公司简介 行业动态 荣誉资质 办公环境 招聘英才

当前位置:首页 > 关于信安盟> 行业动态

等保系统如何用密码,国家有标准了!

2018/10/23 13:40:18


密码作为保护网络安全的必备手段,在等保方案的设计中必不可少。尤其是在等保三级系统中,很多人都听说必须用密码,但是具体说到密码应该用来干什么,密码产品的选用有哪些规定,就不甚明白了。

今年2月,密标委发布了《GM/T 0054-2018 信息系统密码应用基本要求》(简称国密0054标准),堪称等保工作者的密码应用宝典。让我们快来看看都有哪些规定值得特别关注的吧。

首先,以下几点总体要求是所有级别信息系统都应该遵循

  • 密码算法:应符合国家法律法规及密码国标、行标要求。一般情况下就是用我国公开的SM2/3/4/9算法了。

  • 密码产品:应通过国家密码管理部门核准。具体点,就是应该选用获得国家密码管理局颁发的型号证书的产品,型号产品列表可以在国家密码管理局网站上查询。

  • 密码服务:应通过国家密码管理部门许可。一直以来CA认证机构应获得《电子认证服务使用密码许可证》。对于电子签名服务、云密码服务等新的密码服务也应获得许可。

另外,国密0054标准从“物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全”四个方面,提出了等级保护不同级别的密码技术应用要求、密钥管理和安全管理要求。


以下针对等保三级系统的要求做了整理归纳,其它级别的规定请参见标准原文。

密码技术应用要求

层级

四性

密码技术

保护对象

物理和环境安全

机密性

密码加密

---

完整性

消息鉴别码(MAC)或数字签名

电子门禁系统进出记录

视频监控音像记录

真实性

对称加密、动态口令、数字签名

重要物理区域人员身份鉴别

不可否认性

数字签名

网络和信息系统中所有需要无法否认行为,包括发送、接收、审批、创建、修改、删除、添加、配置等操作

网络和通信安全

机密性

密码加密

敏感信息数据字段或整个报文

完整性

消息鉴别码(MAC)或数字签名

通信过程中数据

网络边界和系统资源访问控制信息

真实性

对称加密、动态口令、数字签名

通信双方身份认证


不可否认性

数字签名等

网络和信息系统中所有需要无法否认行为,包括发送、接收、审批、创建、修改、删除、添加、配置等操作

设备和计算安全

机密性

密码加密

身份鉴别信息

完整性

消息鉴别码(MAC)或数字签名

资源访问控制信息

重要信息资源敏感标记日志记录

重要程序或文件

真实性

对称加密、动态口令、数字签名

登录的用户身份鉴别

不可否认性

数字签名等

网络和信息系统中所有需要无法否认行为,包括发送、接收、审批、创建、修改、删除、添加、配置等操作

应用和数据安全

机密性

密码加密

重要数据

完整性

消息鉴别码(MAC)或数字签名

访问控制策略/信息/重要信息资源敏感标记

重要数据

日志记录

真实性

对称加密、动态口令、数字签名

登录的用户身份鉴别

不可否认性

数字签名等

网络和信息系统中所有需要无法否认行为,包括发送、接收、审批、创建、修改、删除、添加、配置等操作

在密码运算和密钥管理的实现上,推荐采用符合GM/T 0028的三级及以上密码模块或通过国家密码管理部门核准的硬件密码产品。


☝ 密钥管理

密钥安全是密码应用保障系统的基础和核心。等保三级信息系统对密钥全生命周期:包括密钥生成、存储、分发、导入、导出、使用、备份、恢复、归档、销毁过程中所使用的用于产生、存储密钥的密码模块标准、管理策略、要求等进行全方位、全环节的规定,以此保证密钥安全。

安全管理

等保三级信息系统主要围绕制度、人员、实施、应急等方面展开。其中,制度重点对密码安全管理制度制定、论证、发布环节作相关要求;人员重点对从事密码相关工作人员技能、考核、培训等环节作相关要求;实施重点对信息系统规划—建设—运行整个过程中各环节作相关要求;应急重点对事前预案、事中报告、事后处置全过程作相关要求。