商用密码应用安全体系构建方案(1).docx

商用密码应用安全体系构建方案一、商用密码应用要求商用密码应用系统是指采用商用密码产品或者含有密码技术的产品集成建设的，实现相关信息的机密性、完整性、真实性、抗抵赖性等功能的应用系统。国家密码管理局于2018年2月8日正式发布实施了中华人民共和国密码行业标准GM/T0054-2018信息系统密码应用基本要求，该标准提出了总体要求、密码功能要求、密码技术应用要求、密钥管理和安全管理共五个部分的内容。信息系统密码应用基本要求在总体要求中，提出了符合商用密码管理的相关规定，满足标准规范的相关要求，包括密码算法、密码技术、密码产品、密码服务。在密码功能要求中，规定了信息系统中需要使用密码技术保护的对象，包括机密性、完整性、真实性、不可否认性。在密码技术应用要求中，规定了密码技术的应用要求，要求项依据等级增加和增强，包括物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全。在密钥管理中，对密钥的全生命周期提出了要求，包括密钥生成、密钥存储、密钥分发、密钥导入与导出、密钥使用、密钥备份与恢复、密钥归档、密钥销毁。在安全管理中，规定了密码安全管理要求，包括制度、人员、实施、应急，其中实施分为规划、建设、运行。二、商用密码应用安全解决方案基于商用密码应用安全的发展方向，配合网络运营者安全需求与安全建设，我们提出了商用密码应用安全解决方案,在中华人民共和国密码法正式施行的新时代下为各行业信息化发展提供借鉴与参考。商用密码应用安全体系框架由密码安全能力支撑和密码安全服务支撑两部分组成。其中密码安全能力包含了密码资源、密码支撑、密码服务、密码应用以及密码管理基础设施。密码安全服务包含了技术要求、管理要求和密钥管理。商用密码应用系统雷同安金妣支撑歌碍安金务支M商用密码应用系统密码安全能力包含了密码资源、密码支撑、密码服务、密码应用以及密码管理基础设施。其中密码应用层调用密码服务层提供的密码应用接口，实现所需的数据加密和解密、数字签名和验签等功能，为信息系统提供安全功能应用或服务。密码服务层提供密码应用接口，分为对称密码服务、公钥密码服务及其他密码服务三大类，为上层应用提供数据机密性保护、数据完整性保护、数据真实性保护、不可否认性等功能。密码支撑层提供密码资源调用，由安全芯片类、密码模块类、密码整机类等各类密码产品组成，如可信密码模块、智能IC卡、密码卡、服务器密码机等。密码资源层提供基础性的密码算法资源，底层提供序列、分组、公钥、杂凑、随机数生成等基础密码算法；上层以算法软件、算法IP核、算法芯片等形态对底层的基础密码算法进行封装。密码安全服务包含了技术要求、管理要求和密钥管理。技术要求提出四大安全层面，分别为物理和环境、网络和通信、设备和计算、应用和数据，每个安全层面分别对密码模块进行要求;管理要求包括管理制度、人员管理、建设运行、应急处置；密钥管理对密钥的全生命周期进行控制，包括密钥生成、密钥存储、密钥分发、密钥导入与导出、密钥使用、密钥备份与恢复、密钥归档、密钥销毁。商用密码应用安全性评估是指对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。该项评估工作主要依据GM/T0054-2018信息系统密码应用基本要求，对信息系统的规划、建设、运行三个阶段的密码应用情况安全性评估进行了详细的规定，评估的基本原则是要做到合规性、正确性和有效性。密码应用需求分析网络和信息系统等保定级）评估结果作为验收必备材料.制定商用受码应用方案，组织专家或渭评机构迸行评估；评估结JI是项目立项的重要依据和申报财政资金的必备材料.规划阶段密码应用集成实施密码应用运行维护J定期开展商用密码应用安全性麻商用厘码应用安全性评估报告壁码应用安全性评估评估未通过应限期整改并虞新评估;等保三级及以上系统厘年至少评估 一次，可与等级保护制评、关雄信 息基批设施网络安全测评同步开展.运行阶段商用密码应用安全性评估在信息系统规划阶段，依据商用密码技术相关标准，为网络运营者制定商用密码应用安全规划建设方案，保障商用密码应用安全建设的有效落地与评估工作的顺利开展。在信息系统建设阶段，委托具有相关资质的测评机构进行商用密码应用安全性评估，评估结果作为项目建设验收的必备材料，评估通过后，方可投入运行。在信息系统运行阶段，积极配合具有相关资质的测评机构定期开展商用密码应用安全性评估，保障商用密码应用系统顺利通过评估。其中，关键信息基础设施、网络安全等级保护第三级及以上信息系统、政务信息系统每年至少评估一次。此外，在电子政务、教育、医疗、金融等关键领域，参照政务信息系统密码应用与安全性评估工作指南等指导文件，建立以基础应用平台体系、密码运营服务保障体系、密码应用标准规范体系为一体的商用密码支撑体系。在物理和环境安全层面，部署具有密码模块的电子门禁系统、视频监控系统；通过服务器密码机、加密存储设备、视频加密系统等实现音视频数据完整性保护。在网络和通信安全层面，通过数字证书认证系统确保设备及人员身份的真实性；通过商密IPSec/SSLVPN实现网络逻辑边界的管控，构建内部网络的管理网；通过内部的网络边界控制机制，实现网络边界的完整性保护；通过服务器密码机对访问控制信息计算MAC或签名后保存，保证访问控制信息的完整性。在设备和计算安全层面，通过智能密码钥匙对设备管理员的登录操作进行身份鉴别；通过服务器密码机对通用设备的重要审计信息、日志记录、系统资源访问控制信息等进行数字签名、MAC计算，保证信息的完整性；通过数字证书认证系统为可信安全单元提供根CA证书，实现可信计算密码模块支撑平台。采用硬件密码产品实现密钥管理、身份鉴别、数据加解密、MAC计算、数字签名计算等功能。在应用和数据安全层面，通过动态口令系统对设备管理员的登录操作进行身份鉴别；通过电子签章系统对重要应用程序的操作员身份进行鉴别，确保仅具备权限的操作员才可以对重要应用程序执行加载和卸载操作。在新技术安全领域，以云计算为技术框架模型的基础上，构建云密码服务资源池，为实现服务统一调用，整合云计算平台、云安全服务平台、云密码服务平台为一体的我们云计算统一平台，为云上业务系统提供网络资源、计算资源、存储资源、安全资源、密码服务资源等综合服务。