商用密码应用安全性评估（简称“密评”）是指按照有关法律法规和标准规范，对网络与信息系统使用商用密码技术、产品和服务的合规性、正确性、有效性进行检测分析和评估验证的活动。
使用的密码算法、密码协议、密钥管理符合国家法律法规和标准规定，密码产品或服务经过国家密码管理局核准和认证机构认证合格。
密码算法、密码协议、密钥管理、密码产品或服务使用正确，即按密码相关的国家和行业标准进行正确设计和实现，密码产品和服务的部署、使用正确。
密码保障系统在系统运行过程中能够发挥实际效用，保障信息系统的安全需求，解决信息系统面临的安全问题。
《密码法》作为我国密码领域的第一部法律，于2020年1月1日正式施行。《密码法》的颁布对我国的商用密码管理制度进行了结构性的重塑。为了贯彻落实行政审批制度改革精神，适应商用密码技术创新的发展需求，细化《密码法》相关制度，有必要对原《条例》进行全面修订。
| 条款 | 主体 | 违法行为 | 处罚 |
|---|---|---|---|
| 第五十九条 | 任何个人或组织 | 窃取他人加密保护的信息，非法侵入他人的商用密码保障系统，或者利用商用密码从事危害国家安全、社会公共利益、他人合法权益等违法活动的 | 由有关部门依照《中华人民共和国网络安全法》和其他有关法律、行政法规的规定追究法律责任。 |
| 第六十条 | 关键信息基础设施运营者 | 违反本条例第三十八条、第三十九条规定，未按照要求使用商用密码，或者未按照要求开展商用密码应用安全性评估的 | 由密码管理部门责令改正，给予警告；拒不改正或者有其他严重情节的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。 |
| 第六十一条 | 关键信息基础设施运营者 | 违反本条例第四十条规定，使用未经安全审查或者安全审查未通过的涉及商用密码的网络产品或服务的 | 由有关主管部门责令停止使用，处采购金额1倍以上10倍以下罚款;对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。 |
| 第六十二条 | 网络运营者 | 违反本条例第四十一条规定，未按照国家网络安全等级保护制度要求使用商用密码保护网络安全的 | 由密码管理部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处1万元以上10万元以下罚款，对直接负责的主管人员处5000元以上5万元以下罚款。 |
对于使用商用密码保护的网络与信息系统，项目建设单位应同步规划、同步建设、同步运行密码保障系统并定期开展商用密码应用安全性评估，即“三同步一评估”。
收集并了解被测信息系统的相关资料与现状信息。
确认评估指标、评估对象、评估内容、评估接入点和评估工具等。
准备评估工具和表单，确认现场评估时间与配合人员。
明确评估范围和交付清单，告知评估技术与风险，签署通知书、授权书等文档。
按照评估方案完成现场评估与证据采集。
开展单元评估、整体评估和风险分析，形成完整密评报告。