湖南省智能粮食综合监管信息平台商用密码应用实施方案.docx

湖南省智能粮食综合监管信息平台商用密码应用实施方案为确保湖南省智能粮食综合监管信息平台（以下简称“粮食 监管平台”）顺利验收，根据局智能办工作计划，结合等保测评、 商用密码应用安全性评估（以下简称“密码测评”）情况，制定 本方案。一、背景及现状根据网络安全等级保护管理条例信息安全等级保护管 理办法有关规定，2021年12月，我局对粮食监管平台进行了 等保测评，测评综合得分78. 47分，符合等级保护2.0三级防护 要求（S3A3）,并报公安部门审核备案。根据湖南省省直单位政务信息系统项目建设管理办法及 湖南省国家密码管理局关于进一步加强政务信息系统密码应用 与安全性评估工作的通知要求，等保第三级及以上信息系统必 须组织密码测评，未测评或测评不合格的项目，不得通过验收, 不得投入运行。为此，我局对粮食监管平台进行了密码测评。因粮食监管平台方案设计在前，密码法商用密码管理条 例信息系统密码应用基本要求（GB/T 39786-2021）出台在 后，经初步评测，粮食监管平台在物理环境、网络通信、设备计 算、应用数据管理方面还存在一些问题需要优化完善。二、实施目标紧紧围绕项目顺利验收，参照密码测评报告及密码应用相关 标准，以“确保总体安全、满足基本需求、经济实用”为原则组 织商用密码应用实施工作。三、实施内容结合密码测评报告中所提问题，商用密码应用实施主要有以 下四项内容：（一）网络和通信安全1、问题描述（1）未采用密码技术对粮食监管平台通信实体进行身份鉴 别，保证通信实体身份的真实性；（2）未采用密码技术保证粮食监管平台通信过程中数据的 完整性和机密性；（3）未采用密码技术保证粮食监管平台网络边界访问控制 信息的完整性。2、改进措施（1）身份鉴别部署安全认证网关，基于安全认证网关中存放的双算法实现 平台网络实体身份鉴别的真实性；（2）通信过程中数据的完整性和机密性部署安全认证网关构建安全通道，为通过政务外网访问粮食监管平台的用户提供安全访问服务。同时在粮食监管平台客户端 部署符合相关要求的国密浏览器，确保浏览器安全。（3）网络边界访问控制信息的完整性基于满足安全认证网关来实现粮食监管平台网络边界访问 控制信息的完整性保护。（二）设备和计算安全1、问题描述（1）堡垒机等设备未使用合规的密码技术实现人员的身份 鉴别；（2）远程管理通道基于堡垒机自带的HTTPS实现加密传输, SSL证书算法为RSA2048+SHA1,未使用国密算法保护远程管理通 道安全；（3）未使用密码技术实现粮食监管平台访问控制信息完整 性保护；（4）未使用密码技术实现粮食监管平台各设备和计算资源 日志记录的完整性保护。2、改进措施（1）身份鉴别通过堡垒机和签名验签服务器进行对接，给远程运维人员配 备国密算法数字证书及USBKey配合进行身份认证，确保粮食监 管平台运维人员身份真实性。（2）远程管理通道安全使用安全认证网关代理堡垒机远程访问地址，基于安全认证 网关的安全通道实现对远程管理通道的安全保护。（3）系统访问控制信息完整性堡垒机通过对接签名验签服务器，基于数字签名技术保障设 备计算资源配置和策略管理相关信息的完整性保护。（4）设备日志的完整性日志审计系统通过对接签名验签服务器，基于数字签名技术 保障设备日志数据的完整性保护。（三）应用和数据安全1、问题描述（1）应用系统内重要数据采用HTTP协议进行传输，未使用 合规的商密算法实现重要数据传输的机密性保护；（2）重要数据仅对用户口令使用系统自带的SHA256进行机 密性保护，未使用符合要求的密码产品和技术实现重要数据存储 的机密性；（3）应用系统内重要数据采用HTTP协议进行传输，未使用 合规的国密算法实现重要数据传输的完整性保护；（4）未使用合规的密码技术实现重要数据存储完整性保护。2、改进措施（1）重要数据存储机密性部署服务器密码机，基于SM4密码算法技术实现对粮食监管 平台中存储的重要数据进行加密，保证粮食监管平台重要数据存储机密性。（2）重要数据传输的机密性部署安全认证网关，粮食监管平台基于HTTPS协议进行重要 数据安全通信传输，同时部署签名验签服务器，基于数字信封技 术、HMAC-SM3技术保证平台重要数据传输的机密性。（3）访问控制信息、重要数据存储完整性部署签名验签服务器，基于数字签名技术实现对粮食监管平 台中存储的访问控制信息、重要数据进行数字签名，基于访问控 制信息、数字签名技术保证重要数据存储完整性。粮食监管平台所部署使用的安全认证网关、签名验签服务器、 服务器密码机、USBKey等密码设施均须满足GM/T 0028-2014密 码模块安全技术要求安全等级第二级相关要求。（四）建设运行安全1、问题描述（1）未按照“三同步一评估”方式对粮食监管平台进行密 码应用建设；（2）未制定密码应用安全管理制度、密钥管理制度、上岗 培训制度、保密制度等。2、改进措施（1）贯彻落实国家“三同步一评估”要求，通过建设密码 应用安全保障系统，实现对粮食监管平台的密码安全保护，并定 期对粮食监管平台开展商用密码应用安全性评估；（2）针对缺少的安全管理制度，根据粮食监管平台实际密 码应用需求，逐项编制合法合规且行之有效的管理制度措施，充 分保障平台管理安全。四、实施要求采购方式：采取公告邀请方式，会商比选一家已入驻电子卖 场的商用密码产品及集成服务企业，以政府购买产品+服务的方 式完成所有集成工作。包括但不局限于拟制商用密码应用技术方 案，组织专家评审并改进技术方案，协调配合密码测评机构完成 复测并出具结论为合格的测评报告，协助省局完成密码测评备案 和整体项目竣工验收。所有集成工作须提供验收后一年期免费质 保。完成时限：自合同签订之日起，约30个工作日。部署方式：为提高密码应用安全水平，降低因不必要的网络 节点带来的密码风险，经与省政府发展研究中心沟通衔接，建议 将密码应用产品免费托管到省政府信创云平台IDC机房内运行 使用，复用信创云平台物理和环境、网络和通信以及密码基础支 撑能力，相应资产依然归属我局。验收方式：相关密码应用产品完成部署、调试、集成，经测 评机构复测，平台符合等保第三级系统密码应用安全性要求后, 由省局和测评机构共同验收通过。五、费用估算经初步调研，商用密码应用实施约需人民币49.8万元，详见费用估算清单。费用估算清单序 号产品名称产品功能形态数量备注1签名验签 服务器商密产品：具有商用密码产品认证证书，并符合GM/T 0028-2014的二级模块要求。支持国密算法，提供Ukey证书 校验、数据签名验证、数字信封等安全功能，保护重要应用 数据的完整性和防篡改。硬件1台2服务器密 码机商密产品：具有商用密码产品认证证书，并符合GM/T 0028-2014的二级模块要求。支持国密算法，提供重要数据加 解密功能，保护重要应用数据存储的机密性。硬件1台3安全认证 网关商密产品：具有商用密码产品认证证书，并符合GM/T 0028-2014的二级模块要求。支持国密算法，含网关SDK,提 供网络层身份认证、数据加密传输，保障数据传输过程中的 机密性、完整性。硬件1台4国密浏览 器商密产品：具有商用密码产品认证证书。支持商用密码算 法，支持我国网络自主信任体系，支持我国关于密码的相关 规范。软件80套5智能密码 钥匙商密产品：具有商用密码产品认证证书，并符合GM/T 0028-2014的二级模块要求。数字证书存储介质，支持SM2、 SM3等商用密码算法。硬件90个利旧6个人证书数字证书厂商具备电子认证服务许可证，基于SM2、SM3 算法标识用户真实身份。服务90个利旧7单位证书数字证书厂商具备电子认证服务许可证，基于SM2、SM3 算法标识单位电子公章。服务7个利旧8项目实施 协助及安 全管理服 务提供商用密码应用集成服务，协助我局完成系统密码应用优 化改进，并完善密码应用管理制度、应急处置制度等规章制 度，并在项目验收后提供一年期的产品和集成服务质保。服务1项9一次性包干费用总价：人民币49.8万元注：上述产品应当符合国产化自主可控和密码应用相关要求。