2023商用密码应用安全性评估报告模板.docx

《2023商用密码应用安全性评估报告模板.docx》由会员分享，可在线阅读，更多相关《2023商用密码应用安全性评估报告模板.docx（79页珍藏版）》请在课桌文档上搜索。

1、1艮告编号：|_批注g者注1：各密评机构根据自己质量体系要求进行编号Iogo也自行更换，IOgo位置自行调整XXXXX系统腋测单位：密评机构：商用密码应用安全性评估报告/批注I才注2:若涉及被测冷位和委托单位不同的情/况，可自行增加委托单位（报告编报告时间:声明本报告是XXXXX系统的商用密码应用安全性评估报告，报告模板为2023年版。本报告评估结论的有效性建立在被测单位提供相关证据的真实性基础之上。本报告中给出的评估结论仅对被测信息系统当时的安全状态有效。被测信息系统发生变更后，应重新对其进行评估，本报告不再适用。本报告中给出的评估结论不能作为对被测信息系统内部署的相关系统构成组件（或产品）

2、的评估结论。在任何情况下，若需引用本报告中的评估结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。（密评机构名称Q盍章）年月日被测信息系统基本信息表被测单位单位名称单位地址邮政编码所属省部密码管理部门联系人姓名职务/职称所属部门办公电话移动电话电子邮件被测信息系统系统名称是否为关键信息基础设施已认定，所属安全保护工作部门：未认定网络安全等级保护定级和备案情况已定级备案，第一级（一至四），S_A_G_备案证明编号：本次被测信息系统与等级保护定级系统是否一致：是口否，变化情况说明：未定级，本次密评依据GB/T397862021信息安全技术信息系统密码应用基本要求第一

3、级（一至四）信息系统要求阿络安全等级测评情况L巳测评测评机构名称：测评时间：正在测评测评机构名称：未测评测评结论:系统服务情况服务范围全国口跨省（区、市）跨一个全省（区、市）口跨地（市、区）跨一个地（市、区）内其他一服务领域电信广电口经营性公众互联网铁路口银行口海关税务民航口电力口证券口保险口国防科技工业公安口财政口人事劳动和社会保障口审计商业贸易国土资源口能源口交通口统计工商行政管理邮政教育文化口卫生口农业水利口外交口发展改革科技口宣传口质量监督检验检疫口其他一服务对象单位内部人员社会公众人员两者均包括其他系统网络平台覆盖范围口局域网口城域网口广域网其他_网络性质业务专网互联网其他批注*者注

4、3:测评时间为网络安全等级保护测评报告封面时间，如果存在多家机构测评的情况，仅填写最近次的测评机构、泅评时间、测评结论I系统服务用户数量I大概数量级/被测系统处于建设阶段系统是否已投入运行口是，投入运行时间：年月否，目前情况：系统互联情况口与其他行业系统连接口与本行业其他单位系统连接口与本单位其他系统连接口其他_互联系统名称：I系统是否依赖不在本系统范围内的云平台运包是，云平台名称：口云平台已评估云平台正在评估云平台未评估密评机构名称：评估时间：评估结论：否系统是否具有密码应用方案口有密码应用方案，且通过密评，通过时间：密评方式：自行评估委托密评机构评估，密评机构名称：有密码应用方案，但未通过

5、密评无密码应用方案I系统使用的密码产品情况L口系统使用的密码产品（台/套），独立使用（台/套），共享使用（台/套）；其中，取得认证证书的产品数:台/套，未取得认证证书的国内产品数短（台/套），国外产品数量（台/套）。口系统未使用密码产品系统使用的密码算法分组算法：SM1SM4SM7AESDES3DES其他非对称算法：SM2SM9RSAI024RSA2O48其他杂凑算法：SM3SHA-1SHA-256SHA-384SHA-512MD5其他序列算法：zuc其他一其他算法：舟评机构单位名称通信地址邮政编码联系人姓名取务/职称所属部门办公电话移动电话电子邮件审核批准编制人（签字）编制日期审核人（签字）

6、审核日期批准人（签字）批准日期批注者注旬:若系统有注册功能,写注册用户数fit:若是门户网站，可写网站日均访问数量:等批注者注5:如果云平台正在评估，评估时间和评估结论可以为空批注者注6:比如同型号产品较多，且不在系统内部部署，可简略为1套密码产品，比如系统配套1万个智能密码的匙，数徽可为1（套）商用密码应用安全性评估结论系统名称系统简介测评情况倚介简要描述测评范围和主要内容。建议不超过2（X）字。）评估结论（符合/基本符合/不符合）综合得分不适用项数目/总测评指标项数目高风险项数目总体评价本次信息系统商用密码应用安全性评估依据GB/T397862021信息安全批注g者注7：在下述每个层面的测

7、评结果中,如果 涉及不适用项给出不适用项的指标及其不适用的原 因描述技术信息系统密码应用基本要求的第X级别要求，选取的测评指标总数为XXX项，其中怀适用项为XXX项特殊指标XXX项。测评结果为：符合项.XXX项，部分符合项XXX项，不符合项XXX项。其中，在部分符合和不符合项中：高风险项XXX项，中风险项XXX项，低风险项XXX项。1 .在物理和环境安全方面，XXX测评结果：符合项XX项，部分符合项XX项，不符合项XX项，不适用项XX项。2 .在网络和通信安全方面，XXX测评结果：符合项XX项，部分符合项XX项，不符合项XX项，不适用项XX项。3 .在设备和计算安全方面，XXX测评结果：符合项

8、XX项，部分符合项XX项，不符合项XX项，不适用项XX项。4 .在应用和数据安全方面，XXX测评结果：符合项XX项，部分符合项XX项，不符合项XX项，不适用项XX项。5 .在管理制度方面，XXX测评结果：符合项XX项，部分符合项XX项，不符合项XX项，不适用项XX项。6 .在人员管理方面，XXX测评结果：符合项XX项，部分符合项XX项，不符合项XX项，不适用项XX项。7 .在建设运行方面，XXX测评结果：符合项XX项，部分符合项XX项，不符合项XX项，不适用项XX项。8 .在应急处置方面，XXX测评结果：符合项XX项，部分符合项XX项，不符合项XX项，不适用项XX项。通过对XXXXX系统的物理

9、和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管理制度、人员管理、建设运行和应急处置等方面的测评，该系统多令塞年的不符合GBT397862021信息安全技术信息系统密码应用基本要求的第X级别要求。安全问题及改进建议本次信息系统商用密码应用安全性评估依据GBZT39786-2021信息安全技术信息系统密码应用基本要求的第X级别要求，发现被测信息系统存在以下安全问题。建议被测信息系统根据实际情况和以下给出的建议进行整改。1 .物理和环境安全问题描述：改进建议：2 .网络和通信安全问题描述：改进建议：3 .设备和计算安全问题描述：改进建议：4 .应用和数据安全问题描述：改进建议：5 .

10、管理制度问题描述：改进建议：6 .人员管理问题描述：改进建议：7 .建设运行问题描述：改进建议：8 .应急处置问题描述：改进建议：目录声明I被测信息系统基本信息表I商用密码应用安全性评估结论III总体评价IV安全问题及改进建设VIII测评项目雌1.1 测评目的1.2 测评依据1.2.1 依据标准和规范1.2.2 参考标准和规范1.2.3 术语和缩略语1.3 测评过程1.3.1 测评准备阶段21.3.2 方案编制阶段31.3.3 现场测评阶段31.3.4 分析与报告编制阶段31.4 报告分发范围42被测系统情况52.1 承载的业务情况52.2 网络拓扑图及描述52.3 密码应用情况52.3.1

11、物理和环境安全密码应用情况52.3.2 网络和通信安全密码应用情况52.3.3 设备和计算安全密码应用情况52.3.4 应用和数据安全密码应用情况52.4 系统资产52.4.1 物理环境52.4.2 物理安防设施62.4.3 密码产品62.4.4 服务器/存储设备62.4.5 网络及安全设备62.4.6 数据库管理系统72.4.7 关键业务应用72.4.8 重要数据72.4.9 安全管理文档82.4.10 人员82.5 密码服务82.6 安全威胁82.7 前次测评情况93测评范围与方法103.1 测评指标103.1.1 基本指标103.1.2 特殊指标133.1.3 不适用指标133.2 测评

12、方法及工具133.2.1 现场测评方法133.2.2 测评工具143.2.3 测评工具检查点143.3 测评对象和对应测评方式143.3.1 测评对象确定方法143.3.2 测评对象确定结果154单元测评184.1 密码技术应用要求184.1.1 物理和环境安全184.1.2 网络和通信安全184.1.3 设备和计算安全194.1.4 应用和数据安全194.2 安全管理214.2.1 管理制度214.2.2 人员管理224.2.3 建设运行234.2.4 应急处置245整体测评255.1 测评结果修正255.2 整体测评结果和量化评估266风险分析287评估结论29附录A测评结果记录30A.1

13、物理和环境安全30A.2网络和通信安全32A.3设备和计算安全34A.4应用和数据安全36A.5管理制度42A.6人员管理43A.7建设运行44A.8应急处置47附录B密评活动有效性证明记录488.1 密评委托证明488.2 密评活动证明498.3 密评活动质量文件528.4 密评人员资格证明568.5 系统定级匹配证明581测评项目概述1.1 测评目的（密评机构受被测单位、忸委于XX年XX月XX日至XX年XX月XX日，依据GB/T397862021信息安全技术信息系统密码应用基本要求的第X级别要求，对被恻嶂仍的XXXXX系统从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管

14、理制度、人员管理、建设运行和应急处置等方面进行商用密码应用安全性评估，通过测评项目的实施，根据被测信息系统当前的安全状况，给出测评结果并提出改进建议，以确保被测信息系统达到GB/T39786-2021信息安全技术信息系统密码应用基本要求的要求，也为其信息资产安全和业务持续稳定运行提供保障。1.2 测评依据1.2.1 依据标准和规范 GB/T397862021信息安全技术信息系统密码应用基本要求 GM/T01152021信息系统密码应用测评要求 GM/T0116-2021信息系统密码应用测评过程指南 信息系统密码应用高风险判定指引 商用密码应用安全性评估量化评估规则 XXXXX系统密码应用方案（

15、如有）1.2.2 参考标准和规范被测信息系统专用的标准（如CA系统所要参考的GM/T0034等标准，金融IC卡信息系统所要参考的PBOC等标准）1.2.3 怵语和缩略语/批注H者注时如有,在该节中明确1.3 测评过程商用密码应用安全性评估过程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。测评双方之间的沟通与洽谈贯穿整个密码应用安全性评估过程。测评工作流程如图1-1所示。沟通与洽谈方案编制活动整体测评测评准备活动现场测评活动分析与报告编制活 动图1-1测评工作流程批注I-者注9:这里仅写了通用内容，需要根据实际测评情况改写1.3.1 恻评准备阶剧/根据测评双

16、方签订的委托测评协议书和被测信息系统规模，密评机构组建测评项目组，从人员方面做好准备，并编制项目计划书。密评机构通过查阅被测系统已有资料并使用调查表格的方式，了解整个系统的构成和密码保护情况，为编写密评方案和开展现场测评工作奠定基础。测评项目组成员在进行现场测评之前，熟悉与被测信息系统相关的各种组件、调试测评工具、准备各种表单等。测评准备阶段时间：XX年XX月XXFI-XX年XX月XX日。测评项目组成员如表1-1所示：*1-1测评项目组成员角色姓名任务分工是否通过密评人员考核项目负贡人测评项目组成员1.3.2方案编制阶段根据已经了解到的被测信息系统情况，分析整个被测系统及其涉及的业务应用系统，

17、以及与此相关的密码应用情况，确定出本次测评的测评对象；根据已经了解到的被测系统定级结果，确定出本次测评的测评指标：确认测评过程中需要现场检查的关键安全点，并且充分考虑到检查的可行性和风险，最大限度的避免对被测系统，尤其是在线运行业务系统的影响：确定现场测评的具体实施内容：最终完成测评方案的编制。方案编制阶段时间：XX年XX月XX日-XX年XX月XX日。1.3.3 现场测评阶段现场测评准备：召开测评现场首次会，密评机构介绍测评工作，交流测评信息、，进一步明确测评计划和测评方案中的内容，说明测评过程中具体的实施工作内容，测评时间安排，测评过程中可能存在的安全风险等，以便于后面的测评工作开展。测评双

18、方确认现场测评需要的各种资源，包括被测单位的配合人员和需要提供的测评条件等，确认被测信息系统已备份过系统及数据。被测单位签署现场测评授权书。密评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的更新。测评项目组根据密评方案以及现场测评准备的结果，安排密评人员在现场完成测评工作，汇总现场测评的测评记录：召开测评现场结束会，测评双方对测评过程中发现的问题进行现场确认；密评机构归还测评过程中借阅的所有文档资料,并由被测单位文档资料提供者签字确认。现场测评阶段时间：XX年XX月XX日-XX年XX月XX日。1.3.4 分析与报告编制阶段在现场测评工作结束后，密评机构对现场测评获得的测评结果进行

19、汇总分析,形成评估结论，并编制评估报告。密评人员在初步判定各测评单元涉及的各个测评对象的测评结果后，还需进行单元测评、整体测评、量化评估和风险分析。经过整体测评后，有的测评对象的测评结果可能会有所变化，需进一步修订测评结果，而后进行量化评估和风险第3页/共58页分析，最后形成评估结论。分析与报告编制阶段时间：XX年XX月XXFl-XX年XX月XX日。1.4 报告分发范围本报告一式X份，其中X份提交密码管理部门，X份提交委托单位，X份由密评机构留存。2被测系统情况2.1 承载的业务情况（主要介绍信息系统承载的业务情况,重点说明业务的密码应用需求,具体的写法可以参考商用密码应用与安全性评估第五章、

20、2.2 网络拓扑图及描述（主要介绍信息系统的完整网络拓扑,方便了解信息系统边界、资产等基本情况,具体的写法可以参考商用密码应用与安全性评估第五窘）2.3 密码应用情况2.3.1 物理和环境安全密码应用情况（介绍物理和环境安全层面密码应用的大致情况。考虑到该层面的密码应用流程和密钥管理主要由密码产品完成,且与信息系统承载的业务关联性较低,因此可以主要闱绕所使用的密码产品展开介绍2.3.2 网络和通信安全密码应用情况（介绍网络和通信安全层面密码应用的大致情况。考虑到该层面的密码应用流程和密钥管理主要由VPN等密码产品完成,因此可以主要围绕所使用的密码产品展开介绍2.3.3 设备和计算安全密码应用情

21、况I介绍设备和计算安全层面密码应用的大致情况。考虑到该层面的密码应用流程和密钥管理主要由密码产品完成,且与信息系统承载的业务关联性较低,因此可以主要围绕所使用的密码产品展开介绍）2.3.4 应用和数据安全密码应用情况详细介绍应用和数据安全层面的密码应用情况。这部分是重点,与信息系统承载的业务息息相关,建议分为密码应用工作流程和密钥体系两方面分别介绍。具体的写法可以参考商用密码应用与安全性评估第五朝2.4 系统资产2.4.1物理环境I批注I者注io：这里主要指被测系统所在的机房*2-1物理环境序号物理环境名称物理位置重要31XX机房2XX机房242物理安防设施/批注者注111：门，和视频监控等情

22、况2-2物理安防设施序号产品名称生产厂商和型号所在物理环境名称重要1电子门禁系统2视频监控系统2.4.1 密码产品表2.3密码产品序号产品名称生产厂商商需产品认证证书编号使用的密码算法数量1批注看注12:对于密码机等整机，主要描述与其他设备的连接关系和物理位置,以及为这些设备提供什么密码功能支持；对于芯片、智能卡、智能密码钥匙等设备，主要描述在哪个设备中进行使用.以及为这些设备提供什么密码功能支持.1232.4.2 服务器/存储设备表2-4服务器/存储设备序号设备名称生产厂商型号操作系统版本是否为虚拟设备用途数量重要程度122.4.3 网络及安全设备表2-5网络及安全设备序号股备名称I生产厂商

23、型号用途数量重要1批注I者注13:包括但不限于：交换机、路由器、防火塔、堡垒机（包括涉及的密码技术）123452.4.4 数据库管理系统表26数据库管理系统序号数据库管理系统名称版本邮署位W主要功能重要批注储者注14:数据库等部署于哪个设备12345672.4.5 关键业务应用表27关键业务应用序号应用名称版本部署位置主要功熊“批注看注1句：应用等部署哪个设备I232.4.8重要数据表28重要数据序号数据描述所属应用存储位置安全需求1机密性,真实性/完整性232.4.9安全管理文档表2-9安全管理文档序号文档名称主要内容12342.4.10人员赛210人员序号姓名岗位/角色职责说明联系方式12

24、34562.5快码服务衰2-11密码服务批注I*者注16:第三方电子认证服务hnp:WWW.cagApZKfWXZSDsx，SYXkdW,i$D?ChanneLCode=CIOo142电子政务电子认证服务him：WWW.sca.gQY.cn/aDpZXy7spsizzwd7rzftwHgouLjsp?ChannCIC(KIC=Cl00144序号密码服务名称密码服务提供商122.6度全威胁批注才注14:仅供参考,可以根据实际情况增减表212安全威胁序号安全层面威胁分类TPl物理和环境非法人员进入物理环境，对软硬件设备和数据进行直接破坏TP2物理进出记录和视频记求遭到篡改，以掩盖非法人员进出情况T

25、NI网络和通信非法通信实体接入网络TN2通信数据在信息系统外部被非授权的截取、篡改TN3非法设备从外部接入内部网络，或网络边界被破坏TDl设备和计算设备被非法人员登录TD2搭建的远程管理通道被非法使用，或传输的管理数据被非授权获取和篡改TD3设备资源被登录设备的其他用户获取TD4重要信息资源安全标记被非授权获取和篡改TD5设备日志记录被非法墓改，以掩盖非法操作TD6设备内重要程序和文件的来源不可信TAl应用和数据应用被非法人员登录TA2应用资源被登录应用的其他用户获取TA3重.要信息资源安全标记被非授权获取和篡改TA4传输或存储的数据被外部攻击者非法获取和/或篡改TA5某个应用传输或存储的数据

26、被其他应用获取TA6数据发送者或接收者不承认发送或接受到数据，或者否认所做的操作和交易TKl密钥管理和安全管理生成的密钥缺少随机性，被攻击者猜测TK2密钥被非法获取TK3密钥被非法篡改，或密钥与实体之间的关联关系被非法篡改TK4密钥被非法使用TK5密钥备份和归档机制不健全，导致密钥泄露，或密钥被恢复到非法的设备中TK6密钥箱毁不及时导致密钥泄露，或销毁的密钥被恶意恢更TK7安全管理制度和密钥管理策略等不完善，管理流程不健全，执行不到位，职责不明确，导致密钥泄露、数据泄露等风险2.7前次测评情况本次测评是被测信息系统进行的第一次商用密码应用安全性评估上次评估时间为年月日，密评机构为:，评估结论为

27、:，/批注潮者注18:如果为第1次密码应用安全性评综合得分为：|。/估，则删除后面内容3测评范围与方法3.1 测评指标3.1.1 基本指标（根据被测信息系统密码应用安全要求等级,选择GB39786-2021信息安全技术信息系统密码应用基本要求中对应级别的安全要求作为本次测评工作的基本指标,在表3-1中列出指标。!表3/GB/T397862021信息安全技术信息系统密码应用基本要求第三级别要求基本指标测评指标测评指标描述应用要求技术要求物理和环境安全身份鉴别8.1a）宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；宜电子门禁记录数据存储完整性8.1b）宜采用密码技术保证电子

28、门禁系统进出记录数据的存储完整性：宜视频监控记录数据存储完整性8.1c）宜采用密码技术保证视频监控音像记录数据的存储完整性。宜网络和通信安全身份鉴别8.2a）应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性：应通信数据完整性8.2b）宜采用密码技术保证通信过程中数据的完整性；宜通信过程中重要数据的机密性8.2c）应采用密码技术保证通信过程中重要数据的机密性；应网络边界访问控制信息的完整性8.2d）宜采用密码技术保证网络边界访问控制信息的完整性；宜安全接入认证8.2e）可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性。可设备和计算安全身份鉴别8.3a

29、）应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；应远程管理通道安全8.3b）远程管理设备时，应采用密码技术建立安全的信息传输通道；应系统资源访问控制信息完整性8.3C）宜采用密码技术保证系统资源访问控制信息的完整性；宜重.要信息资源安全标记完整性8.3d）宜采用密码技术保证设备中的重要信息资源安全标记的完整性；宜H志记录完整性8.30宜采用密码技术保证日志记录的完整性；宜重要可执行程序完整性、重要可执行程序来源真实性8.3f）宜采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证。宜应用和数据安全身份鉴别8.4a）应采用密码技术对登录用户进行身份鉴别，保证应

30、用系统用户身份的真实性；应访问控制信息完整性8.4b）宜采用密码技术保证信息系统应用的访问控制信息的完整性；宜重要信息资源安全标记完整性8.4c）宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性；宜重.要数据传输机密性8.4d）应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；应重要数据存储机密性8.4e）应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；应重要数据传输完整性8.4f）宜果用密码技术保证信息系统应用的重要数据在传输过程中的完整性；宜重要数据存储完整性8.4g）宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；宜不可否认性8.4h）

31、在可能涉及法律责任认定的应用中，宜采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性。宜管理要求管理制度具备密码应用安全管理制度8.5a）应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬件及介质管理等制度；应密钥管理规则8.5b）应根据密码应用方案建立相应密钥管理规则；应建立操作规程8.5C）应对管理人员或操作人员执行的日常管理操作建立操作规程：应定期修订安全管理制度8.5d）应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定，对存在不足或需要改进之处进行修订：应明确管理制度发8.5e）应明确

32、相关密码应用安全管理制度和操作应布流程规程的发布流程并进行版本控制；制度执行过程记录留存8.5f）应具有密码应用操作规程的相关执行记录并妥善保存。应人员管理了解并遵守密码相关法律法规和密码管理制度8.6a）相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；应建立密码应用岗位责任制度8.6b）应建立密码应用岗位贲任制度，明确各岗位在安全系统中的职责和权限：D根据密码应用的实际情况，设置密钥管理员、密码安全审计员、密码操作员等关键安全岗位；2）对关键岗位建立多人共管机制；3）密钥管理、密码安全审计、密码操作人员职责互相制约互相监督，其中密码安全审计员岗位不可与密钥管理员、密码操作员兼任；

33、4）相关设备与系统的管理和使用账号不得多人共用。应建立上岗人员培训制度8.6c）应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能；应定期进行安全岗位人员考核8.6d）应定期对密码应用安全肉位人员进行考核：应建立关键岗位人员保密制度和调离制度8.6e）应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。应建设运行制定密码应用方案8.7a）应依据密码相关标准和密码应用需求，制定密码应用方案：应制定密钥安全管理策略8.7b）应根据密码应用方案，确定系统涉及的密钥种类、体系及其生命周期环节，各环节安全管理要求参照信息安全技术信息系统密码应用基本要

34、求附录B；应制定实施方案8.7c）应按照应用方案实施建设；应投入运行前进行密码应用安全性评估8.7d）投入运行前应进行密码应用安全性评估，评估通过后系统方可正式运行：应定期开展密码应用安全性评估及8.7e）在运行过程中，应严格执行既定的密码应用安全管理制度，应定期开展密码应用安全性评应攻防对抗演习估及攻防对抗演习，并根据评估结果进行整改。应急处置应急策略8.8a）应制定密码应用应急策略，做好应急资源准备，当密码应用安全事件发生时，应立即出动应急处置措施，结合实际情况及时处置；应事件处置8.8b）事件发生后，应及时向信息系统主管部门进行报告；应向有关主管部门上报处置情况88c）事件处置完成后，应

35、及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况。应测评揭际合计k/批注I*者注19:：.级应为41项3.1.2特殊指标批注g者注201：仪考虑整体指标不适用的情况，对 测评单元中部分不适用的情况在“测评对象章节” 说明（结合被测评单位要求、被测系统的实际安全需求以及安全最佳实践经验,以列表形式给出GB639786-2021信息安全技术信息系统密码应用基本要求未覆盖（如行业标准）或者高于GB39786-2021信息安全技术信息系统密码应用基本要求中被测系统相应等级的安全要求,其中标准霜要在122中写明、3.1.3不适用指霸鉴于信息系统的复杂性和特殊性，GB/T3978620

36、21信息安全技术信息系统密码应用基本要求的第X级要求中的个别项可能不适用于被测信息系统，对于这些不适用项及其不适用原因如表3-2月f示：表32不适用指标及说明安全层面测评指标测评指标描述不适用原因物理和环境网络和通信设备和计算不适用项合计3.2 测评方法及工具3.2.1 现场测评方法本次商用密码应用安全性评估使用的测评方法包括: 访谈：通过与被测单位的相关人员进行交谈和问询，了解被测信息系统技术和管理方面的一些基本信息，并对一些测评内容进行确认； 文档审查：审核被测单位提交的有关信息系统安全的各个方面的文档，如：被测系统总体描述文件，被测系统密码总体描述文件，安全管理制度文件，密钥管理制度，各

37、种密码安全规章制度及相关过程管理记录、配置管理文档，被测单位的信息化建设与发展状况以及联络方式：密码应用方案及评审意见，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次评估报告等等。通过对这些文档的审核与分析确认测评的相关内容是否达到安全保护等级的要求； 实地查看：现场查看测评对象所处的环境、外观等情况； 配置检查：查看测评对象的相关配置： 工具测试：根据被测信息系统的实际情况，密评人员使用适合的技术工具对其进行测试。3.2.2 测评工具本次商用密码应用安全性评估使用的测评工具如表3-3所示:序号工具名称版本生产厂商工具说明12345表3-3测评工具3.2.3恻评

38、工具检查点I批注者注21:不包括对每个设备的配置检查，主 要对佶息系统传输、存储的数据进行抓取、分析（描述在何处接入何种测评工具进行何种测试工作,可参考商用密码应用与安全性评估示例:检查点A：检查点描述（并在图中标明在检查点A进行抓包,查看XX和XX之间的通信报文是否是加密的，算法标识是否为XX。3.3 测评对象和对应测评方式3.3.1 测评对象确定方法腋据信息系统密码应用测评过程指南的测评对象确定方法，根据被测信批注者注22:苜先，确定此次测评的系统边界范 围.实际测试过程中，被测系统可能是一个很大系统 的子系统，密评人员应根据实际情况，确定系统测评 的范围，与被测系统不相关的系统不应纳入进

39、来， 其次.分析被测系统边界内的物理环境、网络拓扑站 构和外部边界连接情况、业务应用系统、以及与业务 应用系统相关的重要的计算机硬件设备（包括服务器 设备、客户端设备、存储器等）、网络硬件设备（包括 交换机、路由器、各种适配器等）和密码设备（智能 IC卡、智能密码钥匙、密码机、IPSeCVPN、SSL VPN 等P最后.依据信息系统密码测评要求,根据业务应 用系统的业务种类及重要性、业务流程、业务数据重 要性、业务安全保护等线、商用密码应用情况等，分 析确定测评对象息系统的重要程度及其相关资产等的价值认定结果，明确核心资产在信息系统内的流转，从而确定与密码相关的测评对象。I3.3.2 恻评对象

40、确定结果L3.3.2.1密码技术应用测评3.3.2.1.1物理和环境安全测评批注者注23:畲考，:信息系统密码应用测评要 求确定表3-4物理和环境安全测评对象序号网评对象I测评方式说明1XXXX机房口访谈口文档审查口实地查看口配置检查口工具测试2XXXX机房口访谈口文档审查口实地杳看口配置检查口工具测试/批注*者注24:所列测评对象为示例供参考下同332.1.2网络和通信安全测评表3-S网络和通信安全漏评对象序号测评对象测评方式说明I外部客户端与XXXXX系统的通信信道口访谈口文档审查口实地查看口配置检查口工具测试2集中管理通道口访谈口文档审查口实地查看口配置检查口工具测试3.3.2.1.3设备和计算安全测评3-6设备和计算安全测评对象序号测评对象测评方式说明I密码产品/设备口访谈口文档审查口实地查看口配置检查口工具测试2通用服务器访谈口文档审查实地查看口配置检查口工具测试3其他涉及设备访谈口文档审查口实地查看口配置检查工具测试3.3.2.1.4应用和数据安全测评3-7应用和数据安全流评对象序号测评对象测评方式说明1XXX应用口访谈口文档审查口实地行看口配置检查口工具测试3.3.2.2安全管理测评表3-8安全管理漓评对象序号测评单元测评对象测评方式说明1管理制度（管