应用和数据安全层面测评时，经核查发现应用系统客户端调用智能密码钥匙对重要业务数据进行 SM4加密和计算SM3杂凑值后传输，服务端调用服务器密码机进行SM4解密并校验SM3杂凑值，重要业务数据无其他传输场景，则可判定重要业务数据符合本层面“重要数据传输机密性”和“重要数据传输完整性”测评指标。

对于政务信息公开网站、门户网站等面向公众的业务应用系统，由于任何人均可访问，且网站数据可以公开，因此应用和数据安全层面的“身份鉴别”指标为“不适用”。

在对应用和数据安全层面“访问控制信息完整性”进行测评时，必须对生产环境下应用系统的权限 、标签等配置信息进行篡改测试，才能验证完整性保护的有效性。

经访谈安全主管，被测三级信息系统投入运行以来尚未发生密码应用安全事件，则应急处置层面“事件处置”指标可直接判定为“不适用”。

某三级信息系统在网络和通信安全层面，虽然存在通信实体的双向身份鉴别安全需求，♘由于标准条款中对三级系统并未强制要求必须双向鉴别，所以在实际测评时，依据GM/T 0115《信息系统密码应用测评要求》仅核查单向鉴别即可。

在车联网场景下，智能网联汽车接入运营商网络时，会对汽车身份的真实性进行确认，具体采用经商用密码认证合格的密码产品提供的SM2数字签名技术实现，则网络和通信安全层面“身份鉴别 ”指标可判定为“符合”。

某单位总公司和分公司在不同城市，双方网络层通信仅采用HTTP协议，♘是应用和数据安全层面的“重要数据传输机密性”是符合的，那么对于网络和通信安全层面“通信过程中重要数据的机密性”测评指标可直接判定为“部分符合”且存在“高风险”。

对于使用满足GM/T 0036并获得商用密码产品认证证书的电子门禁系统，物理和环境安全层面的“身份鉴别”、“电子门禁记录数据存储完整性”可以复用密码产品检测认证结果。

测评人员在对某三级信息系统的网络和通信安全层面抓包分析时发现，通信过程中IPSec协议通信双方均发送其签名证书和加密证书，双证书分别用于身份鉴别和会话加密。

根据GM/T 0115 《信息系统密码应用测评要求 》，对于三级信息系统，密钥管理员、密码安全审计员、密码操作员应由本机构的内部员工担任，并必须在任前对其进行背景调查。

根据GM/T 0115 《信息系统密码应用测评要求 》，当密码应用安全管理制度和操作规程在执行过程中发现存在问题时，可以随时进行修订，替换掉存在问题的部分，无需再次评审。

在某三级系统的测评中发现，被测单位在制度中规定了人员离岗时及时终止其所有密码应用相关的访问权限、操作权限，并具有相关的记录。因此“建立关键岗位人员保密制度和调离制度”指标的判定结果可判定为“符合”。

密评人员在对网络和通信安全层面进行测评时，可通过端口扫描工具探测IPSec VPN和SSL VPN服务端所对应的端口服务是否开启，其中SSL VPN服务要求开启TCP 443端口，不得修改端口。

根据GM/T 0115 《信息系统密码应用测评要求 》，在测评设备和计算安全层面时，针对系统类的密码产品（如电子签章系统、数字证书认证系统），若密码产品具有合格的商用密码产品认证证书，则该密码产品的“系统资源访问控制信息完整性”测评指标可直接判定为符合。

根据GM/T 0115 《信息系统密码应用测评要求 》，若系统通过调用合规的服务器密码机，使用 SM3算法（加盐值）计算设备日志记录的杂凑值并定期进行校验，则能够实现设备日志记录的完整性保护。