信息安全技术-信息系统密码应用基本要求

GB/TXXXXX-XXXXPAGEPAGE14信息安全技术信息系统密码应用基本要求范围本标准规定了信息系统密码应用的基本要求，从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面提出了第一级到第四级的密码应用技术要求，并从管理制度、人员管理、建设运行和应急处置四个方面提出了第一级到第四级的密码应用安全管理要求。本标准适用于指导、规范信息系统密码应用规划、建设和运行。规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件，凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239—2019信息安全技术网络安全等级保护基本要求GB/T25069—2010信息安全技术术语GB/T37092—2018信息安全技术密码模块安全要求术语和定义GB/T25069—2010界定的以及下列术语和定义适用于本文件。不可否认性non-repudiation证明一个已经发生的操作行为无法否认的性质。访问控制accesscontrol按照特定策略，允许或拒绝用户对资源访问的一种机制。机密性confidentiality保证信息不被泄露给非授权的个人、进程等实体的性质。加密encipherment/encryption对数据进行密码变换以产生密文的过程。密钥key控制密码算法运算的关键信息或参数。密钥管理keymanagement根据安全策略，对密钥的产生、分发、存储、使用、更新、归档、撤销、备份、恢复和销毁等密钥全生命周期的管理。（参见附录A密钥生命周期管理）。身份鉴别/实体鉴别authentication/entityauthentication确认一个实体所声称身份的过程。数据完整性dataintegrity数据没有遭受以非授权方式所作的篡改或破坏的性质。概述信息系统密码应用技术框架框架概述在相关技术标准的要求和指导下，信息系统中的身份鉴别、数据加密、数据签名等密码技术功能由密码算法、密码技术、密码产品、密码服务等提供。从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全的各个层面提供全面整体的密码应用安全技术支撑，从而保障信息系统的用户身份真实性、重要数据的机密性和完整性、操作行为的不可否认性。并从密码应用安全管理机制上，为信息系统提供管理方面的密码应用安全保障。密码应用技术要求维度技术要求主要从机密性、完整性、真实性、不可否认性四个密码安全功能维度构成，从以下维度进行密码应用技术要求级别区分：机密性要求使用密码技术的加密功能实现机密性，信息系统中保护的对象为：传输的重要数据、敏感字段或通信报文；存储的重要数据和敏感信息；身份鉴别信息；密钥数据。完整性要求使用消息鉴别码（MessageAuthenticationCode,MAC）或数字签名等密码技术实现完整性，信息系统中保护的对象为：传输的重要数据、敏感信息或通信报文；存储的重要数据、文件和敏感信息；身份鉴别信息；密钥数据；日志记录；访问控制信息；重要信息资源安全标记；重要可执行程序；用可信计算技术建立可信计算环境；视频监控音像记录；电子门禁系统进出记录。真实性密要求使用对称加密、动态口令、数字签名等密码技术实现真实性，信息系统中应用场景为：进入重要物理区域人员的身份鉴别；通信双方的身份鉴别；网络设备接入时的身份鉴别；用可信计算技术建立可信计算环境；登录操作系统和数据库系统的用户身份鉴别；应用系统的用户身份鉴别。不可否认性要求使用数字签名等密码技术实现实体行为的不可否认性，针对在信息系统中所有需要不可否认的行为，包括数据原发证据和数据接收证据等。密码应用管理要求维度密码应用管理要求维度是在信息系统密码应用管理要求层面的，考虑制度建设、人员管理、建设运行、应急处置的制度流程及执行情况，从以下维度进行密码应用管理要求级别区分：密码应用安全管理相关流程制度的制定、发布、修订的规范性；密码相关安全人员的密码安全意识以及关键密码安全岗位员工的密码安全能力的培养，人员工作流程要求等；建设运行过程中密码应用安全要求及方案落地执行的一致性和有效性保证；处理密码应用安全相关的应急突发事件的能力要求。密码应用安全要求等级定义信息系统密码应用安全具有自低向高逐级增强的四个要求等级，并用一、二、三、四表示，要求等级的定义如下：第一级，是信息系统密码应用安全要求等级的最低等级，信息系统管理者可按照业务实际情况自主应用密码技术应对可能的安全威胁。第二级，是在第一级的等级要求上，要求信息系统具备身份鉴别、数据安全保护的非体系化密码保障能力，可应对当前部分安全威胁；第三级，是在第二级的等级要求上，要求更强的身份鉴别、数据安全、访问控制等方面密码应用技术能力与管理能力，要求信息系统建设有规范、可靠、完整的密码保障体系，是体系化密码应用引导性要求；第四级，是在第三级的等级要求上，要求更强的身份鉴别、数据安全、访问控制等方面密码应用技术能力与管理能力，信息系统建设有规范、可靠、完整、主动防御的密码保障体系，是体系化密码应用的强制要求；约束条件本标准使用“应”、“宜”、“可”表达对相关要求的不同约束程度，其中：——“应”表示信息系统管理者应遵循相关要求；——“宜”表示由审查通过的信息系统密码应用方案，决定遵循或不遵循相应的要求来实现安全保护。如不遵循，应说明原因，以及替代性安全措施；——“可”表示信息系统管理者可按照业务实际情况，自主选择遵循或不遵循相应的要求来实现安全保护。通用要求第一级到第四级的信息系统应符合以下通用要求：信息系统中使用的密码算法应符合法律、法规的规定和密码相关国家标准、行业标准的有关要求;信息系统中使用的密码技术应遵循密码相关国家标准和行业标准;信息系统中使用的密码产品应通过国家密码管理主管部门核准;信息系统中使用的密码服务应通过国家密码管理主管部门许可。密码应用技术要求概述本章从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面提出了第一级到第四级的密码应用技术要求。本章所要求的不同级别密码应用基本要求简表参见附录B。物理和环境安全概述物理和环境安全主要实现对信息系统所在机房等重要区域的物理防护，密码应用要求涉及重要区域的物理访问控制，以及电子门禁系统进出记录和视频监控音像记录的存储完整性。对不同等级的信息系统，密码应用要求及其约束程度不同。第一级要求本级要求包括：可采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；可采用密码技术来保证电子门禁系统进出记录的存储完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018一级及以上密码模块的安全要求。第二级要求本级要求包括：宜采用密码技术进行物理访问身份鉴别，保证进入重要区域人员身份的真实性；可采用密码技术保证电子门禁系统进出记录的存储完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018一级及以上密码模块的安全要求。第三级要求本级要求包括：宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；宜采用密码技术来保证电子门禁系统进出记录的存储完整性；宜采用密码技术来保证视频监控音像记录的存储完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018二级及以上密码模块的安全要求。第四级要求本级要求包括：应采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；应采用密码技术来保证电子门禁系统进出记录的存储完整性；应采用密码技术来保证视频监控音像记录的存储完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018三级及以上密码模块的安全要求。网络和通信安全概述网络和通信安全主要实现对信息系统与经由外部网络连接的实体进行网络通信时的安全防护，密码应用要求主要涉及通信过程中实体身份真实性、数据机密性和数据完整性，以及网络边界访问控制和设备接入控制。对不同等级的信息系统，密码应用要求及其约束程度不同。第一级要求本级要求包括：可采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性；可采用密码技术保证通信过程中数据的完整性；可采用密码技术保证通信过程中敏感字段或通信报文的机密性；可采用密码技术来保证网络边界访问控制信息的完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018一级及以上密码模块的安全要求。第二级要求本级要求包括：宜采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性；可采用密码技术保证通信过程中数据的完整性；宜采用密码技术保证通信过程中的敏感字段或通信报文的机密性；可采用密码技术来保证网络边界访问控制信息的完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018一级及以上密码模块的安全要求。第三级要求本级要求包括：应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性；宜采用密码技术保证通信过程中数据的完整性；应采用密码技术保证通信过程中的敏感字段或通信报文的机密性；宜采用密码技术来保证网络边界访问控制信息的完整性；可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018二级及以上密码模块的安全要求。第四级要求本级要求包括：应采用密码技术对通信实体进行双向身份鉴别，保证通信实体身份的真实性；应采用密码技术保证通信过程中数据的完整性；应采用密码技术保证通信过程中进出的敏感字段或通信报文的机密性；应采用密码技术来保证网络边界访问控制信息的完整性；宜采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018三级及以上密码模块的安全要求。设备和计算安全概述设备和计算安全主要实现对信息系统中各类设备和计算环境的安全防护，密码应用要求主要涉及对登录设备用户的身份鉴别、远程管理通道的建立、可信计算环境的建立、重要可执行程序来源的真实性，以及系统资源访问控制信息、设备的重要信息资源敏感安全标记、重要可执行程充完整性、日志记录的完整性。对不同等级的信息系统，密码应用要求及其约束程度不同。其中，重要可执行程序因不同信息系统承载的业务各不相同，何种可执行程序归属为重要可执行程序，按照具体信息系统应用需求确定，并在密码应用安全方案中明确。第一级要求本级要求包括：可采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；可采用密码技术来保证系统资源访问控制信息的完整性；可采用密码技术来保证日志记录的完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018一级及以上密码模块的安全要求。第二级要求本级要求包括：宜采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；可采用密码技术来保证系统资源访问控制信息的完整性；可采用密码技术来保证日志记录的完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018一级及以上密码模块的安全要求。第三级要求本级要求包括：应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；远程管理时，应采用密码技术建立安全的信息传输通道；宜采用密码技术来保证系统资源访问控制信息的完整性；宜采用密码技术来保证设备中的重要信息资源安全标记的完整性；宜采用密码技术来保证日志记录的完整性；可采用可信计算技术建立可信计算环境；宜采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理。以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018二级及以上密码模块的安全要求。第四级要求本级要求包括：应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；远程管理时，应采用密码技术建立安全的信息传输通道；应采用密码技术来保证系统资源访问控制信息的完整性；应采用密码技术来保证设备中的重要信息资源安全标记的完整性；应采用密码技术来保证日志记录的完整性；可采用可信计算技术建立可信计算环境；应采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理。以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018三级及以上密码模块的安全要求。应用和数据安全概述应用和数据安全主要实现对信息系统中应用及其数据的安全防护，密码应用主要涉及应用的用户身份鉴别、访问控制，以及应用相关重要数据的存储安全、传输安全和相关行为的不可否认性。对不同等级的信息系统，密码应用要求及其约束程度不同。其中，重要数据包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等，因不同信息系统承载的业务各不相同，何种数据归属为重要数据，按照具体信息系统应用需求确定，并在密码应用安全方案中予以明确。第一级要求本级要求包括：可采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性；可采用密码技术保证应用系统访问控制信息的完整性；可采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；可采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；可采用密码技术保证信息系统应用的重要数据在传输过程中的完整性；可采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018一级及以上密码模块的安全要求。第二级要求本级要求包括：宜采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性；可采用密码技术来保证应用系统访问控制信息的完整性；宜采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；宜采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性；宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018一级及以上密码模块的安全要求。第三级要求本级要求包括：应采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性；应采用密码技术来保证应用系统访问控制信息的完整性；应采用密码技术来保证应用系统敏感信息资源安全标记的完整性；应采用密码技术保证信息系统应用的重要数据传输的机密性；应采用密码技术保证信息系统应用的重要数据存储的机密性；宜采用密码技术保证信息系统应用的重要数据传输的完整性；宜采用密码技术保证信息系统应用的重要数据存储的完整性；在可能涉及法律责任认定的应用中，宜采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018二级及以上密码模块的安全要求。第四级要求本级要求包括：应采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性；应采用密码技术来保证应用系统访问控制信息；应采用密码技术来保证应用系统敏感信息资源安全标记的完整性；应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；应采用密码技术保证信息系统应用的重要数据在传输过程中的完整性；应采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；在可能涉及法律责任认定的应用中，应采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性；以上如采用密码服务，应采用经国家密码管理主管部门许可的密码服务实现密码运算和密钥管理；以上采用的密码产品，如符合GB/T37092—2018要求，则应达到GB/T37092—2018三级及以上密码模块的安全要求。密码应用管理要求概述本章从管理制度、人员管理、建设运行和应急处置四个方面提出了第一级到第四级的密码应用安全管理要求。本章所要求的不同级别密码应用管理要求简表参见附录B。管理制度第一级要求使用密码技术的信息系统应符合以下管理制度要求：应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码资产管理等制度；应根据密码应用方案，确定系统涉及的密钥种类、体系及其生命周期环节，建立相应密钥管理制度及策略，各环节安全管理要求参照附录A；第二级要求使用密码技术的信息系统应符合以下管理制度要求：应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、介质管理等制度；应对管理人员或操作人员执行的日常管理操作建立操作规程。应根据密码应用方案，确定系统涉及的密钥种类、体系及其生命周期环节，建立相应密钥管理制度及策略，各环节安全管理要求参照附录A；第三级要求使用密码技术的信息系统应符合以下管理制度要求：应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、介质管理等制度；应对管理人员或操作人员执行的日常管理操作建立操作规程；应根据密码应用方案，确定系统涉及的密钥种类、体系及其生命周期环节，建立相应密钥管理制度及策略，各环节安全管理要求参照附录A；应定期对密码应用安全管理制度、策略和操作规程的合理性和适用性进行论证和审定，对存在不足或需要改进之处进行修订；应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制；应具有密码应用操作规程的相关执行记录并妥善保存。第四级要求本级要求同第三级要求，见7.2.3。人员管理第一级要求使用密码技术的信息系统应符合以下人员管理要求：相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；应及时终止离岗人员的所有密码应用相关的访问权限、操作权限。第二级要求使用密码技术的信息系统应符合以下人员管理要求：相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限；应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能；应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。第三级要求使用密码技术的信息系统应符合以下人员管理要求：相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限；据密码应用的实际情况，设置密钥管理员、审计管理员、密码操作员等关键安全岗位；对关键岗位建立多人共管机制；密钥管理、安全审计、密码操作人员职责互相制约互相监督，其中密钥管理员岗位不可与其它关键安全岗位兼任；相关设备与系统的管理和使用账号不得多人共用。应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能；应定期对密码应用安全岗位人员进行考核；应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。第四级要求使用密码技术的信息系统应符合以下人员管理要求：相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限；据密码应用的实际情况，设置密钥管理员、审计管理员、密码操作员等关键安全岗位；对关键岗位建立多人共管机制；密钥管理、安全审计、密码操作人员职责互相制约互相监督，其中密钥管理员岗位不可与其它关键安全岗位兼任；相关设备与系统的管理和使用账号不得多人共用；密钥管理员、密码操作员应由本机构的正式员工担任，并进行背景调查。应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能；应定期对密码应用安全岗位人员进行考核；应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。建设运行第一级要求本级要求包括：应依据密码相关标准和密码应用需求，制定密码应用方案；应按照应用方案，制定实施方案；投入运行前可进行密码应用安全性评估。第二级要求本级要求包括：应依据密码相关标准和密码应用需求，制定密码应用方案；应按照应用方案，制定实施方案；投入运行前宜进行密码应用安全性评估。第三级要求本级要求包括：应依据密码相关标准和密码应用需求，制定密码应用方案；应按照应用方案，制定实施方案；投入运行前应进行密码应用安全性评估，评估后系统方可正式运行；在运行过程中，应严格执行既定的密码应用安全管理制度，应定期开展密码应用安全性评估，并根据评估结果进行整改。第四级要求本级要求同第三级要求，见7.4.3。应急处置第一级要求根据密码产品提供的安全策略，由用户自主处置密码应用安全事件。第二级要求应制定密码应用应急处置方案，做好应急资源准备，当密码应用安全事件发生时，按照应急处置方案结合实际情况及时处置。第三级要求本级要求包括：应制定密码应用应急处置方案，做好应急资源准备，当密码应用安全事件发生时，应立即启动应急处置方案，结合实际情况及时处置；事件发生后，应及时向信息系统的上级主管部门进行报告；事件处置完成后，应及时向信息系统的上级主管部门及归属的密码管理部门报告事件发生情况及处置情况。第四级要求本级要求包括：应制定密码应用应急处置方案，做好应急资源准备，当密码应用安全事件发生时，应立即启动应急处置方案，结合实际情况及时处置；事件发生后，应及时向信息系统主管部门及归属的密码管理部门进行报告；事件处置完成后，应及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况。

（资料性附录）密钥生命周期管理密钥理保密全命周的全保密（公钥被授的问用露改替换保公不被非权修和信系的用与据面密体由业务统据码用求，密应方中确。钥理括等节密钥产生密钥应由密码产品内部的核准的随机数发生器产生。应同步记录密钥关联信息，密钥关联信息可包括：种类、长度、拥有者、使用起始时间、使用终止时间等。密钥分发密钥分发应能够抗截取、篡改、假冒等攻击，保证密钥的机密性、完整性以及分发者、接收者身份的真实性。密钥存储密钥使用密钥明用按途正使使密前获授使公钥书前进行有有措施止钥泄和换应照钥换要求换采效的安措证钥换时安性。密钥更新当密钥超过使用期限、已泄露或存在泄露风险时，应根据相应的更新策略进行更新。如果被更新的密钥是密钥加密密钥或根密钥，则所有被该密钥加密的密钥或由该密钥派生的密钥都应被更新。密钥归档如果息有钥归档需根实安需求采有的全施证档安全性正性归密只能于密密加的历信或证密签名历信档应进记，生审信息审信应括档的钥归的间。密钥撤销公证，在钥期之或需行钥；