DB32T-政务云密码应用技术要求报批稿编制说明

PAGEPAGE9《政务云密码应用技术要求》地方标准编制说明目的意义1、产业发展现状近年来，党和国家高度重视密码技术在网络安全工作中的重要作用，先后发布《中华人民共和国密码法》等多项法律法规以及相关政策，推进信息系统密码应用升级改造工作的开展。《商用密码应用安全性评估管理办法(试行)》《国务院办公厅关于印发国家政务信息化项目建设管理办法的通知》《江苏省省级政务信息化项目建设管理办法》等相关文件均指出信息系统密码应用的必要性和急迫性，强调信息系统密码应用要同步规划、同步建设、同步运行、定期评估。当前，在国家大力引导和产业各界的共同推动下，我国政务云行业发展迅猛，在助力政务建设、打破信息孤岛、实现数据共享共治方面效果显著。政务云运用云计算技术，统筹使用政府已有的机房、计算、存储、网络、安全、应用支撑、信息数据等资源，发挥云计算虚拟化、高可靠性、高通用性、高可扩展性以及快速、按需、弹性服务等特征，运行了很多关系国计民生的业务系统，存储、流转的很多数据较敏感或涉及个人隐私信息。保障政务云平台安全对我国政治、经济、生产和生活等各方面至关重要，密码技术作为保障云安全的重要技术，将密码能力变成云中的一种资源服务，在云服务体系中具有十分重要的地位和作用。2021年3月9日，国家标准GB/T39786-2021《信息安全技术信息系统密码应用基本要求》发布，起草单位包括北京数字认证股份有限公司、国家密码管理局商用密码检测中心等数十家单位，指导商用密码应用与安全性评估工作，对于规范和引导信息系统合规、正确、有效应用密码,切实维护国家网络与信息安全具有重要意义。该标准从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个方面提出了密码应用技术要求,以及管理制度、人员管理、建设运行、应急处置等密码应用管理要求。2023年10月31日，江苏省人民政府办公厅发布了《江苏省政务“一朵云”建设总体方案》，到2027年底，集约共享、融合创新、智能敏捷、安全可控、高效服务的全省政务“一朵云”体系全面建成。云资源规模满足需求，云技术应用先进成熟，云服务种类丰富多样，云安全体系自主可控，云使用效能显著提高。各级部门单位基于云计算技术架构开展系统集成和业务应用系统建设，非涉密业务应用系统全部上云。2024年4月15日，中国密码协会发布了《政务领域政务服务平台密码应用与安全性评估实施指南》《政务领域政务云密码应用与安全性评估实施指南》，该文件依据国家密码政策要求和标准规范制定，促进政务领域政务服务平台场景中商用密码的合规、正确、有效应用，同时可用于指导各级政务服务平台相关系统建设单位和使用单位以及商用密码应用安全性评估机构规范开展商用密码应用和安全性评估工作，也可供集成单位参考。2、必要性政务云作为大数据背景下电子政务集约化发展的支撑，在提高效率、降低成本、资源共享、互联互通、业务协同等方面具有先天优势，与此同时，云上应用系统和海量数据的安全问题相伴而生、日益突出。密码作为保障网络安全的核心技术和基础支撑，在身份识别、安全隔离、信息加密、完整性保护和抗抵赖性等方面发挥着不可替代的重要作用。运用密码技术，推进密码技术和云计算技术的融合发展，是建设安全可信政务云平台的必由之路。政府使用云计算的安全隐患主要分为两个层面：一是系统的安全，包括云主机安全、中间件安全、操作系统安全、网络安全、应用安全等；二是数据的安全，在政务云数据聚集化的趋势下，集中后的数据如何安全的存储、传输和使用也是个挑战。政务云平台密码应用设计构建以商用密码为核心的云安全保障体系，通过构建底层基础设施统一密码服务平台提供大规模密钥管理能力，集中对硬件密码资源统一调度分配，对外提供通用与典型密码应用，实现按需扩展、灵活配置。研究以商用密码作为核心技术基础支撑，提升政务云平台网络安全保障能力，最终实现商用密码在政府关键重要领域的全面落地，是迫切需要的。3、可行性2020年1月1日，《中华人民共和国密码法》正式施行，其中第二十七条规定“法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估”。2021年10月1日，《信息安全技术信息系统密码应用基本要求》（GB/T39786-2021）正式实施，从国家标准层面积极推动商用密码技术应用，结合各行业领域密码应用需求，指导规范信息系统密码应用，提供密码应用安全保障。江苏省委办公厅、江苏省政府办公厅、江苏省国家密码管理局等发布了“关于加强重要领域密码应用的实施意见”、“关于印发〈江苏省密码应用与创新发展实施方案〉的通知”、“《江苏省省级政务信息化项目建设管理办法》”等相关政策文件，省财政和地方各级政府按照预算管理要求保障密码应用工作开展，为我省商用密码应用推动工作规范有序的进行打造了良好的环境。江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）成立于1973年（以下简称质检院），为独立法人机构，注册资金18517万元，现有员工260余人，隶属于江苏省工业和信息化厅，属公益型科研事业单位，为行业管理和地方政府提供技术支撑，为电子信息企业提供技术支持与服务，从事信息安全测评与检测认证工作10余年，是省工信厅、省委网信办、省密码管理局等单位指定的技术支撑机构。长期从事技术标准研究与制定工作，参与制定GB/T31506-2022《信息安全技术政务网站系统安全指南》、GB/T38555-2020《信息技术大数据工业产品核心元数据》等国家标准；作为第一完成单位，完成DB32/T1927-2011《政府信息系统安全防护基本要求》、DB32/T2289-2013《重点领域工业控制系统信息安全保护基本要求》、DB32/T2766.1-2015《重要信息系统安全防护技术规范第1部分：主机操作系统》、DB32/T2766.2-2015《重要信息系统安全技术防护规范第2部分：交换机》、DB32/T2766.3-2015《重要信息系统安全技术防护规范第3部分：路由器》、DB32/T3161-2016《信息消费信息安全基本保护要求》、DB32/T1219-2008《计算机信息系统安全测评规范》、DB32/T2765-2015《工业控制系统信息安全管理监督检查工作规范》、DB32/T4197-2022《区块链信息信息系统通用测试规范》等多项地方标准及《江苏省政务信息化项目密码应用建设与备案评估指南》、《江苏省网络数据安全风险评估规范》等政策文件。质检院作为江苏省信息消费标准化技术委员会和江苏省软件和信息技术服务标准化技术委员会的秘书处单位，承担了两个标委会的标准化相关工作，同时还是全国信标委大数据标准工作组成员单位，参与工业大数据等国家标准制修订工作。4、预期经济社会效益以商用密码作为核心技术基础支撑政务云平台可为政务云内应用系统信息安全提供密码资源调配、密钥全生命周期托管、基础密码运算等密码应用整体解决方案，相比传统单一的密码应用改造，具有集约化、安全化、快速化等创新特点。依托平台云密码服务模式，无需再单独采购密码硬件设备进行密码改造，并可对各类业务应用系统批量处理，后期统一集中运维管理，可节省密码应用、运维成本，避免重复建设、资源浪费、信息泄露等问题，具有明显的经济效益。“数字中国”战略的全面推进，数字经济的高质量、跨越式发展，需切实增强网络安全防护能力。密码技术作为网络与信息安全保障的核心技术，提供了不可替代的基础支撑手段，同时，逐步全面融入数字经济社会各领域，为引领产业数字化转型发展发挥着积极的基础核心作用。以商用密码作为核心技术基础支撑的政务云平台建设为推进密码应用发挥了显著的社会效益。随着《江苏省政务“一朵云”建设总体方案》的发布，我省各地市积极建设政务云平台，为各政府部门提供便利。为做好密码安全保障，任务来源2023年7月10日，由江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）申请地方标准的立项，根据江苏省市场监督管理局下达的2023年度拟立项地方标准项目的公示，批准《政务云平台商用密码应用技术规范》地方标准的制定。编制过程1、成立编制组2023年7月牵头单位组织专业力量编制形成《政务云平台商用密码应用技术规范》，规范规定了政务云平台商用密码应用总体技术框架、密码资源池和接口规范的技术要求。为确保标准内容更加完善，覆盖范围更加全面，在原有起草单位的基础上吸纳了江苏省大数据管理中心、江苏省商用密码产业协会、中电科网络安全科技股份有限公司、中国电信股份有限公司江苏分公司、江苏省国信数字科技有限公司、江苏航天七零六信息科技有限公司、乾讯信息技术（无锡）有限公司、江苏先安科技有限公司、江苏信创密码技术有限公司、华为技术有限公司、南京三未信安信息技术有限公司一同参与标准编制工作，并经行业推荐主管单位江苏省国家密码管理局同意。2023年9月11日，牵头单位组织江苏省国家密码管理局、江苏省大数据管理中心、江苏省商用密码产业协会、中电科网络安全科技股份有限公司、中国电信股份有限公司江苏分公司、江苏省国信数字科技有限公司、江苏航天七零六信息科技有限公司、江苏意源科技有限公司、无锡航天江南数据系统科技有限公司、乾讯信息技术（无锡）有限公司、江苏先安科技有限公司、江苏信创密码技术有限公司、华为技术有限公司、南京三未信安信息技术有限公司等单位组成标准编制工作组，对标准不同章节的内容进行认领分工。2、起草、征求意见与修订2023年11月17日，各参编单位完成相应的内容编制工作后，召开标准修订研讨会，会上对草案提出修订建议24条，其中采纳14条，未采纳10条，建议主要集中在增加密钥管理部分场景、2024年1月19日，牵头单位组织工作组召开标准修订研讨会，会上共提出修改建议74条，其中采纳27条，部分采纳19条，未采纳28条。主要修改意见集中在标准正文中图1的政务云密码应用总体架构以及密码功能类型。2024年3月9日，牵头单位邀请原国家密码管理局副局长刘平、中国密码学会物联网密码专委会副主任委员丁余泉对标准提出修改意见。主要修改意见集中在第五章总体架构的总体架构图部分以及第六章的建设要求部分，该部分内容基于GBT39786-2021《信息安全技术信息系统密码应用基本要求》，结合江苏省政务云特点提出了创新要求，更有效保障政务云密码安全，方便政务云和云租户的密码建设。2024年3月29日组织专家召开地方标准评审会，评审专家包括国家密码管理局商密办副主任许长伟，航天信息股份有限公司科技委原主任、研究员郭宝安，南京理工大学数学与统计学院副院长许春根，中国密码学会物联网密码专委会副主任委员丁余泉，北京数字认证股份有限公司董事长詹榜华等，专家组一致同意《政务云平台商用密码应用技术规范》地方标准通过评审，同时提出标准内容偏向密码技术要求，考虑沿用国标GB/T39786-2021《信息安全技术信息系统密码应用基本要求》的命名形式，建议将标准名称修改为《政务云密码应用技术要求》进行申报。3、初审与修订2024年5月16日，江苏省软件和信息技术服务标准化技术委员会将标准草案通过微信公众号发布标准，广泛征求建议。共征集到修改意见六条，采纳其中四条，修改意见多集中在文本格式上。主要内容及技术指标确立编制单位结合江苏省政务云和密码应用工作进行了大量细致调研，通过实地调研、专家研讨和文件查阅等方式，确定了标准的主要内容和相关的技术指标。1、主要内容规范分为八个部分：范围、规范性引用文件、术语和定义、缩略语、总体架构、建设要求、密码资源池和附录。（1）第一章规定了标准的适用范围。本文件规定了政务云商用密码应用的技术要求。本文件适用于指导政务云商用密码应用建设，以及指导政务云中密码在云租户用户终端、网络接入、应用系统、应用数据等方面的应用。（2）第二章列出了规范性引用文件，包括但不限于如下标准：GB/T20518—2018信息安全技术公钥基础设施数字证书格式规范GB/T25056—2018信息安全技术证书认证系统密码及其相关安全技术规范GB/T32905—2016信息安全技术SM3密码杂凑算法GB/T32907—2016信息安全技术SM4分组密码算法GB/T33560—2017信息安全技术密码应用标识规范（3）第三章对本标准中出现的重要术语给出了准确的定义。根据GB/T1.1-2020对“术语和定义”起草和表述的要求，给出了政务云、云租户、密码应用方案、响应时间、负载能力等5项术语的定义。（4）第四章提出了标准中使用的缩略语全程和中文译文。（5）第五章介绍了政务云密码应用的总体架构，从上到下包括密码应用、密码资源池和密码基础设施三个部分，密码应用包括业务终端密码应用、网络边界密码应用和业务密码应用。密码资源池基于密码基础支撑设施、密码资源、密码服务功能、密码服务管理、密码服务中间件，实现密码资源的动态调整和灵活调度，提供按需高效、弹性可扩展的密码服务。密码基础设施包括电子认证基础设施和密钥管理基础设施。（6）第六章建设要求6.1总体要求要求政务云中使用的第三方电子认证服务、电子政务电子认证服务、对称算法、非对称算法和哈希算法以及密码产品均应符合相关要求，具有相关资质。6.2通用要求6.2.1概述政务云应按照GB/T39786、GB/T43207中计算平台、密码支撑平台、业务应用等设计要求，对物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、密钥管理等层面采用密码技术保护。6.2.2物理和环境安全要求部署电子门禁系统和视频监控系统对相应重点区域进行物理防护，并保证门禁进出记录和视频监控记录的存储完整性。6.2.3网络和通信安全对政务云中的各通信实体、客户端到服务端通信信道、对等实体之间需下使用密码技术进行身份鉴别和机密性完整性保护。6.2.4设备和计算安全对政务云中的各类服务器操作系统、数据库管理系统、堡垒机使用密码技术进行身份鉴别和远程通道管理以及各类关键信息的完整性保护。6.2.5应用和数据安全政务云租户应基于公钥密码体系建立身份认证系统，政务云业务应制定密码应用方案并保护重要数据传输、存储过程中的机密性和完整性，政务云业务应用用户使用的身份认证服务和密码功能均由密码资源池和密码基础设施提供。6.2.6密钥管理政务云资源管理平台和密码资源管理平台由密钥管理系统等密钥管理类密码产品提供密钥管理功能，包括密钥的全生命周期管理，密钥管理的设计需遵循相关标准要求。密钥生成过程中的随机值需由通过认证的随机数发生器产生，密钥的分发应提供物理和在线两种方式，并保证传输过程中的安全性。（7）第七章密码资源池7.1服务要求政务云密码服务基于密码资源池中的密码资源及其管理平台提供，提供的服务类型包括数据加解密服务、数据完整性计算和验证服务、签名验签服务、时间戳服务、证书管理服务、电子签章服务、密码服务中间件和其他密码服务等密码服务能力。7.1.1数据加解密服务应提供敏感字段加解密、文件/对象加解密和数据库加解密等服务，使用的密码算法应符合相关国家标准、行业标准有关要求，并向外提供服务接口。7.1.2数据完整性计算和验证服务数据完整性计算和验证服务应采用数字摘要等密码技术提供完整性计算和验证功能，使用的密码算法应符合相关国家标准、行业标准有关要求，并向外提供服务接口。7.1.3签名验签服务签名验签服务应支持数字证书的查询、验证、解析等功能，具有提供数字签名、验证签名的服务能力，并向外提供服务接口。7.1.4时间戳服务时间戳服务应提供可信时间服务，为电子数据文件提供时间戳认证，并向外提供服务接口。7.1.5证书管理服务提供证书验证、撤销列表更新、证书业务代理等证书管理功能，实现数字证书全生命周期管理，并基于PKI技术实现，向外提供服务接口。7.1.6电子签章服务应提供电子文件的签章功能，实现信息、行为起源和传递的不可否认服务，向外提供服务接口。7.1.7密码服务中间件政务云密码服务中间件应提供适用于主流操作系统和CPU架构的密码应用接口，统一调用流程，提供高可靠、易复用的整套接口，为密码应用层提供密码运算服务。7.1.8其他密码服务其他经国家密码管理部门审查鉴定的符合相关国家标准、行业标准的密码服务。7.2管理要求密码资源管理平台应具有密码相关的设备管理、配置管理、运行管理、租户管理、应用管理、异常监测及预警告警功能。密码设备管理功能包括设备基本信息管理、IP管理、密码服务名称、服务地址、服务接口等信息管理功能。密码服务的配置管理功能包括服务节点配置、服务集群策略、流量控制、黑白名单管理。密码服务运行管理功能包括服务日志获取、服务成功率计算等。租户管理功能包括用户注册管理、权限管理、租用资源管理、密码资源分配管理、计费借宿那等功能。业务应用密码管理功能包括密码服务正确性、合规性、有效性管理，以及密钥生命周期管理。对密码资源池中的密码设备运行状态、接口调用等进行监测，监测指标包括密码服务调用次数、密码资源占用率等信息。提供密码资源池中安全事件预警告警能力，通过态势分析技术和风险预警技术对密码设备安全风险进行识别和告警。7.3性能要求从相应时间要求、负载要求、并发要求对政务云密码资源池提出性能指标要求。（8）附录A提出了网络和通信安全层面、应用和数据安全层面中各安全指标的技术要求、应用场景示例和算法要求。（9）附录B参照相关标准提出了政务云中的主要保护对象、保护对象描述和密码安全需求。（10）附录C参照《政务领域政务服务平台密码应用与安全性评估实施指南》《政务领域政务云密码应用与安全性评估实施指南》队政务云中的对