DB3404T 8-2023 商用密码应用安全性评估服务指南

ICS35.0403404GuidetocommercialpasswordsecurityassessmentserviceI本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由淮南市密码管理局提出并归口。本文件起草单位：安徽省公众电子认证有限公司、淮南市密码管理局、淮南市数据资源管理局、淮南市标准化研究院、安徽科测信息技术有限公司、淮南市公众信息技术研究院。本文件主要起草人：孔韦杰、姚禹、陈洋、赵雅洁、朱雅茹、孙正、蔡霁、廖香子。1商用密码安全性评估服务指南本文件规定了淮南市商用密码应用安全性评估服务的术语和定义、服务对象、评估内容、服务流程和密码应用措施。本文件适用于指导、规范淮南市信息系统商用密码应用的规划、建设、运维及测评。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T37033-2018信息安全技术射频识别系统密码应用技术要求GB/T39786-2021信息安全技术信息系统密码应用基本要求GM/T0022-2014IPSecVPN技术规范GM/T0023-2014IPSecVPN网关产品规范GM/T0024-2014SSLVPN技术规范GM/T0025-2014SSLVPN网关产品规范GM/T0036-2014采用非接触卡的门禁系统密码应用技术指南GM/T0054-2018信息系统密码应用基本要求GM/Z0001-2013密码术语中国密码学会密评联委会《商用密码应用安全性评估报告模板（2021年版）》3术语和定义GM/T0054-2018、GB/T39786-2021、GM/Z0001-2013界定的以及下列术语和定义适用于本文件。评估服务在采用商用密码技术、产品和服务集成建设网络和信息系统中，对其密码应用的合规性、正确性、有效性等进行的评估服务。商密委员会专家2 34网络和通信安全7.2.1部署IPSecVPN类产品（符合GM/T0022-2014《IPSecVPN技术规范》、GM/T0023-2014《IPSecVPN网关产品规范》等标准实现通信双方的身份鉴别，通信过程中敏感数据的机密性、完整性保护；7.2.2部署SSLVPN类产品（符合GM/T0024-2014《SSLVPN技术规范》、GM/T0025-2014《SSLVPN网关产品规范》等标准），实现通信双方的身份鉴别，通信过程中敏感数据的机密性、完整性保护。7.2.3其他符合国家标准要求的产品设备和计算安全7.3.1部署智能密码钥匙、智能IC卡或其它具备身份鉴别功能的密码产品，对登录的用户进行身份鉴别；7.3.2为远程管理搭建安全通信链路（如SSL通道），保护鉴别信息的机密性；7.3.3部署可信计算密码支撑平台、签名验签服务器或服务器密码机，实现可信计算能力，建立从系统到应用的信任链，保护重要信息的完整性，保证计算环境的安全可信。应用和数据安全7.4.1部署证书认证系统或直接采用具有电子政务电子认证服务资质的机构提供的电子认证服务，为用户配置智能密码钥匙、智能IC卡、移动智能终端密码模块等具备身份鉴别功能的密码产品，对系统用户身份进行管理；7.4.2部署安全认证网关系统，对访问应用服务器的用户进行身份鉴别和权限控制，对客户端与服务器端、应用系统之间传输的数据进行机密性和完整性保护；7.4.3部署存储加密产品、服务器密码机或其他密码模块，对存储的重要数据进行机密性和完整性保护；7.4.4部署签名验签服务器、服务器密码机或其他密码模块，对存储的日志记录进行完整性保护；7.4.5根据应用系统的需要，部署签名验签服务器、电子签章系统、时间戳服务器等密码产品，对收发的数据及相关操作记录进行签名，实现数据原发行为的不可否认性和数据接收行为的不可否认性。5商用密码安全性评估指标适用情况及论证说明8.1a）宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实宜8.1b）宜采用密码技术保证电子门禁系统宜8.1c）宜采用密码技术保证视频监控音像宜全8.2a）应采用密码技术对通信实体进行身应8.2b)宜采用密码技术保证通信过程中数宜8.2c)应采用密码技术保证通信过程中重应8.2d)宜采用密码技术保证网络边界访问宜8.2e)可采用密码技术对从外部连接到内可8.3a)应采用密码技术对登录设备的用户应8.3b)远程管理设备时，应采用密码技术应8.3c)宜采用密码技术保证系统资源访问宜8.3d)宜采用密码技术保证设备中的重要宜8.3e)宜采用密码技术保证日志记录的完宜68.3f)宜采用密码技术对重要可执行程序宜全8.4a)应采用密码技术对登录用户进行身应8.4b)宜采用密码技术保证信息系统应用宜8.4c)宜采用密码技术保证信息系统应用宜8.4d)应采用密码技术保证信息系统应用应8.4e)应采用密码技术保证信息系统应用应8.4f)宜采用密码技术保证信息系统应用宜8.4g)宜采用密码技术保证信息系统应用宜宜采用密码技术提供数据原发证据和数据宜8.5a）应具备密码应用安全管理制度，包应8.5b）应根据密码应用方案建立相应密钥应8.5c）应对管理人员或操作人员执行的日应8.5d）应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审应8.5e）应明确相关密码应用安全管理制度应78.5f）应具有密码应用操作规程的相关执应8.6a）相关人员应了解并遵守密码相关法应8.6b)应建立密码应用岗位责任制度，明1)根据密码应用的实际情况，设置密钥管3)密钥管理、密码安全审计、密码操作人4)相关设备与系统的管理和使用账号不得应8.6c)应建立上岗人员培训制度，对于涉应8.6d)应定期对密码应用安全岗位人员进应8.6e)应建立关键人员保密制度和调离制应8.7a）应依据密码相关标准和密码应用需应8.7b）应根据密码应用方案，确定系统涉环节安全管理要求参照《信息