量化分析计算密评量化分析计算，各测评对象、测评单元、安全层面的测评结果量化评估规则的计算公式，以及整体测评的量化评估规则

本文总结自「商用密码应用安全性评估量化评估规则（2023版）」——在本文中简称「量化评估」。

目前blog可能还未完善，笔者会加入到日后的规划中

评估规则

符号含义

符号	含义
$i$	安全层面
$j$	测评单元
$k$	测评对象
$T_{i,j,k}$	第 $i$ 个安全层面的第 $j$ 测评单元的第 $k$ 测评对象 $T_{i,j,k}$ ，

各测评对象的测评结果量化评估规则

密码应用技术要求中，第 $i$ 个安全层面的第 $j$ 测评单元的第 $k$ 测评对象 $T_{i,j,k}$ ，其量化评估结果 $S_{i,j,k}\in [0, 1]$ ，其中 0 表示不符合， 1 表示符合，其它表示部分符合。 $S_{i,j,k}$ 的取值见表1（涉及计算时，四舍五入，取小数点后 4 位）。通用要求和密码应用技术要求各安全层面的“密码服务”和“密码产品”指标不单独评价。

修正

涉及以下情况时，需要对测评对象的分值进行修正：
- 若测评对象 A 弥补了测评对象 B 的不足，测评对象 A 的分值为 PA，测评对象 B 的弥补前分值为 PB，则测评对象 B 弥补后的分值为 $MAX(0.5×P_A, P_B)$ ，即 $0.5×P_{}A$ 和 $P_B$ 之间的较大值（四舍五入，取小数点后 4 位）。
- 换言之，若 被弥补对象B 的分数小于 弥补对象A 分数的一半时，被弥补对象 B 的分数为 弥补对象 分数的一半。
- 如实际情况中，对于三级系统应用层的传输机密性，一般不作密改而是通过网络层面的传输机密性来缓解风险及修正。此时，应用层的传输机密性的得分为网络层的传输机密性分数的一半。

测评单元的测评结果量化评估规则

密码应用技术要求中，第 $i$ 个安全层面的第 $j$ 测评单元 $U_{i,j}$ 的量化评估结果 $S_{i,j}$ 为该测评单元内所有 $n_{i,j}$ 个测评对象测评结果的算术平均值（四舍五入，取小数点后 4 位），即：

S_{i,j}=\frac{\sum_{1\leq k\leq n_{i,j}}S_{i,j,k}}{n_{i,j}}

密码应用管理要求中，第 $i$ 个安全层面的第 $j$ 测评单元，根据 $GM/T 0115—2021$ 给出判定结果 $S_{i,j}$ ，符合为 1 分，不符合为 0 分，部分符合为 0.5 分。

安全层面的测评结果量化评估规则

「量化评估」中为每个测评单元分配了相应的权重 $w_{i,j}$ ，如表 4 所示。第 $i$ 个安全层面 $L_i$ 的量化评估结果 $S_{}i$ 为该安全层面内所有 $n_i$ 个适用测评单元的测评结果 $S_{i,j}$ 的加权素算数平均值（四舍五入，取小数点后 4 位），即：

S_{i}=\frac{\sum_{1\leq j\leq n_{i}}w_{i,j}\cdot S_{i,j}}{\sum_{1\leq j\leq n_{i}}w_{i,j}}

若某测评指标不适用，则不参与量化评估过程，不适用的判定方式参见 $GM/T 0115—2021$ 。

[!] 注意这里除以的是权重之和，权重越高的测评单元对层面分数影响也越大。

依旧以三级系统为例，假设其得分各测评对象

整体测评结果量化评估规则

「量化评估」为每个安全层面分配了相应的权重 $w_{i}$ ，如下表4，量化评估结果 $S$ 为所有 $n$ 个安全层面测评结果 $S_i$ 的加权平均值（四舍五入，取小数点后 2 位），即：

S=\frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\sum_{1\leq i\leq 4}w_{i}}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30

整体测评各种情况的量化评估

若系统所有层面均适用则量化评估结果为：

\begin{array}{l} S & =\frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\sum_{1\leq i\leq 4}w_{i}}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \\ & = \frac{\sum_{1\leq i\leq 4}w_{i}\cdot S_{i}}{\cancel{70}}\times \cancel{70}+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\cancel{30}}\times \cancel{30}\\ & =\sum_{0\leq i\leq 4}w_{i}\cdot S_{i}+ \sum_{5\leq i\leq 8}w_{i}\cdot S_{i} \end{array}

若系统所有测评指标都不适用，则该安全层面不参与量化评估过程。例如，某信息系统中“物理和环境安全” 层面所有测评指标都不适用，而其他各层面均有适用的测评指标（「量化评估中的例子」）。那么根据表 4 提供的安全层面权重，上述分值计算公式具体为：

\begin{array}{l} S & = \frac{\sum_{2\leq i\leq 4}w_{i}\cdot S_{i}}{{\color{red} 70-10 }}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \\ & =\frac{\sum_{2\leq i\leq 4}w_{i}\cdot S_{i}}{{\color{red} 60 }}\times 70+ \frac{\sum_{5\leq i\leq 8}w_{i}\cdot S_{i}}{\sum_{5\leq i\leq 8}w_{i}}\times 30 \end{array}

表4

本文总结自「商用密码应用安全性评估量化评估规则（2023版）」——在本文中简称「量化评估」。