【概念】密评培训

微信扫码，打开到小程序

天融信密评培训 安全接入产品线  第二章 密评建设方案  第一章 密评政策解读 第一章 密评政策解读 可信网络 安全世界 密评是什么？评估对象？评估的是什么？ 合规性 -- 技术 + 产品 + 服务 使用的密码算法、密码协议、密钥管理符合国家法律法规和标准规定，密码 产品或服务经过国家密码管理局核准和认证机构认证合格。 密码算法、密码协议、密钥管理、密码产品或服务使用正确，即按密码相关的 国家和行业标准进行正确设计和实现，密码产品和服务的部署、使用正确。 正确性 -- 正确使用 密码保障系统在系统运行过程中能够发挥实际效用，保障信息系统的安全需 求，解决信息系统面临的安全问题。 有效性 -- 结合业务 中华人民共和国 网络安全法 含 草 案 说 明 中华人民共和国 密码法 含 草 案 说 明 2020 年 1 月 1 日 2017 年 6 月 1 日 中华人民共和国 国家标准 GB/T 39786-2021 《信息安全技术 信息系统 密码应用基本要求》 2021 年 10 月 1 日 “ 密评”全称：商用密码应用安全性评估 对采用商用密码技术、产品和服务集成建设的网络和信息系统 密码应用的合规性、正确性、有效性进行评估 密码应用相关国家法律、法规及政策 1999.10.7 2014.2.4 国务院办公厅印发 金融领域密码应用 指导意见 2017.6.1 《中华人民共和国网 络安全法》正式实施 2019.9 网络安全等级保护 2.0 标准正式发布， 密码技术成为等保重 要组成分之一 2020.1.1 《中华人民共和国 密码法》正式实施 2021.3.9 2015 2019.10.26 2018.2.8 国务院发布第 273 号令，施行《商用 密码管理条例》 《信息安全技术信息 系统密码应用基本要 求》 (GB/T 39786- 2021) 正式发布 十三届全国人大常委 会第十四次会议通过 《中华人民共和国密 码法》 国家密码管理局发 布 GM/T 0054- 2018 《信息系统 密码应用基本要 求》 中共中央办公厅、国务院 办公厅印发《关于加强重 要领域密码应用的指导意 见》（四号文） 2021.10.1 《信息安全技术信息 系统密码应用基本要 求》 (GB/T 39786- 2021) 正式实施 商用密码应用安全性评估的实施范围  涉及国家安全和社会公共利益的重要领域网络和信息系统的建设、使用、管理单位（以下简称责任单位）应当健全密码 保障体系，实施商用密码应用安全性评估。重要领域网络和信息系统包括：基础信息网络、涉及国计民生和基础信息资 源的重要信息系统、重要工业控制系统、面向社会服务的政务信息系统，以及关键信息基础设施、网络安全等级保护第 三级及以上信息系统。  第三条规定范围之外的其他网络和信息系统，其责任单位可以参考本办法自愿开展商用密码应用安全性评估。 《商用密码应用安全性评估管理办法（试行）》第三条、第二十条 核设施、航空航天、先进 制造、石油石化、油气管 网、电力系统、交通运 输、水利枢纽、城市设施 重要工业控制系统 电信网 广播电视网 互联网 基础信息网络 能源、教育 公安、社保 交通、卫生 计生、金融 重要信息系统 党政机关、使用财政性资 金的事业单位、团体组织 使用的面向社会服务的信 息系统等 面向社会服务的 政务信息系统 等级保护、密评与关键信息基础设施安全保护 关保 密 评 等 保  网络安全等级保护（简称“等保”）实施范围 最大，所有信息系统均可以进行等级保护测 评工作。  商用密码应用安全性评估（简称“密评”）实 施范围小于等保，目前除关键信息基础设施 与政务信息系统外不强制实施密评，但其他 系统均可自愿实施密评。  关键基础设施保护（简称“关保”）的实施范 围最小，但是最为重要，根据网络安全法、 密码法和关键信息基础设施安全保护条例规 定，关保系统必须进行等保与密评工作。 信息等级保护第一级建设 信息等级保护第二级建设 信息等级保护第三级建设 信息等级保护第四级建设 信息等级保护第五级建设 第一级密码应用基本要求 第二级密码应用基本要求 第三级密码应用基本要求 第四级密码应用基本要求 第五级密码应用基本要求 网络安全等级测评 信息系统密码应用要求 密评定级参照等保 组织贯彻落实党和国家关于密码 工作的方针、政策研究提出解决 密码工作发展中重大问题的建议 主要从事密码技术、产品、系统 和管理等方面的标准化工作 商用密码应用安全性评估有关的机构 密评通过与否密评机构说了算， 密码产品改造具有产品推荐权 商用密码应用安全性 评估试点机构 （目前有 48 家单位） 商用密码应用的建设流程 信息系统的密码应用与安全性评估贯穿于系统的规划、建设和运行阶段，实施过程如下图所示： 分析系统现状 明确密码需求 按照密码需求内 容编写密码应用 方案 评估密码应用 方案 密码应用方 案通过评估 同步规划 按照密码应用 方案建设实施 密码应用安全 性评估 信息系统通过 密码安全评估 是否 合规 是 否，进行整改 同步建设 定期开展系统密码 应用安全性评估 修改密码应用方案 （必要时） 根据密码应用 方案进行整改 同步运行 建设单位：分析系统现状，编制密码 应用方案 评估机构：对密码应用方案进行评估。 建设单位：按照通过评估的密码应用 方案建设密码系统； 评估机构：开展商用密码应用安全性 评估初评、复评。 使用单位：定期委托评估机构对系统 开展商用密码应用安全性 评估。 密评该怎么做？ 密评像一个考试 满分 考试周期 通过条件 考试目的 100 分 等保三级及以上信息系统一年一考 60 分及以上，且无高风险项 通过密评，实现密码算法、技术、产品、服务合规，保障信息安全 考试范围 GB/T39786 《信息安全技术 信息系统密码应用基本要求》全文  请注意考纲范围中重要规则： “ 应”代表：必考，有一项没做就挂科 “ 宜”代表：基础选做题，有条件情况下可以做 “ 可”代表：进阶选做题，有时间、精力和资金的可以冲刺一下 密评第三套卷考纲分析（密评三级） 制度管理 包括密码人员管理、密钥管理、建设运行、应急处置、密码 软件硬件和介质的等管理制度 人员管理 角色、职责、权限、审计、培训和考核、保密协议 建设运行 密码应用方案、实施方案 应急处置 应急处置方案，及时上报 本项内容 30 分 物理和环境 （ 10 分） 身份鉴别、门禁记录、监控记录、密码服务合规、密码产品二级 及以上 网络和通信 （ 20 分） 身份鉴别、数据完整性和机密性、访问信息完整性、设备认证、 密码服务合规、密码产品二级及以上 15+ 设备和计算 （ 10 分） 身份鉴别、加密通道、访问控制和安全标记的完整性、日志和 程序完整性、真实性、密码服务合规、密码产品二级及以上 5+ 应用和数据 （ 30 分） 身份鉴别、传输和存储机密性和完整性、不可否认性、密码服 务合规、密码产品二级及以上 20+ 管 理 要 求 技 术 要 求 本项内容 70 分 高风险项目（触碰就无法通过密评！） 密码算法 密码产品和服务 密码技术 • 采用存在安全问题或安全强 度不足的密码算法 例如： MD5 、 DES 、 SHA-1 RSA （不足 2048 比特）等 • 采用安全性未知的密码算法 例如： 自行设计的密码算法 经认证的密码产品中未经安 全 性论证的密码算法。 • 采用存在缺陷或有安全问题 警示的密码技术 例如： SSH1.0 、 SSL2.0 SSL3.0 、 TLS1.0 等 • 采用安全性未知的密码技术 例如： 未经安全性论证的自行设计 的 密码通信协议、 经认证的密码产品中未经安 全性论证的密码通信协议等 • 采用自实现且未提供安全性证 据的密码产品。 • 采用存在高危安全漏洞的密码 产品，如存在 Heartbleed 漏 洞的 OpenSSL 产品。 • 密码产品的使用不满足其安全 运行的前提条件，如安全策略 或使用手册说明的部署条件。 • 选用的密码服务提供商不具有 相关资质。 密码产品、密码服务（必须要有商密证书！） 上图为旧版证书，截 止 2020 年 6 月 30 日 已全部换发新版证 书，如右图所示 上图所示为商用密码产 品相关单位资质样例 第二章 密评建设方案 可信网络 安全世界 密评产品部署——物理和环境安全 机房 密码应用支撑区 数字证书 认证系统 时间戳 服务器 签名验签 服务器 密码服务 平台 网络边界区 服务器 密码机 防火墙 SSL VPN 安全网关 机房监控管理区 国密门禁服 务器 视频存储 业务应用区 数据加 密存储 行政审批应用 服务器 公文交换 服务器 视频监控 系统 运维管理区 运维堡垒 机 国密数 字证书 运维管理 员 USB KEY 国密门 禁系统 CA 机构 外部用户 政务网 用户 USB KEY 国密数 字证书 SSL VPN 安全网关 协同签名 密钥管理 系统 SSL VPN 客户端 外部专网 / 灾备中心 / 分支机构 应用系统 数据存储 IPSec VPN 安全网关 IPSec VPN 安全网关 政务外网 日志审计 1. 部署基于国密算法的安全电子门禁系统，实现“一卡一密”，对重要物理区域（如计算机集 中办公区、设备机房等）出入人员的身份进行鉴别。 2. 部署视频监控系统，对重要物理区域进行视频监控。 3. 通过服务器密码机实现对门禁日志数据及视频监控音像记录的完整性保护。 机房 密码应用支撑区 数字证书 认证系统 时间戳 服务器 签名验签 服务器 密码服务 平台 网络边界区 服务器 密码机 防火墙 SSL VPN 安全网关 机房监控管理区 国密门禁服 务器 视频存储 业务应用区 数据加 密存储 行政审批应用 服务器 公文交换 服务器 视频监控 系统 运维管理区 运维堡垒 机 国密数 字证书 运维管理 员 USB KEY 国密门 禁系统 CA 机构 外部用户 政务网 用户 USB KEY 国密数 字证书 SSL VPN 安全网关 协同签名 密钥管理 系统 SSL VPN 客户端 外部专网 / 灾备中心 / 分支机构 应用系统 数据存储 IPSec VPN 安全网关 IPSec VPN 安全网关 政务外网 日志审计 密评产品部署——网络和通信安全 1. 通过国密 SSL/IPSec VPN 网关确保通信实体设备及人员身份的真实性、保证通信数据的 机密性和完整性 2. 通过国密 SSL/IPSec VPN 网关确保网络边界访问控制信息的完整性 3. 通过 PKI/CA 基础设施为设备或访问人员颁发数字证书，保证人员或设备唯一性与合法 性 密评产品部署——设备和计算安全 机房 密码应用支撑区 数字证书 认证系统 时间戳 服务器 签名验签 服务器 密码服务 平台 网络边界区 服务器 密码机 防火墙 SSL VPN 安 全网关 机房监控管理区 国密门禁服 务器 视频存 储 业务应用区 数据加 密存储 行政审批应用 服务器 公文交换 服务器 视频监控 系统 运维管理区 运维 堡垒机 国密数 字证书 运维管理 员 USB KEY 国密门 禁系统 CA 机构 外部用户 政务网 用户 USB KEY 国密数 字证书 SSL VPN 安全网关 协同签名 密钥管理 系统 SSL VPN 客户端 外部专网 / 灾备中心 / 分支机构 应用系统 数据存储 IPSec VPN 安全网关 IPSec VPN 安 全网关 政务外网 日志审计 1. 通过 PKI/CA 身份基础设施颁发数字证书，采用 USB KEY+ 数字证书确保访问设备人员 身份的真实性。 2. 通过堡垒机 + 国密 SSL VPN 网关实现在远程管理设备时，建立安全的信息传输通道。 3. 通过服务器密码机结合日志审计系统实现安全设备系统日志信息、系统资源访问控制信 息的完整性保护。 密评产品部署——应用和数据安全 机房 密码应用支撑区 数字证书 认证系统 时间戳 服务器 签名验签 服务器 密码服务 平台 网络边界区 服务器 密码机 防火墙 SSL VPN 安 全网关 机房监控管理区 国密门禁服 务器 视频存 储 业务应用区 数据加 密存储 行政审批应用 服务器 公文交换 服务器 视频监控 系统 运维管理区 运维堡垒 机 国密数 字证书 运维管理 员 USB KEY 国密门 禁系统 CA 机构 外部用户 政务网 用户 USB KEY 国密数 字证书 SSL VPN 安全网关 协同签名 密钥管理 系统 SSL VPN 客户端 外部专网 / 灾备中心 / 分支机构 应用系统 数据存储 IPSec VPN 安全网关 IPSec VPN 安 全网关 政务外网 日志审计 1. 通过 PKI/CA 身份基础设施颁发数字证书，采用 手机盾、 USB KEY 、签名验签服务器确保访问 应用系统用户身份的真实性。 2. 通过国密 SSL/IPSec VPN 、服务器密码机、签 名验签服务器、数据库加密机等实现系统传输、 存储数据的机密性、完整性。 3. 通过国密 SSL VPN 移动客户端实现移动端传输 安全，确保移动端应用数据的完整性、机密性。 4. 采用签名验签服务器、电子签章服务器、时间戳 服务器等保障发送和接收行为不可否认性。 网络边界 计算环境 管理中心 密码服务区 物理边界 SJJ 加密机 SJJ 加密机 智能密码钥匙 国密浏览器 服务器密码机 国密电子门禁 产品名称 符合性说明 得分 国密电子门禁 （可选） 8.1 a ）宜采用密码技术进行物理访问身份鉴别，保 证重要区域进入人员身份的真实性 以上如采用密码 服务，该密码服 务应符合法律法 规的相关要求， 需依法接受检测 认证的，应经商 用密码认证机构 认证合格。 以上采用的密码 产品，应达到 GB/ T37092 二级 及以上安全需求 5 分 服务器密码机 （必选） 8.4 d ）应采用密码技术保证信息系统应用的重要数 据在传输过程中的机密性； 8.4 e ）应采用密码技术保证信息系统应用的重要数 据在存储过程中的机密性； 20 分 + SJJ 加密机 （必选） 8.2 a ）应采用密码技术对通信实体进行身份鉴别， 保证通信实体身份的真实性； 8.21 c ）应采用密码技术保证通信过程中重要数据的 机密性； 8.3 a ）应采用密码技术对登录设备的用户进行身份 鉴别，保证用户身份的真实性； 8.3 b ）远程管理设备时，应采用密码技术建立安全 的信息传输通道； 8.4 a ）应采用密码技术对登录用户进行身份鉴别， 保证应用系统用户身份的真实性； 20 分 + 智能密码钥匙 （必选） 实现数字证书的存储、数字签名认证、对称加解密、 口令认证、内外部认证、数据完整性校验等功能； 配合使用 不单独计分 国密证书 （必选） 使用全国性电子认证机构颁发的国密数字证书，与智 能密码钥匙和 SJJ 加密机配合共同实现身份真实性要 求； 配合使用 不单独计分 管理制度 按照要求编写管理制度 20 分 + 方案总分 60 分 + 密评整改经济套餐（ 65 分 + ） 网络边界 计算环境 管理中心 密码服务区 物理边界 SJJ 加密机 SJJ 加密机 智能密码钥 匙 国密浏览器 服务器 密码机 国密电子门禁 签名验签 服务器 密钥管 理系统 协同签 名系统 堡垒机 密评整改豪华套餐（ 75 分 + ） 产品名称 得分 国密电子门禁 （可选） 5 分 服务器密码机 （必选） 20 分 + SJJ 加密机 （必选） 20 分 + 签名验签服务器（必选） 10 分 + 密钥管理系统 （可选） 5 分 + 协同签名系统 （必选） 5 分 + 堡垒机 （必选） 5 分 + 智能密码钥匙 （必选） 配合使用 不单独计分 国密证书 （必选） 配合使用 不单独计分 管理制度 20 分 + 方案总分 75 分 + 本方案产品清单：  国密电子门禁（必选）  安全视系统（必选）  日志审计系统（必选）  服务器密码机（必选）  SJJ 加密机（ SSL/IPsec ）（必选）  签名验签服务器（必选）  密钥管理系统（必选）  协同签名系统（必选）  数据库加密系统（必选）  智能密码钥匙（必选）  国密证书（必选）  电子签章系统（可选）  堡垒机（必选）  时间戳（必选） 密评整改尊享套餐（ 85 分 + ） 谢谢观看