《政务云密码应用技术要求（征求意见稿）》编制说明

1《政务云密码应用技术要求》地方标准编制说明一、工作简况（一）任务来源1.任务来源2023年7月10日，由江苏省电子信息产品质量究院（江苏省信息安全测评中心）申请地方标准的立项，根据江苏省市场监督管理局下达的2023年度拟立项地方标准项目的公2.起草单位、协作单位起草单位：江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）江苏省商用密码产业协会、中电科网络安全科技股份有限公司、中国电信股份有限公司江苏分公司、江苏省国信数字科技有限公无锡航天江南数据系统科技有限公司、乾讯信息技术（无锡）有限公司、江苏先安科技有限公司、江苏信创密码技术有限公司、华为技术有限公司、南京三未信安信息技术有限公司。23.主要起草人(以表格形式将内容明确)性别工作单位任务分工张腾标男江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）标准编写女江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）标准编写任明聪男江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）标准编写徐雁飞女江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）标准编写李国琴女江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）标准编写卢秋如女江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）标准编写女江苏省国家密码管理局标准编写男江苏省国家密码管理局标准编写男江苏省大数据管理中心标准编写男江苏省大数据管理中心标准编写谢吉华男江苏省商用密码产业协会标准编写男中电科网络安全科技股份有限公司标准编写男中电科网络安全科技股份有限公司标准编写廖成军男中电科网络安全科技股份有限公司标准编写男中国电信股份有限公司江苏分公司标准编写女江苏省国信数字科技有限公司标准编写男江苏航天七零六信息科技有限公司标准编写男江苏意源科技有限公司标准编写金钧华男江苏意源科技有限公司标准编写朱兆国男无锡航天江南数据系统科技有限公司标准编写女无锡航天江南数据系统科技有限公司标准编写强克华男乾讯信息技术（无锡）有限公司标准编写男乾讯信息技术（无锡）有限公司标准编写庄昱垚男江苏先安科技有限公司标准编写赵统一男江苏先安科技有限公司标准编写男江苏信创密码技术有限公司标准编写女江苏信创密码技术有限公司标准编写男华为技术有限公司标准编写唐一铭男南京三未信安信息技术有限公司标准编写（二）制定标准的必要性和意义近年来，党和国家高度重视密码技术在网络安全工作中的重要作用，先后发布《中华人民共和国密码法》等多项法律法规以及相关政策，推进信息系统密码应用升级改造工作的开展。《商用密码应用安全性评估管理办法》《国家政务信息化项目建设管3省省级政务信息化项目建设管理办法》等相关文件均指出信息系统密码应用的必要性和急迫性，强调信息系统密码应用要同步规划、同步建设、同步运行、定期评估。当前，在国家大力引导和产业各界的共同推动下，我国政务云行业发展迅猛，在助力政务建设、打破信息孤岛、实现数据共享共治方面效果显著。政务云运用云计算技术，统筹使用政府已有的机房、计算、存储、网络、安全、应用支撑、信息数据等资源，发挥云计算虚拟化、高可靠性、高通用性、高可扩展性以及快速、按需、弹性服务等特征，运行了很多关系国计民生的业务系统，存储、流转的很多数据较敏感或涉及个人隐私信息。在我省，“政务上云”成为政府治理和服务模式创新的新载体，一站式受理服务系统的使用，提升了政府的服务效率，推动了政府职能的转变，也方便了群众。保障政务云平台安全对我国政治、经济、生产和生活等各方面至关重要，密码技术作为保障云安全的重要技术，将密码能力变成云中的一种资源服务，在云服务体系中具有十分重要的地位和作用。根据GB/T39786-2021要求，信息系统需从物理和环网络和通信安全、设备和计算安全、应用和数据安全四个层面提出密码应用技术要求，以保障信息系统的实体身份真实性、重要数据的机密性和完整性、操作行为的不可否认性。本标准着眼于政务云环境下的密码技术应用，为做好政务云商用密码技术的应4用提供了一定程度的参考。（三）主要起草过程1、主要工作（1）对信息系统密码应用和政务云相关标准材料进行收集，对政务云商用密码应用支撑技术进行调研。（2）根据政务云环境、政务云业务应用和租户的特征，综合设计政务云安全密码保障体系，构建政务云商用密码应用技术要求的总体架构。（3）从政务云总体架构、密码应用建设要求进行分析，形成密码资源池的管理要求和技术要求。（4）组织专家对规范进行论证与修订，并形成征求意见稿，对商用密码从业企业、政府用户、主管部门进行意见征集。2、起草过程江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）和江苏省国家密码管理局、江苏省大数据管理中心、江苏省商用密码产业协会、中电科网络安全科技股份有限公司、中国电信股份有限公司江苏分公司、江苏省国信数字科技有限公无锡航天江南数据系统科技有限公司、乾讯信息技术（无锡）有限公司、江苏先安科技有限公司、江苏信创密码技术有限公司、华为技术有限公司、南京三未信安信息技术有限公司联合攻关，研究政务云密码应用的技术要求，主要从总体架构、建设要求、5密码资源池等方面提出了政务云密码应用技术实现的总体架构，对各组成部分的建设内容明确了总体要求和通用要求，并对密码资源池可提供的功能、管理和性能提出技术指标要求。规范中政务云商用密码应用支撑总体架构符合GB/T39786中对信息系统提出的密码应用基本要求，综合《江苏省政务“一朵云”建设总体方案》中全省政务“一朵云”总体架构的要求，实现建设要求可落地、可实施。（四）制定标准的原则和依据，与现行法律、法规、标准的2023年11月14日，江苏省人民政府办公厅印发《江苏省政务“一朵云”建设总体方案》，该标准明确了政务云建设的职责分工、接入管理、运行管理安全管理等要求，规范江苏省政务云的建设技术要求。2023年9月6日全国网络安全标准化技术委员会发布GB/T43207-2023《信息安全技术信息系统密码应用设计指南》，对信息系统密码应用框架和应用方案设计原则、过程进行明确。2024年4月15日，中国密码学会密评联委会组织编制发布了政务领域政务服务平台、政务云两个典型场景密码应用与安全性评估实施指南，实施指南为相关单位开展密评工作提供了参考。这些标准制定计划主要侧重政务云业务建设或通用信息系统的密码应用技术要求，本标准参考GB/T39786《信息安全技术信息系统密码应用基本要求》和GB/T43207《信息安全技术6信息系统密码应用设计指南》，从总体架构、建设要求和密码资源池等方面对政务云的商用密码技术应用进行规范，为政务云在规划、建设、运行阶段开展商用密码技术建设和应用提供参考。（五）主要条款的说明规范分为八个部分：范围、规范性引用文件、术语和定义、缩略语、总体架构、建设要求、密码资源池和附录。第一部分：范围，规定了标准文件的适用范围。第二部分：规范性引用文件，规定了标准文件内容引用的规范性文件。第三部分：术语和定义，规定了标准文件中使用的政务云商用密码应用及相关标准术语和定义。第四部分：缩略语，规定了标准文件中使用的政务云商用密码应用及相关标准缩略语。第五部分：总体架构，规定了政务云密码技术应用的总体构第六部分：建设要求，规定了政务云商用密码应用支撑技术建设的总体要求和通用要求，其中通用要求从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全以及密钥管理几个技术层面提出了建设要求。第七部分：密码资源池，规定了政务云中密码资源池部分的具体功能要求以及管理要求。第八部分：附录A、B、C分别规定了政务云主要保护对象及7密码安全需求、典型密码服务协议和算法技术要求、对称和非对称密钥全生命周期管理的要求。（六）重大意见分歧的处理依据和结果通过5轮内部标准编制研讨会共面向22家单位，征集有效意见98条，采纳了65条意见。2024年3月29日，江苏省国家密码管理局组织专家在南京召开了《政务云平台商用密码应用技术规范》地方标准评审会。与会专家反馈修订意见32条，已根据建议完成相应修订。江苏省软件和信息技术服务标准化技术委员会秘书处于面向社会广泛征集意见，截止本文完稿日已收到2家单位反馈的修订意见6条，采纳其中3条。重大意见分歧和处理情况如下：1、标准立项申报名称为《政务云平台商用密码应用技术规范》，目前江苏省政务云实际密码应用需求多集中在技术应用部分，与标准名称结合不够紧密。现已将标准名称调整为《政务云2、政务云密码应用总体架构图内容较为简单，与密码应用要求结合不紧密。现已结合GB/T31167《信息安全技术云计算结合江苏省各级政务云技术特点对架构图进行调整。3、密码资源池中密码服务类型较为单一。现已根据GB/T843207《信息安全技术信息系统密码应用设计指南》以及《商用密码应用与安全性评估》中的要求进行补充。4、标准中对于密钥管理的