密评及密改市场空间大、渗透率低。密评行业持续增长逻辑明确，关基、等保三级及以上信息系统和国家政务系统需每年进行密评，具备投入持续性。根据我们的推算，保守估计密评及密改的存量市场空间达到96亿元/年和765亿元，行业市场空间广阔。根据数观天下，2022年，密评行业交易额约2亿元，同比增长超100%，而密评市场整体渗透率不足2.5%，行业仍处于初期放量阶段。分行业来看，2021年，商用密码在金融及政务领域应用占比较高，分别为24.05%和19.31%；密评在政务、金融、医疗三大领域交易数量同比增长较快，预计公安和能源领域将会是下一步密评加速渗透的领域。
　　数字化（主动）+合规（刚性）+信创迎三重共振，共同推动密码行业快速发展。“新基建”的稳步推进，为数字经济蓬勃发展奠定基础，传统业务的数字化转型进程必然涉及信息安全问题，而密码作为信息安全的“扣环”，构筑成数字经济发展的“护城河”。数据安全事件频发，定期密评及时发现问题并进行改造具备必要性。近年来，我国密码产业在法律法规、算法标准、产业应用、监管体系等方面进展显著，针对密码行业的“一法三规一条例”的推出，为密码行业发展和密评稳步推进奠定了坚实土壤。根据赛迪研究院，2016年到2021年，我国商用密码产业规模年复合增长率达31%，2021年产业规模达到585亿元，预计2023年商用密码行业规模有望达到937.5亿元。在内需外压的双重驱动下，信创产业迎来历史性机遇。根据海比研究院，2022年信创产业规模达9220.2亿元，近五年复合增长率为35.7%，预计2025年突破2万亿元，而密码既是信创的重要组成部分，又为信创产业拧紧“安全阀”，信创产业发展为密码行业带来历史契机。
　　以密评促密改，密码产业链相关公司有望持续受益。密评环节测评的主要产品包括密码机、安全认证网关、电子签章、证书认证系统等多种软硬件形态密码产品，密评机构根据《商用密码应用安全性评估量化评估规则》对被测信息系统量化打分，最终给予被测评信息系统以符合、基本符合、不符合相应等级要求的评估结果。对于密评不合格的环节及系统，需进行相应密码改造，根据招标订单统计结果，一般密码改造费用在100-200万之间。后续随着密评执行的进一步落地，涉及相应密码产品研发、生产、销售的公司有望持续受益。
　　重点关注密改环节，密码产业链中相关受益公司。卫士通（密码芯片、密码机、密码卡、数字认证系统、签名服务器等）、信安世纪（证书认证、安全网关、签名服务器、全密码安全服务平台等）、吉大正元（电子认证、数字加密等）、格尔软件（公钥基础设施PKI等）、三未信安（密码芯片、密码板块、密码整机、密码系统等）、数字认证（数字身份管理、数字化交付、电子签章、密码设备等）、中孚信息（密码机、密码卡、智能IC卡等）、国芯科技（嵌入式CPU等）、信雅达（密码机、签名验签服务器、密码卡、支付密码器等）。
　　风险提示：密评及信创政策落实不及预期；市场竞争加剧。

研究报告全文：行业研究证券研究报告计算机2022年12月19日计算机行业深度研究报告推荐维持以密评促密改密码行业迎来历史性机遇密评及密改市场空间大渗透率低密评行业持续增长逻辑明确关基等华创证券研究所保三级及以上信息系统和国家政务系统需每年进行密评具备投入持续性根据我们的推算保守估计密评及密改的存量市场空间达到96亿元年和765证券分析师邓怡亿元行业市场空间广阔根据数观天下2022年密评行业交易额约2亿元同比增长超100而密评市场整体渗透率不足25行业仍处于初期邮箱dengyihcyjscom放量阶段分行业来看2021年商用密码在金融及政务领域应用占比较执业编号S0360522070001高分别为2405和1931密评在政务金融医疗三大领域交易数量证券分析师魏宗同比增长较快预计公安和能源领域将会是下一步密评加速渗透的领域邮箱weizonghcyjscom数字化主动合规刚性信创迎三重共振共同推动密码行业快速发执业编号S0360522100001展新基建的稳步推进为数字经济蓬勃发展奠定基础传统业务的数字化转型进程必然涉及信息安全问题而密码作为信息安全的扣环构联系人戴晨筑成数字经济发展的护城河数据安全事件频发定期密评及时发现问邮箱daichenhcyjscom题并进行改造具备必要性近年来我国密码产业在法律法规算法标准产业应用监管体系等方面进展显著针对密码行业的一法三规一条例行业基本数据的推出为密码行业发展和密评稳步推进奠定了坚实土壤根据赛迪研究占比院2016年到2021年我国商用密码产业规模年复合增长率达312021股票家数只317004年产业规模达到585亿元预计2023年商用密码行业规模有望达到9375亿总市值亿元3425266381元在内需外压的双重驱动下信创产业迎来历史性机遇根据海比研究流通市值亿元2652623389院2022年信创产业规模达92202亿元近五年复合增长率为357预计2025年突破2万亿元而密码既是信创的重要组成部分又为信创产业拧紧相对指数表现安全阀信创产业发展为密码行业带来历史契机1M6M12M以密评促密改密码产业链相关公司有望持续受益密评环节测评的主要产绝对表现-4201-228品包括密码机安全认证网关电子签章证书认证系统等多种软硬件形态相对表现-6477-17密码产品密评机构根据商用密码应用安全性评估量化评估规则对被测2021-12-152022-12-15信息系统量化打分最终给予被测评信息系统以符合基本符合不符合相1应等级要求的评估结果对于密评不合格的环节及系统需进行相应密码改-12造根据招标订单统计结果一般密码改造费用在100-200万之间后续随211222022205220722102212着密评执行的进一步落地涉及相应密码产品研发生产销售的公司有望-25持续受益-37重点关注密改环节密码产业链中相关受益公司卫士通密码芯片密码计算机沪深300机密码卡数字认证系统签名服务器等信安世纪证书认证安全网关签名服务器全密码安全服务平台等吉大正元电子认证数字相关研究报告加密等格尔软件公钥基础设施PKI等三未信安密码芯片密码计算机行业2023年度投资策略泛信创为板块密码整机密码系统等数字认证数字身份管理数字化交付基孕育多板块机遇电子签章密码设备等中孚信息密码机密码卡智能卡等国2022-12-12IC计算机行业周报20221205-20221211数芯科技嵌入式CPU等信雅达密码机签名验签服务器密码卡支据资源入表带来的影响付密码器等2022-12-12计算机行业重大事项点评中阿峰会有望催化风险提示密评及信创政策落实不及预期市场竞争加剧跨境支付等银行IT2022-12-08证监会审核华创证券投资咨询业务资格批文号证监许可20091210号计算机行业深度研究报告投资主题报告亮点报告对密评密改环节涉及对象法律法规产品技术服务单价等进行了全面梳理密评是指对采用商用密码技术产品和服务集成建设的网络和信息系统密码应用的合规性正确性有效性进行评估密评的主要对象包括关键信息基础设施等保三级及以上系统政务系统等重要领域的信息系统密评工作开展可以划分为两个阶段分别是方案评估阶段和系统评估阶段在系统评估阶段密评机构主要以GBT39786-2021信息安全技术信息系统密码应用基本要求为基本要求依据商用密码应用安全性评估量化评估规则对被测信息系统量化打分最终给予被测评信息系统以符合基本符合不符合GBT39786-2021相应等级要求的评估结果一般情况密评的单次收费在16万元左右对于不符合密评标准或要进一步提高的信息系统需进行密码改造密码改造环节涉及的主要产品包括服务器密码机安全网关签名验签服务器Key和安全浏览器等根据密码改造项目复杂度的不同一般密码改造价格在100-200万元之间推算我国密评及密改行业存量市场空间给出密评密改行业当前渗透率较低行业增速将进一步加快的明确逻辑判断根据赛博研究院数据2019年我国等保三级及以上系统数量约5万个同时密评单价在16万左右招投标数据保守估计我国密评存量市场空间达96亿元年根据数观天下2022年我国密评市场交易额约2亿元同比增长100但相较于密评需求市场总规模当前密评渗透率仍处于较低阶段根据2018年商用密码应用安全性评估联合委员会对一万余个等保三级及以上的信息系统普查的结果显示未使用密码的系统超过75在对第一批118个重要领域的信息系统进行安全性测评时不符合规范的比例达到85甚至已被证明不安全的加密算法如RSA1024MD5仍在大量使用假设接受密评的信息系统中有85有密改需求推算我国密码改造的市场存量空间达765亿元行业增速来看密评在政务金融医疗三大行业的交易数量增速较快我们预计未来密评将向能源及公安领域加速渗透受益于数字化经济发展下对密码需求的源动力密评的合规性要求推动和信创带来的历史性机遇我们认为密码改造市场正在加速打开投资逻辑密评及密改行业空间广阔当前密评渗透率较低在数字化合规信创的三重共振下预计未来增速将进一步加快根据我们测算密评及密改的存量市场空间分别为96亿元年和765亿元2022年密评行业交易额约2亿元同比增长100行业增速较快但密评渗透率仅为25仍处于初期放量阶段在数字化经济的密码刚性需求数据安全法律法规不断健全数据安全泄露事件外部驱动以及信创行业带来的历史机遇背景下密评及密改的市场增长逻辑明确增长速度有望进一步提升密改环节所涉及公司将持续受益证监会审核华创证券投资咨询业务资格批文号证监许可20091210号计算机行业深度研究报告目录一密评密码产业发展的关键一环6一密码保障网络空间安全的核心技术和基础支撑6二密评密码行业发展不可或缺的一环71什么是密评72主要密评对象73密评工作参考的主要标准94密评涉及的主要产品及测评技术105以政务信息系统为例看密评工作全流程116密评服务收费情况127商用密码应用改造环节13二密码行业迎来数字化合规信创三重共振历史机遇15一密评行业处于推广发展期为密码行业发展提供安全屏障15二密评法律体系逐步健全为密码行业发展奠定土壤16三数据泄露事件多发凸显密评关键作用17四商用密码数字经济的安全基石17五内需外压力双重驱动信创产业带来历史性机遇19三在内需外驱的三重共振下密码行业迎来快速增长22一商密覆盖行业广泛产业结构持续优化22二以密评促密改存量市场空间广阔密码相关行业持续受益22四密码行业重点公司分析25一卫士通25二信安世纪26三吉大正元27四格尔软件28五数字认证29六中孚信息30七国芯科技31八信雅达32九三未信安33五风险提示34证监会审核华创证券投资咨询业务资格批文号证监许可20091210号3计算机行业深度研究报告图表目录图表1密码在网络安全方面发挥的三个重要作用6图表2密码按安全等级分类6图表3商用密码产品7图表4主要密评对象8图表5信息系统的安全保护等级8图表6关键信息基础设施认定标准9图表7测评指标权重表10图表8典型密码产品应用测评技术10图表9政务信息系统密码应用与安全性评估实施过程示意图12图表10部分密评项目举例12图表11三未信安密码改造解决方案13图表122022年部分密码改造项目14图表13商用密码产业链14图表14密评行业发展历程16图表15密码一法三规一条例16图表162021年国内外大规模数据泄露事件收录不完全统计17图表17以数据为中心的安全与以网络为中心的安全逻辑关系图17图表18密码与新基建的逻辑关系18图表19新基建的密码应用支撑体系19图表20信创产业链19图表21内部需求及外部压力共同促进信创产业发展20图表22信创呈现28N的渗透形态20图表23密码产品为信创发展护航21图表24商用密码产品应用领域占比22图表25我国商用密码产业结构占比情况22图表26全球商密市场规模单位亿美元23图表27我国商密产业市场规模单位亿元23图表282020-2022年密评市场交易数量单位个23图表292020-2022密评市场交易额单位万23图表30密评及密改市场规模24图表31密评交易数量同比增速24图表32卫士通产品布局25图表33卫士通营业总收入单位亿元26证监会审核华创证券投资咨询业务资格批文号证监许可20091210号4计算机行业深度研究报告图表34卫士通归母净利润单位亿元26图表35信安世纪六大产品系列26图表36信安世纪营业总收入单位亿元27图表37信安世纪归母净利润单位百万元27图表38吉大正元业务构成27图表39吉大正元营业总收入单位亿元28图表40吉大正元归母净利润单位亿元28图表41格尔软件主要产品28图表42格尔软件营业总收入单位亿元29图表43格尔软件归母净利润单位万元29图表44数字认证产品布局29图表45数字认证营业总收入单位亿元30图表46数字认证归母净利润单位万元30图表47中孚信息主要产品30图表48中孚信息营业总收入单位亿元31图表49中孚信息归母净利润单位亿元31图表50国芯科技产品布局31图表51国芯科技营业总收入单位亿元32图表52国芯科技归母净利润单位万元32图表53信雅达信息安全及加密设备产品服务32图表54信雅达营业总收入单位亿元33图表55信雅达归母净利润单位万元33图表56三未信安主要产品33图表57公司营业总收入单位万元34图表58公司归母净利润单位万元34证监会审核华创证券投资咨询业务资格批文号证监许可20091210号5计算机行业深度研究报告一密评密码产业发展的关键一环一密码保障网络空间安全的核心技术和基础支撑中华人民共和国密码法明确密码定义密码是指采用特定变换的方法对信息等进行加密保护安全认证的技术产品和服务密码技术是保障网络信息安全的核心技术从功能上看主要包括加密保护技术和安全认证技术加密保护是指采用特定变换的方法将原来可读的信息变成不能直接识别的符号序列安全认证是指采用特定变换的方法确认信息是否完整是否被篡改是否可靠以及行为是否真实密码在网络空间中对于身份鉴别安全隔离信息加密完整性保护和抗抵赖性等方面具有不可替代的重要作用可实现信息的机密性真实性数据的完整性和行为的不可否认性图表1密码在网络安全方面发挥的三个重要作用功能简介具体内容信息是网络空间中最有价值的资产信息泄露会对国家政治军事社会行业密码保证信息不被泄露给其他非授权机密性团体和个人带来巨大危害和影响信息的机密性是网络与信息安全的重要属性之实体的特性一采用密码技术中的加密保护技术可以实现信息的机密性商用密码确保数据没有受到非授权篡信息时代的数据规模大应用领域多使用价值高密码中的多种算法技术可以完整性改或破坏的特性保证数据在传输存储过程中不被篡改实现数据的完整性保护密码保证信息来源可靠没有被伪造密码中的安全认证技术可以有效解决信息的真实性等问题满足鉴别信息的合法真实性和篡改的特性性确认真实的身份信息防止信息冒充伪造等网络信息安全的基础性要求资料来源中金企信商用密码行业市场规模发展现状分析及投资战略专项可行性研究华创证券中华人民共和国密码法中将密码划分为核心密码普通密码和商用密码核心密码普通密码属于国家秘密商用密码用于保护不属于国家秘密的信息公民法人和其他组织可以依法使用商用密码保护网络与信息安全一般生活中接触更多的是商用密码图表2密码按安全等级分类密码类型内容核密核密指国家党政领导人及绝密单位的安全级别此领域不存在任何商务行为普密是指国家党政军机关的信息安全级别此领域安全设备由国家指定的五家研究机构普密负责研制工作具有市场实力的只有三家中电科30研究所数据所总参56所另外两家是空三所中船722所商密用于保护企业级的商业秘密技术上不一定比普密低但商密产品的管理程度不如商密普密应用产品多应用面广国家规定商密禁止操作任何国家秘密以上的安全信息资料来源数观天下密码法颁布详解商用密码领域华创证券商用密码技术是保障信息安全的核心技术从功能上看主要包括加密保护技术和安全认证技术从内容上看主要包括密码算法密钥管理和密码协议商用密码产品即承载密码技术实现密码功能的实体按照形态划分分为六类即软件芯片模块板卡整机系统按照功能划分分为七类即密码算法类数据加解密类认证鉴别类证书管理类密钥管理类密码防伪类和综合类证监会审核华创证券投资咨询业务资格批文号证监许可20091210号6计算机行业深度研究报告图表3商用密码产品类别解释典型产品按照功能分类密码算法类构成密码应用基础的能提供密码运算功密码算法实现软件密码算法芯片等产品能的产品数据加解密类提供数据加解密功能的产品加密机加密卡智能密码钥匙等产品认证鉴别类提供身份认证密码鉴别功能的产品动态口令系统身份认证系统等产品证书管理类提供数字证书的产生分发管理功能数字证书管理系统等产品的产品密钥管理类提供密钥的产生分发更新归档和密钥管理系统等产品恢复等功能的产品密码防伪类提供密码防伪验证功能的产品电子印章系统支付密码器数字水印等产品综合类提供上述两种或两种以上功能的产品电子商务安全平台等产品按照形态分类密码软件类提供纯软件形态出现的密码产品信息加密软件密码算法实现软件等产品密码芯片类指以集成电路芯片形态出现的密码产品密码算法芯片密码SOC芯片等产品密码模块类指以多芯片组装的背板形态出现具备加解密模块安全控制模块等产品专用密码功能但本身不能完成完整的密码功能的产品密码板卡类指以板卡形态出现具备完整密码功能USB密码钥匙PCI密码卡等产品的产品密码整机类指以整机形态出现具备完整密码功能VPN网络密码机服务器密码机签名的产品验证服务器等产品密码系统类指以系统形态出现由密码功能支撑的安全认证系统秘钥管理系统等产品产品资料来源数观天下华创证券二密评密码行业发展不可或缺的一环1什么是密评商用密码应用安全评估简称密评是指对采用商用密码技术产品和服务集成建设的网络和信息系统密码应用的合规性正确性有效性进行评估合规性信息系统使用的密码算法密码协议密钥管理是否符合法律法规的规定和密码相关国家标准行业标准的有关要求使用的密码产品和密码服务是否经过国家密码管理部门核准或由具备资格的机构认证合格正确性系统中采用的标准密码算法协议和密钥管理机制按照相应的密码国家和行业标准进行正确的设计和实现密码保障系统建设或改造过程中密码产品和服务的部署和应用正确有效性密码安全防护机制设计合理在系统运行过程中能够发挥密码效用保障信息的机密性完整性真实性抗抵赖性2主要密评对象密评的主要对象包括关基等保三级及以上系统国家政务系统密评频率为每年至少证监会审核华创证券投资咨询业务资格批文号证监许可20091210号7计算机行业深度研究报告一次根据商用密码管理条例修订草案征求意见稿第六章第三十八条非涉密的关键信息基础设施等保三级及以上系统国家政务等重要信息系统其运营者应当使用商用密码进行保护开展商用密码应用安全性评估通过商用密码应用安全性评估方可投入运行运行后每年至少进行一次评估同时根据商用密码应用安全性评估管理办法试行第一章第三条涉及国家安全和社会公共利益的重要领域网络和信息系统的建设使用管理单位应当健全密码保障体系实施商用密码应用安全性评估重要领域网络和信息系统包括基础信息网络涉及国计民生和基础信息资源的重要信息系统重要工业控制系统面向社会服务的政务信息系统以及关键信息基础设施网络安全等级保护第三级及以上信息系统图表4主要密评对象资料来源商用密码应用安全性评估管理办法试行华创证券等保三级信息系统在信息安全等级保护管理办法中根据信息系统在国家安全经济建设社会生活中的重要程度信息系统遭到破坏后对国家安全社会秩序公共利益以及公民法人和其他组织的合法权益的危害程度将网络信息系统的安全等级保护从低到高分为五级等保三级信息系统指信息系统受到破坏后会对社会秩序和公共利益造成严重损害或者对国家安全造成损害的信息系统图表5信息系统的安全保护等级等保登记信息系统破坏后侵害程度适用信息系统及行业第一级信息系统受到破坏后会对公民法人和一般适用于小型私营个体企业中小学乡镇所属信息系统县级单自主保护级其他组织的合法权益造成损害但不损害位中一般的信息系统国家安全社会秩序和公共利益第二级信息系统受到破坏后会对公民法人和一般适用于县级其些单位中的重要信息系统地市级以上国家机关企指导保护级其他组织的合法权益产生严重损害或者事业单位内部一般的信息系统例如非涉及工作秘密商业秘密敏感对社会秩序和公共利益造成损害但不损信息的办公系统和管理系统等害国家安全第三级信息系统受到破坏后会对社会秩序和公一般适用于地市级以上国家机关企业事业单位内部重要的信息系监督保护级共利益造成严重损害或者对国家安全造统例如涉及工作秘密商业秘密敏感信息的办公系统和管理系统成损害跨省或全国联网运行的用于生产调度管理指挥作业控制等方面的重要信息系统以及这类系统在省地市的分支系统中央各部委省区市门户网站和重要网站跨省连接的网络系统等第四级信息系统受到破坏后会对社会秩序和公一般适用于国家重要领域重要部门中的特别重要系统以及核心系统强制保护级共利益造成特别严重损害或者对国家安例如电力电信广电铁路民航银行税务等重要部门的生全造成严重损害产调度指挥等涉及国家安全国计民生的核心系统第五级信息系统受到破坏后会对国家安全造成一般适用于国家重要领域重要部门中的极端重要系统专控保护级特别严重损害资料来源信息安全等级保护管理办法等保测评网华创证券证监会审核华创证券投资咨询业务资格批文号证监许可20091210号8计算机行业深度研究报告关键信息基础设施关基的概念首次提出和范围明确是在网络安全法中是指公共通信和信息服务能源交通水利金融公共服务电子政务等重要行业和领域以及其他一旦遭到破环丧失功能或数据泄露可能严重危害国家安全国计民生公共利益的关键信息基础设施根据关键信息基础设施确定指南试行对关键信息基础设施做以下认定图表6关键信息基础设施认定标准关基种类认定标准网络安全事件的潜在影响1县级含以上党政机关网站1影响超过100万人工作生活2重点新闻网站2影响单个地市级行政区30以上人口的工作生活3日均访问量超过100万人次的网站3造成超过100万人个人信息泄露网站类4一旦发生网络安全事故可能造成右边列影响之4造成大量机构企业敏感信息泄露一的5造成大量地理人口资源等国家基础数据泄露5其他应该认定为关键信息基础设施6严重损害政府形象社会秩序或危害国家安全1注册用户数超过1000万或活跃用户每日至少1造成1000万元以上的直接经济损失登陆一次数超过100万2直接影响超过1000万人工作生活2日均成交订单额或交易额超过1000万元3造成超过100万人个人信息泄露平台类3一旦发生网络安全事故可能造成右边列影响之4造成大量机构企业敏感信息泄露一的5造成大量地理人口资源等国家基础数据泄露4其他应该认定为关键信息基础设施6严重损害社会和经济秩序或危害国家安全1地市级以上政府机关面向公众服务的业务系统1影响单个地市级行政区30以上人口的工作生活或与医疗安防消防应急指挥生产调度交2影响10万人用水用电用气用油取暖或交通出行等通指挥等相关的城市管理系统3导致5人以上死亡或50人以上重伤2规模超过1500个标准机架的数据中心4直接造成5000万元以上经济损失生产业务类3一旦发生网络安全事故可能造成右边列影响之5造成超过100万人个人信息泄露一的6造成大量机构企业敏感信息泄露4其他应该认定为关键信息基础设施7造成大量地理人口资源等国家基础数据泄露8严重损害社会和经济秩序或危害国家安全资料来源关键信息基础设施确定指南试行华创证券3密评工作参考的主要标准基本要求主要依据国家标准GBT39786-2021信息安全技术信息系统密码应用基本要求此标准于2021年10月1日正式实施旨在指导规范信息系统密码应用的规划建设运行及测评对于规范和引导信息系统合规正确有效应用密码切实维护国家网络与信息安全具有重要意义评估方法目前主要参考的文件是2021年发布的GMT0115-2021信息系统密码应用测评要求GMT0116-2021信息系统密码应用测评过程指南中国密码学会密评联委会修订形成的信息系统密码应用高风险判定指引商用密码应用安全性评估量化评估规则量化评估结果判定规则根据商用密码应用安全性评估量化评估规则若整体量化评估结果为100分则判定被测信息系统符合GBT39786-2021相应等级要求结果低于100分不低于阈值且经风险评估发现没有高风险则判定被测信息系统基本符合GBT39786-2021相应等级要求否则判定被测信息系统不符合GBT39786-2021相应等级要求证监会审核华创证券投资咨询业务资格批文号证监许可20091210号9计算机行业深度研究报告图表7测评指标权重表资料来源三未信安官网华创证券4密评涉及的主要产品及测评技术根据信息系统密码应用测评要求进行测评的典型密码产品有智能IC卡智能密码钥匙密码机VPN产品和安全认证网关电子签章系统动态口令系统电子门禁系统证书认证系统密评通过相关技术手段对密码产品实施测评检验产品是否具备传输机密性存储机密性传输完整性存储完整性真实性不可否认性的密码功能图表8典型密码产品应用测评技术产品类型测评实施预期结果1进行错误尝试试验验证在智能IC卡或智能密码钥匙未使用或错1智能IC卡或智能密码钥匙未使用或错误使用误使用如使用他人的介质时相关密码应用过程如鉴别不能时相关密码应用能够检测出非正常使用正常工作2智能IC卡智能密码钥匙调用指令格式和内2条件允许情况下在模拟的主机或抽选的主机上安装监控软件如容符合预期BusHound用于对智能IC卡智能密码钥匙的APDU指令进行抓3数字证书的格式和使用符合证书认证系统应用智能IC卡智取和分析确认调用指令格式和内容符合预期如口令和密钥是加密的有关要求能密码钥匙传输的4智能密码钥匙的口令长度不小于6个字符错3如果智能IC卡或智能密码钥匙存储有数字证书密评人员可以将误口令登录验证次数不大于10次数字证书导出后对证书合规性进行检测具体检测内容见对证书认证系统应用的测评4验证智能密码钥匙的口令长度不小于6个字符错误口令登录验证次数不大于10次1利用协议分析工具抓取应用系统调用密码机的指令报文验证其1应用系统调用密码机指令次数等符合预期是否符合预期如调用频率是否正常调用指令是否正确2密码机内部存储的密钥对应合规的密码算法密码机2管理员登录密码机查看相关配置检查内部存储的密钥是否对应合使用合规的密码算法进行密码计算规的密码算法密码计算时是否使用合规的密码算法等3相关的日志记录显示使用合规的密码算法证监会审核华创证券投资咨询业务资格批文号证监许可20091210号10计算机行业深度研究报告3管理员登录密码机查看日志文件根据与密钥管理密码计算相关的日志记录检查是否使用合规的密码算法等1利用端口扫描工具探测IPSecVPN和SSLVPN服务端所对应的端1端口扫描显示IPSecVPN和SSLVPN服务端口服务是否开启如IPSecVPN服务对应的UDP5004500端口所对应的端口服务已经开启SSLVPN服务常用的TCP443端口视产品而定2通过通信协议分析工具分析确认使用的密码2利用通信协议分析工具抓取IPSec协议IKE阶段SSL协议握手算法和密码套件标识属于已发布为标准的商用VPN产品和安阶段的数据报文解析密码算法或密码套件标识是否属于已发布为标密码算法全认证网关准的商用密码算法3证书的格式和使用符合证书认证系统应用的有3利用协议分析工具抓取并解析IPSec协议IKE阶段SSL协议握关要求手阶段传输的证书内容判断证书是否合规具体检测内容见对证书认证系统应用的测评1检查电子印章的验证是否符合GBT38540-2020信息安全技术安1电子印章的验证符合GBT38540-2020信息全电子签章密码技术规范的要求其中部分检测内容可以复用产品安全技术安全电子签章密码技术规范的要检测的结果求电子签章系统2检查电子签章的生成和验证是否符合GBT38540-2020信息安全2电子签章的生成和验证符合GBT38540-2020技术安全电子签章密码技术规范的要求其中部分检测内容可以复信息安全技术安全电子签章密码技术规范用产品检测的结果的要求1判断动态令牌的PIN码保护机制是否满足以下要求PIN码长度不1动态令牌的PIN码保护机制满足要求少于6位数字若PIN码输入错误次数超过5次则需至少等待1小2对动态口令进行重放重放后的口令无法通过时才可继续尝试若PIN码输入超过最大尝试次数的情况超过5次认证系统的验证动态口令系统则令牌将被锁定不可再使用3种子密钥是以密文形式导入至动态令牌和认证2尝试对动态口令进行重放确认重放后的口令无法通过认证系统的系统中验证3核查种子密钥是以密文形式导入至动态令牌和认证系统中的1尝试发一些错误的门禁卡验证这些卡无法打开门禁1错误的门禁卡无法打开门禁电子门禁系统2利用发卡系统分发不同权限的卡验证非授权的卡无法打开门禁2不同权限的门禁卡仅能打开授权的门禁非授权的卡无法打开门禁1对信息系统内部署证书认证系统密评人员可参考GMT0037-20141证书及其私钥使用正确证书认证系统检测规范和GMT0038-2014证书认证密钥管理2生成和使用的证书格式符合GBT20518-2018系统检测规范的要求进行测评的有关要求2通过查看证书扩展项KeyUsage字段确定证书类型签名证书或证书认证系统加密证书并验证证书及其相关私钥是否正确使用3通过数字证书格式合规性检测工具验证生成或使用的证书格式是否符合GBT20518-2018信息安全技术公钥基础设施数字证书格式规范的有关要求资料来源信息系统密码应用测评要求华创证券5以政务信息系统为例看密评工作全流程密评工作主要分为两个阶段一是信息系统规划阶段的密码应用方案评估这一环节主要用于保证建设方案的安全性二是信息系统建设完成后针对该系统开展现场测试方案评估阶段主要针对新建或改造信息系统密码应用改造方案一般由用户单位组织编写用户单位编写密码应用建设方案改造方案后应委托专家对方案进行评估或委托密评机构出具方案密评报告系统评估阶段主要依据国标GBT39786-2021信息安全技术信息系统密码应用基本要求从物理和环境网络和通信设备和计算应用和数据安全管理等方面开展评估证监会审核华创证券投资咨询业务资格批文号证监许可20091210号11计算机行业深度研究报告图表9政务信息系统密码应用与安全性评估实施过程示意图资料来源密码局网站政务信息系统密码应用与安全性评估工作指南赛宝商密通华创证券6密评服务收费情况根据密评项目的难度与要求不同密评项目服务收费方差较大密评服务收费中位数在16万左右图表10部分密评项目举例序号项目时间金额万元1长沙银行商用密码应用安全评估项目第二次20211124142自治区本级公共安全视频监控建设联网应用第三期项目商用密202112819码应用安全评估服务3珠海市政企沟通服务平台项目等保测评及商用密码应用安全评2021121011估服务4武汉市精神卫生中心商用密码应用安全评估项目20211215485珠海市住房和城乡建设局商用密码应用安全评估服务202220223724年度6珠海市应急管理局智能应急广播市级平台商用密码应用安202262213全评估服务项目7内蒙古自治区水利业务数字化应用支撑体系建设项目商用密码202271219应用安全评估服务项目8长沙银行商用密码应用安全评估项目2022720489岳麓区电子政务外网平台及重要信息系统网络安全等级保护测20228181评和商用密码应用安全评估2022年项目10天翼云2022-2023年商用密码应用安全评估服务2022981211政协宁夏回族自治区委员会办公厅2022年等保测评及商用密202292815码应用安全评估服务采购项目12余姚市公安局商用密码应用安全评估服务项目2022101115资料来源采招网华创证券证监会审核华创证券投资咨询业务资格批文号证监许可20091210号12计算机行业深度研究报告7商用密码应用改造环节密评过程中不合格以及需进一步提高的环节需要对其进行密码改造密码改造项目建设单位需从物理和环境安全网络和通信安全设备和计算安全应用和数据安全等四个层面采用密码技术措施建立安全的密钥管理方案采取有效的安全管理措施进行系统保护图表11三未信安密码改造解决方案资料来源三未信安官网华创证券密码改造产品主要包括服务器密码机安全网关签名验签服务器等功能来看服务器密码机能够为各类业务系统提供数据加解密数字签名验签以及密钥管理等高性能密码服务安全网关能为用户提供可信身份认证访问控制传输加密等密码安全服务签名验签服务器具有数字签名身份认证等功能可为于电子商务CA认证网上银行等服务器端提供密码服务一套系统最小化的密改方案除了上述产品外客户端还需加上key和安全浏览器金额总计为60万元左右考虑到客户信息系统规模大小功能一般改造花费为100-200万元证监会审核华创证券投资咨询业务资格批文号证监许可20091210号13计算机行业深度研究报告图表122022年部分密码改造项目项目时间金额万元广西应急管理综合应用平台商用密码改造项目2022112898安宁市电子政务移动OA无线办公系统密码改造项目20221124104国元证券股份有限公司集中交易系统商用密码应用改造项目通用服务器密码专用硬件及CA证书部20221018388分兰州市政务外网密码应用改造建设项目20221017181重庆市教育数据中心信息系统国产密码应用改造项目20221010167辽宁省道路客运联网售票系统国产密码改造2022927216兰州市教育局信息系统密码应用改造2022923190深圳市无线电监测管理站监测服务管理系统国产密码改造项目202292182珠海市住房公积金信息系统商用密码应用改造服务项目2022915140辽宁省运政管理信息系统国产密码改造2022915175内蒙古交通密码服务平台内蒙古自治区交通运输统计分析监测和投资计划管理信息系统密码改造项目2022823185楚雄彝族自治州妇幼保健院妇幼联盟协作平台商用密码改造建设项目2022810134阿克苏地区政务信息资源共享交换平台商用密码改造202216168资料来源采招网华创证券从密码产品及服务供应的产业链分析密码产业链上游包括安全芯片印刷电路板服务器三大类中游为以密码技术为核心的产品包括密码机密码卡数字证书vpn令牌电子签章量子加密六大类下游主要是软件系统集成及应用领域图表13商用密码产业链资料来源数观天下华创证券证监会审核华创证券投资咨询业务资格批文号证监许可20091210号14计算机行业深度研究报告二密码行业迎来数字化合规信创三重共振历史机遇一密评行业处于推广发展期为密码行业发展提供安全屏障根据炼石网络整理结果我国密评行业经历了五个时期当前正处于推广发展期制度奠基期2007年11月至2016年8月2007年11月27日国家密码管理局印发信息安全等级保护商用密码管理办法要求等保密评工作由国家密码管理局指定的测评机构承担2009年12月15日国家密码管理局印发了管理办法实施意见进一步明确了与密码测评有关的要求再次集结期2016年9月至2017年4月国家密码管理局起草商用密码应用安全性评估管理办法试行2017年4月22日正式印发关于开展密码应用安全性评估试点工作的通知在七省五行业开展密评第一次试点工作体系建设期2017年5月至2017年9月国家密码管理局成立了密评领导小组2017年9月27日国家密码管理局印发商用密码应用安全性测评机构管理办法试行商用密码应用安全性测评机构能力评审实施细则试行信息系统密码应用基本要求和信息系统密码测评要求试行我国密评制度体系初步建立密评试点开展期2017年10月至2021年2019年开启第二批密评试点工作2020年7月29日国家密码管理局发布商用密码应用安全性评估试点机构目录确定24家全国密评试点机构2021年6月11日国家密码管理局发布商用密码应用安全性评估试点机构目录密评试点机构扩大至48家推广发展期2021年至今十四五时期数字化引领密评加速推广发展金融政务教育电信等行业将实现密评规模化布局证监会审核华创证券投资咨询业务资格批文号证监许可20091210号15计算机行业深度研究报告图表14密评行业发展历程资料来源炼石网络图解商用密码应用安全性评估华创证券二密评法律体系逐步健全为密码行业发展奠定土壤近年来我国密码产业法律法规逐步健全为后续的快速发展积攒动力从防护对象来看个人信息保护法草案二次审议稿数据安全法对个人信息或企业数据安全建设提出明确防护目标是数据保护和数据利用的整体性法律框架从技术手段来看密码法明确了将密码技术作为核心的安全技术路线针对重要信息系统形成强合规增量市场图表15密码一法三规一条例层级名称条例第三章二十七条法律行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施其运营者应当使用商用密码进行保护关键信息基础设施运营者应当自行或者委托商用密码检测机构开展商用密码应用安全性评估一法密码法第四章第三十七条关键信息基础设施的运营者未按照要求使用商用密码或者未按照要求开展密评的由密码管理部门责令改正给予警告拒不改正或者导致危害网络安全等后果的将处十万元以上一百万元以下罚款第四章第三十条各部门应当严格遵守有关保密等法律法规规定构建全方位多层次国务院办公厅关于印发国家政一致性的防护体系按要求采用密码技术并定期开展密码应用安全性评估确保政务信务信息化项目建设管理办法的通息系统运行安全和政务信息资源共享交换的数据安全知国办发201957号第三章第二十八条对于不符合密码应用和网络安全要求或者存在重大安全隐患的政务信息系统不安排运行维护经费项目建设单位不得新建改建扩建政务信息系统三规贯彻落实网络安全等级保护制第二部分第六点落实密码安全防护要求网络运营者应贯彻落实密码法等有关法律度和关键信息基础设施安全保护法规规定和密码应用相关标准规范第三级以上网络应正确有效采用密码技术进行保制度的指导意见公网安护并使用符合相关要求的密码产品和服务20201960号关键信息基础设施安全保护条第四章第二十三条第四点采取数据分类重要数据备份和加密认证等措施例征求意见稿第六章第三十八条非涉密的关键信息基础设施网络安全等级保护第三级以上网络国商用密码管理条例修订草案家政务信息系统等网络与信息系统其运营者应当使用商用密码进行保护制定商用密码一条例征求意见稿应用方案配备必要的资金和专业人员同步规划同步建设同步运行商用密码保障系统自行或者委托商用密码检测机构开展商用密码应用安全性评估资料来源中国人大网中国政府网华创证券证监会审核华创证券投资咨询业务资格批文号证监许可20091210号16计算机行业深度研究报告三数据泄露事件多发凸显密评关键作用数据安全事件频发定期密评及时发现问题并进行密码改造具有必要性根据绿盟科技统计2021全球数据大规模数据泄露的代表性事件一共有10起从泄露规模上看上亿级别的数据记录泄露有8起最高泄露7亿条从泄露原因上看互联网暴露和配置错误黑客攻击是造成大规模数据泄露的主要原因根据IBM发布的2021数据泄露成本报告企业数据泄露平均成本为424万美元定期开展密评及时进行密码改造对公司数据安全保护具备必要性图表162021年国内外大规模数据泄露事件收录不完全统计事件时间规模事件描述原因12021年7月7亿美国LinkedIn公司7亿多条用户信息在论坛RaidForums被黑客出售黑客攻击22021年4月53亿美国Facebook公司有超53亿条用户数据在一个黑客论坛公开互联网暴露与配置错误32021年1月318亿国内Socialarks公司被曝泄露了400GB数据涉及318亿条用户记录互联网暴露与配置错误42021年1月223亿巴西官方数据库遭到重大泄露受影响人员22亿几乎为所有巴西公民未知原因52021年1月2亿Cyble的研究团队发现黑客在暗网出售2亿多中国公民的信息包括QQ黑客攻击和微博的信息62021年9月14亿美国Firebase的数据库配置错误导致iOSAndroid应用程序泄露了超过互联网暴露与配置错误14亿条信息72021年8月126亿美国OneMorelead营销公司发生数据泄露涉及126亿美国公民的信息互联网暴露与配置错误82021年8月106亿泰国游客的ES数据库暴露泄露数据涉及106亿游客的个人信息互联网暴露与配置错误92021年8月3800万美国微软云平台暴露3800万条客户数据涉及多个COVID-19接触者追互联网暴露与配置错误踪平台等存储的敏感数据资料来源绿盟科技华创证券四商用密码数字经济的安全基石十四五以来数字经济已经成为我国经济实现高质量发展的重要方向以数据为中心的安全的重要性不断凸显而密码作为数据安全的重要基石在推进数字经济健康安全发展方面具有重要作用密码可以完整实现网络空间信息防泄密内容防篡改身份防假冒行为抗抵赖等功能满足网络与信息系统对保密性完整性真实性和不可否认性等安全需求图表17以数据为中心的安全与以网络为中心的安全逻辑关系图资料来源北京商用密码行业协会商用密码行业发展机遇报告2022年华创证券证监会审核华创证券投资咨询业务资格批文号证监许可20091210号17计算机行业深度研究报告新基建是数字经济发展的基石密码技术深度融合新基建为多领域数字化转型奠定基础新基建是指以5G人工智能工业互联网物联网为代表的新型基础设施新型基础设施以网络和数据为核心本质上是信息数字化的基础设施为数字经济发展和传统业务数字化转型奠定基础而传统行业的数字化转型进程必然绕不开信息安全问题密码作为信息安全的扣环构筑成数字经济发展的护城河和城墙使新基建具有主动免疫力图表18密码与新基建的逻辑关系资料来源乐宏彦从新基建安全看高速密码技术应用的发展华创证券根据乐宏彦的研究密码在新基建的几个应用场景有5G通信领域密码应用推动5G通信与IT网络安全融合密码技术能够保障5G网络的底层基础设施的安全可信以及虚拟机与容器的可信同时也能实现面向行业的业务应用的数据和平台访问的持续认证工业互联网领域密码应用打破信息孤岛实现远程安全协同密码技术的应用可以满足工业互联网场景中设备与访问用户身份认证传输认证和传输加密存储安全等需求在横向隔离的工业网络中基于密码技术支撑实现安全的远程接入可以打破信息孤岛实现业务的远程协同推动信息交换云基础设施领域促进安全框架的整合云技术与身份认证加密等技术方式融合通过面向云的服务形式来提供云安全能力证监会审核华创证券投资咨询业务资格批文号证监许可20091210号18计算机行业深度研究报告图表19新基建的密码应用支撑体系资料来源乐宏彦从新基建安全看高速密码技术应用的发展华创证券五内需外压力双重驱动信创产业带来历史性机遇信创产业发展为密码行业壮大带来历史契机密码既是信创的重要组成部分又为信创产业拧紧安全阀信创产业即信息技术应用创新产业其目的在于实现信息技术领域的自主可控解决核心技术关键环节的卡脖子问题信创产业链大体分为软件领域硬件领域实际应用和信息安全四大类其中信息安全贯穿整个信创产业密码产品紧扣信息安全每一环图表20信创产业链料来源前瞻产业研究院2022年中国信创产业全景图谱华创证券内需外压双重驱动信创迎来历史性发展机遇一方面国产化信息创新发展有利于我国在信息安全方面进一步可靠安全另一方面在当前国家经济双循环的发展格局证监会审核华创证券投资咨询业务资格批文号证监许可20091210号19计算机行业深度研究报告下信创对于加快企业数字化转型和推动经济持续发展具有护航赋能的现实意义图表21内部需求及外部压力共同促进信创产业发展资料来源嘶吼安全产业研究院信创安全典型行业应用专题报告华创证券信创产业28N稳步推进市场规模将进一步打开自2013年开始党政从公文系统开始替换预计到2023年左右完成基本公文系统的信创改造后续将开启电子政务系统的国产化替代八大重点行业中金融行业信创排在首位推进速度最快电信紧随其后之后是能源交通航空航天教育医疗也在逐步进行政策推进和试点最后多个行业的信创预计2023年左右开始启动根据海比研究院数据显示2022年信创产业规模达92202亿元近五年复合增长率为357预计2025年突破2万亿图表22信创呈现28N的渗透形态资料来源亿欧智库2021中国信创产业应用落地研究报告及供应商60强华创证券信创产业发展离不开安全能力建设密码为信创产业安全保驾护航密码技术作为保障安全的核心技术和基础支撑是维护信息安全有效可靠的技术手段是信创产业的护城墙密码护航信创主要体现为一方面密码能够构建虚拟防护安全边界为软件产业打造密码安全一体化的防护建设另一方面密码重构软件系统安全能力以密码提供的安全技术和信任机制推动软件产业安全升级证监会审核华创证券投资咨询业务资格批文号证监许可20091210号20