商用密码应用安全性评估服务指南(DB3404-T 8-2023).pdf

ICS35.040CCSL 803404淮南市地方标准DB 3404/T 82023商用密码安全性评估服务指南Guide to commercial password security assessment service2023-1-16 发布2023-2-16 实施淮南市市场监督管理局发 布DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 2023I前言本文件按照GB/T 1.12020标准化工作导则第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由淮南市密码管理局提出并归口。本文件起草单位：安徽省公众电子认证有限公司、淮南市密码管理局、淮南市数据资源管理局、淮南市标准化研究院、安徽科测信息技术有限公司、淮南市公众信息技术研究院。本文件主要起草人：孔韦杰、姚禹、陈洋、赵雅洁、朱雅茹、孙正、蔡霁、廖香子。DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 20231商用密码安全性评估服务指南1范围本文件规定了淮南市商用密码应用安全性评估服务的术语和定义、服务对象、评估内容、服务流程和密码应用措施。本文件适用于指导、规范淮南市信息系统商用密码应用的规划、建设、运维及测评。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 37033-2018信息安全技术 射频识别系统密码应用技术要求GB/T 39786-2021信息安全技术 信息系统密码应用基本要求GM/T 0022-2014IPSec VPN 技术规范GM/T 0023-2014IPSec VPN 网关产品规范GM/T 0024-2014SSL VPN 技术规范GM/T 0025-2014SSL VPN 网关产品规范GM/T 0036-2014采用非接触卡的门禁系统密码应用技术指南GM/T 0054-2018信息系统密码应用基本要求GM/Z 0001-2013密码术语中国密码学会密评联委会商用密码应用安全性评估报告模板（2021年版）3术语和定义GM/T0054-2018、GB/T 39786-2021、GM/Z0001-2013界定的以及下列术语和定义适用于本文件。评估服务在采用商用密码技术、产品和服务集成建设网络和信息系统中，对其密码应用的合规性、正确性、有效性等进行的评估服务。商密委员会专家DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 20232在密码领域、学科具有较深造诣，并在区域内享有较高知名度的专业技术带头人、学者，归口淮南市密码专家咨询委员会。服务商为用户单位提供信息系统中商用密码设备部署、系统集成总体解决方案的服务提供商。3.4商用密码咨询机构为用户单位提供信息系统中商用密码合规方案设计服务的第三方咨询机构，其中：方案设计人员应具有计算机高级工程师职称和注册信息安全工程师资质。3.5测评服务机构国家密码管理局公布的商用密码应用安全性评估试点机构。4服务对象基础信息网络、涉及国计民生和基础信息资源的重要信息系统、重要工业控制系统、面向社会服务的政务信息系统，以及关键信息基础设施、网络安全等级保护第三级及以上的信息系统。具体包括：基础信息网络：电信网、广播电视网、互联网。重要信息系统：能源、教育、公安、测绘地理信息、社保、交通、卫生计生、金融等涉及国计民生和基础信息资源的重要信息系统。重要工业控制系统：核设施、航空航天、先进制造、石油石化、油气管网、电力系统、交通运输、水利枢纽、城市设施等重要工业控制系统。面向社会服务的政务信息系统：党政机关和使用财政性资金的事业单位和团体组织使用的面向社会服务的信息系统。规定范围之外的其他网络和信息系统，其责任单位可以自愿开展商用密码应用安全性评估。5评估内容合规性评估判定信息系统使用的密码算法、密码协议、密钥管理是否符合法律法规的规定和密码相关国家标准、行业标准的有关要求，使用的密码产品和密码服务是否经过国家密码管理部门核准或由具备资格的机构认证合格。正确性评估判定密码算法、密码协议、密钥管理、密码产品和服务使用是否正确，即系统中采用的标准密码算法、协议和密钥管理机制是否按照相应的密码国家和行业标准进行正确的设计和实现，自定义密码协议、密钥管理机制的设计和实现是否正确，安全性是否满足要求，密码保障系统建设或改造过程中密码产品和服务的部署和应用是否正确。DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 20233有效性评估判定信息系统中实现的密码保障系统是否在信息系统运行过程中发挥了实际效用，是否满足了信息系统的安全需求，是否切实解决了信息系统面临的安全问题。6服务流程方案编制对于新建、改造信息系统，密码应用建设（改造）方案（以下简称：密码应用方案）一般由项目建设单位自行或委托商用密码咨询机构编写，包括：密码应用解决方案、实施方案和应急处置方案。方案评审用户单位编写密码应用方案后，自行或委托商用密码咨询机构组织商密委员会专家对方案进行评审，确保信息系统依据通过专家评审的密码应用方案同步建设密码保障系统。方案应用涉及市级财政资金建设的等保三级以上信息系统，需向市级数据资源主管部门提供具有商密委专家评审意见的密码应用方案。系统测评信息系统建设完成后，由测评服务机构从物理和环境、网络和通信、设备和计算、应用和数据、密钥管理、安全管理等方面对信息系统进行测评。测评服务机构完成系统评估后，出具密评报告。项目备案项目建设单位在密评报告出具之日起30日内，填写网络与信息系统密评备案信息表，连同密评报告报市级密码管理部门履行备案手续。项目建设单位自行开展安全性评估的，需自行履行备案义务；委托商用密码咨询机构开展安全性评估的，委托商用密码咨询机构具体承担备案工作。定期测评在信息系统运行阶段，项目使用单位每年应委托密评机构对系统开展一次密评。若系统约束条件发生重要变化，项目使用单位需修订密码应用方案，对系统进行升级改造。7密码应用措施物理和环境安全7.1.1部署基于密码技术的电子门禁系统（可参考 GB/T 37033-2018 信息安全技术 射频识别系统密码应用技术要求、GM/T 0036-2014 采用非接触卡的门禁系统密码应用技术指南等标准），对重要物理区域（如计算机集中办公区、设备机房等）出入人员的身份进行鉴别，并对电子门禁系统进出记录等数据进行完整性保护；7.1.2部署基于密码技术的视频监控系统，对视频监控音像记录等数据进行完整性保护。DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 20234网络和通信安全7.2.1部署 IPSec VPN 类产品（符合 GM/T 0022-2014 IPSec VPN 技术规范、GM/T 0023-2014 IPSecVPN 网关产品规范等标准），实现通信双方的身份鉴别，通信过程中敏感数据的机密性、完整性保护；7.2.2部署 SSL VPN 类产品（符合 GM/T 0024-2014SSL VPN 技术规范、GM/T 0025-2014SSL VPN网关产品规范等标准），实现通信双方的身份鉴别，通信过程中敏感数据的机密性、完整性保护。7.2.3其他符合国家标准要求的产品设备和计算安全7.3.1部署智能密码钥匙、智能 IC 卡或其它具备身份鉴别功能的密码产品，对登录的用户进行身份鉴别；7.3.2为远程管理搭建安全通信链路（如 SSL 通道），保护鉴别信息的机密性；7.3.3部署可信计算密码支撑平台、签名验签服务器或服务器密码机，实现可信计算能力，建立从系统到应用的信任链，保护重要信息的完整性，保证计算环境的安全可信。应用和数据安全7.4.1部署证书认证系统或直接采用具有电子政务电子认证服务资质的机构提供的电子认证服务，为用户配置智能密码钥匙、智能 IC 卡、移动智能终端密码模块等具备身份鉴别功能的密码产品，对系统用户身份进行管理；7.4.2部署安全认证网关系统，对访问应用服务器的用户进行身份鉴别和权限控制，对客户端与服务器端、应用系统之间传输的数据进行机密性和完整性保护；7.4.3部署存储加密产品、服务器密码机或其他密码模块，对存储的重要数据进行机密性和完整性保护；7.4.4部署签名验签服务器、服务器密码机或其他密码模块，对存储的日志记录进行完整性保护；7.4.5根据应用系统的需要，部署签名验签服务器、电子签章系统、时间戳服务器等密码产品，对收发的数据及相关操作记录进行签名，实现数据原发行为的不可否认性和数据接收行为的不可否认性。DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 20235附录A（资料性）商用密码安全性评估指标适用情况及论证说明安全层面指标要求应用要求适用情况不适用性物理和环境安全8.1 a）宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；宜适用不适用无/XX 对象不适用，原因为 XX。8.1 b）宜采用密码技术保证电子门禁系统进出记录数据的存储完整性；宜适用不适用8.1 c）宜采用密码技术保证视频监控音像记录数据的存储完整性。宜适用不适用网络和通信安全8.2 a）应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性；应适用8.2 b)宜采用密码技术保证通信过程中数据的完整性；宜适用不适用8.2 c)应采用密码技术保证通信过程中重要数据的机密性；应适用8.2 d)宜采用密码技术保证网络边界访问控制信息的完整性；宜适用不适用8.2 e)可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性。可适用不适用设备和计算安全8.3 a)应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；应适用8.3 b)远程管理设备时，应采用密码技术建立安全的信息传输通道；应适用8.3 c)宜采用密码技术保证系统资源访问控制信息的完整性；宜适用不适用8.3 d)宜采用密码技术保证设备中的重要信息资源安全标记的完整性；宜适用不适用8.3 e)宜采用密码技术保证日志记录的完整性；宜适用不适用DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 20236安全层面指标要求应用要求适用情况不适用性8.3 f)宜采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证。宜适用不适用应用和数据安全8.4 a)应采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性；应适用8.4 b)宜采用密码技术保证信息系统应用的访问控制信息的完整性；宜适用不适用8.4 c)宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性；宜适用不适用8.4 d)应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；应适用8.4 e)应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；应适用8.4 f)宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性；宜适用不适用8.4 g)宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；宜适用不适用8.4 h)在可能涉及法律责任认定的应用中，宜采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性。宜适用不适用管理制度8.5 a）应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬件及介质管理等制度；应适用8.5 b）应根据密码应用方案建立相应密钥管理规则；应适用8.5 c）应对管理人员或操作人员执行的日常管理操作建立操作规程；应适用8.5 d）应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定，对存在不足或需要改进之处进行修订；应适用8.5 e）应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制；应适用DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 20237安全层面指标要求应用要求适用情况不适用性8.5 f）应具有密码应用操作规程的相关执行记录并妥善保存。应适用人员管理8.6 a）相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；应适用8.6 b)应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限：1)根据密码应用的实际情况，设置密钥管理员、密码安全审计员、密码操作员等关键安全岗位；2)对关键岗位建立多人共管机制；3)密钥管理、密码安全审计、密码操作人员职责互相制约互相监督，其中密钥管理员岗位不可与密码审计员、密码操作员等关键安全岗位兼任；4)相关设备与系统的管理和使用账号不得多人共用。应适用8.6 c)应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能；应适用8.6 d)应定期对密码应用安全岗位人员进行考核；应适用8.6 e)应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。应适用建设运行8.7 a）应依据密码相关标准和密码应用需求，制定密码应用方案；应适用8.7 b）应根据密码应用方案，确定系统涉及的密钥种类、体系及其生命周期环节，各环节安全管理要求参照信息安全技术 信息系统密码应用基本要求附录 A；应适用8.7 c）应按照应用方案实施建设；应适用8.7 d）投入运行前应进行密码应用安全性评估，评估通过后系统方可正式运行；应适用DB FORMTEXT 3404/T FORMTEXT 8 FORMTEXT 20238安全层面指标要求应用要求适用情况不适用性8.7 e）在运行过程中，应严格执行既定的密码应用安全管理制度，应定期开展密码应用安全性评估及攻防对抗演习，并根据评估结果进行整改。应适用应急处置8.8 a）应制定密码应用应急策略，做好应急资源准备，当密码应用安全事件发生时，应立即启动应急处置措施，结合实际情况及时处置；应适用8.8 b）事件发生后，应及时向信息系统主管部门进行报告；应适用8.8 c）事件处置完成后，应及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况。应适用指标合计41 项不适用指标合计XX 项