信息安全技术 电子文件密码应用指南-编制说明

国家标准报批资料一、工作简况1、任务来源根据全国信息安全标准化技术委员会下达的国家标准制修订计划（国标计划号：20141132-T-469），由中安网脉（北京）技术股份有限公司牵头编制《信息安全技术电子文件密码应用指南》。2、标准编制的主要成员单位项目成员单位主要包括：北京海泰方圆科技有限公司、北京电子科技学院、北京书生公司、国家信息安全工程技术研究中心、中国软件与技术服务有限公司。3、主要工作过程2014年3月8日，标准编制小组正式成立并召开了第一次会议。在该次会议上，编制小组成员讨论了本规范的编制目的、意义和原则，制定了工作计划并做了任务分工。2014年3月9日-10月22日，标准编制小组成员对现有的电子文件的相关标准规范进行了研究，重点分析了电子公文以及电子文件管理的相关标准，初步确定了电子文件的内涵，并形成了标准初稿。2014年10月23日-2015年4月，标准编制小组召开会议，修改标准初稿，并增加附录A作为规范性附录，定义了附录中的内容结构。2015年5月-2015年9月，标准编制小组召开会议，修改标准初稿，并增加附录B、C、D作为资料性附录，定义了附录中的内容结构。2015年10月-2016年5月，标准编制小组多次邀请外部专家对标准进行指导，在此过程中，删除了附录A、B、C、D，并提出电子文件结构可参考在研的《安全电子文件密码应用技术规范》。2016年6月-2016年11月，标准编制小组多次召开会议，根据专家意见，修改标准，形成征求意见稿，并在密码行业专家和标准参与单位内广泛征求意见。2016年12月-2017年3月，根据征求意见稿收到的反馈意见对征求意见稿进行了修改完善。2017年4月8日，参加全国信息安全标准化技术委员会在武汉组织的第一次密码工作组会议，与会专家对本标准进行了集中讨论和认真审议，并提出了相关意见和建议。2017年4月9日-10月16日，根据武汉会议专家意见对标准进行修改，形成新的征求意见稿。2017年10月17日-10月18日，参加全国信息安全标准化技术委员会在厦门组织的第二次密码工作组会议，与会专家对标准进行了再次集中讨论和认真审议，并提出了相关意见和建议。2017年10月19日-11月16日，根据厦门会议专家意见对标准进行了修改，形成新的征求意见稿。2017年11月17日，参加密码行业标准化技术委员会组织召开的安全电子文件相关标准专题研讨会，会议对《安全电子文件密码应用技术规范》、《信息安全技术安全电子文件密码应用指南》与国家电子文件管理相关标准的一致性和协调性进行了研讨，会议建议将《信息安全技术安全电子文件密码应用指南》更名为《信息安全技术电子文件密码应用指南》。2017年11月18日-2018年1月25日，根据专家意见，针对标准更名意见，对标准内容进行了相应的修改。2018年1月26日和2018年2月8日，中国电子技术标准化研究院两次给出反馈意见，主要两个方面的意见：1）关于标准对电子文件和文书类电子文件两个概念的交互使用问题，需明确标准化对象；2）关于标准中要求性条款和建议性条款的表述不清问题，需明确是要求性还是推荐性，并修改标准中要求性与推荐性的表述用词。2018年2月9日-2018年2月20日，根据中国电子技术标准化研究院反馈意见，对标准进行内容及格式修改，并增加第8章节“电子文件密码应用的参考”，参考示例为附录A-文书类电子文件形成办理系统密码应用示例，报送工作组征求意见。2018年4月9日,参加WG3工作组在北京召开的组内标准评审会，专家听取了标准编制工作汇报，审阅了标准材料，质询了相关问题，形成了修改意见。会后，标准编制小组根据专家意见修改了标准。2018年4月16日，参加了信安标委武汉会议周WG3工作组会议，与会专家听取了标准编制工作汇报，审阅了标准材料，质询了相关问题，并确认了标准更名意见。2018年5月，标准编制小组根据专家意见修改了标准，提交信安标委秘书处在全国范围内征求意见。二、标准编制原则和确定主要内容的论据及解决的主要问题1、编制原则本标准的编制原则是：通用性；本标准的编制应为电子文件存储和交换的应用系统提供统一的密码体系及密码操作规范，与应用系统的业务领域、使用文件类型和文件格式无关，按照本标准实现的应用系统，彼此之间的文件能够互通互认。实用性；根据我国国情、实际使用环境和国家有关政策进行规范的制定，编制后的规范在指导产品研发方面具有实用价值。符合性；遵循国家现有密码政策，符合国家有关法律法规和已编制标准规范的相关要求，符合国家密码管理主管部门的要求。2、标准的主要内容及确定主要内容的依据本标准参照电子文件密码应用技术规范（GM/TAAAA），参考了文书类电子文件形成办理系统通用功能要求（GB/T31913）等技术标准，提出了电子文件密码应用指南。本标准主要内容如下：范围规范性引用文件术语缩略语概述电子文件的密码操作方法应用系统的密码应用方法电子文件密码应用参考其中：第1章“范围”，描述了本规范的适用范围，规范的边界等。第2章“规范性引用文件”，描述了本规范应用的相关文件。第3章“术语”列出了规范中使用的术语及定义。第4章“缩略语”列出了规范中使用的缩略语。第5章“概述”描述了电子文件密码应用技术框架，并对框架中的各组成部分及相互关系加以说明。第6章“电子文件的密码操作方法”为本规范的关键章节。本章节详细介绍了电子文件在存储与交换过程中，为实现其保密性、完整性、真实性、不可否认性的安全目标，可参考的密码操作方法。第7章“应用系统的密码应用方法”详细描述了电子文件在存储与交换的过程中，作为承载电子文件的应用系统应在身份鉴别、权限安全、交换安全、存储安全和审计跟踪等方面可参考的密码应用方法。第8章“电子文件密码应用参考”，根据标准提出的电子文件的密码操作方法和应用系统密码应用方法，本章节以附录形式给出了电子文件密码应用的参考—文书类电子文件形成办理系统密码应用示例。3、解决的主要问题通过描述电子文件的密码操作方法，以及电子文件应用系统的密码应用方法，本标准可为应用密码技术安全处理电子文件提供指导，适用于电子文件应用系统的开发和使用。三、主要试验情况分析参照本标准，通过分析电子文件全生命周期管理的政策要求、标准规范、安全需求、安全功能及应用需求，围绕电子文件形成与办理、归档与移交、保管与利用三个基础环节，中安网脉（北京）技术有限公司研制开发了一套电子文件管理原型系统，该系统分别从基础支撑、安全标识、流转管理、外带使用等四个方面为涉密电子文件的安全管理提供技术支撑，实现了涉密电子文件在其全生命周期内的保密性、完整性、真实性和不可否认性的安全目标，满足涉密信息系统对电子文件全生命周期安全管理的需求。系统已在中安网脉（北京）技术有限公司及北京电子科技学院内部投入使用，达到了预期效果。四、知识产权情况说明本标准不涉及专利及知识产权问题。五、产业化情况、推广应用论证和预期达到的经济效果随着信息化的发展，电子文件的安全将会越来越引起人们的重视，国家电子政务内网十三五规划也明确提出要深化电子文件管理应用，各级党委、政府、企事业单位等都在积极筹建电子文件应用系统，标准产业化前景广阔，预计能带来良好经济效益。本标准可以在国家办公资源多个领域进行了推广，适用范围包括中央机关、国家机关、地方政府、军事机关、军工企业、驻外涉密单位。针对涉密电子文件在形成与办理、归档与移交、保管与利用等环节面临的窃密泄密隐患和安全管理要求，为保障涉密电子文件的全生命周期的真实性、完整性、保密性和不可否认性提供有力的技术支撑。六、采用国际标准和国外先进标准情况无。七、与现行相关法律、法规、规章及相关标准的协调性与现行相关法律、法规、规章及相关标准具有一致性。八、重大分歧意见的处理经过和依据无。九、标准性质的建议建议作为国家推荐性标准发布。十