GA/T 711-2007信息安全技術(shù)應(yīng)用軟件系統(tǒng)安全等級(jí)保護(hù)通用技術(shù)指南

犐犆犛３５．０２０

犔０９

中華人民共和國(guó)公共安全行業(yè)標(biāo)準(zhǔn)

犌犃／犜７１１—２００７

信息安全技術(shù)

應(yīng)用軟件系統(tǒng)安全等級(jí)保護(hù)通用技術(shù)指南

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犆狅犿犿狅狀狋犲犮犺狀犻狇狌犲犵狌犻犱犲狅犳狊犲犮狌狉犻狋狔犮犾犪狊狊犻犳犻犮犪狋犻狅狀狆狉狅狋犲犮狋犻狅狀犳狅狉

犪狆狆犾犻犮犪狋犻狅狀狊狅犳狋狑犪狉犲狊狔狊狋犲犿

２００７０８１３發(fā)布２００７１００１實(shí)施

中華人民共和國(guó)公安部發(fā)布

書(shū)

犌犃／犜７１１—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語(yǔ)、定義和縮略語(yǔ)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４應(yīng)用軟件系統(tǒng)基礎(chǔ)安全技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．１應(yīng)用軟件系統(tǒng)風(fēng)險(xiǎn)分析和安全需求!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２應(yīng)用軟件系統(tǒng)安全方案!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．３應(yīng)用軟件系統(tǒng)環(huán)境安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．４應(yīng)用軟件系統(tǒng)業(yè)務(wù)連續(xù)性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

４．５應(yīng)用軟件系統(tǒng)及相應(yīng)信息系統(tǒng)安全等級(jí)劃分!!!!!!!!!!!!!!!!!!!!!４

５應(yīng)用軟件系統(tǒng)安全技術(shù)分等級(jí)要求!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１第一級(jí)用戶自主保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．１基礎(chǔ)安全技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．２安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．３ＳＳＯＡＳＳ自身保護(hù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．４ＳＳＯＡＳＳ設(shè)計(jì)和實(shí)現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．１．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２第二級(jí)系統(tǒng)審計(jì)保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．２．１基礎(chǔ)安全技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．２．２安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．２．３ＳＳＯＡＳＳ自身保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．２．４ＳＳＯＡＳＳ設(shè)計(jì)和實(shí)現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．２．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３第三級(jí)安全標(biāo)記保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．１基礎(chǔ)安全技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．２安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．３ＳＳＯＡＳＳ自身保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

５．３．４ＳＳＯＡＳＳ設(shè)計(jì)和實(shí)現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

５．３．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

５．４第四級(jí)結(jié)構(gòu)化保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

５．４．１基礎(chǔ)安全技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

５．４．２安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

５．４．３ＳＳＯＡＳＳ自身保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

５．４．４ＳＳＯＡＳＳ設(shè)計(jì)和實(shí)現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

５．４．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

５．５第五級(jí)訪問(wèn)驗(yàn)證保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

５．５．１基礎(chǔ)安全技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

Ⅰ

書(shū)

犌犃／犜７１１—２００７

５．５．２安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

５．５．３ＳＳＯＡＳＳ自身保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

５．５．４ＳＳＯＡＳＳ設(shè)計(jì)和實(shí)現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

５．５．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

附錄Ａ（資料性附錄）應(yīng)用軟件系統(tǒng)安全的有關(guān)概念說(shuō)明!!!!!!!!!!!!!!!!!３２

Ａ．１應(yīng)用軟件系統(tǒng)在信息系統(tǒng)中的位置!!!!!!!!!!!!!!!!!!!!!!!!３２

Ａ．２應(yīng)用軟件系統(tǒng)安全在信息系統(tǒng)安全中的作用!!!!!!!!!!!!!!!!!!!!３２

Ａ．３關(guān)于應(yīng)用軟件系統(tǒng)的業(yè)務(wù)連續(xù)性!!!!!!!!!!!!!!!!!!!!!!!!!３２

Ⅱ

犌犃／犜７１１—２００７

前言

本標(biāo)準(zhǔn)的附錄Ａ為資料性附錄。

本標(biāo)準(zhǔn)由公安部信息系統(tǒng)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口。

本標(biāo)準(zhǔn)起草單位：北京江南天安科技有限公司，北京思源新創(chuàng)信息安全資訊有限公司。

本標(biāo)準(zhǔn)主要起草人：吉增瑞、王志強(qiáng)、陳冠直、景乾元、宋健平。

Ⅲ

犌犃／犜７１１—２００７

引言

本標(biāo)準(zhǔn)為按照信息系統(tǒng)安全等級(jí)保護(hù)的要求設(shè)計(jì)和實(shí)現(xiàn)所需要的安全等級(jí)的應(yīng)用軟件系統(tǒng)提供指

導(dǎo)，主要說(shuō)明為實(shí)現(xiàn)ＧＢ１７８５９—１９９９所規(guī)定的每一個(gè)安全保護(hù)等級(jí)，應(yīng)用軟件系統(tǒng)應(yīng)達(dá)到的安全技術(shù)

要求。

應(yīng)用軟件系統(tǒng)是信息系統(tǒng)的重要組成部分，是信息系統(tǒng)中對(duì)應(yīng)用業(yè)務(wù)進(jìn)行處理的軟件的總和。業(yè)

務(wù)應(yīng)用的安全需求，是信息系統(tǒng)安全需求的出發(fā)點(diǎn)和歸宿。信息系統(tǒng)安全所采取的一切技術(shù)和管理措

施，最終都是為確保業(yè)務(wù)應(yīng)用的安全。這些安全措施，有的可以在應(yīng)用軟件系統(tǒng)中實(shí)現(xiàn)，有的需要在信

息系統(tǒng)的其他組成部分實(shí)現(xiàn)。

本標(biāo)準(zhǔn)是對(duì)各個(gè)應(yīng)用領(lǐng)域的應(yīng)用軟件系統(tǒng)普遍適用的安全技術(shù)要素的概括描述。不同應(yīng)用領(lǐng)域的

應(yīng)用軟件系統(tǒng)應(yīng)根據(jù)需要選取不同的安全技術(shù)要素，以滿足其各自業(yè)務(wù)應(yīng)用的具體安全需求。

本標(biāo)準(zhǔn)第４章，應(yīng)用軟件系統(tǒng)基礎(chǔ)安全技術(shù)要求，是對(duì)應(yīng)用軟件系統(tǒng)的每一個(gè)安全等級(jí)都適用的基

礎(chǔ)性安全技術(shù)要求的描述，包括：應(yīng)用軟件系統(tǒng)風(fēng)險(xiǎn)分析和安全需求，應(yīng)用軟件系統(tǒng)安全方案，應(yīng)用軟件

系統(tǒng)環(huán)境安全，應(yīng)用軟件系統(tǒng)業(yè)務(wù)連續(xù)性，以及應(yīng)用軟件系統(tǒng)與相應(yīng)信息系統(tǒng)安全等級(jí)劃分等。

本標(biāo)準(zhǔn)第５章，應(yīng)用軟件系統(tǒng)安全技術(shù)分等級(jí)要求，以ＧＢ１７８５９—１９９９的五個(gè)安全等級(jí)的劃分為

基本依據(jù)，以ＧＢ／Ｔ２０２７１—２００６關(guān)于信息系統(tǒng)通用安全技術(shù)要求的等級(jí)劃分為基礎(chǔ)，對(duì)每一個(gè)安全等

級(jí)的應(yīng)用軟件系統(tǒng)的安全技術(shù)要求進(jìn)行描述，包括：基礎(chǔ)安全技術(shù)要求，安全功能技術(shù)要求，以及為實(shí)現(xiàn)

上述安全技術(shù)要求應(yīng)用軟件系統(tǒng)安全子系統(tǒng)的自身保護(hù)、設(shè)計(jì)和實(shí)現(xiàn)及安全管理要求。其中，“加粗宋

體”表示在較高等級(jí)中比上一級(jí)增加或增強(qiáng)的內(nèi)容。

Ⅳ

犌犃／犜７１１—２００７

信息安全技術(shù)

應(yīng)用軟件系統(tǒng)安全等級(jí)保護(hù)通用技術(shù)指南

１范圍

本標(biāo)準(zhǔn)規(guī)定了按照ＧＢ１７８５９—１９９９的五個(gè)安全保護(hù)等級(jí)的劃分對(duì)應(yīng)用軟件系統(tǒng)進(jìn)行安全等級(jí)保

護(hù)所涉及的通用技術(shù)要求。

本標(biāo)準(zhǔn)適用于按照ＧＢ１７８５９—１９９９的五個(gè)安全保護(hù)等級(jí)的劃分對(duì)應(yīng)用軟件系統(tǒng)進(jìn)行的安全等級(jí)

保護(hù)的設(shè)計(jì)與實(shí)現(xiàn)。對(duì)于按照ＧＢ１７８５９—１９９９的五個(gè)安全保護(hù)等級(jí)的劃分對(duì)應(yīng)用軟件系統(tǒng)進(jìn)行的安

全等級(jí)保護(hù)的測(cè)試、管理也可參照使用。

２規(guī)范性引用文件

下列文件中的條款通過(guò)本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有

的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵(lì)根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議