公司新聞

威廉希尔技術(shù)觀察：等保2.0三級信息系統(tǒng)密碼技術(shù)應用要求分析與解讀

發(fā)布時間: 2019-08-02

《信息安全技術(shù) 網(wǎng)絡安全等級保護基本要求》（簡稱“等保2.0”）的正式發(fā)布，標志著我國網(wǎng)絡安全等級保護工作正式進入“2.0時代”?！缎畔踩夹g(shù) 網(wǎng)絡安全等級保護基本要求》標準主要從用戶身份鑒別、訪問控制、安全審計、數(shù)據(jù)完整性和保密性保護、入侵檢測、可信驗證、惡意代碼防范等方面提出相關(guān)技術(shù)要求。其中標準中密碼部分細致明確了關(guān)于密碼認證方式、密碼技術(shù)與產(chǎn)品等方面嚴格的測評標準。

640.webp.jpg

01

等保2.0三級要求的通用要求

等保2.0三級從8.1.2安全通信網(wǎng)絡、8.1.4安全計算環(huán)境、8.1.9安全建設(shè)管理、8.1.10安全運維管理四個域?qū)γ艽a技術(shù)與產(chǎn)品提出了要求，主要涉及以下八處密碼技術(shù)：

8.1.2.2通信傳輸

a)應采用校驗技術(shù)或密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；

b)應采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。

8.1.4.1身份鑒別

d)應采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進行身份鑒別，且其中一種鑒別技術(shù)至少應使用密碼技術(shù)來實現(xiàn)。

8.1.4.7數(shù)據(jù)完整性

a)應采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等；

b)應采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等。

8.1.4.8數(shù)據(jù)保密性

a)應采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)和重要個人信息等；

b)應采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)和重要個人信息等。

8.1.9.2安全方案設(shè)計

b)應根據(jù)保護對象的安全保護等級及與其他級別保護對象的關(guān)系進行安全整體規(guī)劃和安全方案設(shè)計，設(shè)計內(nèi)容應包含密碼技術(shù)相關(guān)內(nèi)容，并形成配套文件；

8.1.9.3產(chǎn)品采購和使用

b)應確保密碼產(chǎn)品與服務的采購和使用符合國家密碼管理主管部門的要求；

8.1.9.7測試驗收

b)應進行上線前的安全性測試，并出具安全測試報告，安全測試報告應包含密碼應用安全性測試相關(guān)內(nèi)容。

8.1.10.9密碼管理

b)應使用國家密碼管理主管部門認證核準的密碼技術(shù)和產(chǎn)品。

02

等保2.0與0054標準中對密碼技術(shù)的要求分析

將等保2.0中對密碼技術(shù)與產(chǎn)品的要求，細化映射到《GM/T 0054-2018 信息系統(tǒng)密碼應用基本要求》標準（簡稱“0054標準”）中對密碼的技術(shù)要求，如下表所示：

層級	四性	GM/T0054-2018中具體要求	密碼技術(shù)
物理與環(huán)境安全	機密性	———	密碼加密
	完整性	電子門禁系統(tǒng)進出記錄	消息鑒別碼（MAC）或數(shù)字簽名
	完整性	視頻監(jiān)控音像記錄	消息鑒別碼（MAC）或數(shù)字簽名
	真實性	重要物理區(qū)域人員身份鑒別	對稱加密、動態(tài)口令、數(shù)字簽名
	不可否認性	網(wǎng)絡和信息系統(tǒng)中所有需要無法否認行為，包括發(fā)送、接收、審批、創(chuàng)建、修改、刪除、添加、配置等操作	數(shù)字簽名
網(wǎng)絡與通信安全	機密性	敏感信息數(shù)據(jù)字段或整個報文	密碼加密
	完整性	通信過程中數(shù)據(jù)	消息鑒別碼（MAC）或數(shù)字簽名
	完整性	網(wǎng)絡邊界和系統(tǒng)資源訪問控制信息	消息鑒別碼（MAC）或數(shù)字簽名
	真實性	通信雙方身份認證	對稱加密、動態(tài)口令、數(shù)字簽名
	不可否認性	網(wǎng)絡和信息系統(tǒng)中所有需要無法否認行為，包括發(fā)送、接收、審批、創(chuàng)建、修改、刪除、添加、配置等操作	數(shù)字簽名等
設(shè)備與計算安全	機密性	身份鑒別信息	密碼加密
	完整性	資源訪問控制信息	消息鑒別碼（MAC）或數(shù)字簽名
		重要信息資源敏感標記日志記錄
		重要程序或文件
	真實性	登錄用戶身份鑒別	對稱加密、動態(tài)口令、數(shù)字簽名
	不可否認性	網(wǎng)絡和信息系統(tǒng)中所有需要無法否認行為，包括發(fā)送、接收、審批、創(chuàng)建、修改、刪除、添加、配置等操作	數(shù)字簽名等
應用與數(shù)據(jù)安全	機密性	重要數(shù)據(jù)	密碼加密
	完整性	訪問控制策略/信息/重要信息資源敏感標記	消息鑒別碼（MAC）或數(shù)字簽名
		重要數(shù)據(jù)
		日志記錄
	真實性	登錄用戶身份鑒別	對稱加密、動態(tài)口令、數(shù)字簽名
	不可否認性	網(wǎng)絡和信息系統(tǒng)中所有需要無法否認行為，包括發(fā)送、接收、審批、創(chuàng)建、修改、刪除、添加、配置等操作	數(shù)字簽名等
在密碼運算和密鑰管理的實現(xiàn)上，推薦采用符合GM/T 0028的三級及以上密碼模塊或通過國家密碼管理部門核準的硬件密碼產(chǎn)品。

1

等保2.0與0054標準對數(shù)據(jù)完整性的密碼技術(shù)要求分析

等保2.0在8.1.2安全通信網(wǎng)絡、8.1.4安全計算環(huán)境中提出，可以采用密碼技術(shù)來保證數(shù)據(jù)的完整性，其中主要保護的主體是8.1.2安全通信網(wǎng)絡中通信數(shù)據(jù)、8.1.4安全計算環(huán)境中包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息。映射到0054標準中三級要求的物理與環(huán)境安全、網(wǎng)絡與通信安全，設(shè)備與計算的安全中，主要保護的數(shù)據(jù)就是電子門禁系統(tǒng)進出記錄、視頻監(jiān)控音像記錄、通信中的數(shù)據(jù)、資源訪問控制信息、重要信息資源敏感標記日志記錄、訪問控制策略/信息/重要信息資源敏感標記、重要數(shù)據(jù)、日志記錄等數(shù)據(jù)。這些數(shù)據(jù)應采用密碼技術(shù)進行保護，保證數(shù)據(jù)的完整性，主要的密碼技術(shù)實現(xiàn)方式可采用消息鑒別碼（MAC）或數(shù)字簽名。

2

等保2.0與0054標準對身份鑒別中的密碼技術(shù)要求分析

等保2.0中在8.1.4安全計算環(huán)境中對身份鑒別中的密碼技術(shù)提出要求，要求身份鑒別中至少要使用一種密碼技術(shù)，模糊原來等保1.0中的物理與環(huán)境安全、網(wǎng)絡與通信安全，設(shè)備與計算的安全、應用與數(shù)據(jù)安全的概念。0054標準繼續(xù)沿用等保1.0，仍從物理與環(huán)境、設(shè)備與計算、網(wǎng)絡與通信，設(shè)備與計算的安全、應用與數(shù)據(jù)安全，對信息系統(tǒng)中的網(wǎng)絡設(shè)備以及用戶的登錄都做了詳細的密碼技術(shù)要求，從而保證四大層面上網(wǎng)絡設(shè)備的邊界接入、管理員、審計員、操作用戶的身份的真實性。主要的密碼技術(shù)實現(xiàn)方式可采用對稱加密、動態(tài)口令、數(shù)字簽名等。

3

等保2.0與0054標準對數(shù)據(jù)保密性的密碼技術(shù)要求分析

等保2.0中8.1.4安全計算環(huán)境對數(shù)據(jù)的保密性也提出了要求，映射到0054標準的網(wǎng)絡與通信安全，設(shè)備與計算的安全、應用與數(shù)據(jù)安全三大層面中，即是對數(shù)據(jù)的機密性要求。即設(shè)備與計算中敏感信息數(shù)據(jù)字段或整個報文、網(wǎng)絡與通信身份鑒別信息、應用與數(shù)據(jù)安全重要數(shù)據(jù)，都需要密碼技術(shù)來保證機密性，主要的密碼技術(shù)實現(xiàn)方式為加密。

4

等保2.0與0054標準對不可否認性的密碼技術(shù)要求分析

此外，0054標準中對不可否認性也要做了要求，主要保證的是網(wǎng)絡和信息系統(tǒng)中所有需要無法否認行為，包括發(fā)送、接收、審批、創(chuàng)建、修改、刪除、添加、配置等操作。主要的密碼技術(shù)實現(xiàn)方式為數(shù)字簽名等。

5

等保2.0與0054標準對密碼產(chǎn)品與服務的要求分析

等保2.0中對8.1.9.3產(chǎn)品采購、8.1.10.9密碼管理中要求密碼產(chǎn)品與服務的采購和使用符合國家密碼管理主管部門的要求，0054標準的總體要求中對密碼算法、密碼技術(shù)、密碼產(chǎn)品、密碼服務都做出要求，具體如下：

密碼算法

信息系統(tǒng)中使用的密碼算法應當符合法律、法規(guī)的規(guī)定和密碼相關(guān)國家標準、行業(yè)標準的有關(guān)要求。

密碼技術(shù)

信息系統(tǒng)中使用的密碼技術(shù)應遵循密碼相關(guān)國家標準和行業(yè)標準。

密碼產(chǎn)品

信息系統(tǒng)中使用的密碼產(chǎn)品與密碼模塊應通過國家密碼管理部門核準。

密碼服務

信息系統(tǒng)中使用的密碼服務應通過國家密碼管理部門許可。

以上要求可以看出，0054標準中要求信息系統(tǒng)密碼應用中所使用的算法、技術(shù)、產(chǎn)品、服務也都需要遵循國家密碼管理主管部門的要求。

6

等保2.0與0054標準對密碼方案及測評驗收要求分析

等保2.0對密碼方案及測評驗收的要求，映射到0054標準的9.3實施中密碼方案的規(guī)劃、信息系統(tǒng)的建設(shè)、運行，如9.1.3等級保護第三級信息系統(tǒng)中要求：

信息系統(tǒng)規(guī)劃階段，責任單位應依據(jù)密碼相關(guān)標準，制定密碼應用方案，組織專家進行評審，評審意見作為項目規(guī)劃立項的重要材料。

通過專家審定后的方案應作為建設(shè)、驗收和測評的重要依據(jù)。

0054標準作為一個基本要求，基于物理與環(huán)境安全、網(wǎng)絡與通信安全，設(shè)備與計算的安全、應用與數(shù)據(jù)安全四大層面的機密性、完整性、真實性、不可否認性，提出具體且細化的技術(shù)要求。從技術(shù)及實施方案的角度來看，0054標準覆蓋了等保2.0中對密碼技術(shù)和密碼方案的要求，兩項標準對于密碼技術(shù)應用的共性要求，加快了推動信息系統(tǒng)的建設(shè)、規(guī)劃、運行以及密評工作的開展。

分享到: