密钥管理、 密码安全审计、 密码操作人员职责互相制约互相监督， 其中密码安全审计员岗
位不可与密钥管理员、 密码操作员兼任； - 相关设备与系统的管理和使用账号不得多人共用。
· 建立密码应用岗位责任制度， 明确各岗位在安全系统中的职责和权限（ 第四级） ： - 根据密码应用的实际情况， 设置密钥管理员、 密码安全审计员、 密码操作员等关键安全岗
位； - 对关键岗位建立多人共管机制；
- 密钥管理、 密码安全审计、 密码操作人员职责互相制约互相监督， 其中密码安全审计员岗
位不可与密钥管理员、 密码操作员兼任； - 相关设备与系统的管理和使用账号不得多人共用；
- 密钥管理员、 密码安全审计员、 密码操作员应由本机构的内部员工担任， 并应在任前对其
进行背景调查。
测评对象：安全管理制度类文档、 系统相关人员（ 包括系统负责人、 安全主管、 密钥管理员、 密码安全审计员、 密码操作员等） 。
建立上岗人员培训制度
测评指标：建立上岗人员培训制度， 对于涉及密码的操作和管理的人员进行专门培训， 确保其具备岗位所需专业技能（ 第二级到第四级） 。
测评对象：安全管理制度类文档和记录表单类文档、 系统相关人员（ 包括系统负责人、 安全主管、 密钥管理员、 密码安全审计员、 密码操作员等） 。
定期进行安全岗位人员考核
测评指标：定期对密码应用安全岗位人员进行考核（ 第三级到第四级） 。
测评对象：安全管理制度类文档和记录表单类文档、 系统相关人员（ 包括系统负责人、 安全主管、 密钥管理员、 密码安全审计员、 密码操作员等） 。
建立关键岗位人员保密制度和调离制度
测评指标：
· 及时终止离岗人员的所有密码应用相关的访问权限、 操作权限（ 第一级） 。
· 建立关键人员保密制度和调离制度， 签订保密合同， 承担保密义务（ 第二级到第四级） 。
测评对象：安全管理制度类文档和记录表单类文档、 系统相关人员（ 包括系统负责人、 安全主管、 密钥管理员、 密码安全审计员、 密码操作员等） 。
建设运行
制定密码应用方案
测评指标：依据密码相关标准和密码应用需求， 制定密码应用方案（ 第一级到第四级） 。
测评对象：密码应用方案。
制定密钥安全管理策略
测评指标：根据密码应用方案， 确定系统涉及的密钥种类、 体系及其生存周期环节， 各环节密钥管理要求参照 GB/T AAAAA-XXXX 附录 B（ 第一级到第四级） 。
测评对象：密码应用方案、 密钥管理制度及策略类文档、 密钥管理过程记录。
制定实施方案
测评指标：按照应用方案实施建设（ 第一级到第四级） 。
测评对象：密码实施方案。
投入运行前进行密码应用安全性评估
测评指标：
· 投入运行前进行密码应用安全性评估（ 第一级到第二级） 。
· 投入运行前进行密码应用安全性评估， 评估通过后系统方可正式运行（ 第三级到第四级） 。
测评对象：密码应用安全性评估报告、 系统负责人。
定期开展密码应用安全性评估及攻防对抗演习
测评指标：在运行过程中， 严格执行既定的密码应用安全管理制度， 定期开展密码应用安全性评估及攻防对抗演习， 并根据评估结果进行整改（ 第三级到第四级） 。
测评对象：密码应用安全管理制度、 密码应用安全性评估报告、 攻防对抗演习报告、 整改文档。
应急处置
应急策略
测评指标：
· 根据密码产品提供的安全策略， 由用户自主处置密码应用安全事件（ 第一级） 。
· 制定密码应用应急策略， 做好应急资源准备， 当密码应用安全事件发生时， 按照应急处置
措施结合实际情况及时处置（ 第二级） 。
· 制定密码应用应急策略， 做好应急资源准备， 当密码应用安全事件发生时， 立即启动应急
处置措施， 结合实际情况及时处置（ 第三级到第四级） 。
测评对象：密码应用应急策略、 应急处置记录类文档。
事件处置
测评指标：
· 事件发生后， 及时向信息系统主管部门进行报告（ 第三级） 。
· 事件发生后， 及时向信息系统主管部门及归属的密码管理部门进行报告（ 第四级） 。
测评对象：密码应用应急策略类文档、 安全事件报告。
向有关主管部门上报处置情况
测评指标：事件处置完成后， 及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况（ 第三级到第四级） 。
测评对象：密码应用应急策略类文档、 安全事件发生情况及处置情况报告。
整体测评要求
概述
整体测评应从单元间、 层面间等方面进行测评和综合安全分析。 整体测评包括单元间测评和层面间
测评。
单元间测评是指对同一技术层面或管理方面内的两个或者两个以上不同测评单元间的关联进行测
评分析， 其目的是确定这些关联对信息系统整体密码应用防护能力的影响。
层面间测评是指对不同技术层面或管理方面之间的两个或者两个以上不同测评单元间的关联进行
测评分析， 其目的是确定这些关联对信息系统整体密码应用防护能力的影响。
单元间测评
在单元测评完成后， 应对单元测评结果中存在的不符合项或部分符合项进行单元间测评， 重点分析
信息系统中是否存在单元间的相互弥补作用。
根据测评分析结果， 综合判定该测评单元所对应的信息系统密码应用防护能力是否缺失， 如果经过
综合分析单元测评中的不符合项或部分符合项不造成信息系统整体密码应用防护能力的缺失， 则对该测评单元的测评结果予以调整。
层面间测评
在单元测评完成后， 应对单元测评结果中存在的不符合项或部分符合项进行层面间测评， 重点分析
信息系统中是否存在层面间的相互弥补作用。
根据测评分析结果， 综合判定该测评单元所对应的信息系统密码应用防护能力是否缺失， 如果经过
综合分析单元测评中的不符合项或部分符合项不造成信息系统整体密码应用防护能力的缺失， 则对该测评单元的测评结果予以调整。
风险分析和评价
密码应用安全性评估报告中应对整体测评之后单元测评结果中的不符合项或部分符合项进行风险
分析和评价。
采用风险分析的方法， 针对单元测评结果中存在的不符合项或部分符合项， 分析所产生的安全问题
被威胁利用的可能性， 判断信息系统密码应用在合规性、 正确性和有效性方面的不符合所产生的安全问题被威胁利用后对信息系统造成影响的程度， 以及受到威胁利用的资产自身价值， 综合评价这些不符合项或部分符合项对信息系统造成的安全风险。
对于高风险的判定依据， 可参考其他相关标准或文件， 对未满足密码应用的正确性、 有效性， 或未
使用经国家密码管理部门核准的密码技术且存在明显安全风险等措施， 应结合具体业务场景做出高风险判定。
测评结论
密码应用安全性评估报告应给出信息系统的测评结论， 确认信息系统达到相应等级保护要求的程
度。
应结合整体测评和对单元测评结果的风险分析给出测评结论。
a) 符合： 信息系统中未发现安全问题， 测评结果中所有单元测评结果中部分符合和不符合项的统
计结果全为 0， 综合得分为 100 分。
b) 基本符合： 信息系统中存在安全问题， 部分符合和不符合项的统计结果不全为 0， 但存在的安
全问题不会导致信息系统面临高等级安全风险， 且综合得分不低于阈值。
c) 不符合： 信息系统中存在安全问题， 部分符合项和不符合项的统计结果不全为 0， 而且存在的
安全问题会导致信息系统面临高等级安全风险， 或综合得分低于阈值。