三类密码的分工
《密码法》按保护对象把密码分为三类：核心密码、普通密码用于保护国家秘密信息，由国家密码管理部门统一管理；商用密码用于保护不属于国家秘密的信息，实行市场化与依法监管，配套检测认证与商用密码应用安全性评估制度。企业系统中遇到的加密产品、VPN、CA、密码机、KMS、国密 TLS，绝大多数归入商用密码范畴，这也是企业合规工作的主战场。
基本信息
| 依据 | 《中华人民共和国密码法》，2020-01-01 施行 |
|---|---|
| 分类维度 | 按保护对象划分：国家秘密信息与非国家秘密信息 |
| 管理部门 | 核心与普通密码由国家密码管理部门统一管理 |
| 商用密码机制 | 市场化 + 依法监管，含检测认证与密评 |
| 企业相关性 | 绝大多数业务系统与产品属于商用密码 |
典型使用场景
- 选型判断：先确定系统保护的是不是国家秘密信息，再谈产品与合规
- 密评对象确定：密评针对商用密码应用，涉密系统走另一套管理
- 密码产品采购：需确认是否属于检测认证目录范围
- 涉密与非涉密隔离：两套系统的密码产品不可混用
- 面向监管的材料：用类别说明讲清系统与产品归属
常见系统归类
常见系统归类
# 商用密码：保护不属于国家秘密的信息
VPN 与 SSL VPN 网关 -> 商用密码
CA 与数字证书系统 -> 商用密码
密码机、签名验签服务器 -> 商用密码
KMS、密钥管理服务 -> 商用密码
数据库透明加密、国密 TLS -> 商用密码
# 核心与普通密码：保护国家秘密信息，不适用于普通企业业务系统三类密码对比
| 类别 | 保护对象 | 管理方式 |
|---|---|---|
| 核心密码 | 国家秘密信息（特别重要） | 国家统一管理、专控 |
| 普通密码 | 国家秘密信息 | 国家统一管理 |
| 商用密码 | 不属于国家秘密的信息 | 依法监管 + 市场化，配套检测认证与密评 |
判断口径以保护对象为准，而不是以产品形态为准：同一台密码机用在涉密系统就涉密，用在业务系统就属商用密码。
涉密与非涉密系统应做到物理或逻辑隔离，密码产品与密钥不可混用；混用会同时触发保密与密码管理两方面问题。