1、商用密码应用安全性评估（密评）介绍,目 录,密评的背景,密评的政策要求,密评的测评内容,密评的流程,密评与等保的关系,0102030405,密评的背景,密评的概念 密评的发展历程密评的重要性,01,什么是密码,口令(PIN、Password)口令是一个只有你知道的密码的词或短语，是允许进入某个系统的凭证口令不是密码，但口令的保护离不开密码技术密码（Cryptography）密码法第二条 本法所称密码，是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。加密保护：就是将“明文”变换成“密文”，再进行传输和存储。安全认证：就是确认一个信息、一个身份、一个行为是否真实。密码技术用
2、于保证信息的机密性、真实性、完整性和行为不可否任性。是密码算法、密码协议和密钥管理的总和,什么是密码,密码算法,对信息进行“明密“变化，产生认证标签的特定的数学逻辑。对称密码算法：DES、AES、zUC算法、SM4公钥密码算法：RSA、ElGamal、背包算法、SM2、SM9密码杂凑算法：MD5、SHA-1、SHA-2、SM3,密钥管理,密钥是密码算法的控制参数。对密钥的产生、存储、使用、,更新、归档、撤销、备份、恢复和销毁的全生命周期管理。,密码协议,两个或两个以上的参与者使用密码算法，为达到加密保护或安全认证目的而约定的交互规则。常用协议有：密钥交换协议、身份鉴别协议、电子支付协议等。,密
3、评的概念,第六条 国家对密码实行分类管理。密码分为核心密码、普通密码和商用密码。第八条 商用密码用于保护不属于国家秘密的信息。,密码法,商用密码是“对不涉及国家秘密内容的信息，进行加密保护或者安全认证”所使用的密码技术、密码产品和密码服务。商用密码应用安全性评估（简称“密评”）是指对采用商用密码技术、产品和服务集成建设的网络和信息系统的密码应用的合规性、正确性、有效性进行评估。,合规性密码算法、密码协议、密钥管理、密码产品和服务的 使用要符合国家法规和标准；密码应用建设方案符合标准。,有效性密码体系在设计合理、合规的前提下，还能在系统运行中发挥密码效用，保障信息的机密性、完整性、真实性、抗抵赖
4、性。,正确性按国家行业标准，对密码算法、协议和密钥管理机制，进行正确的设计和实现；密 码产品及服务的部署和应用 要正确。,为什么要进行商用密码应用建设和密评,份额，然而国际密码算法和技术，存在供应链安全风险，因此必须发展自主密码技术；关系国计民生、国家安全的广泛行业的信息化系统，密码应用严重缺失；密码不仅是各行各业信息化系统的“基础零部件”，也是安全的基石，密码技术保证了信息的机密性、真实性、完整性、不可否认性，是实现网络安全的主要技术手段，应对严峻的网络安全形式，迫切需要商用密码应用。,（1）国际密码算法和技术（如AES、（1）通过专项测试和综合评估，掌 RSA、SHA256）占据大部分市场
5、,握商用密码应用的安全现状，从而促进大家采取必要的技术和管理措施，加强系统安全维护；（2）“密评”体系的建立可以从根本上改变商用密码应用不广泛、不规范、不安全的现状。,应对严峻网络安全形势的迫切需要系统安全维护的必然要求,密码法要求关键信息基础设施使用商用密码进行保护，自行或者委托商用密码检测机构，开展商用密码应用安全性评估（密码测 评）；等保2.0中，明确要求安全测试报告，应包含密码应用安全性测试相关内容；针对网络安全等级保护第三级及以上信息系统、政务信息系统和关键信息基础设施，开展“密评”将是网络运营者和主管部门的法定 职责。,相关责任主体的法定职责,密码应用法规的发展,2016中华人民共
6、和国网络安全法第三章“网络安全运行”中，关于“关键信息基础设施的 运行安全”共9条，明确网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保证网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。,2017中华人民共和国密码法（草案征求意见稿），关键信息基础设施安全保护条例（草案征求意见稿）,条例明确政府机关和交通、,提供大型公共信息网络服务单位进行重点保障，地五十三条规定：关键信息基础设施中的密码使用和管理，还应遵守密码法律，行政法规的规定。,金融和重要领域密码应用与创新发展工作计划（2018-2022）构建以密码技术为核心的，多种技术相融合的网络安,全体系，
7、形成以密码基础,水利、教育、公共事业单位、设施为支撑的新网络安全,环境。,网络安全等级保护,强化网络安全等级保护中的密码应用。,中华人民共和国密码法关键信息基础设施应当依照法律、法规和密码相关安全国家标准的强制性要求，使用密码进行保护，同步规划、同步建设、同步运行密码保障系统。,2021,GB/T 39786-2021 信,息安全技术 信息系统密,基本要求（等保2.0）码应用基本要求,从技术要求、管理要求两类共8个层面，提出保护不同级别的密码技术应用要求和安全管理要求。中华人民共和国数据安全法规范数据处理活动，保障 数据安全，促进数据开发 利用，保护个人，组织的 合法权益，维护国家主权、安全和
8、发展利益。,党和国家高度重视密码发展，明确规定用密码保护重要数据20192018,“密评”发展历程,密评的政策要求,02,国家领导人的重要指示密码法的要求商用密码管理条例的要求国家政务信息化项目建设管理办法的要求中办36号文主要要求国密局函【2020】119号文的要求,国家领导人的重要指示,2018年全国网络安全和信息化工作会议，习近平总书记明确提出“没有网络安全就没有国家安全”,网络安全和信息化是一体之两翼，驱动之双轮，必须统一谋划，统一部署，统一推进，统一实施。密码技术、航天技术和核技术是不容外国染指的三块自留地，是国家的三大战略武器。,密码法的要求,第二十七条 法律、行政法规和国家有关规
9、定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估和测评。,商用密码管理条例的要求,第三十八条 非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统，其运营者应当使用商用密码进行保护，制定商用密码使用方案，配备必要的资金和专业人员，同步规划、同步建设、同步运行商用密码保障系统，自行或者委托商用密码检测机构开展商用密码应用安全性评估。前款所列网络与信息系统通过商用密码应用安全性
10、评估方可投入运行，运行后每年至少进行一次评估，评估情况报送所在地区的市级密码管理部门备案。,国家政务信息化项目建设管理办法的要求（57号文）,第九条 国家政务信息化项目，应当按规定履行审批程序并向国家发展改革委备案。备案文件应当包括密码应用方案和密码应用安全性评估报告。第十五条 项目建设单位应当落实国家密码管理有关法律法规和标准规范的要求，同步规划、同步建设、同步运行密码保障系统并定期进行评估。第二十五条 国家政务信息化项目建成后半年内，项目建设单位应当按照国家有关规定申请审批部门组织验收，提交验收申请报告时应当一并附上密码应用安全性评估报告等材料。第二十八条 对于不符合密码应用和网络安全要求
11、，或者存在重大安全隐患的政务信息系统，不安排运行维护经费，项目建设单位不得新建、改建、扩建政务信息系统。第三十条 国务院办公厅、国家发展改革委、财政部、中央网信办会同有关部门对密码应用、网络安全等情况实施监督管理。发现违反国家有关规定或者批复要求的，应当要求项目建设单位限期整改。逾期不整改或者整改后仍不符合要求的，项目审批部门可以对其进行通报批评、暂缓安排投资计划、暂停项目建设直至终止项目。,基本建成,效果,高质量密码供给体系密码测评认证体系,构建以密码技术为核心、多种技术相互融合的新网络安全体系，建设以密码基础设施为支撑的新网络安全环境，形成安全互信、开发共享的新网络安全文明,着力在金融和重
12、要领域推荐密码全面应用着力在构建自治可控信息技术体系中推进密码优先发展,密码保证金融和重要领域网络安全有力支撑信息领域核心技术突破切实维护国家安全、促进经济社会发展，保护人民群众利益,中办36号文的要求,规划对各级党委和政府的要求各地区需依据本规划制定本地区、本部门、本行业的实施方案，做好规划实施的统筹和指导，督促规划落实。关键信息基础设施和重要网络信息系统建设立项时要统筹好密码应用，政府采购中应明确密码应用要求。各级党委和政府要将本规划落实纳入督查督办事项及网络安全审计范围。建立密码应用动态监测体系，及时开展专项检查，将相关工作纳入各级党委和政府年度绩效考核。,金融和重要领域密码应用与创新发
13、展工作规划（2018-2022年）,国密局函【2020】119号的要求,一、项目建设单位要同步规划、同步建设、同步运行密码保障系统，并定期进行密码应用安全性评估，保障密码应用与安全性评估经费，配备密码保障系统管理和运维人员。二、办法实施前（已完成审批，正在建设的项目，需进一步加强密码应用 方案的编制论证，建设和完善密码保障系统，并在验收前，开展密码应用安全 性评估。办法实施前已完成验收的项目，请在今年内，完善密码应用方案，并组织开展密码应用安全性评估。三、项目建设单位的密码管理机构，要切实做好密码应用与安全性评估的统筹、指导、督促工作。项目审批部门、资金管理部门，在履行相关管理职能时，要 做好
14、与密码应用与安全性评估有关要求的衔接工作。四、有关密码应用与安全性评估工作，可参考政务信息系统密码应用与安全性评估工作指南；委托开展密码应用安全性评估，可从商用密码应用安全性评估试点机构目录中，选择评估机构。,密评的测评内容,03,密评主要内容介绍设备和计算安全要求密钥管理要求,物理和环境安全要求应用和数据安全要求安全管理要求,“密评”测评主要内容介绍（三级）,信息安全技术 信息系统密码应用基本要求（GB/T 39786-2021）,密码应用技术要求,物理和环境安全,网络和通信安全,设备和计算安全,应用和数据安全,密码应用管理要求,密码算法,密码产品和服务,密码技术,通用要求,注：2020年1
15、2月8日国家密码管理局发布的信息系统密码应用测评要求对密码算法和密码技术合规性、密钥管理安全性不再单独判定符合性。,“密评”技术要求物理和环境安全,电子门禁,采用密码技术保证电子门禁系统进出记录数据的存储完整性。,视频记录,采用密码技术保证视频监控音像记录数据的存储完整性。,采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性。,身份鉴别,“密评”技术要求物理和环境安全,密码模块,摄像头,密码模块,摄像头,管理员,电视墙,监控/回放,秘钥分发,秘钥分发,门禁卡SMX,发/读卡器,门禁卡SMX,交换机,国密NVR,视频安全秘钥服务器,服务器密码机,门禁管理服务器,10分易改造，有成
16、熟方案，免集成。比非国密门禁和视频成本高。,“密评”技术要求网络和通信安全,通信数据完整性采用密码技术保证通信过程中数据的完整性,通信过程中重要数据的机密性采用密码技术保证通信过程中重要数据的机密性。,网络边界访问控制信息的完整性采用密码技术保证网络边界访问控制信息的完整性。,采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性。,安全接入认证,身份鉴别应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性。,“密评”技术要求网络和通信安全,终端,网络边界,安全区,VPN加密通道,信息系统,信息系统,信息系统,国密IPSec/SSL VPN15分 易改造，免集
17、成，成本低,“密评”技术要求设备和计算安全,远程管理远程管理设备时，采用密码技术建立安全的信息传输通道。,系统资源访问控制信息完整性采用密码技术保证系统资源访问控制信息的完整性。,重要信息资源安全标记完整性采用密码技术保证设备中的重要信息资源安全标记的完整性。,采用密码技术保证日志记录的完整性。,日志记录完性整,重要可执行程序完整性、重要可执行程序来源真实性采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证。,身份鉴别采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性。,“密评”技术要求网络和通信安全,终端,运维管理,安全区,信息系统,信息系统,信息系统,安全认证
18、网关,15分 易改造，免集成，成本低,VPN加密通道身份鉴别,堡垒机,“密评”技术要求应用和数据安全,机密性 重要数据传输 重要数据储存,完整性 访问控制信息 重要信息资源安全标记 重要数据传输 重要数据储存,不可否任性在可能涉及法律责任认定的应用中，采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为和数据接收行为的不可否认性。,身份鉴别采用密码技术对登 录用户进行身份鉴 别，保证应用系统 用户身份的真实性。,“密评”技术要求应用和数据安全,身份鉴别,安全传输,安全存储,行为抗抵赖,访问控制,信息系统,密码服务接口,密码设备接口,PKI中间件,CA,服务器密码机,电子签章系统,签名验
19、签服务器,智能密码钥匙,密码产品,需要根据实际的信息系统业务场景、系统中的重要数据等相关情况进行规划和设计、配置所需的密码产品。,30分 改造难度大，需要进行业务系统的改造和集成，是整个商用密码应用建设的难点。,“密评”密钥管理要求,理清密钥流转的关系，对信息系统内的密钥安全进行检查（尤其是对进出密码产品和密码模块的密钥），给出全生命周期的密钥流转表，即标明这些密钥是如何生成、存储、分发、导入、导出、使用、备份、恢复、归档、销毁的，并核查是否满足要求。,确认所有密钥管理的操作都是由符合规定的密码产品或密码模块实现。GM/T 0005随机性检测规范 GM/T 0028密码模块安全技术要求,合规性
20、,“密评”安全管理要求,人员管理,应了解并遵守密码相关法律法规 建立岗位责任制度，关键岗位施行多人共管，设置密钥管理人员、安全审计人员、密码操作人员等关键岗位 建立上岗人员培训制度，定期进行安全岗位人员考核 建立关键岗位人员保密制度和调离制度,制定应急预案，做好应急资源准备 事件发生后，应及时向上级主管部门和同级的密码主管部门进行报告 事件处置完成后，应及时向同级的密码主管部门报告事件发生的情况及处 置情况,管理制度 具备密码应用安全管理制度,建立密钥管理规则、操作规程 定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证、审定和修订 明确管理制度发布流程 制度执行过程应留存相关记彔,
21、建设运行 规划阶段制定密码应用方案，选用被核准的密码产品或被许可的密码服务；实施阶段应制定实施方案 制定密钥安全管理策略 投入运行前，应经测评机构进行安全性评估，评估通过后方可投入正式运行 三级系统每年应委托测评机构开展评估 定期开展密码应用安全性评估及攻防对抗演习,应急处置,30分最容易达到，尽量确保不丢分。,密评的流程,密码应用开展流程密评的方式,密码应用方案评审密评的流程,04,密评高风险判断典型例子,密码应用开展流程,询,规划阶段，密码应用方案需要通过密评机构进行评审建设阶段，通过“密评”后的系统才能上线运行运行阶段，按规定定期开展“密评”,密码应用开展流程,咨询服务,测评/服务机构,
22、被测单位委托专业机构或自行编制密码应用方案,整改/建设服务系统建设/集成,填写调查表,密码应用方案评审,测评准备,制定测评方案,现场测评,咨询服务,测评服务,测评工具,配合测评，提供证据，商讨整改方案,获得测评报告,方案评审申请,测评服务申请,签订保密协议、委托测评协议等,调研、问询,测评中发现问题,国办57号文规定，政务信息系统，密评报告是项目验收的必备材料之一。等保测评报告中关于,密码应用的部分。提交地方密码管理局,备案。,结果分析与报告编制商用密码应用安全性评估报告,输出,如何进行国密建设/改造,找谁做？找具备密码应用改造能力的专业公司；找具备资质的测评公司,选什么产品？选择通过国家密码
23、管理部门核准的商用密码产品和服务。,主要的技术标准？信息安全技术 信息系统密码应用基本要求商用密码应用安全性评估测评过程指南商用密码应用安全性评估测评作业指导书,目标？政策合规、并通过有资质的第三方评估机构的商用密码应用安全评估，达到等保2.0密码应用要求,密码应用改造/测评,以用户信息安全的密码应用需求为导向，以通过密码测评符合新的等保2.0密码检测要求为目标。,密码应用建设单位的职责,01规划阶段,依据商用密码技术标准，制定商用密码应用方案，委托具有相关资质的测评机构进行评估。,02建设完成,自行或委托具有相关资质的测评 机构进行商用密码 应用安全性评估，评估结果作为项目 建设验收必备材料
24、，评估通过后，方可 投入运行。,03投入运行,自行或委托具有相关资质的测评机构定期开展商用密码应用安全性评估，评估未通过，应限期整改并重新组织评估，关键信息系统基础设施、政务信息系统，每年至少评估一次。,04重大变化,系统发生密码相关重大安全事件、重大调整或特殊紧急情况时，应及时组织具有资质的测评机构开展商用密码应用安全性评估，并依据评估结果进行应急处置，采取必要安全防范措施。,05结果报备,完成规划、建设、运行和应急评估后，应当在规定时间内将评估结果报主管部门及所在地级市的密码管理部门备案。,密码应用方案评审,信息系统责任单位,测评机构,委托,评审密码应用方案评审以信息安全技术 信息系统密码
25、应用基本要求（GB/T 39786-2021）的条款为主线，依据信息系统的实际情况，重点对密码应用解决方案、实施方案和应急处置方案三个方面进行评估。,密码应用方案编制模板,密码应用方案评审,密码应用解决方案评估要点：,实施方案评估要点：文档结构的完整性、实施过程的合理性、实施阶段划分的科学性。应急处置方案评估要点：文档结构的完整性、风险事件处置措施和应急的完备性、合理性、周密性。,密评的规范,中国密码学会密评联委会组织制定了信息系统密码应用测评要求、信息系统密码应用测评过程指南、信息系统密码应用高风险判定指引、商用密码应用安全性评估量化评估规则、商用密码应用安全性评估报告模板（2020版）这五
26、个测评类指导性文件。,信息系统密码应用测评要求,测评过程,测评结果,测评结果,信息系统密码应用测评过程指南,商用密码应用安全性评报告模板（2020版）,信息系统密码应用高风险判定指引,商用密码应用安全性评估量化评估规则,过程指导,风险判定,量化评估,结果规范,密评的流程,项目启动,信息搜集和分析,工具和表单准备,测评对象确定,测评指标确定,测评检查点确定,现场测评和结果记录,结果确认和资料归还,确认整体密码部署是否合规,实地检查密码配置是否正确,授权接入系统后确认密码使用是否有效,测评准备活动,方案编制活动,现场测评活动,分析与报告编制活动,密评的方式,采取人员访谈、文档查阅、现场核查、人工检
27、查、工具测试等方法开展现场测评访谈测评人员通过与信息系统有关人员（个人/群体）进行交流、讨论等活动，了解被测信息系统的密码应用情况，初步判断被测信息系统密码应用是否合规、正确。检查测评人员通过对观察、查验、分析等活动，对被测信息系统进行检测，分析被测系统的密码应用情况，判定被测信息系统密码应用是否合规、正确、有效。测试测评人员采用预定的方法/工具，对测评对象进行检测，通过查看、分析这些行为的结果，确定被测系统的密码应用情况，判定被测信息系统密码应用是否合规、正确、有效。,密评高风险判断典型例子,信息系统密码应用高风险判定指引（1）采用存在安全问题或安全强度不足的密码算法对重要数据进行保护，如M
28、D5、DES、SHA-1、RSA（不足2048比特）等密码算法；（2）采用安全性未知的密码技术，如未经安全性论证的自行设计的密码通信协议、未经认证的密码产品，未经安全性论证的密码通信协议等；（3）对于新建信息系统，在规划阶段未制定密码应用方案，或密码应用方案未通过评审；,注：在做高风险判定时会结合信息系统的实际情况对相关安全问题所引发的风险等级做出客观判断。,密评量化分值分布,根据当前的实践经验，在设计密码应用方案时，根据分值和要求，改造的难易程度，建议可以优先考 虑、重点关注：网络和通信安全，15分应用和数据安全，15分管理制度，30分,商用密码应用安全性评报告模板（2020版）规定，得分=
29、60分，无高风险项为符合。,密评与等保的关系,05,等保2.0测评与密码安全性评估的关系,核心技术网络安全等级保护工作需要综合应用可信计算、身份鉴别、访问控制、数据加密、完整性保护和抗抵赖等安全措施。,夯实基础密码技术是这些安全措施的重要基础，是网络安全的核心技术，密评有助于夯实网络安全等级保护测评的结论。,相互衔接、相互映照、相辅相成，共同推进国家网络安全,重点保护国家对关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。注意避免重复评估、建设。,相互映照网络安全等级保护条例（征求意见稿）增加密码管理专章。等保2.0系列标准,增加了商用密码应用安全的测评条款。,等保2.0标准涉及
30、到的与密码相关的测评条款,安全通信网络,通信传输（L3-CNS1-06）：数据的完整性通信传输（L3-CNS1-07）：数据的保密性,安全计算环境,身份鉴别（L3-CES1-03）：防止鉴别信息被窃听身份鉴别（L3-CES1-03）：其中一种身份鉴别技术应使用密码技术来实现数据完整性（L3-CES1-25）：数据传输完整性数据完整性（L3-CES1-26）：数据储存完整性数据保密性（L3-CES1-27）：数据传输保密性数据保密性（L3-CES1-28）：数据储存保密性,安全建设管理,安全方案设计（L3-CMS1-06）：设计内容应包含密码技术相关内容产品采购和使用（L3-CMS1-09）：密
31、码产品与服务的采购和使用符合国家密码主管部门要求,安全运维管理,密码管理（L3-MMS1-29）：遵循密码相关国家标准和行业标准密码管理（L3-MMS1-30）：使用国家密码主管部门认证核准的密码技术和产品,对现有情况整改方案的建议,对于近期无法完成密码应用改造的单位。建议：先进行密码应用安全性评估工作，再开始设计密码应用方案，然后继续根据密评工作流程开展工作。对于能够在规定时间内完成密码应用改造的单位。建议：马上开展系统调研并开始密码应用方案编写工作，然后按照密评工作流程开展工作。对于复杂的项目密评工作如何开展密码应用改造工作？建议：首先联系密评机构对系统进行详细情况调研，调研过后再给出细节型的建议。,2022THANK YOU,
