詞條

內(nèi)容

密鑰應(yīng)用基本要求的等級

一般按照信息系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)的級別確定。對于未完成網(wǎng)絡(luò)安全等級保護(hù)定級的重要信息系統(tǒng)，其密碼應(yīng)用等級至少為第三級。

【宜】測評指標(biāo)

1. 系統(tǒng)沒有密碼應(yīng)用方案或方案未對【宜】指標(biāo)明確說明，則納入測評范圍。
2. 系統(tǒng)有密碼應(yīng)用方案且通過評估。在方案中明確說明了不適用的【宜】指標(biāo)，且有對應(yīng)的風(fēng)險(xiǎn)控制措施說明的情況下。測評是應(yīng)根據(jù)實(shí)際情況做出合理評估，定為不適用或納入測評范圍。

密碼產(chǎn)品中密鑰安全符合性判定

1. 密碼產(chǎn)品經(jīng)認(rèn)證合格
2. 核查密碼產(chǎn)品的安全等級是否滿足相應(yīng)等級要求（如三級系統(tǒng)要求密碼產(chǎn)品二級及以上）
3. 核查密碼產(chǎn)品的密鑰管理機(jī)制是否與系統(tǒng)密碼應(yīng)用方案一致；若無密碼應(yīng)用方案，則分析其密鑰體系設(shè)計(jì)是否合理、實(shí)現(xiàn)是否正確。
4. 密鑰在密碼產(chǎn)品外出管理是否有相應(yīng)保護(hù)（如密鑰在外部數(shù)據(jù)庫中存儲/備份/歸檔時(shí)是否進(jìn)行了機(jī)密性和完整性保護(hù)）
5. 密碼產(chǎn)品是否按照產(chǎn)品配套的安全策略文檔進(jìn)行部署和使用
6. 信息系統(tǒng)的密鑰管理制度是否能夠保證該密碼產(chǎn)品被正確的部署和使用

物理和環(huán)境安全層面測評對象的確定

1. 物理機(jī)房（門禁和視頻監(jiān)控）。針對信息系統(tǒng)涉及的所有物理機(jī)房，密評人員需現(xiàn)場取證
2. 若所在的IDC機(jī)房、運(yùn)營商機(jī)房或云服務(wù)商機(jī)房通過了商用密碼應(yīng)用安全性評估，則可以復(fù)用相關(guān)測評結(jié)論。
3. 若...未通過或未展開商用密碼應(yīng)用安全性評估，則需要現(xiàn)場取證。條件不允許的，可要求對應(yīng)方提供相關(guān)說明文件和證據(jù)以支撐測評結(jié)論。

門禁內(nèi)置的進(jìn)出記錄數(shù)據(jù)存儲的完整性保護(hù)

1. 門禁產(chǎn)品經(jīng)檢測認(rèn)證的密碼產(chǎn)品
2. 需門禁廠商提供門禁系統(tǒng)進(jìn)出記錄數(shù)據(jù)存儲完整性保護(hù)的相關(guān)證據(jù)。

網(wǎng)絡(luò)和通信安全層面測評對象的確定

主要是針對跨網(wǎng)絡(luò)訪問的通信信道（從不受保護(hù)的網(wǎng)絡(luò)區(qū)域訪問被測系統(tǒng)），可以從從通信主體和網(wǎng)絡(luò)類型兩個(gè)方面來確定（網(wǎng)絡(luò)類型：互聯(lián)網(wǎng)、政務(wù)外網(wǎng)、企業(yè)專網(wǎng)等）；通信主體（如服務(wù)器/客戶端）

信息系統(tǒng)與第三方電子認(rèn)證服務(wù)相關(guān)系統(tǒng)之間的通信信道

若通過了不可控的網(wǎng)絡(luò)環(huán)境，則應(yīng)該納入【網(wǎng)絡(luò)和通信安全】層面的測評對象進(jìn)行測評。

獨(dú)立內(nèi)網(wǎng)且不允許跨網(wǎng)邊界進(jìn)行遠(yuǎn)程維護(hù)

不僅僅以系統(tǒng)屬于的網(wǎng)絡(luò)環(huán)境是內(nèi)網(wǎng)或外網(wǎng)進(jìn)行區(qū)分，應(yīng)以系統(tǒng)所在的網(wǎng)絡(luò)邊界環(huán)境，以及網(wǎng)絡(luò)內(nèi)部通信是否安全作為網(wǎng)絡(luò)和通信層面是否需要評測的標(biāo)準(zhǔn)。

設(shè)備和計(jì)算安全層面測評對象確定

1. 包括通用服務(wù)器（如應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器）、數(shù)據(jù)庫管理系統(tǒng)、整機(jī)類和系統(tǒng)類的密碼產(chǎn)品、堡壘機(jī)（當(dāng)系統(tǒng)使用堡壘機(jī)用于對設(shè)備進(jìn)行集中管理時(shí)，不涉及應(yīng)用和數(shù)據(jù)安全層面）等。
2. 一般不作為測評對象：交換機(jī)、網(wǎng)閘、防火墻、WAF等未使用密碼功能的網(wǎng)絡(luò)設(shè)備。
3. 在密評報(bào)告中，對設(shè)備和計(jì)算層面的測評對象進(jìn)行分類整理和描述。1）密碼產(chǎn)品/設(shè)備、2）具有密碼功能的網(wǎng)絡(luò)及安全設(shè)備、3）采用密碼技術(shù)的其他產(chǎn)品、4）通用設(shè)備、5）不具有密碼功能的網(wǎng)絡(luò)及安全設(shè)備、6）虛擬設(shè)備、7）系統(tǒng)。

設(shè)備和計(jì)算安全層面測評對象粒度選取

1. 針對通用服務(wù)器和堡壘機(jī)，，以“應(yīng)用服務(wù)器（廠商A-型號B-OS版本C）、數(shù)據(jù)庫服務(wù)器（D-E-F）”作為測評對象。量化評估時(shí)，DAK均以各測評對象所包含的各個(gè)設(shè)備的實(shí)際應(yīng)用情況的最低分值賦分。
2. 針對整機(jī)類密碼產(chǎn)品（VPN網(wǎng)關(guān)、安全認(rèn)證網(wǎng)關(guān)、金融數(shù)據(jù)密碼機(jī)、服務(wù)器密碼機(jī)、簽名驗(yàn)簽服務(wù)器、時(shí)間戳服務(wù)器、云服務(wù)器密碼機(jī)等）系統(tǒng)類密碼產(chǎn)品（動態(tài)令牌認(rèn)證系統(tǒng)、證書認(rèn)證系統(tǒng)、證書認(rèn)證密鑰管理系統(tǒng)等），以“IPSec VPN（編號GMxxx）”作為測評對象。對密碼產(chǎn)品類測評對象進(jìn)行量化評估時(shí)，D/A/K均以各測評對象所包含的各個(gè)整機(jī)類的密碼產(chǎn)品或系統(tǒng)類密碼產(chǎn)品的實(shí)際應(yīng)用情況的最低分值賦分。

遠(yuǎn)程管理通道安全與【網(wǎng)絡(luò)與通信安全】層面的區(qū)分

合規(guī)密碼產(chǎn)品身份鑒別、完整性相關(guān)指標(biāo)的判定

1. 密碼產(chǎn)品具有合格的商用密碼產(chǎn)品認(rèn)證證書，在確定實(shí)際部署的密碼產(chǎn)品與獲認(rèn)證產(chǎn)品一致的情況下，可判定整機(jī)類密碼產(chǎn)品在【設(shè)備和計(jì)算安全】層面的“系統(tǒng)資源訪問控制信息完整性”“日志記錄完整性”“重要可執(zhí)行程序完整性、重要可執(zhí)行程序來源真實(shí)性”三個(gè)指標(biāo)符合。
2. 整機(jī)類“身份鑒別”則不能直接判斷，需要核查是否采用了密碼技術(shù)（如智能IC卡、智能密碼鑰匙、動態(tài)口令等）、是否按照密碼產(chǎn)品使用要求等登錄設(shè)備的用戶等進(jìn)行身份鑒別，從而保證用戶算法的真實(shí)性。

只有本地運(yùn)維的設(shè)備和計(jì)算安全層面身份鑒別判定

1. 遠(yuǎn)程管理通道不適用，身份鑒別為適用項(xiàng)。
2. 身份鑒別若未采用密碼技術(shù)或?qū)崿F(xiàn)機(jī)制不正確無效，則判斷為不符合?？梢罁?jù)高風(fēng)險(xiǎn)判定中緩解措施，酌情降低風(fēng)險(xiǎn)等級。

通過堡壘機(jī)管理通用服務(wù)器和數(shù)據(jù)庫

1. 堡壘機(jī)使用合規(guī)的智能密碼鑰匙實(shí)現(xiàn)身份鑒別（符合）
2. 通用服務(wù)器、數(shù)據(jù)庫使用用戶名+口令方式實(shí)現(xiàn)身份鑒別（不符合），但通過堡壘機(jī)統(tǒng)一管理的設(shè)備的身份鑒別，可視為采取了風(fēng)險(xiǎn)緩解措施。

應(yīng)用和數(shù)據(jù)安全層面測評對象

1. 關(guān)鍵業(yè)務(wù)應(yīng)用
2. 業(yè)務(wù)應(yīng)用中的關(guān)鍵數(shù)據(jù)：鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計(jì)數(shù)據(jù)、個(gè)人敏感信息以及法律法規(guī)規(guī)定的其他重要數(shù)據(jù)類型。

密碼資源池的密碼管理平臺

在云應(yīng)用/平臺測評中，將密碼資源池的密碼管理平臺作為應(yīng)用和數(shù)據(jù)安全層面的一個(gè)管理類應(yīng)用系統(tǒng)進(jìn)行測評。

重要數(shù)據(jù)存儲完整性保護(hù)如何實(shí)現(xiàn)

1. 數(shù)據(jù)庫中的重要數(shù)據(jù)存儲完整性保護(hù)，如僅采用SM3不能判定符合。因?yàn)榭赡艹霈F(xiàn)篡改數(shù)據(jù)重新進(jìn)行SM3雜湊運(yùn)算并覆蓋原先的雜湊值。
2. 建議使用HMAC-SM3或基于SM4的MAC或數(shù)字簽名機(jī)制實(shí)現(xiàn)。

代碼實(shí)現(xiàn)數(shù)據(jù)機(jī)密性、完整性保護(hù)的判斷

1. 未使用密碼產(chǎn)品而是通過開源或自研軟件實(shí)現(xiàn)的，判定為不符合。
2. 使用高危算法MD5、SHA-1、DES等，密鑰管理高風(fēng)險(xiǎn)問題等，判斷為高風(fēng)險(xiǎn)。

訪問控制信息

（1）網(wǎng)絡(luò)和通信層面：主要包括部署在網(wǎng)絡(luò)邊界的VPN中的訪問控制列表、防火墻的訪問控制列表、邊界路由的訪問控制列表等進(jìn)行網(wǎng)絡(luò)邊界訪問控制的信息。

（2）設(shè)備和計(jì)算層面：主要包括設(shè)備操作系統(tǒng)的系統(tǒng)權(quán)限訪問控制信息、系統(tǒng)文件目錄的訪問控制信息、數(shù)據(jù)庫中的數(shù)據(jù)訪問控制信息、堡壘機(jī)等第三方運(yùn)維系統(tǒng)中的權(quán)限訪問控制信息等。?

（3）應(yīng)用和數(shù)據(jù)層面：主要包括應(yīng)用系統(tǒng)的權(quán)限、標(biāo)簽等能夠決定系統(tǒng)應(yīng)用訪問控制的措施等信息。

缺密碼應(yīng)用方案的合規(guī)性判斷

1. 對于已建系統(tǒng)，以制定的密碼應(yīng)用改造方案視為該系統(tǒng)的密碼應(yīng)用方案。
2. 對于新建系統(tǒng)，依據(jù)GMT0115和高風(fēng)險(xiǎn)判定指引進(jìn)行測評。

“投入運(yùn)行前進(jìn)行密碼應(yīng)用安全性評估”測評項(xiàng)判定

（1）2020年1月1日前投入運(yùn)行，首次密評判定為不適用，非首次如滿足定期進(jìn)行密評要求則判定符合。

（2）2020年1月1日后投入運(yùn)行，首次密評判定為不符合，非首次且前期密評是該項(xiàng)達(dá)到要求，可判定符合。

密碼產(chǎn)品認(rèn)證證書過期

1. 采購時(shí)間在認(rèn)證證書有效期內(nèi)，如無特殊情況和安全風(fēng)險(xiǎn)，判定符合。
2. 測評中發(fā)現(xiàn)有義務(wù)告知信息系統(tǒng)單位相關(guān)情況，并建議其選用依據(jù)最新標(biāo)準(zhǔn)的密碼產(chǎn)品。

密碼產(chǎn)品對應(yīng)的模塊等級

1. 2020年7月1日前換發(fā)的認(rèn)證證書上一律沒有標(biāo)注密碼模塊安全等級，此時(shí)需要密碼商進(jìn)一步提供換證前的商用密碼產(chǎn)品型號證書，如果商用密碼產(chǎn)品型號證書中標(biāo)注了其符合的密碼模塊等級，則按此等級進(jìn)行判定；否則，依據(jù)《商用密碼應(yīng)用安全性評估量化評估規(guī)則》按“密碼產(chǎn)品符合一級密碼模塊”進(jìn)行判定。
2. 對于新發(fā)認(rèn)證證書的密碼產(chǎn)品，在《商用密碼產(chǎn)品認(rèn)證目錄》內(nèi)的密碼產(chǎn)品有明確規(guī)定，其他產(chǎn)品（如密碼芯片、密碼系統(tǒng)類產(chǎn)品等）則不依據(jù)密碼模塊標(biāo)準(zhǔn)進(jìn)行檢測和認(rèn)證。雖然密碼系統(tǒng)不適用于密碼模塊標(biāo)準(zhǔn)，但系統(tǒng)中的組件密碼產(chǎn)品（如密碼機(jī)、密碼卡等）則適用，也需要在密評時(shí)依據(jù)這些密碼產(chǎn)品的密碼模塊安全等級進(jìn)行判定。

有緩解措施的高風(fēng)險(xiǎn)判定

1. 如果因緩解措施導(dǎo)致風(fēng)險(xiǎn)等級發(fā)生改變，將可能造成測評結(jié)論發(fā)生改變，但測評分?jǐn)?shù)仍保持不變。
2. 將大部分高風(fēng)險(xiǎn)項(xiàng)調(diào)整為適用于第三級以上的系統(tǒng)。
3. 網(wǎng)絡(luò)安全等級保護(hù)第三級以下系統(tǒng)可參考高風(fēng)險(xiǎn)判定指引執(zhí)行。
4. 通用要求中的密碼算法、密碼技術(shù)、密碼產(chǎn)品和密碼服務(wù)均適用于所有級別信息系統(tǒng)。

高風(fēng)險(xiǎn)緩解措施的體現(xiàn)

在第六章 風(fēng)險(xiǎn)分析的表6-1中的風(fēng)險(xiǎn)分析一列中將緩解高風(fēng)險(xiǎn)的理由進(jìn)行描述，同時(shí)將風(fēng)險(xiǎn)等級進(jìn)行重新評估。

雙活機(jī)房的通信鏈路合規(guī)性判定

1. 雙活機(jī)房之間的通信鏈路無論是通過運(yùn)營商專線還是采用物理裸光纖進(jìn)行數(shù)據(jù)通信，均應(yīng)將該通信信道作為測評對象。
2. 如果雙活機(jī)房之間通信的通信鏈路是純物理傳輸?shù)穆愎饫w，若不將該通信信道作為網(wǎng)絡(luò)和通信安全層面的測評對象，應(yīng)通過專家評審。

云平臺測評的責(zé)任和范圍

云平臺和云上應(yīng)用的密評，界定兩者的責(zé)任和范圍。

云平臺系統(tǒng)的密碼應(yīng)用：（1）云平臺系統(tǒng)為滿足自身安全需求所采用的密碼技術(shù)（2）云租戶通過調(diào)用云平臺提供的密碼服務(wù)為自身業(yè)務(wù)應(yīng)用提供密碼保障。

所以有云平臺測評和云上應(yīng)用測評。原則上云平臺先通過測評，云平臺級別不低于云上應(yīng)用級別。

云平臺/云上應(yīng)用的測評方式和測評結(jié)論復(fù)用方式

云上應(yīng)用測評依賴于云平臺測評結(jié)論。

云平臺測評：從物理、網(wǎng)絡(luò)、設(shè)備和應(yīng)用進(jìn)行測評，同時(shí)分別對每類服務(wù)模式Iaas、Paas和Saas進(jìn)行測評。測試結(jié)論中必須包括【云平臺密碼支持能力說明】，其中包括：被完全評估的支撐能力（測試對象同時(shí)用于支撐云平臺和云上應(yīng)用）+被部分評估的支撐能力（僅用在云上應(yīng)用而不用在云平臺，或者服務(wù)于云平臺和云上應(yīng)用的不同測評對象，因此無法在云平臺測評時(shí)進(jìn)行完全評估只能部分評估）。

云上應(yīng)用測評：

（1）云上應(yīng)用被完全測評的支撐能力所支撐，則結(jié)論可以為不適用；

（2）被部分測評的支撐能力做支撐，需進(jìn)行充分測評并給定結(jié)果；

（3）調(diào)用其他第三方支撐能力，需要單獨(dú)測評。

另外，若云平臺等級低于云上應(yīng)用，需要對云平臺相關(guān)的密碼應(yīng)用進(jìn)行重新測評；若云平臺未通過密評，則需要對云平臺相關(guān)的密碼應(yīng)用進(jìn)行重新測評。

面向公眾等網(wǎng)站的測評

1. 注意管理員用戶的測評。
2. ”網(wǎng)絡(luò)和通信安全“層面對網(wǎng)站進(jìn)行身份鑒別（如防止釣魚網(wǎng)站）、內(nèi)容完整性和重要數(shù)據(jù)的機(jī)密性等。

編寫應(yīng)用和數(shù)據(jù)安全層面測評內(nèi)容報(bào)告

1. 業(yè)務(wù)應(yīng)用的密碼應(yīng)用與其具體業(yè)務(wù)和安全需求密切相關(guān)。
2. 表3-7和表4-4都只寫大的業(yè)務(wù)應(yīng)用即可，在表4-5-X和表A-4結(jié)果記錄中詳細(xì)呈現(xiàn)細(xì)粒度的測評對象。

網(wǎng)絡(luò)和通信層面安全接入認(rèn)證和身份鑒別的差別

1. “身份鑒別”指標(biāo)適用于兩個(gè)實(shí)體通過不可控的網(wǎng)絡(luò)（比如互聯(lián)網(wǎng)）進(jìn)行通信之前進(jìn)行的身份鑒別，比如 IPSec VPN 或者 SSL 客戶端/服務(wù)器的場景，IPSec VPN 之間或者 SSL 客戶端和服務(wù)端之間的鑒別都屬于“身份鑒別”指標(biāo)的測評范圍。
2. “安全接入認(rèn)證”指標(biāo)適用于設(shè)備“物理地”從外部接入信息系統(tǒng)的內(nèi)部網(wǎng)絡(luò)之前對設(shè)備的身份鑒別，接入后，該設(shè)備將成為信息系統(tǒng)內(nèi)部網(wǎng)絡(luò)的一部分。比如移動設(shè)備接入 WiFi的場景，對于移動設(shè)備接入的認(rèn)證屬于“安全接入認(rèn)證”指標(biāo)的測評范圍。

應(yīng)用和數(shù)據(jù)層身份鑒別是否可以緩解網(wǎng)絡(luò)和通信層身份鑒別的高風(fēng)險(xiǎn)文章來源地址http://www.zghlxwxcb.cn/news/detail-433294.html

1. 測評對象不同，無法在報(bào)告的5.1小節(jié)進(jìn)行測評結(jié)果修正。
2. 風(fēng)險(xiǎn)測評時(shí)，但需要結(jié)合“網(wǎng)絡(luò)和通信安全”層面的身份鑒別機(jī)制和“應(yīng)用和數(shù)據(jù)安全”層面相關(guān)的工作機(jī)制，給出合適的風(fēng)險(xiǎn)等級。