密码评测解决方案
背景简介
/
BACKGROUND INTRODUCTION
>>>
2021年3月，国家市场监督管理总局、国家标准化管理委员会发布中华人民共和国国家标准公告(2021年第3号)，国家密码应用与安全性评估的关键标准GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》(以下简称39786)正式发布，将于2021年10月1日正式实施。39786是贯彻落实《中华人民共和国密码法》、指导我国商用密码应用与安全性评估工作开展的纲领性、框架性标准。该标准分五个级别，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个方面提出了密码应用技术要求，从管理制度、人员管理、建设运行和应急处置四个方面提出了密码应用管理要求，对于规范引导信息系统密码合规、正确、有效应用具有重要意义。
需求分析
/
REQUIREMENT ANALYSIS
>>>
典型案例
/
CLASSIC CASE
>>>
项目建设单位需从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个层面采用密码技术措施，建立安全的密钥管理方案，并采取有效的安全管理措施，对系统进行保护。系统需使用经检测认证合格的商用密码产品或服务，使用的商用密码算法、技术应遵循密码相关国家标准和行业标准，没有标准可遵循时可提请国家密码管理部门组织对相关算法、技术进行安全性审查。系统采用电子认证服务的，建设单位需选择具有电子政务电子认证服务资质的机构。
密码支撑层
作为密码改造核心支撑层，集成包括密码芯片、密码模块、密码整机和密码系统类等相关产品类组成，集成密码资源层的各类算法实现，以密码设备、系统、软件模块的形式出现，方便在业务现场进行部署实施和集成，分别在密码支撑层设备包括：
· 物理和环境支撑
服务器密码机、合规的机房电子门禁(IC卡)和机房视频监控系统;
· 网络和通讯安全
SSLVPN(业务域和管理域)、IPSecVPN(包含移动平台客户端)、签名验签服务器、服务器密码机等可选设备;
· 设备和计算安全
日志完整性服务器密码机、身份鉴别平台服务器密码机、时间戳系统服务器等可选密码设备;
· 应用和数据安全
业务系统身份认证、CA/RA(数字证书认证系统)、签名验签服务器、密钥管理系统、服务器密码机、数据库加密机、存储加密机、时间戳服务器等可选密码设备;
· 用户端
安全浏览器、移动安全APP、协同签名手机盾、USBKey及中间件、软件密码模块。
密码服务层
密码支撑层的服务抽象，通过接口(密码设备安全服务的API接口)对外提供各类多样的密码服务能力，主要从对称密码服务和公钥密码服务作为能力提供。为上层提供基于数据在保密性、完整性、身份鉴别、抗抵赖等基本功能。业务应用作为密码改造的核心，主要采用上述密码支撑服务层实现对密码合规性改造的能力，实现业务信息系统的合规。
业务应用层
作为密码改造的核心，主要采用上述密码支撑层和密码服务层提供对密码合规性改造的能力，实现业务信息系统的合规改造。
安全管理
/
SECURITY MANAGEMENT
>>>
依据《基本要求》，系统的安全管理措施包括制度、人员、实施和应急4个方面。
制度方面
项目建设单位和使用单位需建立相应的密码安全管理制度和操作规范，覆盖密码建设、运维、人员、设备、密钥等密码管理相关内容。相关制度可针对密码保障系统单独制定，也可在已有的系统安全管理相关制度规范中体现。
人员方面
项目建设单位和使用单位需根据系统密码管理工作需要设立密码管理及操作相关岗位，制订人员岗位责任、人员考核、人员培训、人员保密和调离等相关规定，并按照规定进行人员的配备与管理。
实施方面
项目建设单位和使用单位需参照本指南第一章开展系统规划、建设和运行的密码应用工作，重点做好密码应用方案设计与密评、密码保障系统建设与密评、以及相关闭环管理工作。
应急安全管理方面
项目建设单位需在项目建设阶段、项目使用单位需在系统运行期间，分别明确典型紧急事件及应急处理处置方案，做好应急资源准备，当事件发生时，按照应急预案结合实际情况及时处置。
