2021商用密碼應(yīng)用安全性評估

FAQ最近更新日期：202112月目錄信息系統(tǒng)密碼應(yīng)用基本要求的等級 1應(yīng)、宜、可測評指標(biāo)把握 1經(jīng)認(rèn)證合格的密碼產(chǎn)品中的密鑰安全符合性判定 2物理和環(huán)境安全層面的測評對象識別和確定 2網(wǎng)絡(luò)和通信安全層面的測評對象識別與確定 3設(shè)備和計算安全層面的測評對象 5設(shè)備和計算安全層面測評對象選取粒度 5遠(yuǎn)程管理通道安全 6合規(guī)密碼產(chǎn)品身份鑒別、完整性相關(guān)指標(biāo)的判定 7設(shè)備和計算安全層面的身份鑒別 7應(yīng)用和數(shù)據(jù)安全層面的測評對象識別與確定 8訪問控制信息的具體含義 8缺少密碼應(yīng)用方案的合規(guī)性判定 9商用密碼產(chǎn)品認(rèn)證證書過期的合規(guī)性判定 9具有認(rèn)證證書型號的商用密碼產(chǎn)品對應(yīng)的模塊等級 9有緩解措施的高風(fēng)險判定 10報告中對于高風(fēng)險緩解措施的體現(xiàn) 10雙活機房的通信鏈路合規(guī)性判定 11云平臺測評的責(zé)任和范圍 12云平臺和云上應(yīng)用的測評方式和測評結(jié)論復(fù)用方式 12面向公眾等網(wǎng)站的測評 15如何編寫涉及應(yīng)用和數(shù)據(jù)安全層面的測評內(nèi)容報告 15PAGEPAGE1信息系統(tǒng)密碼應(yīng)用基本要求的等級背景：GB/T39786—2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》對信息系統(tǒng)密碼應(yīng)用劃分為自低向高的五個等級，參照GB/T22239的等級保護對象應(yīng)具備的基本安全保護能力應(yīng)急處置四個方面提出了第一級到第四級的密碼應(yīng)用管理要求。問題：如何確定被測信息系統(tǒng)密碼應(yīng)用等級？解答：GB/T39786—2021據(jù)GB/T22240—2020《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護定級指南》確定等級保護級別時，同步對應(yīng)確定密碼應(yīng)用等級，即等保定級為第一級的網(wǎng)絡(luò)與信息系統(tǒng)應(yīng)遵循GB/T39786第一級密碼應(yīng)用基本要求，等保定級為第二級的網(wǎng)絡(luò)與信息系統(tǒng)應(yīng)遵循GB/T39786第二級密用等級至少為第三級。應(yīng)、宜、可測評指標(biāo)把握背景：可”加以區(qū)分，具體實和“應(yīng)”的含義明確，但“宜”含義，在GB/T39786中有其特殊性。問題：在密評實施中，如何理解和把握“宜”的指標(biāo)要求？解答：估報告/評審意見，決定是否將“宜”的指標(biāo)要求納入標(biāo)準(zhǔn)符合性測評范圍，具體如下：若信息系統(tǒng)未編制密碼應(yīng)用方案或在方案中未對“宜”的指標(biāo)要求做明確說明，則“宜”的指標(biāo)要求納入標(biāo)準(zhǔn)符合性測評范圍。若信息系統(tǒng)編制了密碼應(yīng)用方案，且方案通過評估，方案中明確了不適用的“宜”統(tǒng)的密碼應(yīng)用方案和方案評估報告/評審意見，核實方案中的不適用指標(biāo)要求項所采用的風(fēng)條件，則應(yīng)納入標(biāo)準(zhǔn)符合性測評范圍，進行測評和結(jié)果判定。經(jīng)認(rèn)證合格的密碼產(chǎn)品中的密鑰安全符合性判定背景：GM/T0115《信息系統(tǒng)密碼應(yīng)用測評要求》中，在通用測評要求中提出了“5.2密鑰管理安全性”測評要求，其指標(biāo)主要涉及密碼產(chǎn)品/服務(wù)相關(guān)的內(nèi)容。問題：否可以直接判定為“符合”？解答：“符合”定為“符合”的必要條件，還應(yīng)當(dāng)對以下內(nèi)容進行核查：該密碼產(chǎn)品的安全級別是否滿足GB/T39786相應(yīng)等級的要求，如GB/T39786第三級的信息系統(tǒng)應(yīng)當(dāng)采用滿足GB/T37092第二級及以上安全要求的密碼產(chǎn)品；在外部數(shù)據(jù)庫中存儲/備份/歸檔時是否進行了機密性和完整性保護；理制度是否能夠保證該密碼產(chǎn)品被正確地部署和使用等。物理和環(huán)境安全層面的測評對象識別和確定背景：存儲完整性”。相應(yīng)的，GM/T0115《信息系統(tǒng)密碼應(yīng)用測評要求》在“6.1物理和環(huán)境安全”中規(guī)定該安全層面的測評對象包括信息系統(tǒng)所在機房等重要區(qū)域及其電子門禁系統(tǒng)和視頻監(jiān)控系統(tǒng)。問題：如何判定該指標(biāo)的適用性？如何開展密評？解答：子門禁系統(tǒng)和視頻監(jiān)控系統(tǒng)。如果被測信息系統(tǒng)所在的物理機房采用多區(qū)域部署或被測信息系統(tǒng)重要資產(chǎn)分布在不評人員需現(xiàn)場取證。層面的相關(guān)測評結(jié)論；如果被測信息系統(tǒng)所在的IDC機房、運營商機房或云服務(wù)提供商機房等未通過或未開展商用密碼應(yīng)用安全性評估，密評人員需現(xiàn)場取明文件和證據(jù)以支撐測評結(jié)論。網(wǎng)絡(luò)和通信安全層面的測評對象識別與確定背景：信息系統(tǒng)一般通過網(wǎng)絡(luò)技術(shù)來實現(xiàn)與外界的互聯(lián)互通，GB/T39786《信息安全技術(shù)信提供通信保護功能的設(shè)備、組件和產(chǎn)品。問題：如何確定網(wǎng)絡(luò)和通信安全層面的測評對象？解答：指的是從不受保護的網(wǎng)絡(luò)區(qū)域訪問被測系統(tǒng)?？梢詮耐ㄐ胖黧w和網(wǎng)絡(luò)類型兩個方面來確定網(wǎng)絡(luò)和通信安全層面的測評對象：網(wǎng)絡(luò)類型：這里主要依據(jù)網(wǎng)絡(luò)之間是否相對獨立進行分類，如互聯(lián)網(wǎng)、政務(wù)外網(wǎng)、企業(yè)專網(wǎng)等；的瀏覽器與服務(wù)器上運行的web服務(wù)系統(tǒng)，移動智能終端上運行的APP與服務(wù)器上4【場景示例】4下面以一個具體場景來描述測評對象的確定過程。通信情況描述如下。用戶可以從互聯(lián)網(wǎng)、政務(wù)外網(wǎng)、辦公內(nèi)網(wǎng)，使用非國密瀏覽器或國密瀏覽器通過HTTPS協(xié)議訪問前臺應(yīng)用系統(tǒng)；SSLVPN接入辦公內(nèi)網(wǎng)后，再使用國密瀏覽器通過HTTPS協(xié)議訪問后臺管理系統(tǒng)；后，再通過堡壘機對服務(wù)器、密碼產(chǎn)品等設(shè)備進行運維；信息系統(tǒng)可以通過IPSecVPN調(diào)用外部的密碼資源（例如政務(wù)外網(wǎng)的數(shù)據(jù)加密服務(wù)）。針對此場景，根據(jù)通信主體，梳理出對應(yīng)的網(wǎng)絡(luò)類型，形成以下表格。服務(wù)端客戶端前臺應(yīng)用系統(tǒng)后臺管理系統(tǒng)內(nèi)網(wǎng)SSLVPN運維SSLVPNIPSecVPN國密瀏覽器互聯(lián)網(wǎng)、政務(wù)外網(wǎng)辦公內(nèi)網(wǎng)非國密瀏覽器互聯(lián)網(wǎng)、政務(wù)外網(wǎng)VPN客戶端--政務(wù)外網(wǎng)互聯(lián)網(wǎng)-IPSecVPN政務(wù)外網(wǎng)系統(tǒng)之間的通信信道。根據(jù)以上的方法，此信息系統(tǒng)網(wǎng)絡(luò)和通信安全層面的測評對象確定如下：序號測評對象描述1互聯(lián)網(wǎng)國密瀏覽器與前臺應(yīng)用系統(tǒng)之間的通信信道用戶從互聯(lián)網(wǎng)使用國密瀏覽器通過HTTPS協(xié)議訪問前HTTPS協(xié)議。2政務(wù)外網(wǎng)國密瀏覽器與前臺應(yīng)用系統(tǒng)之間的通信信道用戶從政務(wù)外網(wǎng)使用國密瀏覽器通過HTTPS協(xié)議訪問HTTPS協(xié)議。3互聯(lián)網(wǎng)非國密瀏覽器與前臺應(yīng)用系統(tǒng)之間的通信信道用戶從互聯(lián)網(wǎng)使用非國密瀏覽器通過HTTPS協(xié)議訪問HTTPS協(xié)議。4政務(wù)外網(wǎng)非國密瀏覽器與前臺應(yīng)用系統(tǒng)之間的通信信道用戶從政務(wù)外網(wǎng)使用非國密瀏覽器通過HTTPS協(xié)議訪HTTPS協(xié)議。5VPN客戶端與內(nèi)網(wǎng)SSLVPN之間的通信信道管理員用戶從政務(wù)外網(wǎng)通過內(nèi)網(wǎng)SSLVPN接入辦公內(nèi)網(wǎng)，密碼應(yīng)用主要測評SSLVPN協(xié)議。6辦公內(nèi)網(wǎng)國密瀏覽器與后臺管理系統(tǒng)之間的通信信道管理員從辦公內(nèi)網(wǎng)使用國密瀏覽器通過HTTPS協(xié)議訪HTTPS協(xié)議。7VPN客戶端與運維SSLVPN之間的運維通信信道SSLVPN主要測評SSLVPN協(xié)議。8政務(wù)外網(wǎng)IPSecVPN與IPSecVPN之間的通信信道信息系統(tǒng)從政務(wù)外網(wǎng)通過IPSecVPN調(diào)用外部密碼資源，密碼應(yīng)用主要測評IPSecVPN協(xié)議。PAGEPAGE10設(shè)備和計算安全層面的測評對象背景：）、網(wǎng)絡(luò)及安全設(shè)備、密碼設(shè)備、各類虛擬設(shè)備以及提供相應(yīng)密碼功能的密碼產(chǎn)品。問題：如何確定設(shè)備和計算安全層面的測評對象？解答：中管理時，不涉及應(yīng)用和數(shù)據(jù)安全層面）等。全層面梳理一條遠(yuǎn)程管理數(shù)據(jù)傳輸通道作為測評對象。產(chǎn)品/密碼功能的網(wǎng)絡(luò)及安全設(shè)備、虛擬設(shè)備和系統(tǒng)。設(shè)備和計算安全層面測評對象選取粒度背景：庫管理系統(tǒng)、整機類和系統(tǒng)類密碼產(chǎn)品、堡壘機等。IPSecVPN以與不同的外界通信實體建立通信信個測評對象確定結(jié)果所選取的粒度會影響報告最后得分。問題：如何確定設(shè)備和計算安全層面的各個測評對象選取的粒度？解答：針對通用服務(wù)器和堡壘機，以“具有相同硬件、軟件配置的設(shè)備”為粒度確定測評對象，和軟件配置（如操作系統(tǒng)版本、中間件等）的服務(wù)器/堡壘機作為一個測評對象。以通用服務(wù)器為例，若某一信息系統(tǒng)部署了5臺生產(chǎn)廠商B、操作系統(tǒng)版本為C的應(yīng)用服務(wù)器，還部署了3臺生產(chǎn)廠商為D、型號為E、操作系統(tǒng)版本為F的數(shù)據(jù)庫服務(wù)器，則在《商用密碼應(yīng)用安全性評估報告》“設(shè)備和計算安全測評對象確定結(jié)果”作為測評對象。對通用服務(wù)器、堡壘機類的測評對象進行量化評估時，D/A/K均以各測評對象所包含的各個設(shè)備的實際應(yīng)用情況的最低分值賦分。針對整機類密碼產(chǎn)品（如IPSecVPN網(wǎng)關(guān)、SSLVPN網(wǎng)關(guān)、安全認(rèn)證網(wǎng)關(guān)、金融數(shù)據(jù)密產(chǎn)品（如動態(tài)令牌認(rèn)證系統(tǒng)、證書認(rèn)證系統(tǒng)、證書認(rèn)證密鑰管理系統(tǒng)等），以“具有相同商用密碼產(chǎn)品認(rèn)證證書編號的密碼產(chǎn)品”為粒度確定測評對象，即具有同一商用密碼產(chǎn)品認(rèn)證證書的密碼產(chǎn)品作為一個測評對象。比如，某一信息系統(tǒng)部署了5臺商用密碼產(chǎn)品認(rèn)證證書，則在《商用密碼應(yīng)用安全性評估報告》“設(shè)備和計算安全測的實際應(yīng)用情況的最低分值賦分。遠(yuǎn)程管理通道安全背景：GM/T0115《信息系統(tǒng)密碼應(yīng)用測評要求》在網(wǎng)絡(luò)和通信層面的測評對象為“信息系統(tǒng)與網(wǎng)絡(luò)邊界外建立的網(wǎng)絡(luò)通信信道，以及提供通信保護功能的設(shè)備或組件、密碼產(chǎn)品”，設(shè)備和計算層面“遠(yuǎn)程管理通道安全”測評項要求系統(tǒng)實現(xiàn)“遠(yuǎn)程管理設(shè)備時，采用密碼技術(shù)建立安全的信息傳輸通道”。問題：設(shè)備和計算安全層面“遠(yuǎn)程管理通道安全”測評項如何避免與網(wǎng)絡(luò)和通信安全層面的測評對象重復(fù)測評，如何進行量化評估？解答：以管理員在互聯(lián)網(wǎng)通過SSLVPN接入系統(tǒng)內(nèi)網(wǎng)后，登錄堡壘機對設(shè)備進行遠(yuǎn)程管理為“遠(yuǎn)程管理通道安全”測評單元關(guān)于遠(yuǎn)程管理數(shù)據(jù)傳輸通道測評內(nèi)容的區(qū)別和量化評估方法。面的測評對象。針對在互聯(lián)網(wǎng)訪問SSLVPN接入內(nèi)網(wǎng)后通過堡壘機對設(shè)備進行管理的情況，網(wǎng)絡(luò)和通信安全層面僅需要測評由管理員在互聯(lián)網(wǎng)訪問VPN的過程體現(xiàn)在設(shè)備和計算安全層面。對于設(shè)備和計算安全層面的“遠(yuǎn)程管理通道安全”HTTPS議的密碼應(yīng)用情況。根據(jù)上述避免重復(fù)測評的方式，網(wǎng)絡(luò)和通信安全層面將會根據(jù)SSLVPN提供的身份鑒/“遠(yuǎn)程管理通道安全”測評項將根據(jù)接入內(nèi)網(wǎng)后訪問堡壘有效、密碼算法/技術(shù)合規(guī)性、密鑰管理情況進行量化評估。將訪問堡壘機的信息傳輸通道作為測評對象。合規(guī)密碼產(chǎn)品身份鑒別、完整性相關(guān)指標(biāo)的判定背景：行修改。問題：合規(guī)密碼產(chǎn)品的“身份鑒別”“系統(tǒng)資源訪問控制信息完整性”“日志記錄完整性”“重要可執(zhí)行程序完整性、重要可執(zhí)行程序來源真實性”等設(shè)備和計算安全層面的指標(biāo)，應(yīng)該如何測評？解答：密碼產(chǎn)品的“系統(tǒng)資源訪問控制信息完整性”“日志記錄完整性”“重要可執(zhí)行程序完整性、重要可執(zhí)行程序來源真實性”這三個設(shè)備和計算安全層面的指標(biāo)，可判定為符合。的用戶等進行身份鑒別，從而保證用戶身份的真實性。設(shè)備和計算安全層面的身份鑒別背景：于設(shè)備改造難度較大，難以對設(shè)備的登錄機制進行整改。問題：僅進行本地運維的設(shè)備，如何針對設(shè)備和計算安全層面的“身份鑒別”和“遠(yuǎn)程管理通道安全”該如何進行測評和結(jié)果判定。解答：測評對象的“遠(yuǎn)程管理通道安全”測評指標(biāo)可作為不適用項，“身份鑒別”測評指標(biāo)為適用項?！吧矸蓁b別”（密閉區(qū)域（如機柜）內(nèi)且僅有設(shè)備運維人員才有該區(qū)域的訪問權(quán)限，可酌情降低風(fēng)險等級。應(yīng)用和數(shù)據(jù)安全層面的測評對象識別與確定背景：GM/T0115《信息系統(tǒng)密碼應(yīng)用測評要求》在應(yīng)用和數(shù)據(jù)層面的測評對象為“業(yè)務(wù)應(yīng)用以及重要數(shù)據(jù)”。問題：如何確定應(yīng)用和數(shù)據(jù)安全層面的測評對象？解答：以及法律法規(guī)規(guī)定的其他重要數(shù)據(jù)類型。訪問控制信息的具體含義背景：GB/T39786《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》在網(wǎng)絡(luò)和通信安全、設(shè)備和/系統(tǒng)的訪問控制信息（或稱為訪問控制列表）。問題：解答：）、文件屬性訪問控制、信息內(nèi)容訪問控制。訪問控制的實現(xiàn)機制包含但不限于以下方式：目錄表、訪問控制列表、能力表、訪問控制矩陣（訪問控制列表、能力表組成的矩陣）、訪問控制安全標(biāo)簽列表和權(quán)限位。在網(wǎng)絡(luò)和通信安全層面，要求為“采用密碼技術(shù)保證網(wǎng)絡(luò)邊界訪問控制信息的完整性”，VPN中的訪信息。維系統(tǒng)中的權(quán)限訪問控制信息等。在應(yīng)用和數(shù)據(jù)安全中，要求為“采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的訪問控制信息的完整性”，強調(diào)的是系統(tǒng)應(yīng)用。因此在該層面中，訪問控制信息主要包括應(yīng)用系統(tǒng)的權(quán)限、標(biāo)簽等能夠決定系統(tǒng)應(yīng)用訪問控制的措施等信息。缺少密碼應(yīng)用方案的合規(guī)性判定背景：據(jù)密碼相關(guān)標(biāo)準(zhǔn)和密碼應(yīng)用需求，制定密碼應(yīng)用方案”，但很多已建信息系統(tǒng)并沒有在系統(tǒng)規(guī)劃時制定密碼應(yīng)用方案。問題：在依據(jù)GB/T39786—20219.7a)條款密評時，密碼應(yīng)用方案該如何理解？解答：按照《信息系統(tǒng)密碼應(yīng)用高風(fēng)險判定指引》進行風(fēng)險評價。商用密碼產(chǎn)品認(rèn)證證書過期的合規(guī)性判定背景：證證書有效日期之后，而且產(chǎn)品廠商又提供不出更新后的認(rèn)證證書。問題：商用密碼產(chǎn)品認(rèn)證證書的有效期在密評時該如何把握？解答：判定為產(chǎn)品合規(guī)。此外，如果密評人員發(fā)現(xiàn)密碼產(chǎn)品依據(jù)的相關(guān)密碼標(biāo)準(zhǔn)已經(jīng)失效或更新，則有義務(wù)告知信息系統(tǒng)單位相關(guān)情況，并建議其選用依據(jù)最新標(biāo)準(zhǔn)的密碼產(chǎn)品。具有認(rèn)證證書型號的商用密碼產(chǎn)品對應(yīng)的模塊等級背景：的密碼模塊安全等級。問題：未標(biāo)注密碼模塊安全等級的商用密碼產(chǎn)品在測評時如何判定？解答：（自20207月1日起,對有效期內(nèi)的《商用密碼產(chǎn)品型號證書》，持證單位可于2020年6月30日前，自愿申請轉(zhuǎn)換國推商期與原《商用密碼產(chǎn)品型號證書》有效期保持一致。在實際測評時，未標(biāo)注密碼模塊安全等級的產(chǎn)品可分以下兩種情況：量化評估規(guī)則》按“密碼產(chǎn)品等級不符合”進行判定。（CA/KM碼產(chǎn)品的密碼模塊安全等級進行判定。有緩解措施的高風(fēng)險判定背景：問題：變？解答：信息系統(tǒng)密碼應(yīng)用整改實際情況，能夠較好地調(diào)動系統(tǒng)責(zé)任單位開展安全整改工作的積極措施導(dǎo)致風(fēng)險等級發(fā)生改變，將可能造成測評結(jié)論發(fā)生改變，但測評分?jǐn)?shù)仍保持不變。報告中對于高風(fēng)險緩解措施的體現(xiàn)背景：安全問題和緩解措施之間的關(guān)系呢？問題：針對測評報告模板中高風(fēng)險修正過程在哪個地方體現(xiàn)？解答：措施說明。【場景示例】【場景示例】第六章風(fēng)險分析”的表6-1中的風(fēng)險分析一列中將緩解高風(fēng)險的理由進行描述，同時將風(fēng)險等級進行重新評估。雙活機房的通信鏈路合規(guī)性判定背景：主要包括設(shè)備運維的通信信道、系統(tǒng)訪問的通信信道等，那么針對雙活機房之間通信的通信鏈路的測評如何處理？問題：雙活機房之間通信的通信鏈路，是否可作為網(wǎng)絡(luò)和通信層面的一條通信信道？解答：營商專線進行數(shù)據(jù)通信，需參照GM/T0115《信息系統(tǒng)密碼應(yīng)用測評要求》進行測評。（需要被測方提供證明材料進不存在安全隱患，則該通道無需作為網(wǎng)絡(luò)和通信安全層面的測評對象。云平臺測評的責(zé)任和范圍背景：到云平臺和云租戶業(yè)務(wù)應(yīng)用系統(tǒng)密碼應(yīng)用（以下稱為“云上應(yīng)用”）的密評，但是相對于傳統(tǒng)的信息系統(tǒng)，云平臺和云上應(yīng)用的運營者一般不同。問題：況下，如何界定兩者的責(zé)任和范圍。解答：原則上需要完成兩部分測評工作：體為云平臺的運營者。任主體為云上應(yīng)用的運營者。同時，原則上：上應(yīng)用系統(tǒng)才能通過密評；云上應(yīng)用系統(tǒng)所處的云平臺的安全級別應(yīng)不低于云上應(yīng)用系統(tǒng)。云平臺和云上應(yīng)用的測評方式和測評結(jié)論復(fù)用方式背景：依賴于云平臺的測評結(jié)果。問題：對運行在云平臺上的云上應(yīng)用進行密評時，那么如何分別對這兩個系統(tǒng)進行分別測評，測評結(jié)論能夠復(fù)用嗎？解答：密碼設(shè)備服務(wù)的邊界。因此，在測評結(jié)論中還須包含“云平臺密碼支撐能力說明”，“云平臺密碼支撐能力說明”分為兩類情況：指的是云平臺中的同時用于運行所在的機房同時支撐了云平臺和云上應(yīng)用在物理和環(huán)境安全層面的密碼應(yīng)用安全，該機房既是云平臺的測評對象，也是云上應(yīng)用的測評對象。由于此時該支能力有明確的測評結(jié)果（包括量化評估、風(fēng)險評價等）。指的是云平臺提供的僅用于因此無法在云平臺測評時進行完全評估部分評估中定義的A和K的賦值和適用情況（即，在何種情況下可以取得相應(yīng)量化評估分值；比如支撐能力提供了AES和SM4兩種對稱密碼算法，在使用AES時，A為×；在使用SM4時，A為√）。價結(jié)論）?！霸破脚_支撐能力說明”給定相應(yīng)的測評結(jié)果。力的不同，存在以下幾種情況：被云平臺對應(yīng)對象的測評結(jié)論覆蓋；如果云平臺已經(jīng)通過密評（即獲得“符合”或“基本符合”的結(jié)論且安全等級不低于云上應(yīng)用可以為“不適用”。結(jié)合“云平臺支撐能力說明”對測評對象進行充分測評并給定結(jié)果。云上應(yīng)用系統(tǒng)調(diào)用了非云平臺提供的支撐能力：此時，云上應(yīng)用測評對象的測評方但是要重點關(guān)注該支撐能力與云平臺、云上應(yīng)用進行整合時是否安全，避免可能存在的安全風(fēng)險。比如，如果云上應(yīng)用單絡(luò)，但未進行必要的訪問控制保護和安全隔離，導(dǎo)致了該服務(wù)器密碼機被非授權(quán)調(diào)用或明文數(shù)據(jù)被非授權(quán)截取的風(fēng)險，測評時應(yīng)視情況進行結(jié)論的判定。需要說明的是，實際測評過程中，上述規(guī)則可能存在以下無法適用或不能適用的情況：需要對云平臺相關(guān)的密碼應(yīng)用進行重新測評。（“符合”或“基本符合”的結(jié)論在對云上應(yīng)用測評時，仍需要對云平臺相關(guān)的密碼應(yīng)用進行（重新）測評。云平臺支撐能力說明模版如下：1被完全評估的支撐能力概述序號安全層面被完全評估的支撐能力測評對象所涉及的指標(biāo)1物理和環(huán)境安全XXX機房身份鑒別、電子門禁記錄數(shù)據(jù)存儲完整性2XXX機房3……4網(wǎng)絡(luò)和通信安全XXX通信信道5XXX通信信道6……7設(shè)備和計算安全XXX設(shè)備8…………9應(yīng)用和數(shù)據(jù)安全XXX用戶10XXX數(shù)據(jù)11XXX行為12……表1被部分評估的支撐能力概述序號支撐能力名稱量化評估分值和適用條件風(fēng)險評估情況和適用條件A適用條件K適用條件風(fēng)險等級適用情況1電子簽章服務(wù)√當(dāng)使用SM3和SM2算法進行電子簽章時√（可以為“無”）中、低×（可以為“無”）×（可以為“無”）高2時間戳服務(wù)√√中、低××高3服務(wù)器密碼機√√中、低××高面向公眾等網(wǎng)站的測評背景：以訪問的特點，相應(yīng)指標(biāo)的測評需要進行額外的考量。問題：面向公眾、信息可公開的信息系統(tǒng)，需要重點關(guān)注哪些內(nèi)容？解答：統(tǒng)一樣，遵循相應(yīng)的測評指標(biāo)進行測評；（比如防止釣魚網(wǎng)站），并對其內(nèi)容的完整性進行保護；一般情況下還需要對用戶訪問網(wǎng)站產(chǎn)生的隱私數(shù)據(jù)（如訪問情況、隱私行為等）進行保護，因此仍然需要測評公眾用戶相關(guān)的“網(wǎng)絡(luò)和通信安全”層面“身份鑒別”“通信數(shù)據(jù)完整性”“通信過程中重要數(shù)據(jù)的機密性”等指標(biāo)。如何編寫涉及應(yīng)用和數(shù)據(jù)安全層面的測評內(nèi)容報告背景：（2020版3.3.2節(jié)“測評對象確定結(jié)果”、第4章“單元測評”結(jié)果匯總，需要針對應(yīng)用和數(shù)據(jù)安全層面關(guān)鍵數(shù)據(jù)的機密性和完整性保護該層面的測評對象粒度把握尺度不一致的情況，對量化評估結(jié)果有一定的影響。問題：如何編寫密評報告中應(yīng)用和數(shù)據(jù)安全層面的測評內(nèi)容？解答：在密評報告第節(jié)的“表3-7應(yīng)用和數(shù)據(jù)安全測評對象”和第4章節(jié)的“表4-4應(yīng)用和數(shù)據(jù)安全測評結(jié)果匯總”中，可以都只列系統(tǒng)大的業(yè)務(wù)應(yīng)用，而針對該層面身份鑒別、重要數(shù)據(jù)傳輸和存儲保護的較為細(xì)粒度的測評對象，可以在第4章節(jié)“表4-4應(yīng)用和數(shù)據(jù)安全測評結(jié)果匯總”下方，針對應(yīng)用和數(shù)據(jù)安全層面身份鑒別情況、關(guān)鍵數(shù)據(jù)的機密性和完整性保護情況、不可否認(rèn)性情況進行說明，以及附錄中的測評結(jié)果記錄中來體現(xiàn)?；k公系統(tǒng)的業(yè)務(wù)應(yīng)用包括OA辦公系統(tǒng)、公文管理系統(tǒng)。其中，兩個應(yīng)用的用戶均包括業(yè)務(wù)用戶和管理員用戶；OA辦公系統(tǒng)和公文管理系統(tǒng)業(yè)務(wù)用戶均有操作行為的不可否認(rèn)性需求；OA辦公系統(tǒng)的重要數(shù)據(jù)包括用戶的身份鑒別信息、業(yè)務(wù)數(shù)據(jù)（僅有完整性需求）等，（有機密性和完整性需求等。節(jié)“表3-7應(yīng)用和數(shù)據(jù)安全測評對象”可按照如下方式：表3-2應(yīng)用和數(shù)據(jù)安全測評對象序號測評對象測評方式說明1信息化辦公系統(tǒng)應(yīng)用訪談文檔審查實地查看配置檢查工具測試4章節(jié)“單元測評”表4-4中可按照如下方式：表4-4應(yīng)用和數(shù)據(jù)安全測評結(jié)果匯總序號測評對象測評指標(biāo)符合情況（符合/部分符合/不符合/不適用）身份鑒別訪控信完性問制息整重息安記性要資全完信源標(biāo)整重要數(shù)據(jù)傳輸機密性重要數(shù)據(jù)存儲機密性重要數(shù)據(jù)傳輸完整性重要數(shù)據(jù)存儲完整性不可否認(rèn)性1信化公統(tǒng)息辦系應(yīng)部分符合部分符合不適用符合部分符合部分符合用單元測評結(jié)果（符合部分符合/不符合/不適用）部分符合部分符合不適用符合部分符合部分符合4-5-1所示：表錯誤!文檔中沒有指定樣式的文字。-5-1應(yīng)用和數(shù)據(jù)安全身份鑒別測評結(jié)果匯總序號應(yīng)用用戶身份鑒別1OA辦公系統(tǒng)管理員用戶部分符合2OA辦公系統(tǒng)業(yè)務(wù)用戶符合3公文管理系統(tǒng)管理員用戶符合4公文管理系統(tǒng)業(yè)務(wù)用戶符合單元測評結(jié)果（符合/部分符合/不符合/不適用）部分符合4-5-2所示：表4-3-2應(yīng)用和數(shù)據(jù)安全關(guān)鍵數(shù)據(jù)測評結(jié)果匯總序號關(guān)鍵數(shù)據(jù)傳輸機密性存儲機密性傳輸完整性存儲完整性1OA辦公系統(tǒng)管理員用戶登錄口令不符合符合不符合不符合2OA辦公系統(tǒng)業(yè)務(wù)用戶登錄口令不符合符合不符合不符合3OA辦公系統(tǒng)業(yè)務(wù)報表不適用不適用符合符合4OA辦公系統(tǒng)辦公文件數(shù)據(jù)不適用不適用符合符合5OA辦公系統(tǒng)業(yè)務(wù)日志不適用不適用符合符合6公文管理系統(tǒng)管理員用戶登錄口令符合符合不符合不符合7公文管理系統(tǒng)業(yè)務(wù)用戶登錄口令符合符合不符合不符合8公文管理系統(tǒng)業(yè)務(wù)數(shù)據(jù)符合符合不符合符合9公文管理系統(tǒng)業(yè)務(wù)日志符合符合不符合符合單元測評結(jié)果（符合/部分符合/不符合/不適用）部分符合符合部分符合部分符合4-5-3所示：表4-5-3應(yīng)用和數(shù)據(jù)安全不可否認(rèn)性測評結(jié)果匯總序號操作行為不可否認(rèn)性1OA辦公系統(tǒng)業(yè)務(wù)用戶文件審批操作部分符合2公文管理系統(tǒng)業(yè)務(wù)用戶公文簽發(fā)操作符合單元測評結(jié)果（符合/部分符合/不符合/不適用）部分符合A-4所示：表A-4應(yīng)用和數(shù)據(jù)安全測評結(jié)果記錄測評指標(biāo)測評對象結(jié)果記錄量化指標(biāo)測評單元密碼使用有效D密碼算法/A密鑰管理安全KSi,j,k得分□□,□=∑□≤□≤□□,□□□,□,□□□,□身份鑒別OA辦公員用戶略×0.5略O(shè)A辦公用戶略1員用戶略1用戶略1訪問控制信息完整性O(shè)A辦公系統(tǒng)略××0.25略公文管理系統(tǒng)略1重要信息資源安全標(biāo)記完整性O(shè)A辦公系統(tǒng)不適用/略公文管理系統(tǒng)不適用/重要數(shù)據(jù)傳輸機密性O(shè)A辦公員用戶登錄口令略×××略O(shè)A辦公口令略×××OA辦公報表不適用/OA辦公不適用/OA辦公日志不適用/錄口令略1口令略1數(shù)據(jù)略1日志略1重要數(shù)據(jù)存儲機密性O(shè)A辦公員用戶登錄口令略1略O(shè)A辦公口令略1OA辦公報表不適用OA辦公文件數(shù)據(jù)不適用19PAGEPAGE20OA辦公日志不適用錄口令略1口令略1數(shù)據(jù)略1日志略1重要數(shù)據(jù)傳輸完整性O(shè)A辦公員用戶登錄口令略×××0略O(shè)A辦公口令略×××0OA辦公報表略1OA辦公文件數(shù)據(jù)略1OA辦公日志略1錄口令略×××0口令略×××0數(shù)據(jù)略×××0公文管理日志略×××0重要數(shù)據(jù)存儲完整性O(shè)A辦公員用戶登錄口令略×××0略O(shè)A辦公口令略×××0OA辦公報表略1OA辦公略1OA辦公日志略1錄口令略×××0口令略×××0公文管理數(shù)據(jù)略1日志略1不可否認(rèn)性O(shè)A辦公審批操作略×0.5略簽發(fā)操作略1商用密碼應(yīng)用安全性評估量化評估規(guī)則中國密碼學(xué)會密評聯(lián)委會二〇二一年十二月II目錄范圍 1規(guī)范性引用文件 1原則 1量化評估框架 1量化規(guī)則 2整體結(jié)論判定 3PAGEPAGE1商用密碼應(yīng)用安全性評估量化評估規(guī)則范圍本文件依據(jù)GB/T39786-2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》和GM/T0115-2021規(guī)范性引用文件GB/T39786-2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》GM/T0115-2021《信息系統(tǒng)密碼應(yīng)用測評要求》原則2) 遵循GB/T39786-2021和GM/T0115-2021；/技術(shù)/產(chǎn)品/服務(wù)；量化評估框架參考GM/T0115-2021，本規(guī)則從三個方面進行量化評估：密碼使用有效性（CryptographyDeploymenteffectiveness）是指，密碼技術(shù)是否被正確、性的保護；密碼算法/技術(shù)合規(guī)性（CryptographyAlgorithm/Techniquecompliance）是指，信息系統(tǒng)理部門核準(zhǔn)。密鑰管理安全（Keymanagementsecurity）是指，密鑰管理的全生命周期是否安全，用/密碼服務(wù)是否安全。量化規(guī)則各測評對象的測評結(jié)果量化評估規(guī)則i個安全層面的第j測評單元的第k測評對象Ti,j,k，其量化評估結(jié)果Si,j,k∈{0,0.25,0.5,1}，其中0表示不符合，1表示符合，其它表示部分符合。Si,j,k的取值分別見表1。通用要求和密碼應(yīng)用技術(shù)要求各安全層面的“密碼服務(wù)”和“密碼產(chǎn)品”指標(biāo)不單獨評價。測評單元的測評結(jié)果量化評估規(guī)則ijUi,jSi,j為該測評n,j4位∑1≤??≤????,??????,??,??????,??=

????,??i個安全層面的第jGM/T0115-2021給出判Si,j100.5分。安全層面的測評結(jié)果量化評估規(guī)則本文件為每個測評單元分配了相應(yīng)的權(quán)重????,??，如表2所示。第i個安全層面Li的量化評估結(jié)果Si為該安全層面內(nèi)所有ni個適用測評單元測評結(jié)果Si,j的加權(quán)平均值（四舍五入，4????

=∑1≤??≤????????,??????,??∑1≤??≤????????,??若某測評指標(biāo)不適用，則不參與量化評估過程，不適用的判定方式參見GM/T0102整體測評結(jié)果量化評估規(guī)則本文件為每個安全層面分配了相應(yīng)的權(quán)重????，如表2所示。量化評估結(jié)果S為所有nSi（2∑1≤??≤?????????????=

∑

×1001≤??≤????若某個安全層面的所有測評指標(biāo)都不適用，則該安全層面不參與量化評估過程。比如，測評指標(biāo)，那么根據(jù)2提供的安全層面權(quán)重，上述分值計算公式具體為：??=

∑ ??

×100902≤??≤8??整體結(jié)論判定整體量化評估結(jié)果S100GB/