本文总结自「商用密码应用安全性评估量化评估规则（2023版）」——在本文中简称「量化评估」。

目前blog可能还未完善，笔者会加入到日后的规划中

评估规则

符号含义

各测评对象的测评结果量化评估规则

密码应用技术要求中，第 $i$ 个安全层面的第 $j$ 测评单元的第 $k$ 测评对象 $T_{i,j,k}$，其量化评估结果 $S_{i,j,k}\in [0, 1]$，其中 0 表示不符合， 1 表示符合，其它表示部分符合。 $S_{i,j,k}$ 的取值见表1（涉及计算时，四舍五入，取小数点后 4 位）。 通用要求和密码应用技术要求各安全层面的“密码服务”和“密码产品”指标不单独评价。

修正

• 涉及以下情况时，需要对测评对象的分值进行修正：
  • 若测评对象 A 弥补了测评对象 B 的不足，测评对象 A 的分值为 PA，测评对象 B 的弥补前分值为 PB，则测评对象 B 弥补后的分值为 $MAX(0.5×P_A, P_B)$，即 $0.5×P_{}A$ 和 $P_B$ 之间的较大值（四舍五入，取小数点后 4 位）。
  • 换言之，若 被弥补对象B 的分数小于 弥补对象A 分数的一半时，被弥补对象 B 的分数为 弥补对象 分数的一半。
  • 如实际情况中，对于三级系统应用层的传输机密性，一般不作密改而是通过网络层面的传输机密性来缓解风险及修正。此时，应用层的传输机密性的得分为网络层的传输机密性分数的一半。

测评单元的测评结果量化评估规则

密码应用技术要求中， 第 $i$ 个安全层面的第 $j$ 测评单元 $U_{i,j}$ 的量化评估结果 $S_{i,j}$ 为该测评单元内所有 $n_{i,j}$ 个测评对象测评结果的算术平均值（四舍五入，取小数点后 4 位），即：

$$ S_{i,j}=\frac{\sum_{1\leq k\leq n_{i,j}}S_{i,j,k}}{n_{i,j}} $$

密码应用管理要求中，第 $i$ 个安全层面的第 $j$ 测评单元， 根据 $GM/T 0115—2021$ 给出判定结果 $S_{i,j}$，符合为 1 分，不符合为 0 分，部分符合为 0.5 分。

安全层面的测评结果量化评估规则

「量化评估」中为每个测评单元分配了相应的权重 $w_{i,j}$，如表 4 所示。第 $i$ 个安全层面 $L_i$ 的量化评估结果 $S_{}i$ 为该安全层面内所有 $n_i$ 个适用测评单元的测评结果 $S_{i,j}$ 的加权素算数平均值（四舍五入，取小数点后 4 位），即：

$$ S_{i}=\frac{\sum_{1\leq j\leq n_{i}}w_{i,j}\cdot S_{i,j}}{\sum_{1\leq j\leq n_{i}}w_{i,j}} $$

若某测评指标不适用， 则不参与量化评估过程， 不适用的判定方式参见 $GM/T 0115—2021$。

• [!] 注意这里除以的是权重之和，权重越高的测评单元对层面分数影响也越大。

依旧以三级系统为例，假设其得分各测评对象

整体测评结果量化评估规则

「量化评估」为每个安全层面分配了相应的权重 $w_{i}$，如下表4，量化评估结果 $S$ 为所有 $n$ 个安全层面测评结果 $S_i$ 的加权平均值（四舍五入，取小数点后 2 位），即：

$$ S=\frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\sum_{1\leq i\leq 4}w_{i}}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 $$

整体测评各种情况的量化评估

若系统所有层面均适用则量化评估结果为：

$$ \begin{array}{l} S & =\frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\sum_{1\leq i\leq 4}w_{i}}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \\ & = \frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\cancel{70}}\times \cancel{70}+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\cancel{30}}\times \cancel{30}\\ & =\sum_{0\leq i\leq 4}w_{i}\cdot S_{i}+ \sum_{5\leq i\leq 8}w_{i}\cdot S_{i} \end{array} $$

若系统所有测评指标都不适用，则该安全层面不参与量化评估过程。例如，某信息系统中“物理和环境安全” 层面所有测评指标都不适用， 而其他各层面均有适用的测评指标（「量化评估中的例子」）。那么根据表 4 提供的安全层面权重，上述分值计算公式具体为：

$$ \begin{array}{l} S & = \frac{\sum_{2\leq i\leq 4}w_{i}\cdot S_{i}}{{\color{red} 70-10 }}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \\ & =\frac{\sum_{2\leq i\leq 4}w_{i}\cdot S_{i}}{{\color{red} 60 }}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \end{array} $$

表4

本文总结自「商用密码应用安全性评估量化评估规则（2023版）」——在本文中简称「量化评估」。

评估规则

符号含义

各测评对象的测评结果量化评估规则

密码应用技术要求中，第 $i$ 个安全层面的第 $j$ 测评单元的第 $k$ 测评对象 $T_{i,j,k}$，其量化评估结果 $S_{i,j,k}\in [0, 1]$，其中 0 表示不符合， 1 表示符合，其它表示部分符合。 $S_{i,j,k}$ 的取值见表1（涉及计算时，四舍五入，取小数点后 4 位）。 通用要求和密码应用技术要求各安全层面的“密码服务”和“密码产品”指标不单独评价。

修正

• 涉及以下情况时，需要对测评对象的分值进行修正：
  • 若测评对象 A 弥补了测评对象 B 的不足，测评对象 A 的分值为 PA，测评对象 B 的弥补前分值为 PB，则测评对象 B 弥补后的分值为 $MAX(0.5×P_A, P_B)$，即 $0.5×P_{}A$ 和 $P_B$ 之间的较大值（四舍五入，取小数点后 4 位）。
  • 换言之，若 被弥补对象B 的分数小于 弥补对象A 分数的一半时，被弥补对象 B 的分数为 弥补对象 分数的一半。
  • 如实际情况中，对于三级系统应用层的传输机密性，一般不作密改而是通过网络层面的传输机密性来缓解风险及修正。此时，应用层的传输机密性的得分为网络层的传输机密性分数的一半。

测评单元的测评结果量化评估规则

密码应用技术要求中， 第 $i$ 个安全层面的第 $j$ 测评单元 $U_{i,j}$ 的量化评估结果 $S_{i,j}$ 为该测评单元内所有 $n_{i,j}$ 个测评对象测评结果的算术平均值（四舍五入，取小数点后 4 位），即：

$$ S_{i,j}=\frac{\sum_{1\leq k\leq n_{i,j}}S_{i,j,k}}{n_{i,j}} $$

密码应用管理要求中，第 $i$ 个安全层面的第 $j$ 测评单元， 根据 $GM/T 0115—2021$ 给出判定结果 $S_{i,j}$，符合为 1 分，不符合为 0 分，部分符合为 0.5 分。

安全层面的测评结果量化评估规则

「量化评估」中为每个测评单元分配了相应的权重 $w_{i,j}$，如表 4 所示。第 $i$ 个安全层面 $L_i$ 的量化评估结果 $S_{}i$ 为该安全层面内所有 $n_i$ 个适用测评单元的测评结果 $S_{i,j}$ 的加权素算数平均值（四舍五入，取小数点后 4 位），即：

$$ S_{i}=\frac{\sum_{1\leq j\leq n_{i}}w_{i,j}\cdot S_{i,j}}{\sum_{1\leq j\leq n_{i}}w_{i,j}} $$

若某测评指标不适用， 则不参与量化评估过程， 不适用的判定方式参见 $GM/T 0115—2021$。

• [!] 注意这里除以的是权重之和，权重越高的测评单元对层面分数影响也越大。

依旧以三级系统为例，假设其得分各测评对象

整体测评结果量化评估规则

「量化评估」为每个安全层面分配了相应的权重 $w_{i}$，如下表4，量化评估结果 $S$ 为所有 $n$ 个安全层面测评结果 $S_i$ 的加权平均值（四舍五入，取小数点后 2 位），即：

$$ S=\frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\sum_{1\leq i\leq 4}w_{i}}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 $$

整体测评各种情况的量化评估

若系统所有层面均适用则量化评估结果为：

$$ \begin{array}{l} S & =\frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\sum_{1\leq i\leq 4}w_{i}}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \\ & = \frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\cancel{70}}\times \cancel{70}+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\cancel{30}}\times \cancel{30}\\ & =\sum_{0\leq i\leq 4}w_{i}\cdot S_{i}+ \sum_{5\leq i\leq 8}w_{i}\cdot S_{i} \end{array} $$

若系统所有测评指标都不适用，则该安全层面不参与量化评估过程。例如，某信息系统中“物理和环境安全” 层面所有测评指标都不适用， 而其他各层面均有适用的测评指标（「量化评估中的例子」）。那么根据表 4 提供的安全层面权重，上述分值计算公式具体为：

$$ \begin{array}{l} S & = \frac{\sum_{2\leq i\leq 4}w_{i}\cdot S_{i}}{{\color{red} 70-10 }}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \\ & =\frac{\sum_{2\leq i\leq 4}w_{i}\cdot S_{i}}{{\color{red} 60 }}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \end{array} $$

表4