2021商用密碼應(yīng)用安全性評(píng)估

FAQ最近更新日期：202112月目錄信息系統(tǒng)密碼應(yīng)用基本要求的等級(jí) 1應(yīng)、宜、可測(cè)評(píng)指標(biāo)把握 1經(jīng)認(rèn)證合格的密碼產(chǎn)品中的密鑰安全符合性判定 2物理和環(huán)境安全層面的測(cè)評(píng)對(duì)象識(shí)別和確定 2網(wǎng)絡(luò)和通信安全層面的測(cè)評(píng)對(duì)象識(shí)別與確定 3設(shè)備和計(jì)算安全層面的測(cè)評(píng)對(duì)象 5設(shè)備和計(jì)算安全層面測(cè)評(píng)對(duì)象選取粒度 5遠(yuǎn)程管理通道安全 6合規(guī)密碼產(chǎn)品身份鑒別、完整性相關(guān)指標(biāo)的判定 7設(shè)備和計(jì)算安全層面的身份鑒別 7應(yīng)用和數(shù)據(jù)安全層面的測(cè)評(píng)對(duì)象識(shí)別與確定 8訪問(wèn)控制信息的具體含義 8缺少密碼應(yīng)用方案的合規(guī)性判定 9商用密碼產(chǎn)品認(rèn)證證書過(guò)期的合規(guī)性判定 9具有認(rèn)證證書型號(hào)的商用密碼產(chǎn)品對(duì)應(yīng)的模塊等級(jí) 9有緩解措施的高風(fēng)險(xiǎn)判定 10報(bào)告中對(duì)于高風(fēng)險(xiǎn)緩解措施的體現(xiàn) 10雙活機(jī)房的通信鏈路合規(guī)性判定 11云平臺(tái)測(cè)評(píng)的責(zé)任和范圍 12云平臺(tái)和云上應(yīng)用的測(cè)評(píng)方式和測(cè)評(píng)結(jié)論復(fù)用方式 12面向公眾等網(wǎng)站的測(cè)評(píng) 15如何編寫涉及應(yīng)用和數(shù)據(jù)安全層面的測(cè)評(píng)內(nèi)容報(bào)告 15PAGEPAGE1信息系統(tǒng)密碼應(yīng)用基本要求的等級(jí)背景：GB/T39786—2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》對(duì)信息系統(tǒng)密碼應(yīng)用劃分為自低向高的五個(gè)等級(jí)，參照GB/T22239的等級(jí)保護(hù)對(duì)象應(yīng)具備的基本安全保護(hù)能力應(yīng)急處置四個(gè)方面提出了第一級(jí)到第四級(jí)的密碼應(yīng)用管理要求。問(wèn)題：如何確定被測(cè)信息系統(tǒng)密碼應(yīng)用等級(jí)？解答：GB/T39786—2021據(jù)GB/T22240—2020《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》確定等級(jí)保護(hù)級(jí)別時(shí)，同步對(duì)應(yīng)確定密碼應(yīng)用等級(jí)，即等保定級(jí)為第一級(jí)的網(wǎng)絡(luò)與信息系統(tǒng)應(yīng)遵循GB/T39786第一級(jí)密碼應(yīng)用基本要求，等保定級(jí)為第二級(jí)的網(wǎng)絡(luò)與信息系統(tǒng)應(yīng)遵循GB/T39786第二級(jí)密用等級(jí)至少為第三級(jí)。應(yīng)、宜、可測(cè)評(píng)指標(biāo)把握背景：可”加以區(qū)分，具體實(shí)和“應(yīng)”的含義明確，但“宜”含義，在GB/T39786中有其特殊性。問(wèn)題：在密評(píng)實(shí)施中，如何理解和把握“宜”的指標(biāo)要求？解答：估報(bào)告/評(píng)審意見，決定是否將“宜”的指標(biāo)要求納入標(biāo)準(zhǔn)符合性測(cè)評(píng)范圍，具體如下：若信息系統(tǒng)未編制密碼應(yīng)用方案或在方案中未對(duì)“宜”的指標(biāo)要求做明確說(shuō)明，則“宜”的指標(biāo)要求納入標(biāo)準(zhǔn)符合性測(cè)評(píng)范圍。若信息系統(tǒng)編制了密碼應(yīng)用方案，且方案通過(guò)評(píng)估，方案中明確了不適用的“宜”統(tǒng)的密碼應(yīng)用方案和方案評(píng)估報(bào)告/評(píng)審意見，核實(shí)方案中的不適用指標(biāo)要求項(xiàng)所采用的風(fēng)條件，則應(yīng)納入標(biāo)準(zhǔn)符合性測(cè)評(píng)范圍，進(jìn)行測(cè)評(píng)和結(jié)果判定。經(jīng)認(rèn)證合格的密碼產(chǎn)品中的密鑰安全符合性判定背景：GM/T0115《信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》中，在通用測(cè)評(píng)要求中提出了“5.2密鑰管理安全性”測(cè)評(píng)要求，其指標(biāo)主要涉及密碼產(chǎn)品/服務(wù)相關(guān)的內(nèi)容。問(wèn)題：否可以直接判定為“符合”？解答：“符合”定為“符合”的必要條件，還應(yīng)當(dāng)對(duì)以下內(nèi)容進(jìn)行核查：該密碼產(chǎn)品的安全級(jí)別是否滿足GB/T39786相應(yīng)等級(jí)的要求，如GB/T39786第三級(jí)的信息系統(tǒng)應(yīng)當(dāng)采用滿足GB/T37092第二級(jí)及以上安全要求的密碼產(chǎn)品；在外部數(shù)據(jù)庫(kù)中存儲(chǔ)/備份/歸檔時(shí)是否進(jìn)行了機(jī)密性和完整性保護(hù)；理制度是否能夠保證該密碼產(chǎn)品被正確地部署和使用等。物理和環(huán)境安全層面的測(cè)評(píng)對(duì)象識(shí)別和確定背景：存儲(chǔ)完整性”。相應(yīng)的，GM/T0115《信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》在“6.1物理和環(huán)境安全”中規(guī)定該安全層面的測(cè)評(píng)對(duì)象包括信息系統(tǒng)所在機(jī)房等重要區(qū)域及其電子門禁系統(tǒng)和視頻監(jiān)控系統(tǒng)。問(wèn)題：如何判定該指標(biāo)的適用性？如何開展密評(píng)？解答：子門禁系統(tǒng)和視頻監(jiān)控系統(tǒng)。如果被測(cè)信息系統(tǒng)所在的物理機(jī)房采用多區(qū)域部署或被測(cè)信息系統(tǒng)重要資產(chǎn)分布在不評(píng)人員需現(xiàn)場(chǎng)取證。層面的相關(guān)測(cè)評(píng)結(jié)論；如果被測(cè)信息系統(tǒng)所在的IDC機(jī)房、運(yùn)營(yíng)商機(jī)房或云服務(wù)提供商機(jī)房等未通過(guò)或未開展商用密碼應(yīng)用安全性評(píng)估，密評(píng)人員需現(xiàn)場(chǎng)取明文件和證據(jù)以支撐測(cè)評(píng)結(jié)論。網(wǎng)絡(luò)和通信安全層面的測(cè)評(píng)對(duì)象識(shí)別與確定背景：信息系統(tǒng)一般通過(guò)網(wǎng)絡(luò)技術(shù)來(lái)實(shí)現(xiàn)與外界的互聯(lián)互通，GB/T39786《信息安全技術(shù)信提供通信保護(hù)功能的設(shè)備、組件和產(chǎn)品。問(wèn)題：如何確定網(wǎng)絡(luò)和通信安全層面的測(cè)評(píng)對(duì)象？解答：指的是從不受保護(hù)的網(wǎng)絡(luò)區(qū)域訪問(wèn)被測(cè)系統(tǒng)。可以從通信主體和網(wǎng)絡(luò)類型兩個(gè)方面來(lái)確定網(wǎng)絡(luò)和通信安全層面的測(cè)評(píng)對(duì)象：網(wǎng)絡(luò)類型：這里主要依據(jù)網(wǎng)絡(luò)之間是否相對(duì)獨(dú)立進(jìn)行分類，如互聯(lián)網(wǎng)、政務(wù)外網(wǎng)、企業(yè)專網(wǎng)等；的瀏覽器與服務(wù)器上運(yùn)行的web服務(wù)系統(tǒng)，移動(dòng)智能終端上運(yùn)行的APP與服務(wù)器上4【場(chǎng)景示例】4下面以一個(gè)具體場(chǎng)景來(lái)描述測(cè)評(píng)對(duì)象的確定過(guò)程。通信情況描述如下。用戶可以從互聯(lián)網(wǎng)、政務(wù)外網(wǎng)、辦公內(nèi)網(wǎng)，使用非國(guó)密瀏覽器或國(guó)密瀏覽器通過(guò)HTTPS協(xié)議訪問(wèn)前臺(tái)應(yīng)用系統(tǒng)；SSLVPN接入辦公內(nèi)網(wǎng)后，再使用國(guó)密瀏覽器通過(guò)HTTPS協(xié)議訪問(wèn)后臺(tái)管理系統(tǒng)；后，再通過(guò)堡壘機(jī)對(duì)服務(wù)器、密碼產(chǎn)品等設(shè)備進(jìn)行運(yùn)維；信息系統(tǒng)可以通過(guò)IPSecVPN調(diào)用外部的密碼資源（例如政務(wù)外網(wǎng)的數(shù)據(jù)加密服務(wù)）。針對(duì)此場(chǎng)景，根據(jù)通信主體，梳理出對(duì)應(yīng)的網(wǎng)絡(luò)類型，形成以下表格。服務(wù)端客戶端前臺(tái)應(yīng)用系統(tǒng)后臺(tái)管理系統(tǒng)內(nèi)網(wǎng)SSLVPN運(yùn)維SSLVPNIPSecVPN國(guó)密瀏覽器互聯(lián)網(wǎng)、政務(wù)外網(wǎng)辦公內(nèi)網(wǎng)非國(guó)密瀏覽器互聯(lián)網(wǎng)、政務(wù)外網(wǎng)VPN客戶端--政務(wù)外網(wǎng)互聯(lián)網(wǎng)-IPSecVPN政務(wù)外網(wǎng)系統(tǒng)之間的通信信道。根據(jù)以上的方法，此信息系統(tǒng)網(wǎng)絡(luò)和通信安全層面的測(cè)評(píng)對(duì)象確定如下：序號(hào)測(cè)評(píng)對(duì)象描述1互聯(lián)網(wǎng)國(guó)密瀏覽器與前臺(tái)應(yīng)用系統(tǒng)之間的通信信道用戶從互聯(lián)網(wǎng)使用國(guó)密瀏覽器通過(guò)HTTPS協(xié)議訪問(wèn)前HTTPS協(xié)議。2政務(wù)外網(wǎng)國(guó)密瀏覽器與前臺(tái)應(yīng)用系統(tǒng)之間的通信信道用戶從政務(wù)外網(wǎng)使用國(guó)密瀏覽器通過(guò)HTTPS協(xié)議訪問(wèn)HTTPS協(xié)議。3互聯(lián)網(wǎng)非國(guó)密瀏覽器與前臺(tái)應(yīng)用系統(tǒng)之間的通信信道用戶從互聯(lián)網(wǎng)使用非國(guó)密瀏覽器通過(guò)HTTPS協(xié)議訪問(wèn)HTTPS協(xié)議。4政務(wù)外網(wǎng)非國(guó)密瀏覽器與前臺(tái)應(yīng)用系統(tǒng)之間的通信信道用戶從政務(wù)外網(wǎng)使用非國(guó)密瀏覽器通過(guò)HTTPS協(xié)議訪HTTPS協(xié)議。5VPN客戶端與內(nèi)網(wǎng)SSLVPN之間的通信信道管理員用戶從政務(wù)外網(wǎng)通過(guò)內(nèi)網(wǎng)SSLVPN接入辦公內(nèi)網(wǎng)，密碼應(yīng)用主要測(cè)評(píng)SSLVPN協(xié)議。6辦公內(nèi)網(wǎng)國(guó)密瀏覽器與后臺(tái)管理系統(tǒng)之間的通信信道管理員從辦公內(nèi)網(wǎng)使用國(guó)密瀏覽器通過(guò)HTTPS協(xié)議訪HTTPS協(xié)議。7VPN客戶端與運(yùn)維SSLVPN之間的運(yùn)維通信信道SSLVPN主要測(cè)評(píng)SSLVPN協(xié)議。8政務(wù)外網(wǎng)IPSecVPN與IPSecVPN之間的通信信道信息系統(tǒng)從政務(wù)外網(wǎng)通過(guò)IPSecVPN調(diào)用外部密碼資源，密碼應(yīng)用主要測(cè)評(píng)IPSecVPN協(xié)議。PAGEPAGE10設(shè)備和計(jì)算安全層面的測(cè)評(píng)對(duì)象背景：）、網(wǎng)絡(luò)及安全設(shè)備、密碼設(shè)備、各類虛擬設(shè)備以及提供相應(yīng)密碼功能的密碼產(chǎn)品。問(wèn)題：如何確定設(shè)備和計(jì)算安全層面的測(cè)評(píng)對(duì)象？解答：中管理時(shí)，不涉及應(yīng)用和數(shù)據(jù)安全層面）等。全層面梳理一條遠(yuǎn)程管理數(shù)據(jù)傳輸通道作為測(cè)評(píng)對(duì)象。產(chǎn)品/密碼功能的網(wǎng)絡(luò)及安全設(shè)備、虛擬設(shè)備和系統(tǒng)。設(shè)備和計(jì)算安全層面測(cè)評(píng)對(duì)象選取粒度背景：庫(kù)管理系統(tǒng)、整機(jī)類和系統(tǒng)類密碼產(chǎn)品、堡壘機(jī)等。IPSecVPN以與不同的外界通信實(shí)體建立通信信個(gè)測(cè)評(píng)對(duì)象確定結(jié)果所選取的粒度會(huì)影響報(bào)告最后得分。問(wèn)題：如何確定設(shè)備和計(jì)算安全層面的各個(gè)測(cè)評(píng)對(duì)象選取的粒度？解答：針對(duì)通用服務(wù)器和堡壘機(jī)，以“具有相同硬件、軟件配置的設(shè)備”為粒度確定測(cè)評(píng)對(duì)象，和軟件配置（如操作系統(tǒng)版本、中間件等）的服務(wù)器/堡壘機(jī)作為一個(gè)測(cè)評(píng)對(duì)象。以通用服務(wù)器為例，若某一信息系統(tǒng)部署了5臺(tái)生產(chǎn)廠商B、操作系統(tǒng)版本為C的應(yīng)用服務(wù)器，還部署了3臺(tái)生產(chǎn)廠商為D、型號(hào)為E、操作系統(tǒng)版本為F的數(shù)據(jù)庫(kù)服務(wù)器，則在《商用密碼應(yīng)用安全性評(píng)估報(bào)告》“設(shè)備和計(jì)算安全測(cè)評(píng)對(duì)象確定結(jié)果”作為測(cè)評(píng)對(duì)象。對(duì)通用服務(wù)器、堡壘機(jī)類的測(cè)評(píng)對(duì)象進(jìn)行量化評(píng)估時(shí)，D/A/K均以各測(cè)評(píng)對(duì)象所包含的各個(gè)設(shè)備的實(shí)際應(yīng)用情況的最低分值賦分。針對(duì)整機(jī)類密碼產(chǎn)品（如IPSecVPN網(wǎng)關(guān)、SSLVPN網(wǎng)關(guān)、安全認(rèn)證網(wǎng)關(guān)、金融數(shù)據(jù)密產(chǎn)品（如動(dòng)態(tài)令牌認(rèn)證系統(tǒng)、證書認(rèn)證系統(tǒng)、證書認(rèn)證密鑰管理系統(tǒng)等），以“具有相同商用密碼產(chǎn)品認(rèn)證證書編號(hào)的密碼產(chǎn)品”為粒度確定測(cè)評(píng)對(duì)象，即具有同一商用密碼產(chǎn)品認(rèn)證證書的密碼產(chǎn)品作為一個(gè)測(cè)評(píng)對(duì)象。比如，某一信息系統(tǒng)部署了5臺(tái)商用密碼產(chǎn)品認(rèn)證證書，則在《商用密碼應(yīng)用安全性評(píng)估報(bào)告》“設(shè)備和計(jì)算安全測(cè)的實(shí)際應(yīng)用情況的最低分值賦分。遠(yuǎn)程管理通道安全背景：GM/T0115《信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》在網(wǎng)絡(luò)和通信層面的測(cè)評(píng)對(duì)象為“信息系統(tǒng)與網(wǎng)絡(luò)邊界外建立的網(wǎng)絡(luò)通信信道，以及提供通信保護(hù)功能的設(shè)備或組件、密碼產(chǎn)品”，設(shè)備和計(jì)算層面“遠(yuǎn)程管理通道安全”測(cè)評(píng)項(xiàng)要求系統(tǒng)實(shí)現(xiàn)“遠(yuǎn)程管理設(shè)備時(shí)，采用密碼技術(shù)建立安全的信息傳輸通道”。問(wèn)題：設(shè)備和計(jì)算安全層面“遠(yuǎn)程管理通道安全”測(cè)評(píng)項(xiàng)如何避免與網(wǎng)絡(luò)和通信安全層面的測(cè)評(píng)對(duì)象重復(fù)測(cè)評(píng)，如何進(jìn)行量化評(píng)估？解答：以管理員在互聯(lián)網(wǎng)通過(guò)SSLVPN接入系統(tǒng)內(nèi)網(wǎng)后，登錄堡壘機(jī)對(duì)設(shè)備進(jìn)行遠(yuǎn)程管理為“遠(yuǎn)程管理通道安全”測(cè)評(píng)單元關(guān)于遠(yuǎn)程管理數(shù)據(jù)傳輸通道測(cè)評(píng)內(nèi)容的區(qū)別和量化評(píng)估方法。面的測(cè)評(píng)對(duì)象。針對(duì)在互聯(lián)網(wǎng)訪問(wèn)SSLVPN接入內(nèi)網(wǎng)后通過(guò)堡壘機(jī)對(duì)設(shè)備進(jìn)行管理的情況，網(wǎng)絡(luò)和通信安全層面僅需要測(cè)評(píng)由管理員在互聯(lián)網(wǎng)訪問(wèn)VPN的過(guò)程體現(xiàn)在設(shè)備和計(jì)算安全層面。對(duì)于設(shè)備和計(jì)算安全層面的“遠(yuǎn)程管理通道安全”HTTPS議的密碼應(yīng)用情況。根據(jù)上述避免重復(fù)測(cè)評(píng)的方式，網(wǎng)絡(luò)和通信安全層面將會(huì)根據(jù)SSLVPN提供的身份鑒/“遠(yuǎn)程管理通道安全”測(cè)評(píng)項(xiàng)將根據(jù)接入內(nèi)網(wǎng)后訪問(wèn)堡壘有效、密碼算法/技術(shù)合規(guī)性、密鑰管理情況進(jìn)行量化評(píng)估。將訪問(wèn)堡壘機(jī)的信息傳輸通道作為測(cè)評(píng)對(duì)象。合規(guī)密碼產(chǎn)品身份鑒別、完整性相關(guān)指標(biāo)的判定背景：行修改。問(wèn)題：合規(guī)密碼產(chǎn)品的“身份鑒別”“系統(tǒng)資源訪問(wèn)控制信息完整性”“日志記錄完整性”“重要可執(zhí)行程序完整性、重要可執(zhí)行程序來(lái)源真實(shí)性”等設(shè)備和計(jì)算安全層面的指標(biāo)，應(yīng)該如何測(cè)評(píng)？解答：密碼產(chǎn)品的“系統(tǒng)資源訪問(wèn)控制信息完整性”“日志記錄完整性”“重要可執(zhí)行程序完整性、重要可執(zhí)行程序來(lái)源真實(shí)性”這三個(gè)設(shè)備和計(jì)算安全層面的指標(biāo)，可判定為符合。的用戶等進(jìn)行身份鑒別，從而保證用戶身份的真實(shí)性。設(shè)備和計(jì)算安全層面的身份鑒別背景：于設(shè)備改造難度較大，難以對(duì)設(shè)備的登錄機(jī)制進(jìn)行整改。問(wèn)題：僅進(jìn)行本地運(yùn)維的設(shè)備，如何針對(duì)設(shè)備和計(jì)算安全層面的“身份鑒別”和“遠(yuǎn)程管理通道安全”該如何進(jìn)行測(cè)評(píng)和結(jié)果判定。解答：測(cè)評(píng)對(duì)象的“遠(yuǎn)程管理通道安全”測(cè)評(píng)指標(biāo)可作為不適用項(xiàng)，“身份鑒別”測(cè)評(píng)指標(biāo)為適用項(xiàng)?！吧矸蓁b別”（密閉區(qū)域（如機(jī)柜）內(nèi)且僅有設(shè)備運(yùn)維人員才有該區(qū)域的訪問(wèn)權(quán)限，可酌情降低風(fēng)險(xiǎn)等級(jí)。應(yīng)用和數(shù)據(jù)安全層面的測(cè)評(píng)對(duì)象識(shí)別與確定背景：GM/T0115《信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》在應(yīng)用和數(shù)據(jù)層面的測(cè)評(píng)對(duì)象為“業(yè)務(wù)應(yīng)用以及重要數(shù)據(jù)”。問(wèn)題：如何確定應(yīng)用和數(shù)據(jù)安全層面的測(cè)評(píng)對(duì)象？解答：以及法律法規(guī)規(guī)定的其他重要數(shù)據(jù)類型。訪問(wèn)控制信息的具體含義背景：GB/T39786《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》在網(wǎng)絡(luò)和通信安全、設(shè)備和/系統(tǒng)的訪問(wèn)控制信息（或稱為訪問(wèn)控制列表）。問(wèn)題：解答：）、文件屬性訪問(wèn)控制、信息內(nèi)容訪問(wèn)控制。訪問(wèn)控制的實(shí)現(xiàn)機(jī)制包含但不限于以下方式：目錄表、訪問(wèn)控制列表、能力表、訪問(wèn)控制矩陣（訪問(wèn)控制列表、能力表組成的矩陣）、訪問(wèn)控制安全標(biāo)簽列表和權(quán)限位。在網(wǎng)絡(luò)和通信安全層面，要求為“采用密碼技術(shù)保證網(wǎng)絡(luò)邊界訪問(wèn)控制信息的完整性”，VPN中的訪信息。維系統(tǒng)中的權(quán)限訪問(wèn)控制信息等。在應(yīng)用和數(shù)據(jù)安全中，要求為“采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的訪問(wèn)控制信息的完整性”，強(qiáng)調(diào)的是系統(tǒng)應(yīng)用。因此在該層面中，訪問(wèn)控制信息主要包括應(yīng)用系統(tǒng)的權(quán)限、標(biāo)簽等能夠決定系統(tǒng)應(yīng)用訪問(wèn)控制的措施等信息。缺少密碼應(yīng)用方案的合規(guī)性判定背景：據(jù)密碼相關(guān)標(biāo)準(zhǔn)和密碼應(yīng)用需求，制定密碼應(yīng)用方案”，但很多已建信息系統(tǒng)并沒有在系統(tǒng)規(guī)劃時(shí)制定密碼應(yīng)用方案。問(wèn)題：在依據(jù)GB/T39786—20219.7a)條款密評(píng)時(shí)，密碼應(yīng)用方案該如何理解？解答：按照《信息系統(tǒng)密碼應(yīng)用高風(fēng)險(xiǎn)判定指引》進(jìn)行風(fēng)險(xiǎn)評(píng)價(jià)。商用密碼產(chǎn)品認(rèn)證證書過(guò)期的合規(guī)性判定背景：證證書有效日期之后，而且產(chǎn)品廠商又提供不出更新后的認(rèn)證證書。問(wèn)題：商用密碼產(chǎn)品認(rèn)證證書的有效期在密評(píng)時(shí)該如何把握？解答：判定為產(chǎn)品合規(guī)。此外，如果密評(píng)人員發(fā)現(xiàn)密碼產(chǎn)品依據(jù)的相關(guān)密碼標(biāo)準(zhǔn)已經(jīng)失效或更新，則有義務(wù)告知信息系統(tǒng)單位相關(guān)情況，并建議其選用依據(jù)最新標(biāo)準(zhǔn)的密碼產(chǎn)品。具有認(rèn)證證書型號(hào)的商用密碼產(chǎn)品對(duì)應(yīng)的模塊等級(jí)背景：的密碼模塊安全等級(jí)。問(wèn)題：未標(biāo)注密碼模塊安全等級(jí)的商用密碼產(chǎn)品在測(cè)評(píng)時(shí)如何判定？解答：（自20207月1日起,對(duì)有效期內(nèi)的《商用密碼產(chǎn)品型號(hào)證書》，持證單位可于2020年6月30日前，自愿申請(qǐng)轉(zhuǎn)換國(guó)推商期與原《商用密碼產(chǎn)品型號(hào)證書》有效期保持一致。在實(shí)際測(cè)評(píng)時(shí)，未標(biāo)注密碼模塊安全等級(jí)的產(chǎn)品可分以下兩種情況：量化評(píng)估規(guī)則》按“密碼產(chǎn)品等級(jí)不符合”進(jìn)行判定。（CA/KM碼產(chǎn)品的密碼模塊安全等級(jí)進(jìn)行判定。有緩解措施的高風(fēng)險(xiǎn)判定背景：?jiǎn)栴}：變？解答：信息系統(tǒng)密碼應(yīng)用整改實(shí)際情況，能夠較好地調(diào)動(dòng)系統(tǒng)責(zé)任單位開展安全整改工作的積極措施導(dǎo)致風(fēng)險(xiǎn)等級(jí)發(fā)生改變，將可能造成測(cè)評(píng)結(jié)論發(fā)生改變，但測(cè)評(píng)分?jǐn)?shù)仍保持不變。報(bào)告中對(duì)于高風(fēng)險(xiǎn)緩解措施的體現(xiàn)背景：安全問(wèn)題和緩解措施之間的關(guān)系呢？問(wèn)題：針對(duì)測(cè)評(píng)報(bào)告模板中高風(fēng)險(xiǎn)修正過(guò)程在哪個(gè)地方體現(xiàn)？解答：措施說(shuō)明。【場(chǎng)景示例】【場(chǎng)景示例】第六章風(fēng)險(xiǎn)分析”的表6-1中的風(fēng)險(xiǎn)分析一列中將緩解高風(fēng)險(xiǎn)的理由進(jìn)行描述，同時(shí)將風(fēng)險(xiǎn)等級(jí)進(jìn)行重新評(píng)估。雙活機(jī)房的通信鏈路合規(guī)性判定背景：主要包括設(shè)備運(yùn)維的通信信道、系統(tǒng)訪問(wèn)的通信信道等，那么針對(duì)雙活機(jī)房之間通信的通信鏈路的測(cè)評(píng)如何處理？問(wèn)題：雙活機(jī)房之間通信的通信鏈路，是否可作為網(wǎng)絡(luò)和通信層面的一條通信信道？解答：營(yíng)商專線進(jìn)行數(shù)據(jù)通信，需參照GM/T0115《信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》進(jìn)行測(cè)評(píng)。（需要被測(cè)方提供證明材料進(jìn)不存在安全隱患，則該通道無(wú)需作為網(wǎng)絡(luò)和通信安全層面的測(cè)評(píng)對(duì)象。云平臺(tái)測(cè)評(píng)的責(zé)任和范圍背景：到云平臺(tái)和云租戶業(yè)務(wù)應(yīng)用系統(tǒng)密碼應(yīng)用（以下稱為“云上應(yīng)用”）的密評(píng)，但是相對(duì)于傳統(tǒng)的信息系統(tǒng)，云平臺(tái)和云上應(yīng)用的運(yùn)營(yíng)者一般不同。問(wèn)題：況下，如何界定兩者的責(zé)任和范圍。解答：原則上需要完成兩部分測(cè)評(píng)工作：體為云平臺(tái)的運(yùn)營(yíng)者。任主體為云上應(yīng)用的運(yùn)營(yíng)者。同時(shí)，原則上：上應(yīng)用系統(tǒng)才能通過(guò)密評(píng)；云上應(yīng)用系統(tǒng)所處的云平臺(tái)的安全級(jí)別應(yīng)不低于云上應(yīng)用系統(tǒng)。云平臺(tái)和云上應(yīng)用的測(cè)評(píng)方式和測(cè)評(píng)結(jié)論復(fù)用方式背景：依賴于云平臺(tái)的測(cè)評(píng)結(jié)果。問(wèn)題：對(duì)運(yùn)行在云平臺(tái)上的云上應(yīng)用進(jìn)行密評(píng)時(shí)，那么如何分別對(duì)這兩個(gè)系統(tǒng)進(jìn)行分別測(cè)評(píng)，測(cè)評(píng)結(jié)論能夠復(fù)用嗎？解答：密碼設(shè)備服務(wù)的邊界。因此，在測(cè)評(píng)結(jié)論中還須包含“云平臺(tái)密碼支撐能力說(shuō)明”，“云平臺(tái)密碼支撐能力說(shuō)明”分為兩類情況：指的是云平臺(tái)中的同時(shí)用于運(yùn)行所在的機(jī)房同時(shí)支撐了云平臺(tái)和云上應(yīng)用在物理和環(huán)境安全層面的密碼應(yīng)用安全，該機(jī)房既是云平臺(tái)的測(cè)評(píng)對(duì)象，也是云上應(yīng)用的測(cè)評(píng)對(duì)象。由于此時(shí)該支能力有明確的測(cè)評(píng)結(jié)果（包括量化評(píng)估、風(fēng)險(xiǎn)評(píng)價(jià)等）。指的是云平臺(tái)提供的僅用于因此無(wú)法在云平臺(tái)測(cè)評(píng)時(shí)進(jìn)行完全評(píng)估部分評(píng)估中定義的A和K的賦值和適用情況（即，在何種情況下可以取得相應(yīng)量化評(píng)估分值；比如支撐能力提供了AES和SM4兩種對(duì)稱密碼算法，在使用AES時(shí)，A為×；在使用SM4時(shí)，A為√）。價(jià)結(jié)論）?！霸破脚_(tái)支撐能力說(shuō)明”給定相應(yīng)的測(cè)評(píng)結(jié)果。力的不同，存在以下幾種情況：被云平臺(tái)對(duì)應(yīng)對(duì)象的測(cè)評(píng)結(jié)論覆蓋；如果云平臺(tái)已經(jīng)通過(guò)密評(píng)（即獲得“符合”或“基本符合”的結(jié)論且安全等級(jí)不低于云上應(yīng)用可以為“不適用”。結(jié)合“云平臺(tái)支撐能力說(shuō)明”對(duì)測(cè)評(píng)對(duì)象進(jìn)行充分測(cè)評(píng)并給定結(jié)果。云上應(yīng)用系統(tǒng)調(diào)用了非云平臺(tái)提供的支撐能力：此時(shí)，云上應(yīng)用測(cè)評(píng)對(duì)象的測(cè)評(píng)方但是要重點(diǎn)關(guān)注該支撐能力與云平臺(tái)、云上應(yīng)用進(jìn)行整合時(shí)是否安全，避免可能存在的安全風(fēng)險(xiǎn)。比如，如果云上應(yīng)用單絡(luò)，但未進(jìn)行必要的訪問(wèn)控制保護(hù)和安全隔離，導(dǎo)致了該服務(wù)器密碼機(jī)被非授權(quán)調(diào)用或明文數(shù)據(jù)被非授權(quán)截取的風(fēng)險(xiǎn)，測(cè)評(píng)時(shí)應(yīng)視情況進(jìn)行結(jié)論的判定。需要說(shuō)明的是，實(shí)際測(cè)評(píng)過(guò)程中，上述規(guī)則可能存在以下無(wú)法適用或不能適用的情況：需要對(duì)云平臺(tái)相關(guān)的密碼應(yīng)用進(jìn)行重新測(cè)評(píng)。（“符合”或“基本符合”的結(jié)論在對(duì)云上應(yīng)用測(cè)評(píng)時(shí)，仍需要對(duì)云平臺(tái)相關(guān)的密碼應(yīng)用進(jìn)行（重新）測(cè)評(píng)。云平臺(tái)支撐能力說(shuō)明模版如下：1被完全評(píng)估的支撐能力概述序號(hào)安全層面被完全評(píng)估的支撐能力測(cè)評(píng)對(duì)象所涉及的指標(biāo)1物理和環(huán)境安全XXX機(jī)房身份鑒別、電子門禁記錄數(shù)據(jù)存儲(chǔ)完整性2XXX機(jī)房3……4網(wǎng)絡(luò)和通信安全XXX通信信道5XXX通信信道6……7設(shè)備和計(jì)算安全XXX設(shè)備8…………9應(yīng)用和數(shù)據(jù)安全XXX用戶10XXX數(shù)據(jù)11XXX行為12……表1被部分評(píng)估的支撐能力概述序號(hào)支撐能力名稱量化評(píng)估分值和適用條件風(fēng)險(xiǎn)評(píng)估情況和適用條件A適用條件K適用條件風(fēng)險(xiǎn)等級(jí)適用情況1電子簽章服務(wù)√當(dāng)使用SM3和SM2算法進(jìn)行電子簽章時(shí)√（可以為“無(wú)”）中、低×（可以為“無(wú)”）×（可以為“無(wú)”）高2時(shí)間戳服務(wù)√√中、低××高3服務(wù)器密碼機(jī)√√中、低××高面向公眾等網(wǎng)站的測(cè)評(píng)背景：以訪問(wèn)的特點(diǎn)，相應(yīng)指標(biāo)的測(cè)評(píng)需要進(jìn)行額外的考量。問(wèn)題：面向公眾、信息可公開的信息系統(tǒng)，需要重點(diǎn)關(guān)注哪些內(nèi)容？解答：統(tǒng)一樣，遵循相應(yīng)的測(cè)評(píng)指標(biāo)進(jìn)行測(cè)評(píng)；（比如防止釣魚網(wǎng)站），并對(duì)其內(nèi)容的完整性進(jìn)行保護(hù)；一般情況下還需要對(duì)用戶訪問(wèn)網(wǎng)站產(chǎn)生的隱私數(shù)據(jù)（如訪問(wèn)情況、隱私行為等）進(jìn)行保護(hù)，因此仍然需要測(cè)評(píng)公眾用戶相關(guān)的“網(wǎng)絡(luò)和通信安全”層面“身份鑒別”“通信數(shù)據(jù)完整性”“通信過(guò)程中重要數(shù)據(jù)的機(jī)密性”等指標(biāo)。如何編寫涉及應(yīng)用和數(shù)據(jù)安全層面的測(cè)評(píng)內(nèi)容報(bào)告背景：（2020版3.3.2節(jié)“測(cè)評(píng)對(duì)象確定結(jié)果”、第4章“單元測(cè)評(píng)”結(jié)果匯總，需要針對(duì)應(yīng)用和數(shù)據(jù)安全層面關(guān)鍵數(shù)據(jù)的機(jī)密性和完整性保護(hù)該層面的測(cè)評(píng)對(duì)象粒度把握尺度不一致的情況，對(duì)量化評(píng)估結(jié)果有一定的影響。問(wèn)題：如何編寫密評(píng)報(bào)告中應(yīng)用和數(shù)據(jù)安全層面的測(cè)評(píng)內(nèi)容？解答：在密評(píng)報(bào)告第節(jié)的“表3-7應(yīng)用和數(shù)據(jù)安全測(cè)評(píng)對(duì)象”和第4章節(jié)的“表4-4應(yīng)用和數(shù)據(jù)安全測(cè)評(píng)結(jié)果匯總”中，可以都只列系統(tǒng)大的業(yè)務(wù)應(yīng)用，而針對(duì)該層面身份鑒別、重要數(shù)據(jù)傳輸和存儲(chǔ)保護(hù)的較為細(xì)粒度的測(cè)評(píng)對(duì)象，可以在第4章節(jié)“表4-4應(yīng)用和數(shù)據(jù)安全測(cè)評(píng)結(jié)果匯總”下方，針對(duì)應(yīng)用和數(shù)據(jù)安全層面身份鑒別情況、關(guān)鍵數(shù)據(jù)的機(jī)密性和完整性保護(hù)情況、不可否認(rèn)性情況進(jìn)行說(shuō)明，以及附錄中的測(cè)評(píng)結(jié)果記錄中來(lái)體現(xiàn)?；k公系統(tǒng)的業(yè)務(wù)應(yīng)用包括OA辦公系統(tǒng)、公文管理系統(tǒng)。其中，兩個(gè)應(yīng)用的用戶均包括業(yè)務(wù)用戶和管理員用戶；OA辦公系統(tǒng)和公文管理系統(tǒng)業(yè)務(wù)用戶均有操作行為的不可否認(rèn)性需求；OA辦公系統(tǒng)的重要數(shù)據(jù)包括用戶的身份鑒別信息、業(yè)務(wù)數(shù)據(jù)（僅有完整性需求）等，（有機(jī)密性和完整性需求等。節(jié)“表3-7應(yīng)用和數(shù)據(jù)安全測(cè)評(píng)對(duì)象”可按照如下方式：表3-2應(yīng)用和數(shù)據(jù)安全測(cè)評(píng)對(duì)象序號(hào)測(cè)評(píng)對(duì)象測(cè)評(píng)方式說(shuō)明1信息化辦公系統(tǒng)應(yīng)用訪談文檔審查實(shí)地查看配置檢查工具測(cè)試4章節(jié)“單元測(cè)評(píng)”表4-4中可按照如下方式：表4-4應(yīng)用和數(shù)據(jù)安全測(cè)評(píng)結(jié)果匯總序號(hào)測(cè)評(píng)對(duì)象測(cè)評(píng)指標(biāo)符合情況（符合/部分符合/不符合/不適用）身份鑒別訪控信完性問(wèn)制息整重息安記性要資全完信源標(biāo)整重要數(shù)據(jù)傳輸機(jī)密性重要數(shù)據(jù)存儲(chǔ)機(jī)密性重要數(shù)據(jù)傳輸完整性重要數(shù)據(jù)存儲(chǔ)完整性不可否認(rèn)性1信化公統(tǒng)息辦系應(yīng)部分符合部分符合不適用符合部分符合部分符合用單元測(cè)評(píng)結(jié)果（符合部分符合/不符合/不適用）部分符合部分符合不適用符合部分符合部分符合4-5-1所示：表錯(cuò)誤!文檔中沒有指定樣式的文字。-5-1應(yīng)用和數(shù)據(jù)安全身份鑒別測(cè)評(píng)結(jié)果匯總序號(hào)應(yīng)用用戶身份鑒別1OA辦公系統(tǒng)管理員用戶部分符合2OA辦公系統(tǒng)業(yè)務(wù)用戶符合3公文管理系統(tǒng)管理員用戶符合4公文管理系統(tǒng)業(yè)務(wù)用戶符合單元測(cè)評(píng)結(jié)果（符合/部分符合/不符合/不適用）部分符合4-5-2所示：表4-3-2應(yīng)用和數(shù)據(jù)安全關(guān)鍵數(shù)據(jù)測(cè)評(píng)結(jié)果匯總序號(hào)關(guān)鍵數(shù)據(jù)傳輸機(jī)密性存儲(chǔ)機(jī)密性傳輸完整性存儲(chǔ)完整性1OA辦公系統(tǒng)管理員用戶登錄口令不符合符合不符合不符合2OA辦公系統(tǒng)業(yè)務(wù)用戶登錄口令不符合符合不符合不符合3OA辦公系統(tǒng)業(yè)務(wù)報(bào)表不適用不適用符合符合4OA辦公系統(tǒng)辦公文件數(shù)據(jù)不適用不適用符合符合5OA辦公系統(tǒng)業(yè)務(wù)日志不適用不適用符合符合6公文管理系統(tǒng)管理員用戶登錄口令符合符合不符合不符合7公文管理系統(tǒng)業(yè)務(wù)用戶登錄口令符合符合不符合不符合8公文管理系統(tǒng)業(yè)務(wù)數(shù)據(jù)符合符合不符合符合9公文管理系統(tǒng)業(yè)務(wù)日志符合符合不符合符合單元測(cè)評(píng)結(jié)果（符合/部分符合/不符合/不適用）部分符合符合部分符合部分符合4-5-3所示：表4-5-3應(yīng)用和數(shù)據(jù)安全不可否認(rèn)性測(cè)評(píng)結(jié)果匯總序號(hào)操作行為不可否認(rèn)性1OA辦公系統(tǒng)業(yè)務(wù)用戶文件審批操作部分符合2公文管理系統(tǒng)業(yè)務(wù)用戶公文簽發(fā)操作符合單元測(cè)評(píng)結(jié)果（符合/部分符合/不符合/不適用）部分符合A-4所示：表A-4應(yīng)用和數(shù)據(jù)安全測(cè)評(píng)結(jié)果記錄測(cè)評(píng)指標(biāo)測(cè)評(píng)對(duì)象結(jié)果記錄量化指標(biāo)測(cè)評(píng)單元密碼使用有效D密碼算法/A密鑰管理安全KSi,j,k得分□□,□=∑□≤□≤□□,□□□,□,□□□,□身份鑒別OA辦公員用戶略×0.5略O(shè)A辦公用戶略1員用戶略1用戶略1訪問(wèn)控制信息完整性O(shè)A辦公系統(tǒng)略××0.25略公文管理系統(tǒng)略1重要信息資源安全標(biāo)記完整性O(shè)A辦公系統(tǒng)不適用/略公文管理系統(tǒng)不適用/重要數(shù)據(jù)傳輸機(jī)密性O(shè)A辦公員用戶登錄口令略×××略O(shè)A辦公口令略×××OA辦公報(bào)表不適用/OA辦公不適用/OA辦公日志不適用/錄口令略1口令略1數(shù)據(jù)略1日志略1重要數(shù)據(jù)存儲(chǔ)機(jī)密性O(shè)A辦公員用戶登錄口令略1略O(shè)A辦公口令略1OA辦公報(bào)表不適用OA辦公文件數(shù)據(jù)不適用19PAGEPAGE20OA辦公日志不適用錄口令略1口令略1數(shù)據(jù)略1日志略1重要數(shù)據(jù)傳輸完整性O(shè)A辦公員用戶登錄口令略×××0略O(shè)A辦公口令略×××0OA辦公報(bào)表略1OA辦公文件數(shù)據(jù)略1OA辦公日志略1錄口令略×××0口令略×××0數(shù)據(jù)略×××0公文管理日志略×××0重要數(shù)據(jù)存儲(chǔ)完整性O(shè)A辦公員用戶登錄口令略×××0略O(shè)A辦公口令略×××0OA辦公報(bào)表略1OA辦公略1OA辦公日志略1錄口令略×××0口令略×××0公文管理數(shù)據(jù)略1日志略1不可否認(rèn)性O(shè)A辦公審批操作略×0.5略簽發(fā)操作略1商用密碼應(yīng)用安全性評(píng)估量化評(píng)估規(guī)則中國(guó)密碼學(xué)會(huì)密評(píng)聯(lián)委會(huì)二〇二一年十二月II目錄范圍 1規(guī)范性引用文件 1原則 1量化評(píng)估框架 1量化規(guī)則 2整體結(jié)論判定 3PAGEPAGE1商用密碼應(yīng)用安全性評(píng)估量化評(píng)估規(guī)則范圍本文件依據(jù)GB/T39786-2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》和GM/T0115-2021規(guī)范性引用文件GB/T39786-2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》GM/T0115-2021《信息系統(tǒng)密碼應(yīng)用測(cè)評(píng)要求》原則2) 遵循GB/T39786-2021和GM/T0115-2021；/技術(shù)/產(chǎn)品/服務(wù)；量化評(píng)估框架參考GM/T0115-2021，本規(guī)則從三個(gè)方面進(jìn)行量化評(píng)估：密碼使用有效性（CryptographyDeploymenteffectiveness）是指，密碼技術(shù)是否被正確、性的保護(hù)；密碼算法/技術(shù)合規(guī)性（CryptographyAlgorithm/Techniquecompliance）是指，信息系統(tǒng)理部門核準(zhǔn)。密鑰管理安全（Keymanagementsecurity）是指，密鑰管理的全生命周期是否安全，用/密碼服務(wù)是否安全。量化規(guī)則各測(cè)評(píng)對(duì)象的測(cè)評(píng)結(jié)果量化評(píng)估規(guī)則i個(gè)安全層面的第j測(cè)評(píng)單元的第k測(cè)評(píng)對(duì)象Ti,j,k，其量化評(píng)估結(jié)果Si,j,k∈{0,0.25,0.5,1}，其中0表示不符合，1表示符合，其它表示部分符合。Si,j,k的取值分別見表1。通用要求和密碼應(yīng)用技術(shù)要求各安全層面的“密碼服務(wù)”和“密碼產(chǎn)品”指標(biāo)不單獨(dú)評(píng)價(jià)。測(cè)評(píng)單元的測(cè)評(píng)結(jié)果量化評(píng)估規(guī)則ijUi,jSi,j為該測(cè)評(píng)n,j4位∑1≤??≤????,??????,??,??????,??=

????,??i個(gè)安全層面的第jGM/T0115-2021給出判Si,j100.5分。安全層面的測(cè)評(píng)結(jié)果量化評(píng)估規(guī)則本文件為每個(gè)測(cè)評(píng)單元分配了相應(yīng)的權(quán)重????,??，如表2所示。第i個(gè)安全層面Li的量化評(píng)估結(jié)果Si為該安全層面內(nèi)所有ni個(gè)適用測(cè)評(píng)單元測(cè)評(píng)結(jié)果Si,j的加權(quán)平均值（四舍五入，4????

=∑1≤??≤????????,??????,??∑1≤??≤????????,??若某測(cè)評(píng)指標(biāo)不適用，則不參與量化評(píng)估過(guò)程，不適用的判定方式參見GM/T0102整體測(cè)評(píng)結(jié)果量化評(píng)估規(guī)則本文件為每個(gè)安全層面分配了相應(yīng)的權(quán)重????，如表2所示。量化評(píng)估結(jié)果S為所有nSi（2∑1≤??≤?????????????=

∑

×1001≤??≤????若某個(gè)安全層面的所有測(cè)評(píng)指標(biāo)都不適用，則該安全層面不參與量化評(píng)估過(guò)程。比如，測(cè)評(píng)指標(biāo)，那么根據(jù)2提供的安全層面權(quán)重，上述分值計(jì)算公式具體為：??=

∑ ??

×100902≤??≤8??整體結(jié)論判定整體量化評(píng)估結(jié)果S100GB/