政务领域政务服务平台密码应用与安全性评估实施指南

政务领域政务服务平台 密码应用与安全性评估实施指南 中国密码学会密评联委会 二〇二四年四月 目录 前言I 1场景概述1 1.1场景相关政策要求1 1.2典型场景介绍2 1.2.1场景代表性2 1.2.2政务服务平台场景介绍3 1.3技术标准和指导性文件6 2密码应用需求7 2.1风险分析和安全需求7 2.1.1物理和环境安全7 2.1.2网络和通信安全7 2.1.3设备和计算安全8 2.1.4应用和数据安全9 2.1.5安全管理10 2.1.6主要保护对象10 2.2场景对密码应用的特殊要求14 3密码应用实施指南14 3.1典型场景业务的密码应用设计14 3.1.1物理和环境安全15 3.1.2网络和通信安全16 3.1.3设备和计算安全16 3.1.4应用和数据安全16 3.1.5密钥管理安全17 3.1.6安全管理19 3.1.7密码应用工作流程示例20 3.2密码产品/服务选择和部署22 3.3与GB/T39786对照情况说明24 3.4注意事项27 4密码应用安全性评估实施指南27 4.1主要测评指标的选择和确定27 4.2主要测评内容29 4.2.1现场测评方法29 4.2.2测评实施30 4.3主要测评结果36 4.4注意事项37 前言 为贯彻落实《中华人民共和国密码法》《商用密码管理条例》等法律法规，促进政务领域政务服务平台场景中商用密码的合规、正确、有效应用，依据国家密码政策要求和标准规范，制定本指南。本指南可用于指导各级政务服务平台相关系统建设单位和使用单位以及商用密码应用安全性评估机构规范开展商用密码应用和安全性评估工作，也可供集成单位参考。 本指南主要依据GB/T39786-2021《信息安全技术信息系统密码应用基本要求》等密码应用与安全性评估标准规范编制。本指南中任何与当前或后续发布的密码国家标准和行业标准不一致之处，以相关密码国家标准和行业标准为准。必要时本指南将根据最新的管理要求与相关技术标准进行更新。 本指南分为四章。第一章主要梳理政务服务平台典型应用场景；第二章主要对政务服务平台相关风险、密码应用需求、保护对象进行梳理；第三章主要对政务服务平台进行密码应用设计；第四章主要对政务服务平台密码应用安全性评估工作进行梳理。 本指南针对网络安全等级保护第三级信息系统密码应用要求进行设计，三级以下及四级信息系统可根据GB/T39786结合系统实际进行相应调整。相关密码应用措施和技术路线不限于固定方式，政务服务平台相关建设单位和使用单位可根据自身已有密码应用基础，结合实际进行密码应用改造，以满足相关密码管理要求。 本指南主要起草单位：国家信息中心、中电科网络安全科技股份有限公司、格尔软件股份有限公司、长春吉大正元信息技术股份有限公司、中国科学院信息工程研究所、国家信息技术安全研究中心、智巡密码（上海）检测技术有限公司、西安得安信息技术有限公司、北京信安世纪科技股份有限公司、同智伟业软件股份有限公司、国家密码管理局商用密码检测中心、四川省大数据中心、海南省大数据管理局、福建省密码管理局、安徽省大数据中心。 本标准主要起草人：魏连、王笑强、杨绍亮、杜小建、李元龙、南旭东、郭宏杰、郭亓元、王姮力、秦小龙、王小勇、李丹、阎亚龙、马原、魏东宾、牟杰、朱典、冯世宇、徐辉、陈天宇、吴冬宇、刘军荣、王珂、朱立通、王永起、唐鸣、宋晓勇、王泉景。 I 1场景概述 1.1场景相关政策要求 《商用密码应用安全性评估管理办法（国家密码管理局令第3号）》要求，重要网络与信息系统建设阶段，其运营者应当按照通过商用密码应用安全性评估的商用密码应用方案组织实施，落实商用密码安全防护措施，建设商用密码保障系统。重要网络与信息系统运行前，其运营者应当自行或者委托商用密码检测机构开展商用密码应用安全性评估。网络与信息系统未通过商用密码应用安全性评估的，运营者应当进行改造，改造期间不得投入运行。重要网络与信息系统建成运行后，其运营者应当自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估，确保商用密码保障系统正确有效运行。未通过商用密码应用安全性评估的，运营者应当进行改造，并在改造期间采取必要措施保证网络与信息系统运行安全。 《国务院关于加快推进“互联网+政务服务”工作的指导意见》（国发〔2016〕55号）要求，加强网络和信息安全保护。按照国家信息安全等级保护制度要求，加强各级政府网站信息安全建设，健全“互联网+政务服务”安全保障体系。明确政务服务各平台、各系统的安全责任，开展等级保护定级备案、等级测评等工作，建立各方协同配合的信息安全防范、监测、通报、响应和处置机制。加强对电子证照、统一身份认证、网上支付等重要系统和关键环节的安全监控。提高各平台、各系统的安全防护能力，查补安全漏洞，做好容灾备份。建立健全保密审查制度，加大对涉及国家秘密、商业秘密、个人隐私等重要数据的保护力度，提升信息安全支撑保障水平和风险防范能力。 《国务院办公厅关于印发“互联网+政务服务”技术体系建设指南的通知》（国办函〔2016〕108号）要求，遵循国家信息安全等级保护相关规范以及国家保密管理和密码管理的有关要求，建立健全“互联网+政务服务”安全保障体系。整体考虑、顶层规划“互联网+政务服务”安全保障体系的建设，按照信息系统安全等级保护要求构建数据存储环境、应用系统环境、运行管理机制，确保政务数据安全和公民个人数据合法应用。安全保障体系要与“互联网+政务服务”应用系统同步建设，对所建安全保障体系要进行重点保护、实施动态调整。加大对平台中各类公共信息、个人隐私等重要数据的保障力度，加强平台中各类公共信息、个人隐私等重要数据的安全防护，建立数据安全规范。在系统后台对每类数据的安全属性进行必要的定义和设置，详细规定数据的开放范围和开放力度，并严格执行相应的权限管理。 《国务院关于加快推进全国一体化在线政务服务平台建设的指导意见》（国办函〔2018〕27号）要求，加强政务大数据安全管理，制定平台数据安全管理办 法，加强对涉及国家利益、公共安全、商业秘密、个人隐私等重要信息的保护和管理。应用符合国家要求的密码技术产品加强身份认证和数据保护，优先采用安全可靠软硬件产品、系统和服务，以应用促进技术创新，带动产业发展，确保安全可控。应用基于商用密码的数字签名等技术，依托国家政务服务平台建设权威、规范、可信的国家统一电子印章系统。 《国家政务信息化项目建设管理办法》（国办发〔2019〕57号）要求，政务信息化项目建设单位，应同步规划、同步建设、同步运行密码保障系统并定期进行评估。项目备案文件应当包括项目名称、建设单位、审批部门、绩效目标及绩效指标、投资额度、运行维护经费、经费渠道、信息资源目录、信息共享开放、应用系统、等级保护或者分级保护备案情况、密码应用方案和密码应用安全性评估报告等内容，其中改建、扩建项目还需提交前期项目第三方后评价报告。国家政务信息化项目建成后半年内，项目建设单位应当按照国家有关规定申请审批部门组织验收，提交验收申请报告时应当一并附上项目建设总结、财务报告、审计报告、安全风险评估报告、密码应用安全性评估报告等材料。对于不符合密码应用和网络安全要求，或者存在重大安全隐患的政务信息系统，不安排运行维护经费，项目建设单位不得新建、改建、扩建政务信息系统。各部门应当严格遵守有关保密等法律法规规定，构建全方位、多层次、一致性的防护体系，按要求采用密码技术，并定期开展密码应用安全性评估，确保政务信息系统运行安全和政务信息资源共享交换的数据安全。 《国务院关于加强数字政府建设的指导意见》（国发〔2022〕14号）要求，加强关键信息基础设施安全保护和网络安全等级保护，建立健全网络安全、保密监测预警和密码应用安全性评估的机制，定期开展网络安全、保密和密码应用检查，提升数字政府领域关键信息基础设施保护水平。 《全国一体化政务大数据体系建设指南的通知》(国办函〔2022〕102号)要求，形成制度规范、技术防护和运行管理三位一体的全国一体化政务大数据安全保障体系。 1.2典型场景介绍 1.2.1场景代表性 政务服务平台是建设“数字政府”的重要组成，是政府机关面向办事群众提供政务服务的重要环节。截至目前，各省（区、市）人民政府、国务院有关部门普遍建成网上政务服务平台，已经形成了覆盖全国的整体联动、部门协同、省级统筹、一网办理的“互联网+政务服务”技术和服务体系，实现政务服务的标准化、精准化、便捷化、平台化、协同化，政务服务流程显著优化，服务形式更加多元，服务渠道更为畅通，群众办事满意度显著提升。 在基于大数据技术的政务数据全面共享背景下，各级政务服务平台的数据安全体系并未有效打通，数据安全边界消失，公民个人隐私数据、企业商业秘密数 据等重要数据泄露的威胁日益加剧，需要利用密码技术建立统一的数据安全支撑体系，保障政务服务数据在流转和使用时得到有效的管控。 1.2.2政务服务平台场景介绍 政务服务平台是各级政务服务实施机构运用互联网、大数据、云计算等技术手段，整合各类政务服务事项和业务办理等信息，通过网上大厅、办事窗口、移动客户端、自助终端等多种形式，结合第三方平台，为自然人和法人提供一站式办理的政务服务的网上服务平台。 政务服务平台体系由国家级平台、省级平台、地市级平台三个层级组成，各层级之间通过政务服务数据共享平台进行资源目录注册、信息共享、业务协同、监督考核、统计分析等，实现政务服务事项就近能办、同城通办、异地可办。政务服务平台层级体系如图1所示。 图1政务服务平台层级体系图 政务服务平台主要由互联网政务服务门户、政务服务管理平台、业务办理系统和政务服务数据共享平台四部分构成。平台各组成部分之间需实现数据互联互通，各组成部分之间的业务流、信息流如图2所示。 图2政务服务平台系统组成图 互联网政务服务门户统一展示、发布政务服务信息，接受自然人、法人的政务服务申请信息，经与政务服务数据共享平台进行数据验证、比对和完善后，发送至政务服务管理平台进行处理，将相关受理、办理和结果信息反馈申请人。 政务服务管理平台把来自互联网政务服务门户的申请信息推送至政务服务数据共享平台，同步告知业务办理系统；政务服务管理平台从政务服务数据共享平台获取并向互联网政务服务门户推送过程和结果信息，考核部门办理情况。 业务办理系统在政务服务数据共享平台取得申请信息和相关信息后进行业务办理，将办理过程和结果信息推送至政务服务数据共享平台，同步告知政务服务管理平台。 政务服务数据共享平台汇聚政务服务事项、电子证照等数据，以及来自互联网政务服务门户的信息、政务服务管理平台受理信息、业务办理系统办理过程和结果，实现与人口、法人等基础信息资源库的共享利用。 政务服务事项管理 政务服务运行管理 电子监察管理 电子证照 管理 政务服务平台技术架构由基础设施层、数据资源层、应用支撑层、业务应用层、用户及服务层五个层次组成，政务服务平台技术架构如图3所示。 标准规范与管理制度 自然人法人 实体大厅PC电脑移动终端自助服务终端呼叫热线 用户及服务层互联网政务服务门户 用户注册事项发布事项办理用户互动办事查询服务评价 安全与运维保障体系 政务服务管理平台业务办理系统 业务 应用层统建业务办理系统统建业务办理系统应用支撑层 数据政务服务数据共享平台（政务信息资源共享目录与数据交换） 资源层地理空间政务服务电子证照投资项目办事过程监管信息人口库法人库库事项库库库信息库共享库 基础 电子政务网络互联网计算及存储设施信息安全设施 设施层 支付平台 物流平台 用户管理及认证 CA和电子印章 工作流引擎 电子表单 消息服务 图3政务服务平台技术架构图 政务服务业务办理全过程依托政务服务数据共享平台支撑，业务数据在互联网政务服务门户、政务服务管理平台、业务办理系统之间流转，政务服务平台具体全过程业务流程示意图如图4所示。 申请表 手工填报 用户空间数据引用 政务服务数据共享平台 服务引导 自然人/ 申请表附件材料受