江西智慧云测商用密码应用安全性评估_商用密码安全检测-云巴巴

申请试用

江西智慧云测商用密码应用安全性评估

商用密码应用安全性评估（简称“密评”），是指在采用商用密码技术、产品和服务集成建设的网络和信息系统中，对其密码应用的合规性、正确性和有效性进行评估。

立即咨询

首页 > 产品中心 > 应用安全 > 江西智慧云测商用密码应用安全性评估

什么是商用密码

密码应用意义

01
以密码技术保证信息的机密、真实、完整、不可否认，是数据安全的主要手段；各行各业信息系统存储和传输的大量数据，亟待采用密码技术，实现业务效率与安全兼得。

02
国外密码存在安全风险；密码作为战略性资廟重要核心技术，不能受制于人，必须发展自主可控。

03
关系国计民生、国家安全的广泛行业信息化系统，密码应用严重缺失；网络安全形势严峻。

04
现有信息系统中广泛缺失密码安全能力；国外密码算法占据大部分市场份额；用户迫切需要使用国产密码算法。

商用密码应用安全性评估 icon

合规性

使用的密码算法、密码技术符合法律法规和国家标准行业标准的有关要求；使用的密码产品、密码模块经过国家密码管理局核准；使用的密码服务符合国家密码管理要求。

正确性

密码算法、密码协议、密钥管理、密码产品和服务使用正确；系统中釆用标准的密码算法、协议和密钥管理机制按照相应的密码国家和行业标准进行正确的设计和实现；密码保障系统建设或改造过程中密码产品和服务的部署和应用正确。

有效性

信息系统中釆用的密码协议、密钥管理系统、密码应用子系統和密码安全防护机制不仅设计合理，而且在系统运行过程中能够发挥密码作用，保障信息的机密性、完整性、真实性、不可否认性性。

密评覆盖范围

基础信息网络

电信网、广播电视网、互联网。

面向社会服务的政务信息系统

党政机关和使用财政性资金的事业单位和团体组织使用的面向社会服务的信息系统。

重要信息系统

能源、教育、公安、测绘地理信息、社保、交通、卫生计生、金融等涉及国计民生和基础信息资源的重要信息系统。

重要工业控制系统

核设施、航空航天、先进制造、石油石化、油气管网、电力系统、交通运输、水利枢纽、城市设施等重要工业控制系统。

密评流程

测评准备

本活动是开展测评工作的前提和基础，主要任务是掌握被测信息系统的详细情况，准备测评工具，为编制密评方案做好准备。

方案编制

本活动是开展测评工作的关键活动，主要任务是确定与被测信息系统相适应的测评对象、测评指标、测评检查点及测评内容等，形成密评方案，为实施现场测评提供依据。

现场测评

本活动是开展测评工作的核心活动，主要任务是根据密评方案分步实施所有测评项目，以了解被测信息系统真实的密码应用现状，获取足够的证据，发现其存在的密码应用安全性问题。

分析与报告编制

本活动是给出测评工作结果的活动，主要任务是根据GB/T39786的有关要求，通过单元测评、整体测评、量化评估和风险分析等方法，找出被测信息系统密码应用的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距可能导致的被测信息系统所面临的风险，从而给出各个测评对象的测评结果和被测信息系统的评估结论，形成密评报告。

密评流程

访谈
通过与被测单位的相关人员进行交谈和问询，了解被测信息系统技术和管理方面的一些基本信息

文档审查
审核被测单位提交的的密码应用相关文档，确认测评的相关内容是否达到密评的要求

实地查看
由密评人员对被测信息系统物理环境、业务流程、技术实现、人员管理、制度落地、系统操作等情况进行查看

配置检查
包括密码产品的产品认证证书查看、密码产品的密码算法/技术配置核查、系统应用的管理配置（包括用户管理等）检查等

工具测试
包括后台抓包验证数据保护情况和密码服务调用情况、数字证书的导出验证、获取签名证书和被签名数据，签名结果验证等

密评结论

符合

信息系统中未发现安全问题，测评结果中所有单元测评结果中部分符合和不符合项的统计结果全为0，综合得分为100分；

基本符合

信息系统中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致信息系统面临高等级安全风险，且综合得分不低于60分；

不符合

信息系统中存在安全问题，部分符合项和不符合项的统计结果不全为0，而且存在的安全问题会导致信息系统面临高等级安全风险，或综合得分低于60分。

如何开展密评

三同步一评估

“项目建设单位应当落实国家密码管理有关法律法规和标准规范的要求，同步规划、同步建设、同步运行密码保障系统并定期进行评估”——《国家政务信息化项目建设管理办法》第十五条即政务信息系统中的密码保障系统应做到“三同步一评估”。

如何开展密评

分析系统现状，对系统面临的安全风险和风险控制需求进行分析，明确系统密码应用需求。根据系统的网络安全保护等级，依据GB/T39786等相关标准，编制信息系统密码应用方案。（可自行或委托系统开发商、集成商、相关咨询单位等作为方案编制单位，根据系统实际需求进行密码应用方案的设计、编制与修订。）从国家密码管理局发布的《商用密码应用安全性评估试点机构目录》中选择密评机构对方案进行密评。密码应用方案是项目立项的重要条件。（方案评估报告作为项目规划立项的重要依据和申报使用财政性资金项目的重要材料）。

如何开展密评

系统集成商

在责任单位的明确要求下按照通过密评的密码应用方案建设密码保障系统，确保系统密码应用符合国家密码管理要求。

责任单位

密码应用方案调整优化的，应委托密评机构对调整后的密码应用方案进行确认。建设完成后，委托密评机构对系统开展密评。密评是项目验收的重要条件。未通过密评的信息系统，责任单位应针对评估中发现的安全问题及时整改，整改完成后可请密评机构进行复评，更新评估结果。

如何开展密评

定期委托密评机构对系统开展密评，等保三级及以上的政务信息系统，每年至少密评一次，可与关基安全检测评估、等保测评等工作统筹考虑、协调开展。运行期间的密码应用安全应遵循持续改进的原则，及时调整现有的密码应用措施。如果系统约束条件发生重要变化，必要时需修订密码应用方案，对系统进行升级改造。运行后的信息系统密评未通过的，责任单位需按要求对系统进行整改后再次开展密评，整改期间项目责任单位应保证系统的安全性。

如何开展密评

如何开展密评-对责任单位开展密评工作的建议 icon

根据系统所处的阶段，采用针对性的策略，以满足国家相关的政策要求。

前期规划阶段的系统

对处于前期规划阶段的系统，应该根据国家密码局的要求，在上报审批前，完成密码应用方案的编写、专家审核等工作，项目预算中不仅要包括密码应用安全性评估预算，还要包括密码应用建设预算，以及其他关联系统的商密改造预算。

中期建设阶段的系统

对正在建设中的系统，如果涉及到需要增采密码设备，需要考虑预算问题和对部分重要业务应用系统进行商密处理时加解密对系统性能的影响。

后期运行阶段的系统

对于已经验收且正在运行的系统，要明确商密应用和安全性评估的政策要求，责任单位应尽可能根据商用密码应用安全性评估的要求，对系统进行密评差距分析，提前规划应用系统商密改造方案，明确系统改造实施的工作量。

如何开展密评-对集成商开展密评工作的建议 icon

01
严格按照通过密评的密码应用方案开展工程实施、建设密码保障系统。

02
做好系统建设过程中的质量控制，明确组织架构、任务分工及人员安排，明确责任机构和责任人。

03
根据密码应用方案中的实施保障方案，明确密码保障系统建设实施对象的边界及密码应用范围、任务要求，分析系统建设阶段的重难点问题，提出建设阶段可能存在的风险点及应对措施。

04
制定实施计划，包含实施路线图、进度计划、重要节点等，按照计划确定实施步骤，分阶段描述任务分工、实施主体、阶段交付物等，并提供保障措施，包含系统建设阶段的组织保障、人员保障、经费保障、质量保障、监督检查等措施。

云端系统整改-一个“共建、共管”密码服务平台 icon

本地机房系统整改

依据GB/T 39786-2021国标文件里针对第三级的密码应用基本要求，基于国产密码标准体系和密码管理体系，通过核心的密码技术、密码模块、密码基础设施等产品服务，为网络基础资源、信息设施、计算分析、应用服务、网络通道、接入终端、设备控制等提供身份鉴别、访问控制、机密性、完整性、抗抵赖的密码服务。

案例分享

系统基本情况

注：此处以政务OA办公系统为例

某市政务OA办公系统是该市实现市直政府机关进行统一化办公的重要政务系统。网络安全等级保护定级为三级。

主要业务情况：实现了内部系统管理、统一办公、公文交换、信息管理交换、工作流程交换、内部邮件交换、公文管理、会务管理、个人办公、督査督办、信息报送、流程自定义、知识库管理、移动办公等办公应用。

主要用户：办公用户、系统管理员用户、系统运维人员。

依据标准：GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》

密码应用需求分析-重要数据梳理 icon

对系统中的重要数据进行梳理，形成重要数据列表。公开：网站上的公开信息、已公开发布的标准、政策、指导文件等。一般：一般业务信息，不敏感的个人信息（如角色、职务等等）。重要：重要业务信息，敏感的个人信息（如身份证号、联系方式、住址等等)。敏感个人信息、身份鉴别信息、印章数据——机密性和完整性保护·系统访问控制信息表一——完整性保护。公文数据（涉及公文审批交换等操作）——不可否认性保护。

安全管理层面要求（30分） icon

安全管理层面测评主要以访谈和文档审查为主，通过对文档的审核与分析确认相关制度内容是否达到密评的要求。

物理和环境安全（10分） icon

技术测评常见问题

1. 未使用符合GM/T0036的电子门禁系统，未实现基于国密算法对进入机房的人员进行身份鉴别。

2.未实现对管理员登录电子门禁系统的身份鉴别，未采用密码技术对电子门禁系统进出记录进行完整性保护。

3. 未采用密码技术对电子门禁的日志记录和视频监控个记录进行完整性保护。

改进建议

1. 部署符合GM/T 0036的电子门禁系统，使用SM4算法进行密钥分散，实现门禁卡的“一卡一密”，并基于SM4算法对人员身份进行鉴别。

2. 电子门禁系统的登录应选择具有商用密码产品认证证书的密码产品（如智能密码钥匙、服务器密码机等），采用HMAC-SM3或数字签名等密码技术对电子门禁系统进出记录进行完整性保护。

3. 应选择具有商用密码产品认证证书的密码产品（如服务器密码机、加密存储设备、视频加密系统等），采用HMAC-SM3或数字签名等技术对音像记录存储进行完整性保护。

网络和通信安全（20分） icon

技术测评常见问题

1. 系统采用的VPN产品不具有商用密码产品认证证书或具有商用密码产品认证证书但使用时配置不正确。

2. 系统VPN产品使用的数字证书并不是由合规的电子认证服务提供商颁发的。

3. 部分系统的VPN产品在系统中部署的位置不合理，不同的网络环境都通过一台VPN设备接入目标网络。

改进建议

1. 系统使用的VPN产品应该具有商用密码产品认证证书，且应配置成采用国密算法的密码套件，如ECC_SM4_SM3。

2. 系统应使用VPN产品，数字证书颁发机构应获得第三方电子认证密码服务许可。

3. 系统应该根据实际需求部署多台VPN产品用于不同的网络环境下接入目标网络。

设备和计算安全（10分） icon

技术测评常见问题

1. 系统堡垒机使用账号+口令的方式对运维人员进行身份鉴别，未使用安全的密码技术对登录堡垒机设备的用户进行身份鉴别，无法保证用户身份的真实性。

2. 未对设备的系统资源访问控制信息、日志记录、重要程序和文件等采用国密算法进行完整性保护。

改进建议

1. 系统运维终端使用安全浏览器通过 HTTPS 访问堡垒机，使用账号+ 口令+USBKey 的方式进行身份鉴别，防止非授权人员登录以及防止身份鉴别信息被非法窃取。

2. 系统应配置具有商用密码产品认证证书的密码产品（如服务器密码机等），采用 HMAC-SM3算法对系统资源访问控制信息、日志记录、重要程序和文件等进行完整性保护。

应用和数据安全（30分） icon

技术测评常见问题

1. 系统未使用合规密码技术和加密模块保证登录系统应用用户的身份真实性。

2. 责任单位未梳理系统关键应用、关键操作、重要的保护资产（密码应用方案中明确），在传输和存储过程中通常使用高危风险算法进行加密（如BASE64、MD5、RC系列算法、SHA1、DES、RSA（2048以下）等），未使用符合密码相关国家标准或行业标准的密码技术进行机密性、完整性保护。

改进建议

1. 系统应该使用符合密码相关国家标准或行业标准的密码技术（如：公钥证书身份鉴别方式）和加密模块保证登录系统应用用户的身份真实性。

2. 系统应采用SM4-CBC进行应用系统的机密性保护，采用HMAC-SM3或数字签名等密码技术进行完整性保护。

公司简介

公司介绍-江西分公司企业荣誉 icon

国家级资质

商用密码应用安全性评估机构

CNAS国际实验室

体系认证

ISO9001质量体系

国家专项项目

江西省03专项物联网

安全检测服务平台

国际资质

国际GP组织授予的功能和安全检测实验室

国际FIDO组织授予的检测实验室

信息安全资质

阿里ICA物联网授权检测实验室

CCRC信息系统风险评估资质

行业资质

鹰潭市重点工程实验室

物联网安全鹰潭市院士实验室

鹰潭市信创适配实验室

鹰潭市国家网络安全应用示范园区龙头企业

密评项目案例

国家应急管理部
国家应急管理部4个系统商用密码应用安全性评估

国家邮政局
国家邮政局8个系统商用密码应用安全性评估

四川省广播电视局
四川省广播电视局密评项目

中国广电宁夏网络有限公司
中国广电宁夏网络有限公司密评项目

内蒙古自治区广播电视
内蒙古自治区广播电视传输发射中心781台密评项目

石河子大学2022密评
石河子大学2022密评项目

保密评统筹入围项目
克拉玛依市密评项目

阿里云
阿里云商用密码应用安全性评估，国内首个通过密评的云厂商

产品推荐查看更多>>

思福迪SAFETY零信任安全访问系统

思福迪SAFETY零信任安全访问系统，零信任网关与资产隐身不可见，防止嗅探及DOS攻击，从任何访问来源或资产之间访问，均需进行SPA认证。基于访问关系，动态检测与分析访问客体（账号、设备、IP等）与访问主体的特征，进行动态权限回收，确保最小权限原则。

身份鉴别

资产隐匿

最小权限授权

实时访问分析

立即咨询查看详情

默安科技雳鉴SCA软件成分分析系统

作为《Gartner 2020软件成分安全分析市场指南报告》中唯一推荐的中国产品——默安科技自主研发的SCA，是默安雳鉴DevSecOps全流程解决方案的重要组成部分，帮助客户管理应用中第三方组件所带来的安全、质量以及许可证合规性等方面的问题，避免第三方组件带来的风险。

海量自营数据

多语言支持

验证便捷

安全可控

立即咨询查看详情

腾讯安全零信任安全解决方案

腾讯结合自身数字化办公实践经验，基于零信任理念和统一终端安全架构，打造的新一代数字办公基础设施，成为每个员工的智慧办公助手，随时随地一键启动办公模式，让企业数字化办公更安全、更高效、更简单。

服务聚合

安全防护

钓鱼防护

勒索防护

立即咨询查看详情

数字化社区查看更多>>