政务领域政务云密码应用与安全性评估实施指南

政务领域政务云 密码应用与安全性评估实施指南 中国密码学会密评联委会 二〇二四年四月 目录 前言I 1场景概述1 1.1场景相关政策要求1 1.2典型场景介绍1 1.2.1场景代表性1 1.2.2政务云平台场景介绍2 1.3技术标准和指导性文件3 2密码应用需求4 2.1风险分析和安全需求4 2.1.1物理和环境安全4 2.1.2网络和通信安全5 2.1.3设备和计算安全6 2.1.4应用和数据安全6 2.1.5安全管理8 2.1.6主要保护对象8 2.2场景对密码应用的特殊要求11 3密码应用实施指南11 3.1典型场景业务的密码应用设计11 3.1.1物理和环境安全12 3.1.2网络和通信安全12 3.1.3设备和计算安全13 3.1.4应用和数据安全13 3.1.5密钥管理安全14 3.1.6安全管理16 3.2密码产品/服务选择和部署16 3.3与GB/T39786对照情况说明18 3.4注意事项20 4密码应用安全性评估实施指南21 4.1主要测评指标的选择和确定21 4.2主要测评内容23 4.2.1现场测评方法23 4.2.2测评实施24 4.3主要测评结果29 4.4注意事项30 前言 为贯彻落实《中华人民共和国密码法》《商用密码管理条例》等法律法规，促进政务领域政务云场景中商用密码的合规、正确、有效应用，依据国家密码政策要求和标准规范，制定本指南。本指南可用于指导各级政务云平台（泛指承载政务信息系统运行的云平台）建设单位、运营单位以及商用密码应用安全性评估机构规范开展商用密码应用和安全性评估工作，也可供集成单位参考。 本指南主要依据GB/T39786-2021《信息安全技术信息系统密码应用基本要求》等密码应用与安全性评估标准规范编制。本指南中任何与当前或后续发布的密码国家标准和行业标准不一致之处，以相关密码国家标准和行业标准为准。必要时本指南将根据最新的管理要求与相关技术标准进行更新。 本指南分为四章。第一章主要梳理政务云平台典型应用场景；第二章主要对政务云平台相关风险、密码应用需求、保护对象进行梳理；第三章主要对政务云平台进行密码应用设计；第四章主要对政务云平台密码应用安全性评估工作进行梳理。 本指南针对网络安全等级保护第三级信息系统密码应用要求进行设计，三级以下及四级信息系统可根据GB/T39786结合系统实际进行相应调整。相关密码应用措施和技术路线不限于固定方式，政务云平台建设单位和运营单位可根据自身已有密码应用基础，结合实际进行密码应用改造，以满足相关密码管理要求。 本指南主要针对云平台管理应用自身密码应用，在满足政务云平台自身密码应用的同时，政务云平台还应根据云上应用需求提供满足密码应用要求的物理环境（门禁、监控）、安全运维方式、公共传输通道（如IPSecVPN）等云上应用难以解决的必要的公共基础设施密码支撑能力。 本指南主要起草单位：国家信息中心、中电科网络安全科技股份有限公司、格尔软件股份有限公司、长春吉大正元信息技术股份有限公司、中国科学院信息工程研究所、国家信息技术安全研究中心、智巡密码（上海）检测技术有限公司、中国信息通信研究院、西安得安信息技术有限公司、北京信安世纪科技股份有限公司、同智伟业软件股份有限公司、国家密码管理局商用密码检测中心、四川省大数据中心、海南省大数据管理局、福建省密码管理局、安徽省大数据中心。 本标准主要起草人：魏连、王笑强、杨绍亮、杜小建、李元龙、南旭东、郭宏杰、郭亓元、王姮力、秦小龙、王小勇、李丹、阎亚龙、马原、魏东宾、牟杰、朱典、徐辉、陈天宇、吴冬宇、刘军荣、李佳曦、王珂、朱立通、王永起、李政坪、宋晓勇、王泉景。 I 1场景概述 1.1场景相关政策要求 《商用密码应用安全性评估管理办法（国家密码管理局令第3号）》要求，重要网络与信息系统建设阶段，其运营者应当按照通过商用密码应用安全性评估的商用密码应用方案组织实施，落实商用密码安全防护措施，建设商用密码保障系统。重要网络与信息系统运行前，其运营者应当自行或者委托商用密码检测机构开展商用密码应用安全性评估。网络与信息系统未通过商用密码应用安全性评估的，运营者应当进行改造，改造期间不得投入运行。重要网络与信息系统建成运行后，其运营者应当自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估，确保商用密码保障系统正确有效运行。未通过商用密码应用安全性评估的，运营者应当进行改造，并在改造期间采取必要措施保证网络与信息系统运行安全。 《国家政务信息化项目建设管理办法》（国办发〔2019〕57号）要求，政务信息化项目建设单位，应同步规划、同步建设、同步运行密码保障系统并定期进行评估。项目备案文件应当包括项目名称、建设单位、审批部门、绩效目标及绩效指标、投资额度、运行维护经费、经费渠道、信息资源目录、信息共享开放、应用系统、等级保护或者分级保护备案情况、密码应用方案和密码应用安全性评估报告等内容，其中改建、扩建项目还需提交前期项目第三方后评价报告。国家政务信息化项目建成后半年内，项目建设单位应当按照国家有关规定申请审批部门组织验收，提交验收申请报告时应当一并附上项目建设总结、财务报告、审计报告、安全风险评估报告、密码应用安全性评估报告等材料。对于不符合密码应用和网络安全要求，或者存在重大安全隐患的政务信息系统，不安排运行维护经费，项目建设单位不得新建、改建、扩建政务信息系统。各部门应当严格遵守有关保密等法律法规规定，构建全方位、多层次、一致性的防护体系，按要求采用密码技术，并定期开展密码应用安全性评估，确保政务信息系统运行安全和政务信息资源共享交换的数据安全。 《请进一步加强国家政务信息系统密码应用与安全性评估的工作的函》（国密局〔2020〕119号）要求，各项目建设单位按照《办法》密码应用与安全性评估的有关要求，同步规划、同步建设、同步运行密码保障系统并定期进行密码应用安全性评估，保障密码应用与安全性评估经费，配备密码保障系统管理和运维人员。 1.2典型场景介绍 1.2.1场景代表性 随着信息技术的发展，云计算已经被广泛应用。为降低系统成本，打通数据融合，越来越多的政府及事业单位的系统选择部署在云上。云计算技术融合了软硬件资源，采用了虚拟化技术，主机边界和网络边界相对于传统数据中心来讲变得非常模糊，风险不但来自南北流量，还来自东西流量，部署在云平台上的系统，其安全风险也随之增加。 政务信息系统上云是国家统筹推进政务数据共享和应用的重要举措，《国家政务信息化项目建设管理办法》（国办发〔2019〕57号）要求项目建设单位应当充分依托云服务资源开展集约化建设。《国务院关于加强数字政府建设的指导意见》（国发〔2022〕14号）要求，强化政务云平台支撑能力，国务院各部门政务云纳入全国一体化政务云平台体系统筹管理；各地区按照省级统筹原则开展政务云建设，集约提供政务云服务。 截至2022年10月，全国31个省（自治区、直辖市）和新疆生产建设兵团云基础设施基本建成，超过70%的地级市建设了政务云平台，政务信息系统逐步迁移上云，初步形成集约化建设格局。云计算应用后，业务应用呈现资源虚拟化、数据集中化、应用服务化的特点，促使安全防护理念发生深刻改变，对云上密码服务模式、密码应用场景及密码服务能力提出了前所未有的高要求。 1.2.2政务云平台场景介绍 典型政务云平台系统整体架构图如图1所示。 图1典型政务云平台系统整体架构图 (1)物理资源层。物理资源层包括政务云平台运行所需要的基础支撑物理环境，包括计算资源和存储资源等。 (2)资源抽象控制层。资源抽象控制层通过虚拟化技术，负责对底层硬件资源进行抽象，对底层硬件故障进行屏蔽，统一调度计算、存储、网络、安全资源池，并提供资源的统一部署和监控。 (3)云服务层。服务层提供完整的laaS(Infrastructureasaservice,基础设施即服务）、PaaS（PlatformasaService,平台即服务）和SaaS（SoftwareasaService,软件即服务）三层云服务，政务云平台的主要业务在云服务层面运行。 政务云平台典型场景业务流程如表1所示。 表1政务云典型场景业务流程梳理 序号 业务名称 业务流程描述 1 云平台管理 云平台管理员登录云平台管理应用，完成对云平台的管理。 2 云上应用管理 租户登录政务云平台管理应用，进行云上应用的部署和管理工作。 3 虚拟机迁移、快照恢复 云平台中虚拟机进行迁移的过程；虚拟机镜像文件、快照文件生成、存储、传输和使用的过程。 1.3技术标准和指导性文件 本文件参考的技术标准和指导性文件如下： GB/T20518-2018《信息安全技术公钥基础设施数字证书格式规范》 GB/T25056-2018《信息安全技术证书认证系统密码及其相关安全技术规范》GB/T32905-2016《信息安全技术SM3密码杂凑算法》 GB/T32907-2016《信息安全技术SM4分组密码算法》GB/T33560-2017《信息安全技术密码应用标识规范》GB/T35276-2017《信息安全技术SM2密码算法使用规范》 GB/T35291-2017《信息安全技术智能密码钥匙应用接口规范》GB/T36322-2018《信息安全技术密码设备应用接口规范》GB/T36968-2018《信息安全技术IPSecVPN技术规范》 GB/T37033-2018《信息安全技术射频识别系统密码应用技术要求》GB/T37092-2018《信息安全技术密码模块安全要求》 GB/T38540-2020《信息安全技术安全电子签章密码技术规范》GB/T38556-2020《信息安全技术动态口令密码应用技术规范》GB/T38629-2020《信息安全技术签名验签服务器技术规范》 GB/T38636-2020《信息安全技术传输层密码协议（TLCP）》GB/T39786-2021《信息安全技术信息系统密码应用基本要求》GM/T0018-2012《密码设备应用接口规范》 GM/T0024-2014《SSLVPN技术规范》GM/T0025-2014《SSLVPN网关产品规范》GM/T0026-2014《安全认证网关产品规范》GM/T0027-2014《智能密码钥匙技术规范》GM/T0030-2014《服务器密码机技术规范》 GM/T0036-2014《采用非接触卡的门禁系统密码应用技术指南》GM/T0050-2016《密码设备管理设备管理技术规范》 GM/T0051-2016《密码设备管理对称密钥管理技术规范》GM/T0104-2021《云服务器密码机技术规范》 GM/T0115-2021《信息系统密码应用测评要求》GM/T0116-2021《信息系统密码应用测评过程指南》GM/Y5001-2019《密码标准应用指南》 GM/Y5002-2018《云计算身份鉴别服务密码标准体系》GM/Z4001-2013《密码术语》 GW0013-2017《政务云安全要求》 GW0202-2014《国家电子政务外网安全接入平台技术规范》GW0206-2014《接入政务外网的局域网安全技术规范》 《信息系统密码应用高风险判定指引》 《商用密码应用安全性评估量化评估规则》 《商用密码安全性评估FAQ》 2密码应用需求 2.1风险分析和安全需求 2.1.1物理和环境安全 （一）风险分析 (1)存在非法人员进入政务云平台所在物理机房等重要物理环境，对软硬件设备和数据进行直接破坏的风险； (2)存在政务云平台所在物理机房等重要物理环境电子门禁进出记录，视频监控音像记录等遭到篡改，非法人员进出情况被掩盖的风险。 （二）密码应用需求 (1)部署符合GM/T0036等标准的电子门禁系统，采用基于对称密码算法或密码杂凑算法的消息鉴别码(MAC)机制、基于公钥密码算法的数字签名机制等 密码技术，对进入政务云平台所在物理机房等重要物理区域人员进行身份鉴别。 (2)采用基于对称密码算法或密码杂凑算法的消息鉴别码(MAC)机制、基于