【概念】密评梳理最新最全

微信扫码，打开到小程序

密评梳理 0 1 密码知识 0 2 0 3 密评介绍 密评工作 密码简介 • 密码技术基础 0 1 • 密码分类 • 密码算法 密码技术基础 什么是密码？ ● 计算机开机“密码” ● 电子邮箱登录“密码” ● 银行卡支付“密码” ● 微信登录“密码” 口令≠ 密码 □ 密码是指使用特定变换对数据等信息进行加密保护或者 安全认证的物项和技术。 密码法 《中华人民共和国密码法》 2020 年 1 月 1 日起 正 式实施。是为了规范密码应用和管理，促进 密码 事业发展，保障网络与信息安全，维护国 家安全 和社会公共利益，保护公民、法人和其 他组织的 合法权益，制定的法律。《密码法》 是中国密码 领域的综合性、基础性法律。 密码的分类 属于国家秘密。用于保护国家秘密 信息。 核心密码保护信息的最高秘级为绝 密级；普通密码保护信息的最高秘 级为机密级。 不属于国家秘密。公民、法人和 其他组织可以依法使用商用密码 保护网络与信息安全。 核心密码 普通密码 商用密码 密码特性 密码四个“特性” ■ 机密性 保证信息不被泄露给非授权的个人、计算机等实体。 ■ 真实性 保证信息的来源可靠、没有被伪造和篡改。 ■ 完整性 数据没有受到非授权的篡改或破坏。 ■ 不可否认性 指一个已经发生的操作行为无法否认。 真实性 机密性 完整性 不可抵赖性 ●“ 看不懂”，防泄漏，未授权用户看不到 ● “ 进不来”，防假冒，禁止未授权用户访问 ●“ 改不了”，防篡改，保证信息不被未 授权改动 ●“ 跑不掉”，抗抵赖，用户不可否认之 前 对信息的任何操作 密码算法 常见密码算法类型 ■ 对称密码算法 ■公钥密码算法（非对称密码算 法） ■密码杂凑算法 密码算法 常见密码算法类型 ■ 对称密码算法 › 加密和解密过程中使用相同或容易相互推导得出的密钥。加解密速度快，易于通过硬件实现。 › 序列密码： ZUC 算法 › 分组密码： SM4 算法、 DES 、 3DES 、 AES 算法 密码算法 常见密码算法类型 ■ 公钥密码算法 › 加密和解密使用不同的密钥。密码管理简单，加解密速度慢。 › 公钥加密算法：使用公钥加密，使用私钥解密 › 数字签名算法：使用私钥签名，使用公钥验证 › RSA 算法、 SM2 算法、 SM9 算法 密码算法 常见密码算法类型 ■ 密码杂凑算法 › 将任意长的消息压缩成固定长度短消息的函数，具有抗碰撞和单向性等性质 › 可以用于数字签名，先对信息压缩，再对摘要签名 › 检测消息完整性，通过摘要值判定是否篡改 › MD5 算法、 SM3 算法、 SHA256 典型密码应用 典型密码应用 ■ 密码应用需求主要包括以下几方面： ★ 用户身份鉴别需求。对网上银行系统用户进行身份标识和身份鉴别，实现身份鉴别信息的防截获、防假 冒 和防重用，保证用户身份的真实性。 ★ 关键数据的保密性和完整性保护需求。保护系统数据交换安全，保障账户信息、交易数据、用户信息等 关 键数据的保密性；使用完整性保护技术，防止非法用户对关键数据进行篡改或删除，防止数据传送过程中可 能的数据丢失。 ★ 交易行为的不可否认需求。对于网上交易、账务查询等重要操作，提供数据原发证据和数据接收证据， 实 现数据原发行为的不可否认和数据接收行为的不可否认。 0 2 密评介绍 • 密评对象 • 两者关 系 • 基本概念 • 法律依据 密评工作关注要点  1. 五个等级：由低到高分为一到五级， 三 级最为常见  2. 主管单位：国家密码管理部门负责监督、 检 查、指导。（密评报告需双备案）  3. 监管力度：三级系统至少每年测评一 次 基本概念 关注要点 商用密码应用安全性评估（以下简称 “密评”）是指对采用商用密码技术、产品 和 服务集成建设的网络和信息系统中，对其 密码应用的合规性、正确性、有效性进行评 估。 等保定级 定级 系统被破坏时所侵害的客体 对相应客体的侵害程度 一般损害 严重损害 特别严重损害 公民、法人和其他组织的合法权益 第一级 第二级 第二级 社会秩序、公共利益 第二级 第三级 第四级 国家安全 第三级 第四级 第五级 密评试点机构目录（全国共 48 家） 密评试点机构目录（全国共 48 家） 密评对象 2 1 重点面向金融、政务等重要 领域中的网络与信息系统 重点面向关键信息基础设施 和网络安全等级保护三级及 以上系统 密评内容 密评的具体内 容和指标 密码应用 的合规性 物理和环境安全 网络和通信安全 设备和计算安全 应用和数据安全 密钥管理  使用的密码算法、密 码技术符合法律法规和 相关国家标准、行业标准 的有关要求  使用的密码产品、密 码模块通过国家密码管 理部门核准  使用的密码服务符合国 家密码管理要求 密码技术使用是否 正确 : 信息系统应 当依据相关要求国 家或行业标准实现 所需安全功能 重要数据、敏感信 息的机密性和完 整性保护 用户的身份鉴别和 行为不可否认性 的密码应用实现 密码应用 的正确性 密码应用 的有效性 制度 人员 实施 应急 密评与等保的关系 相互映照 共同推动 《网络安全等级保护 条例》中保留了密码 专章，在统一标准体 系的基础上合并开展 《商用密码应用安全 性评估管理办法》对 网络安全等级保护第 三级及以上系统提出 评估要求 《网络安全等级保护 基本要求》明确各级 系统在哪些环节使用 密码 《网络安全等级保护 测评要求》将密码测 评结果列为等保测评 通过的必要条件 相 互 衔 接 相 辅 相 成 为什么要做密评 国家对关键信息基础设施的密码应用 安全性进行分类分级评估，按照国家安 全审查的要求对影响或者可能影响国家 安全的密码产品、密码相关功能和密码 保障系统进行安全审查。 密码法 关键信息基础设施应当依照法律、法 规的规定和密码相关国家标准的强制性 要求使用密码进行保护，同步规划、 同 步建设、同步运行密码保障系统。 任何单位或个人只能使用经国家密码管 理机构认可的商用密码产品，不得使用自行 商用密码管理条例 商用密码产品，必须经国家密码管理机构 指定的产品质量检测机构检测合格。 网络安全等级保护条例 违反本条例有关保密管理和密码管理规定 的，由保密行政管理部门或者密码管理部门 按照各自职责分工责令改正，拒不改正的， 给予警告，并通报向其上级主管部门，建议 对其主管人员和其他直接责任人员依法给予 处分。 1 2 3 4 5 第三级以上网络运营者应在网络规划、建设和运行阶段，按照密 码应用安全性评估管理办法和相关标准，委托密码应用安全性测评机 构开展密码应用安全性评估。网络通过评估后，方可上线运行，并在 投入运行后，每年至少组织一次评估。密码应用安全性评估结果应当 报受理备案的公安机关和所在地设区市的密码管理部门备案。 网络安全等级保护条例 非涉密网络应当按照国家密码管理法律法规和标准的要求，使用密 码技术、产品和功能。第三级以上网络应当采用密码保护，并使用国 家密码管理部门认可的密码技术、产品和功能。 采购人应当按照国家有关规定组织政务信息 系统项目验收，根据项目特点制定完整的项目验 收方案。验收方案应当包括项目所有功能的实现 情况、密码应用和安全审查情况、信息系统共享 情况、维保功能等采购文件和采购合同规定的内 容，必要时可以邀请行业专家、第三方机构或相 关主管部门参与验收。 政务信息系统政府采 购管理暂行办法 采购需求应当落实国家密码管理有关法 律法规、 政策和标准规范的要求，同步规划、同步 建设、 同步运行密码保障系统并定期进行评估。 研制的或者境外生产的密码产品。 密码法 第二十七条 法律、行政法规和国 家有 关规定要求使用商用密码进行保护 的 关键信息基础设施，其运营者应当使 用商用密码进行保护，自行或者委托商 用密码检测机构开展商用密码应用安全 性评估。 第三十七条 关键信息基础设施 的运 营者违反本法第二十七条第一款规 定， 未按照要求使用商用密码，或者未 按 照要求开展商用密码应用安全性评估 的，由密码管理部门责令改正，给予警 告；拒不改正或者导致危害网络安全等 后果的，处十万元以上一百万元以下罚 款，对直接负责的主管人员处一万元以 上十万元以下罚款。 密评工作 0 3 • 工作流程 • 评估要求 • 测评依据 密评依据 v 系统责任单位密码应用依据：  《信息系统密码应用基本要求》 GM/T 39786- 2021  密码相关的国家标准 (GB) 和行业标准 (GM 系列 )  系统所属行业标准中的密码相关要求 测评机构依据密码主管部门颁布的测评规范：  《信息系统密码应用测评要求》  《信息系统密码测评过程指南》  《信息系统密码应用高风险判定指引》  《商用密码应用安全性评估量化评估规则》  《政务信息系统密码应用与安全性评估工作指南》 开展密评工作 - 四个阶段 规划阶段 建设阶段 运行阶段 应急评估  依据 GM/T 39786 《基本要求》设计密码应用方案，一般包括 : 《密码应用解决 方案 》、《密码应用实施方案》和《密码应用应急方案》三个组成部分  可委托测评机构对密码应用方案进行专家评审  通过专家审定后的方案应作为建设、验收、测评的重要依据。  委托测评机构进行商用密码应用安全性评估 ( 简称密评 )  对于等保三级及以上系统，应每年委托测评机构进行密评  密评通过后， 30 个工作日内报送系统主管部门、当地密 码 主管部门 ; 如果是等保三级及以上系统，则同时报送当 地公 安部门  依据通过评估的密码应用方案 , 制定密码实施方案进行系统建设 / 升 级  密码实施方案应包括信息系统概述、安全需求分析、密码系统设计 方 案、密码产品清单、安全管理与维护策略、密码系统实施计划等。  制定应急预案，做好应急资源准备，结合实 际情况及时处置  事件发生后，向上级主管部门进行报告  事件处置完成后，及时向同级的密码主管部 门报告事件发生的情况及处置情况 开展密评工作 -5 个步 骤 测评 - 双方职 责 测评机构按照有关法律法规和标准要求科学、公正地开展评估，完成 评 估后，应在 30 个工作日将结果报国家密码管理部门备案 。 系统规划阶段：制定密码应用方案，可委托测评机构进行专家评审。 系统建设阶段：根据专家评审后密码应用方案，制定密码实施方案。 系统投入运行后：委托测评机构定期开展密评，未通过进行整改。 系统发生密码相关重大安全事件时，及时进行评估和应急处置。 完成规划、建设、运行和应急评估后，报国家密码管理部门备案 。 国家密码管理部门负责指导、监督和检查全国密评工作 。 国家和地方密码管理部门对测评机构工作开展情况进行监督。 测评机构 网络运营者 密码管理部门 物理和环境安全 信息 系统 网络和通信安全 设备和计算安全 应用和数据安全 密钥管理 制度 人员 实施 应急 评估基本要求 - 密 评 技 术 要 求 管 理 要 求 评估基本要求 - 技术层面 测评层面 测评指标 物理和环境安全 身份鉴别、电子门禁记录数据完整性、视 频记录数据完整性、密码模块实现 网络和通信安全 身份鉴别、访问控制信息完整性、通信数 据完整性、通信数据机密性性、集中管理 通道安全、密码模块实现 设备和计算安全 身份鉴别、访问控制信息完整性、敏感标 记的完整性、日志记录完整性、远程管理 身份鉴别信息机密性、重要程序或文件完 整性、密码模块实现 应用和数据安全 身份鉴别、访问控制、数据传输安全、数 据存储安全、日志记录完整性、重要应用 程序的加载和卸载、抗抵赖、密码模块实 现 密钥管理 生成、存储、使用、分发、导入与导出、 备份与恢复、归档、销毁 物理和环境安全 网络和通信安全 密钥管理 设备和计算安全 应用和数据安全 评估基本要求 - 管理层面 评估基本要求 - 密码算 法 密码算法 要求：信息系统中使用的密码算法应当符合法律、法规的规定和密码相关国家 标准、行业标准的有关要求。 解读：规范密码算法的选用，要求使用国家密码管理部门或相关行业认可的标准算法。 一般情况下，有三类算法可满足该要求：  以国家标准或国家密码行业标准形式公开发布的密码算法，包括 ZUC 、 SM 算 法系 列  为特定行业、特定需求设计的专用算法以及未公开的通用算法，使用前应向国家 密码管理部门咨询有关政策  由于国际互联互通等需要而兼容的国外算法，选用前应同时咨询行业主管部门和 国家密码管理部门意见，且应在应用中默认优先使用商用密码算法 评估基本要求 - 密码技 术 密码技术 要求：信息系统中使用的密码技术应遵循密码相关国家标准和行业标准。 解读：规范密码技术的使用：  密码技术：实现密码的加密保护和安全认证等功能的技术（密码算法、密钥管理 和密码协议等）  密码技术相关国家或行业标准规定了密码技术在密码系统中或不同应用场景下的 使用方法，信息系统应当依据相关要求实现所需安全功能。 例如： 《 GM/T 0036-2014 采用非接触卡的门禁系统密码应用指南》 --SM4 实现密钥分发； 《 GM/T 0022-2014 IPSec 技术规范》 -- 对称算法 SM4 、公钥算法 SM2 、杂凑算法 SM3 。 评估基本要求 - 密码产 品 解读：规范密码密码产品和密码模块的使用  密码产品：通过国家密码管理部门核准，获得商用密码产品型号证书或合格检测 报告（后者针对信息安全产品，例如安全路由器） 密码产品 要求：信息系统中使用的密码产品与密码模块应通过国家密码管理部门核准。 评估基本要求 - 密码服 务 解读：规范密码服务使用，要求应取得国家密码管理部门颁发的密码服务许可证。现阶 段，密码服务许可的范围还集中在较为成熟的电子认证服务行业。 密码服务 要求：信息系统中使用的密码服务应通过国家密码管理部门许可。 密码功能要求 密码功能要求 1 、使用密码加密功能实现机密性。 2 、使用消息鉴别码（ MAC ）或数字签名实现完整性。 3 、使用对称加密、动态口令、数字签名等实现真实性。 4 、使用数字签名等密码技术实现实体行为的不可否认 性。 目前密评工作的难点 密评整改涉及应用层和主机层的改造 需结合原系统开发商的技术方案 需结合密码服务商的技术方案 整改内容多，成本高，门禁系统、 摄像头、 服务器、交换机等 感谢您的聆听