商用密码应用安全性评.docx

说明：计算得分的前提下市无高风险项，高风险项主要为：、物理和环境安全中，物理访问采用密码技术保证身份的真实性；（可能缓解措施采用密码技术进行物理访问身份鉴别，出入口专人值守登记、视频实时监控）、网络和通信安全中，身份鉴别需采用密码技术保证通信实体的真实性；（无缓解 措施）、网络和通信安全中，采用密码技术保证通信过程中重要数据的机密性；（可能缓 解措施在应用和数据安全层面针对重要数据采用密码技术进行机密性保护）、设备和计算安全中，采用密码技术对登录设备的用户进行身份鉴别；（可能缓解 措施基于特定设备（如手机短信脸证）或生物识别技术（如指纹）、设备和计算安全中，远程管理设备采用密码技术建立安全传输通道；（可能缓解 措施在网络和通信层面使用VPN建立集中管理通道）、应用和数据安全中，登录用户采用密码技术保证身份真实性；（可能缓解措施一-基于特定设备（如手机短信验证）或生物识别技术（如指纹）、应用和数据安全中，信息系统应用采用密码技术保证重要数据传输的机密性；（可 能缓解措施在网络和通信层面采用密码技术保证重要数据在传输过程中的机密性）、应用和数据安全中，信息系统应用采用密码技术保证重要数据存储的机密性；（无 缓解措施）、应用和数据安全中，信息系统应用采用密码技术保证重要数据存储的完整性；（可 能缓解措施应用系统具有符合要求的身份鉴别措施，且定期对重要数据进行备份）1、应用和数据安全中，在可能涉及法律责任认定的应用中，采用密码技术保数据原 发行为和数据接收行为的不可否认行。（无缓解措施）序号测评单元权重1密码技 术应用 要求物理和 环境安 全身份鉴别102电子门禁记录数据存储完整性3视频记录数据存储完整性5网络和 通信安 全身份鉴别156通信数据完整性7通信过程中重要数据的机密性8网络边界访问控制信息的完整性9安全接入认证11设备和 计算安 全身份鉴别1512远程管理通道安全13系统资源访问控制信息完整性14重要信息资源安全标记完整性15日志记录完整性16重要可执行程序完整性、重要可执行程序来源真实性18应用和 数据安 全身份鉴别3019访问控制信息完整性20重要信息资源安全标记完整性21重要数据传输机密性22重要数据存储机密性23重要数据传输完整性24重要数据存储完整性25不可否认性26安全管 理管理制度具备密码应用安全管理制度827密钥管理规则28建立操作规程29定期修订安全管理制度30明确管理制度发布流程31制度执行过程记录留存32人员管 理了解并遵守密码相关法律法规和密码管理制度833建立密码应用岗位责任制度34建立上岗人员培训制度35定期进行安全岗位人员考核36建立关键岗位人员保密制度和调离制度37建设运行制定密码应用方案838制定密钥安全管理策略39制定实施方案40投入运行前进行密码应用安全性评估41定期开展密码应用安全性评估及攻防对抗演习42应急处 置应急策略643事件处置44向有关主管部门上报处置情况