《政務(wù)信息系統(tǒng)密碼應(yīng)用與安全性評(píng)估工作指南》公開(kāi)發(fā)布

【業(yè)內(nèi)動(dòng)態(tài)】

《政務(wù)信息系統(tǒng)密碼應(yīng)用與安全性評(píng)估工作指南》公開(kāi)發(fā)布

本報(bào)訊記者程紅琳?qǐng)?bào)道由中國(guó)密碼學(xué)會(huì)密評(píng)聯(lián)委會(huì)組織編制的《政務(wù)信息系統(tǒng)密碼應(yīng)用與安全性評(píng)估工作指南》(2020版)（以下簡(jiǎn)稱(chēng)《指南》）日前正式發(fā)布。《指南》對(duì)國(guó)家政務(wù)信息系統(tǒng)建設(shè)、使用和集成單位等密碼應(yīng)用與安全性評(píng)估責(zé)任單位，落實(shí)國(guó)家密碼管理有關(guān)要求，同步規(guī)劃、同步建設(shè)、同步運(yùn)行密碼保障系統(tǒng)，給出了具體的指導(dǎo)。

具體而言，該《指南》用于引導(dǎo)非涉密?chē)?guó)家政務(wù)信息系統(tǒng)建設(shè)單位和使用單位規(guī)范開(kāi)展商用密碼應(yīng)用與安全性評(píng)估工作。《指南》分為三章。第一章為政務(wù)信息系統(tǒng)密碼應(yīng)用與安全性評(píng)估實(shí)施過(guò)程指南；第二章為政務(wù)信息系統(tǒng)密碼應(yīng)用措施指南，并給出了密碼應(yīng)用措施方面的建議；第三章為政務(wù)信息系統(tǒng)密碼應(yīng)用與安全性評(píng)估質(zhì)量保障指南，給出了項(xiàng)目建設(shè)單位和使用單位、系統(tǒng)集成單位、密評(píng)機(jī)構(gòu)在相關(guān)活動(dòng)中的質(zhì)量管理建議。

鑒于政務(wù)信息系統(tǒng)的驗(yàn)收約束機(jī)制，《指南》再次重申了密碼應(yīng)用方案的重要性。首先，對(duì)建設(shè)者而言密碼應(yīng)用方案通過(guò)密評(píng)是項(xiàng)目立項(xiàng)的必要條件。其次，系統(tǒng)通過(guò)密評(píng)是項(xiàng)目驗(yàn)收的必要條件。此外，在政務(wù)信息系統(tǒng)運(yùn)行階段，項(xiàng)目使用單位還應(yīng)定期委托密評(píng)機(jī)構(gòu)對(duì)系統(tǒng)開(kāi)展密評(píng)，網(wǎng)絡(luò)安全保護(hù)等級(jí)第三級(jí)及以上的政務(wù)信息系統(tǒng)，每年至少密評(píng)一次，該項(xiàng)工作可與關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測(cè)評(píng)估、網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)等工作統(tǒng)籌考慮、協(xié)調(diào)開(kāi)展。

結(jié)合當(dāng)前密碼技術(shù)、產(chǎn)品和服務(wù)的實(shí)際情況，《指南》在政務(wù)信息系統(tǒng)密碼應(yīng)用方面，給出了針對(duì)性的措施建議。具體應(yīng)用領(lǐng)域包括：物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全、秘鑰管理、安全管理等。如在網(wǎng)絡(luò)和通信安全的密碼應(yīng)用方面，為實(shí)現(xiàn)對(duì)信息系統(tǒng)與外部實(shí)體之間網(wǎng)絡(luò)通信的安全防護(hù)，確認(rèn)通信實(shí)體的身份以及保護(hù)通信過(guò)程中的數(shù)據(jù)，《指南》提出，項(xiàng)目建設(shè)單位可結(jié)合政務(wù)信息系統(tǒng)的網(wǎng)絡(luò)安全保護(hù)等級(jí)，部署IPSec VPN 類(lèi)產(chǎn)品（符合 GM/T 0022-2014《IPSec VPN技術(shù)規(guī)范》、GM/T 0023-2014《IPSec VPN網(wǎng)關(guān)產(chǎn)品規(guī)范》等標(biāo)準(zhǔn)），或是SSL VPN 類(lèi)產(chǎn)品（符合GM/T 0024-2014《SSL VPN技術(shù)規(guī)范》、GM/T 0025-2014《SSL VPN網(wǎng)關(guān)產(chǎn)品規(guī)范》等標(biāo)準(zhǔn)）實(shí)現(xiàn)通信雙方的身份鑒別，通信過(guò)程中敏感數(shù)據(jù)的機(jī)密性、完整性保護(hù)。

對(duì)國(guó)家政務(wù)信息系統(tǒng)建設(shè)、使用和集成單位等密碼應(yīng)用與安全性評(píng)估責(zé)任單位，《指南》對(duì)其開(kāi)展密碼應(yīng)用方案編制、密碼保障系統(tǒng)建設(shè)等活動(dòng)提出了質(zhì)量管理建議，同時(shí)提出了密評(píng)機(jī)構(gòu)實(shí)施密碼應(yīng)用安全性評(píng)估的規(guī)范性要求。

此外，《指南》在附錄中還給出了政務(wù)信息系統(tǒng)密碼應(yīng)用方案模板、密碼相關(guān)標(biāo)準(zhǔn)、某部機(jī)關(guān)電子公文處理系統(tǒng)密碼應(yīng)用方案示例。為項(xiàng)目建設(shè)單位編寫(xiě)方案提供指導(dǎo)。

本報(bào)擁有此文版權(quán)，若需轉(zhuǎn)載或復(fù)制，請(qǐng)注明來(lái)源于中國(guó)政府采購(gòu)報(bào)，標(biāo)注作者，并保持文章的完整性。否則，將追究法律責(zé)任。