定义：商用密码应用安全性评估（简称“密评”）是指对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。
服务对象：关键信息基础设施、面向社会服务的政务信息系统、网络安全等级保护第三级及以上信息系统。
各方职责：商用密码应用安全性评估活动主要关联方有监管部门、责任单位、测评机构。
系统建设和评估：运营者应当使用商用密码进行保护，制定商用密码应用方案，配备必要的资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统，委托商用密码检测机构开展商用密码应用安全性评估。
测评要求：依据GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面提出密码应用技术要求,保障息系统的实体身份真实性、重要数据的机密性和完整性、操作行为的不可否认性;并从信息系统的管理制度、人员管理,建设运行和应急处置四个方面提出密码应用管理要求,为信息系统提供管理方面的密码应用安全保障。
密码应用方案评估实施：信息系统责任单位在初步确定密码应用方案后,委托商用密码应用安全性评估机构对方案进行评估。密评机构以包括但不限于访谈、文档审查或必要情形下现场调查的方式确认方案的合规性和可实施性。密码应用方案完成评估后,信息系统责任单位将密码应用方案和方案密评结果报送密码管理部门进行备案。
商用密码应用安全性评估实施：依据GB/T 39786-2021《信息安全技术 信息系统密码应用测评要求》测评过程分为四项基本测评活动:测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。测评双方之间的沟通与治谈应贯穿整个测评过程。
商用密码应用安全性评估结论：测评结论基于整体测评结果和风险分析结果综合给出，分为如下三种。
a) 符合:信息系统所有单元测评结果不存在不符合项和部分符合项。
b) 基本符合:信息系统单元测评结果中存在不符合项和部分符合项,与测评指标存在一定差距,但存在的不符合项和部分符合项未导致信息系统高安全风险，且综合得分不低于阈值。
c) 不符合:信息系统单元测评结果中存在不符合项和部分符合项，与测评指标存在较大差距,或存在的不符合项和部分符合项导致信息系统高安全风险，或综合得分低于阈值。
