我經(jīng)常在和人探討等級(jí)保護(hù)時(shí)會(huì)注意區(qū)別等級(jí)保護(hù)制度和等級(jí)保護(hù)測(cè)評(píng)之間的關(guān)系。因?yàn)椋鐣?huì)上或者說(shuō)市場(chǎng)上，大家把等級(jí)保護(hù)測(cè)評(píng)等同于等級(jí)保護(hù)的人太多了，所以在這里有必要再做一次區(qū)分。

首先，我們要知道等級(jí)保護(hù)制度是以公安機(jī)關(guān)為主導(dǎo)的一項(xiàng)國(guó)家基本國(guó)策，而在1.0時(shí)代，我們知道關(guān)于等級(jí)保護(hù)相關(guān)政策文件，都是以國(guó)信辦、公安部、國(guó)家密碼管理、國(guó)家保密局四家單位聯(lián)合發(fā)布。《信息安全等級(jí)保護(hù)管理辦法》中也明確了，等級(jí)保護(hù)涵蓋三個(gè)大方向的內(nèi)容，即公安機(jī)關(guān)監(jiān)管的非涉密信息系統(tǒng)、國(guó)家保密局監(jiān)管的涉密信息系統(tǒng)以及國(guó)家密碼管理監(jiān)管的密碼方向。所以，在1.0時(shí)代這三者共同組成了我們的1.0時(shí)代的等級(jí)保護(hù)。

而到了2.0時(shí)代，《網(wǎng)絡(luò)安全法》第二十一條明確了國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。在歷史沿革中，我們常常用信息安全，經(jīng)《網(wǎng)絡(luò)安全法》確定后“信息安全”屬于上改為“網(wǎng)絡(luò)安全”，有歷史原因，但是這二者是同質(zhì)異名，而網(wǎng)絡(luò)安全的范疇更廣了。網(wǎng)絡(luò)安全法對(duì)該制度的名稱(chēng)作了調(diào)整，改為網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，對(duì)其主要內(nèi)容作了規(guī)定。國(guó)務(wù)院有關(guān)部門(mén)應(yīng)當(dāng)根據(jù)本法完善相關(guān)配套規(guī)定，確保網(wǎng)絡(luò)安全等級(jí)保護(hù)制度落到實(shí)處。

回到今天的主題，其實(shí)大家接觸密碼評(píng)估是近兩年的事情，很多朋友對(duì)這個(gè)的理解和前幾年對(duì)等級(jí)保護(hù)的理解是一樣的，總認(rèn)為這事情是突然一聲炸雷一下，蹦出來(lái)的事務(wù)。其實(shí)不然，在《信息安全等級(jí)保護(hù)管理辦法》是2007年6月22日發(fā)布，而國(guó)家密碼管理局同年11月27日發(fā)布了《信息安全等級(jí)保護(hù)商用密碼管理辦法》，而這個(gè)管理辦法的制定依據(jù)是《信息安全等級(jí)保護(hù)管理辦法》《商用密碼管理?xiàng)l例》，再次以文件的形式明確密碼管理是等級(jí)保護(hù)的一部分，當(dāng)然也再次否定所謂做測(cè)評(píng)就是過(guò)等級(jí)保護(hù)這個(gè)誤解。

等級(jí)保護(hù)工作要求“三同步”，在規(guī)劃之初就需要考慮滿(mǎn)足等級(jí)保護(hù)相關(guān)政策和標(biāo)準(zhǔn)要求，大家在落實(shí)等級(jí)保護(hù)過(guò)程中，是落實(shí)等級(jí)保護(hù)制度要求，所以在這里需要考慮滿(mǎn)足非涉密系統(tǒng)(以非涉密系統(tǒng)為例)的技術(shù)和管理要求，所以需要在規(guī)劃之初考慮《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》等國(guó)家標(biāo)準(zhǔn)，根據(jù)要求依據(jù)對(duì)應(yīng)的技術(shù)標(biāo)準(zhǔn)考慮如何實(shí)現(xiàn)對(duì)應(yīng)的要求，在方案里予以明確，依據(jù)國(guó)家標(biāo)準(zhǔn)進(jìn)行安全建設(shè)。