密評標準升級了哪些內容
【時(shí)間】2021-04-30
【編輯】Admin
【瀏覽量】
【等級保護QQ交流群】881590869
2021年3月9日，《信息安全技術(shù) 信息系統密碼應用基本要求》（GB/T 39786-2021）（以下簡(jiǎn)稱(chēng)GB39786）正式發(fā)布，于2021年10月1日起實(shí)施。GB39786為《信息系統密碼應用基本要求》（GM/T 0054-2018）（以下簡(jiǎn)稱(chēng)0054）標準的國標升級版，標準內容更加規范，要求更加明確，邏輯更加清晰，同時(shí)對于密評實(shí)際執行過(guò)程中遇到的問(wèn)題也做了相應的修訂，使得密評工作能夠更加有序、快速的加以推進(jìn)。本文主要針對等保三級信息系統的密碼應用基本要求進(jìn)行分析。首先第三級中采用的密碼產(chǎn)品，具有商用密碼產(chǎn)品認證證書(shū)是基礎條件，同時(shí)相比之前0054中的安全要求，GB39786中要求達到《信息安全技術(shù) 密碼模塊技術(shù)要求》（GB/T 37092-2018）二級及以上安全要求即可。其次第三級中的密碼應用基本要求主要包括：通用要求、對真實(shí)性和機密性的技術(shù)要求、管理要求。通用要求就是密碼算法、密碼技術(shù)、密碼產(chǎn)品和密碼服務(wù)的合規性要求。管理要求由管理制度、人員管理、建設運行和應急處置等四個(gè)密碼應用管理維度構成。技術(shù)要求還是從物理和環(huán)境安全、網(wǎng)絡(luò )和通訊安全、設備和計算安全、應用和數據安全四個(gè)層面提出。物理和環(huán)境安全中，第三級的要求從之前的“應”全部改為了“宜”，該部分內容可以根據實(shí)際情況在密碼改造方案中暫不涉及。網(wǎng)絡(luò )和通訊安全中，第三級“應”的要求包括兩項內容：對通信實(shí)體進(jìn)行身份鑒別，保證通信實(shí)體身份的真實(shí)性；保證通信過(guò)程中重要數據的機密性。針對身份鑒別和重要數據的機密性保護，海泰方圓有完善的瀏覽器+SSL VPN密碼改造方案。設備和計算安全中，第三級“應”的要求包括兩項內容：對登錄設備的用戶(hù)進(jìn)行身份鑒別，保證用戶(hù)身份的真實(shí)性；遠程管理設備時(shí)，建立安全的信息傳輸通道。針對身份鑒別，海泰方圓有完善的通過(guò)數字證書(shū)、動(dòng)態(tài)口令等實(shí)現的密碼改造方案；針對安全通道的建立，海泰方圓有完善的國密通信中間件密碼改造方案。應用和數據安全中，第三級“應”的要求包括三項內容：對登錄用戶(hù)進(jìn)行身份鑒別，保證應用系統用戶(hù)身份的真實(shí)性；保證信息系統應用的重要數據在傳輸過(guò)程中的機密性；保證信息系統應用的重要數據在存儲過(guò)程中的機密性。針對身份鑒別，可以采用設備和計算安全中相同的密碼改造方案；針對傳輸過(guò)程的數據機密性保護，可以采用網(wǎng)絡(luò )和通訊中相同的密碼改造方案實(shí)現信道級數據的機密性保護，也可以采用海泰方圓的數據加解密服務(wù)實(shí)現信源級數據的機密性保護；針對存儲過(guò)程的數據機密性保護，海泰方圓有完善的數據加解密密碼改造方案。
