2023-02-11-炼石网络-图解_商用密码应用安全性评估FAQ（第二版）_48页_8mb

商用密码应用安全性评估FAQ（第二版）总结

核心内容概述

《商用密码应用安全性评估FAQ（第二版）》由炼石网络于2022年8月发布，用于替代2021年12月发布的版本。该文档旨在为商用密码应用及安全性评估人员提供指导，解答常见问题，并明确测评流程和标准。其内容基于《密码法》和相关标准，如GB/T39786-2021和GM/T0115-2021，确保密码应用符合法规要求。

主要观点与关键信息

1. 密码应用等级的确定

• 密码应用等级通常由网络安全等级保护的级别确定。
• 依据GB/T 22240-2020《网络安全等级保护定级指南》中的定级要素与安全保护等级关系进行判断。

2. “宜”指标的理解

• “宜”指标是建议性要求，但在密评中需结合实际情况判断是否适用。
• 需要评估系统是否满足“宜”指标所要求的密码技术应用。

3. 密钥管理测评

• 不能仅凭认证证书判定为“符合”，需实际验证密钥管理机制是否符合标准。
• 对于未使用密码产品的情况，使用开源或自研代码实现密码功能存在高风险。

4. 测评对象的确定

• 物理和环境安全：测评对象为被测信息系统所在的物理机房，包括电子门禁系统和视频监控系统。
• 网络和通信安全：测评对象为系统与外部系统的通信信道，特别是通过互联网的通信。
• 设备和计算安全：测评对象包括通用服务器、堡垒机、密码设备等，需根据密码产品认证证书编号或设备配置确定。
• 应用和数据安全：测评对象为业务应用和重要数据，如用户身份鉴别信息、业务数据等。

5. 避免重复测评

• 设备和计算安全层面的“远程管理通道安全”测评仅在远程管理通道跨越网络边界时进行。
• 测评内容应区分网络和通信安全层面的通信数据完整性与设备和计算安全层面的系统资源访问控制信息完整性。

6. 云平台与云上应用的测评

• 完全评估：云平台的支撑能力同时用于自身和云上应用，可被完全评估。
• 部分评估：云平台的支撑能力仅用于云上应用，需在云上应用测评时进行部分评估。
• 非云平台支撑：云上应用使用非云平台提供的支撑能力，需单独测评。

7. 高风险判定与缓解措施

• 高风险项需结合缓解措施进行风险分析，但风险等级和测评结论原则上不变。
• 缓解措施需有效，且需在测评报告中明确说明。

8. 密评报告编写

• 应用和数据安全层面的测评内容需包括身份鉴别、访问控制信息完整性、关键数据的机密性和完整性保护、不可否认性等。
• 报告中需详细记录测评指标符合情况，并在附录中进行详细说明。

9. 密码产品认证与合规性

• 商用密码产品需使用经认证的密码产品，否则无法判定为符合。
• 若密码产品认证证书已过期，需根据实际情况进行判定，或建议更换为新证书。

10. 特殊情况处理

• 双活机房之间的通信链路需根据其是否为可控网络环境进行测评。
• 对于未标注密码模块安全等级的产品，需结合《信息系统密码应用高风险判定指引》进行判断。

评估原则与流程

• 评估应遵循独立、客观、公正的原则，依据GB/T39786-2021和GM/T0115-2021等标准。
• 测评流程包括：实施（Do）和检查（Check）两个阶段，确保系统在部署和运行过程中符合密码应用要求。

文件意义

• 为密码应用及密评人员提供操作指引，便于开展测评工作。
• 整理常见问题并提供解答，帮助提升测评效率和准确性。

修订情况

• 第二版在多个章节进行了完善和新增问题，如密钥管理测评、通信信道测评、云平台测评等。
• 主要修订包括：增加了对密钥管理一致性、远程管理通道安全、密码产品认证证书缺失等情况的判定要求。

公司定位：炼石就是数据安全

• 炼石网络自2015年成立以来，专注于数据安全领域，自研数据安全平台。
• 通过技术创新和产品矩阵，提供免改造数据安全解决方案。
• 参与多项数据安全标准制定，推动行业发展。

结论

《商用密码应用安全性评估FAQ（第二版）》为商用密码应用安全性评估提供了详细的指导和依据，确保密码应用符合国家法规和技术标准。通过明确测评对象、评估原则和流程，帮助评估人员高效、准确地完成测评工作，提升信息系统整体安全性。