信息系统密码应用安全规范

信息系统密码应用安全规范一、总则（一）目的依据。为规范信息系统密码应用管理，保障信息安全，依据《中华人民共和国网络安全法》《密码法》等法律法规制定本规范。（二）适用范围。本规范适用于各级政府部门、企事业单位、社会组织的电子政务系统、商业信息系统及关键信息基础设施密码应用活动。二、基本原则（一）合法合规。密码应用必须符合国家密码管理法律法规及行业安全标准，确保合法合规运行。（二）安全可控。密码应用应实现全生命周期安全管控，防止密码泄露、篡改或失效。（三）适度平衡。密码应用强度应与信息系统安全等级相适应，避免过度加密影响系统性能。三、密码应用管理（一）责任体系。信息系统运营使用单位对密码应用负总责，主要负责人是第一责任人，指定专人负责密码管理。（二）分级管理。根据信息系统安全等级确定密码应用强度，分为核心、重要、一般三个等级。1.核心系统必须采用高强度密码算法，实现全流程加密传输和存储。2.重要系统应采用中度强度密码算法，关键数据必须加密存储。3.一般系统可采用基础密码保护措施，但必须落实密码管理。（三）采购管理。信息系统建设必须同步规划密码应用方案，禁止采购无密码功能的产品。1.密码产品必须选用国家密码管理局认证的商用密码产品。2.采购方案需经密码专家评审，确保技术方案符合安全要求。（四）部署实施。信息系统部署密码应用必须经过严格测试，确保功能正常。1.密码模块必须独立部署，与其他系统物理隔离。2.密码密钥管理必须符合《商用密码密钥安全规范》要求。四、密码技术要求（一）传输加密。网络传输必须采用对称加密或非对称加密技术，禁止明文传输。1.互联网传输必须使用TLS1.2及以上协议，证书必须经过认证。2.内网传输可采用IPSec或DTLS协议，密钥交换必须使用安全算法。（二）存储加密。敏感数据必须加密存储，密钥管理必须符合安全要求。1.数据加密必须采用AES-256或SM4算法，密钥长度不低于128位。2.数据库加密应采用透明数据加密（TDE）技术，禁止明文存储。（三）身份认证。用户身份认证必须采用密码技术，禁止使用弱口令。1.必须采用多因素认证，包括密码+动态口令或生物特征。2.密码复杂度必须符合《信息系统密码应用密码强度要求》。五、密钥管理（一）密钥生成。密钥必须使用专用设备生成，禁止手工生成。1.密钥长度必须符合安全等级要求，核心系统不低于256位。2.密钥生成设备必须经过国家密码管理局检测认证。（二）密钥存储。密钥必须安全存储，禁止明文存储。1.密钥存储必须采用HSM硬件安全模块，禁止使用软件存储。2.密钥备份必须采用物理隔离的存储介质，双份异地保管。（三）密钥使用。密钥使用必须经过严格授权，禁止越权使用。1.密钥使用必须记录日志，包括操作人、时间、操作内容。2.密钥使用必须设置有效期，定期更换。六、运维管理（一）变更管理。密码应用变更必须经过审批，禁止擅自变更。1.密码参数调整必须经过密码专家评估，确保安全。2.变更操作必须记录日志，包括操作人、时间、变更内容。（二）审计管理。密码应用必须实施持续审计，确保合规运行。1.密码使用必须实时监控，异常行为必须立即报警。2.密码日志必须定期检查，保存期限不低于5年。（三）应急响应。密码故障必须立即处置，防止安全事件。1.密钥丢失必须立即启动应急预案，恢复密码功能。2.密码模块故障必须立即更换，禁止临时降级使用。七、监督评估（一）内部评估。信息系统运营单位每年至少开展一次密码应用评估。1.评估内容必须包括密码策略、技术实现、运维管理。2.评估结果必须整改落实，形成闭环管理。（二）外部评估。核心系统必须接受第三方密码评估。1.评估机构必须是国家密码管理局认证的评估机构。2.评估报告必须向主管部门报送，接受监督。八、附则（一）本规范由国家密码管理局负责解释，自发布之日起施行。（二）信息系统建设必须同步落实本规范要求，禁止滞后实施。（三）违反本规范要求的