![Image](static/picture/74452cfa2146268ed3f4b58c69d10dd6.jpg)
密評之技術要求(實戰篇)
編輯:2023-05-12 09:41:31
密評簡介
密評定義:全稱商用密碼應用安全評估, 是指對采用商用密碼技術、産品和服務集成建設的網絡和信息系統密碼應用的合規性、正确性、有效性進行評估。 密評對象:重要信息系統、關鍵信息基礎設施、網絡安全等保三級及以上的系統。 評測依據:GB/T 39786-2021《信息安全技術 信息系統密碼應用基本要求男信》參考标準:
《信息系統密碼應用測評要求》 《信息系統密碼應用測評過程指南》 《信息系統密碼應用高風險判定指引》 《商用密碼應用安全性評估量化評估規則》
基本要求 密評基本要求主要包含兩部分:技術要求和管理要求。
基本要求框架
密評評分
評測過程:
評測報告:評測***後階段由評測機構編寫評測報告,評測報告一般一式4份,1份提交國家(j商街iā)密碼管理局、1份提交被評測單位所屬省部影藍密碼管理部門、1份提交委托單位、1份由評測機構留存。
密評技術要求
密評主要針對涉及到商用密碼的網絡和信息系統。這裡的商用密碼指對不(bù)涉及國家(jiā)秘密内容的冷數信息進行加密保護或者安全認證所使用的密碼技術、密碼産品視他和密碼服務。
密碼技術:采用特定變換的方法對信息進行加密保護、子上安全認證的技術。如(rú)SM3哈希算法、SM4分組密碼算視員法、SM2公鑰密碼算法等。 密碼産品:實現密碼功能、承載密碼技術的實體,包括密刀路碼機、密碼芯片和模塊等。 密碼服務:基于密碼技術和産品,實現密碼功能,提供密碼保我嗎障的行為(wèi)。
密改:又稱國密改造,是通(tōng)過密評的重要一步,被評測信息車些系統需要經過密改,從而支持國産商用密碼,并達到安全、合規、正确、有效的要求。從密評技術要求上分析,需要在物理和環境安全、網絡和通(tōng)信安全、設備和計算安全、應用和數據安全四個方面上借助商用密碼技術、産品或服務,實現密改。
業界主推的密改技術路徑主要有三條:“免”改造、“重”改造和“易”改造。
免改造:信息系統無需進行密改,隻需簡單配置 重改造:信息系統調用複雜的基礎密碼産品接口完成密改,如(rú)對接服務器(qì)密碼機、簽名驗證服務器(qì)等 易改造:信息系統使用針對密評研發的專業密碼服務産品,無改動或較少改舊東動信息系統來實現密改。
密碼應用技術架構
物理和環境安全:對重要物理區域(如(rú):機房)出入人員采用密碼技術進行身報資份鑒别,并對門禁進出記錄、視頻監控數據進行完整性保護。物理和環境安全
網絡和通(tōng)信安全:對業務系統網絡通(tōng)信實體,采用密碼技術進行身份鑒購資别,并對傳輸數據進行機密性和完整性保護。網絡和通(tōng)信安全
設備和計算安全:運維管理員在對業務系統進行運維時(shí),需要采用密碼技術進行身份鑒船謝别,并保障網絡環境中服務器(qì)、應用程序、訪問記船員錄等重要數據的完整性。設備和計算安全
應用和數據安全:用戶和管理員在訪問業務系統時(shí),需要采用密碼技術進行身份鑒别,對刀明重要業務數據傳輸的機密性和完整性、重要業務數據存儲的機密性和完整性民員進行保護。應用和數據安全是密改的重要一環。應用和數據安全
雙因子(zǐ)認證UKey流程:
本文未對密評管理要求做深入介紹,隻針對技術要求中需要進行密改的地方進行了詳細介紹。密評重點考察信息系統中商用密碼使用的合規性、正确性和有效性。應用和數據安全是密改的重中之重,也是重改造的地方,其他(tā)方面可以通(tōng新都)過采購合規的密碼産品或服務達到易改造、免改造的效果。 文章來源:密碼應用技術實戰結語
![Image](static/picture/74452cfa2146268ed3f4b58c69d10dd6.jpg)
![Image](static/picture/74452cfa2146268ed3f4b58c69d10dd6.jpg)
咨詢熱線:0351-4073466
地址:(北區)山西省太原市迎澤區新建南路文源巷樹快24号文源公務中心5層
(南區)太原市小店區南中環街(jiē)529 劇弟号清控創新基地A座4層
![Image](static/picture/f9bb3b80abe7326a524d6936d101c0a9.jpg)