電子簽章系統通過商用密碼檢測機構和認證機構檢測

問:商用密碼標準具備什么樣的法律效力？

答:《密碼法》第二十四條規定:商用密碼從業單位開展商用密碼活動，應當符合有關法律、行政法規、商用密碼強制性國家標準以及該從業單位公開標準的技術要求。國家鼓勵商用密碼從業單位采用商用密碼推薦性國家標準、行業標準，提升商用密碼的防護能力，維護用戶的合法權益。

商用密碼從業單位開展商用密碼活動應當依照有關法律、行政法規的規定行使權利和履行義務，是遵守法律的必然要求。商用密碼從業單位開展商用密碼活動，除了遵守法律、行政法規，還應當符合商用密碼強制性國家標準以及該從業單位公開標準的技術要求。此外，國家鼓勵商用密碼從業單位采用商用密碼推薦性國家標準、行業標準。

問:建設商用密碼檢測認證體系的意義是什么？

答:商用密碼檢測認證是商用密碼治理體系的重要基礎，在商用密碼市場準入、事中事后監管、應用推進等方面發揮著關鍵支撐作用:面向商用密碼從業單位能夠引導提質升級，增加市場有效供給;面向管理部門能夠支持行政監管，提高市場監管效能;面向社會各方能夠推動誠信建設，營造良好市場環境;面向國際市場能夠促進規則對接，提升市場開放程度。

《密碼法》第二十五條第一款明確提出推進商用密碼檢測認證體系建設，這是深化商用密碼行政審批制度改革的重要內容，是依法管理商用密碼、規范和促進商用密碼應用、加強密碼監管、增強商用密碼安全保障能力的重要支撐。同時《密碼法》第二十五條還明確了在商用密碼檢測認證中，自愿檢測認證是主要方式。

問:我國商用密碼檢測機構和認證機構現狀如何？

答:截至2019年12月，通過審批的商用密碼產品檢測機構共有3家，開展了智能密碼鑰匙、智能IC卡、POS密碼應用系統、PCI-E密碼卡、IPSecVPN安全網關、SSLVPN安全網關、安全認證網關、密碼鍵盤、金融數據密碼機、服務器密碼機、簽名驗簽服務器、時間戳服務器、安全門禁系統、動態令牌認證系統、安全電子簽章系統、電子文件密碼應用系統、可信計算類密碼產品等的檢測工作，完成了近2000款產品的密碼檢測、數百個信息系統的安全性評估。

目前，商用密碼領域已有1家專門認證機構。與此同時，有關部門通過建立跨領域、跨行業的網絡關鍵設備和網絡安全專用產品、信息安全產品和密碼應用系統密碼檢測認證機制，加強與金融、電力、通信、社保、交通等重點領域、行業的檢測與認證技術交流，聯合金融領域檢測認證機構開展金融系統密碼測評和認證，共同推動商用密碼檢測認證能力提升。

問:商用密碼檢測、認證機構應取得什么資質？

答:《密碼法》第二十五條規定:商用密碼檢測、認證機構應當依法取得相關資質，并依照法律、行政法規的規定和商用密碼檢測認證技術規范、規則開展商用密碼檢測認證。

按照“放管服”改革要求，《密碼法》將商用密碼檢測、認證機構資質納入《認證認可條例》規定的認證認可制度體系中，由市場監管總局(國家認證認可監督管理委員會)會同國家密碼管理局進行管理。商用密碼檢測、認證機構應當分別取得商用密碼檢測、認證機構資質。商用密碼檢測、認證機構依照《認證認可條例》等法律法規的規定和商用密碼檢測認證技術規范、規則開展檢測認證活動。將商用密碼檢測認證制度納入國家統一的檢測認證制度體系，有利于增強商用密碼檢測認證制度的權威性、統一性。

問:商用密碼檢測、認證機構是否應承擔保密義務？

答:在從事商用密碼檢測、認證活動的過程中，由于工作需要，商用密碼檢測、認證機構能夠深入到所檢測認證的商用密碼產品、服務及其相關產品生產單位、服務提供單位中去，有可能接觸到有關商業秘密乃至國家秘密。

雖然商用密碼檢測、認證機構知悉國家秘密和商業秘密的途徑是合法的，是在依法或依約定進行檢測認證活動的過程中獲取的，但是如果將這些秘密泄露給他人，就會損害國家安全和利益，或者損害商業秘密權利人的利益。因此，參照《認證認可條例》的規定，《密碼法》第二十五條規定:商用密碼檢測、認證機構應當對其在商用密碼檢測認證中所知悉的國家秘密和商業秘密承擔保密義務。