信息安全技术信息系统密码应用基本要求

信息安全技术信息系统密码应用基本要求

国家标准 GB/T39786一2021 信息安全技术 信息系统密码应用基本要求 Informationsecuritytechmology一 Baselineforintormatonsystemeyptuographyapplieaton 2021-03-09发布 2021-10-01实施 国家市场监督管理总局 发布 国家标涯花管理委员会国家标准
GB/39786一2021 目 次 前言 范围 规范性引用文件 凡 术语和定义 概述 4.1信息系统密码应用技术框架 4.2密码应用基本要求等级描述 通用要求 第 -级密码应用基本要求 6.1物理和环境安全 6.2网络和通信安全 6.3设备和计算安全 6.4应用和数据安全 6.5管理制度 6.6人员管理 6.7建设运行 6.8应急处置 第二级密码应用基本要求 物理和环境安全 7.1 7." 网络和通信安全 7.3设备和计算安全 7.4 应用和数据安全 7.5 管理制度 7.6人员管理 7.7建设运行 7.8应急处置 第三级密码应用基本要求 8.1物理和环境安全 8.2网络和通信安全 8.3设备和计算安全 8.4应用和数据安全 8.5管理制度 8.6 人员管理 8.7建设运行 8.8应急处置 第四级密码应用基本要求
GB/T39786一202 9.1物理和环境安全 9.2网络和通信安全 9.3设备和计算安全 9.4应用和数据安全 9.5管理制度 9.6人员管理 0 9.7建设运行 9.8应急处置 10第五级密码应用基本要求 12 附录A资料性附录不同级别密码应用基本要求汇总列表 ****# 附录B资料性附录密钥生存周期管理 l6 参考文献
GB/39786一2021 前 言 本标准按照GB/T1.1一2009给出的规则起草 请注意本文件的某些内容可能涉及专利 本文件的发布机构不承担识别这些专利的责任 本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口 本标准起草单位:北京数字认证股份有限公司、国家密码管理局商用密码检测中心、科学院数 据与通信保护研究教育中心、公安部第三研究所、上海交通大学、北京信息安全测评中心,成都卫士通信 息产业股份有限公司、金融电子化公司、飞天诚信科技股份有限公司、安徽科测信息技术有限公司、 深圳市网安计算机安全检测技术有限公司、山东省计算中心(国家超级计算济南中心)、电子科技集 团公司第十五研究所信息产业信息安全测评中心)北京电子科技学院、北京三未信安科技发展有限公 司兴唐通信科技有限公司 本标准主要起草人詹榜华,宋玲娓、罗鹏,邓开勇,夏鲁宁,霍炜、刘健、许长伟、田敏求、傅大鹏 马原,郑肪显,陈广勇、黎水林、银鹰、刘芳、肖秋林,张众、李晨肠、张晓溪、杨宏志,朱鹏飞、倪又明、程苏秦 刘继,同亚龙.高去权.钟博.张文科.刘尚菜
GB/39786一2021 信息安全技术 信息系统密码应用基本要求 范围 本标准规定了信息系统第一级到第四级的密码应用的基本要求,从信息系统的物理和环境安全、网 络和通信安全、设备和计算安全、应用和数据安全四个技术层面提出了第一级到第四级的密码应用技术 要求,并从管理制度、人员管理、建设运行和应急处置四个方面提出了第一级到第四级的密码应用管理 要求 注:第五级密码应用仅在本标准中描述通用要求,第五级密码应用技术要求和管理要求不在本标准中描述 本标准适用于指导、规范信息系统密码应用的规划、建设、运行及测评 在本标准的基础之上,各领 域与行业可结合本领域与行业的密码应用需求来指导、规范信息系统密码应用 规范性引用文件 下列文件对于本文件的应用是必不可少的 凡是注日期的引用文件,仅注日期的版本适用于本文 件 凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件 GB/T37092信息安全技术密码模块安全要求 术语和定义 下列术语和定义适用于本文件 3. 机密性confidentiality 保证信息不被泄露给非授权实体的性质 3.2 数据完整性dataintegrity 数据没有遭受以非授权方式所作的改变的性质 3.3 真实性authentieity -个实体是其所声称实体的这种特性 真实性适用于用户,进程,系统和信息之类的实体 3.4 不可否认性non-repudiation 证明一个已经发生的操作行为无法否认的性质 3.5 加密eneipherment;encryption 对数据进行密码变换以产生密文的过程 3.6 密钥key 控制密码算法运算的关键信息或参数
GB/T39786一2021 3.7 密钥管理keymanagement 根据安全策略,对密钥的产生、分发、存储、使用、更新、归档、撤销、备份、恢复和销毁等密钥全生存 周期的管理 3.8 身份鉴别identityauthemtieation 证实一个实体所声称身份的过程 3.9 消息鉴别码messageauthenticationcode 利用对称密码技术或密码杂凑技术,在秘密密钥参与下,由消息所导出的数据项 任何持有这一秘 密密钥的实体,可利用消息鉴别码检查消息的完整性和始发者身份 3.10 动态口令 Oe e-timepus Sw0rd 基于时间、事件等方式动态生成的一次性口令 3.11 访问控制accesscontrol 按照特定策略,允许或拒绝用户对资源访问的一种机制 概述 4.1信息系统密码应用技术框架 4.1.1框架概述 本标准从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层 面提出密码应用技术要求,保障信息系统的实体身份真实性、重要数据的机密性和完整性、操作行为的 不可否认性;并从信息系统的管理制度、人员管理、建设运行和应急处置四个方面提出密码应用管理要 求,为信息系统提供管理方面的密码应用安全保障 4.1.2密码应用技术要求维度 技术要求主要由机密性、完整性、真实性、不可否认性四个密码安全功能维度构成,具体保护对象或 应用场景描述如下 机密性技术要求保护对象 a 使用密码技术的加解密功能实现机密性.信息系统中保护的对象为 身份鉴别信息， 2 密钥数据; 33 传输的重要数据; 4 信息系统应用中所有存储的重要数据 完整性技术要求保护对象 使用基于对称密码算法或密码杂凑算法的消息鉴别码机制、基于公钥密码算法的数字签名机 制等密码技术实现完整性,信息系统中保护的对象为 1 身份鉴别信息; 22 密钥数据;
GB/39786一2021 33 日志记录; 访问控制信息; 4 重要信息资源安全标记 5 6 重要可执行程序; 7 视频监控音像记录; 电子门禁系统进出记录， 8 9 传输的重要数据; 10)信息系统应用中所有存储的重要数据 真实性技术要求应用场景 使用动态口令机制,基于对称密码算法或密码杂凑算法的消息鉴别码机制,基于公钥密码算法 的数字签名机制等密码技术实现真实性,信息系统中应用场景为 进人重要物理区域人员的身份鉴别: 1 通信双方的身份鉴别 22 33 网络设备接人时的身份鉴别 重要可执行程序的来源真实性保证; 4" 登录操作系统和数据库系统的用户身份鉴别 5 6 应用系统的用户身份鉴别 不可否认性技术要求保护对象 使用基于公钥密码算法的数字签名机制等密码技术来保证数据原发行为的不可否认性和数据 接收行为的不可否认性 4.1.3密码应用管理要求维度 管理要求由管理制度、人员管理、建设运行、应急处置等四个密码应用管理维度构成,具体如下 密码应用安全管理相关流程制度的制定、发布、修订的规范性要求; a 密码相关安全人员的密码安全意识以及关键密码安全岗位员工的密码安全能力的培养,人员 b 工作流程要求等; 建设运行过程中密码应用安全要求及方案落地执行的一致性和有效性要求; 处理密码应用安全相关的应急突发事件的能力要求 d 4.2密码应用基本要求等级描述 本标准对信息系统密码应用划分为自低向高的五个等级,参照GB/T22239的等级保护对象应具 备的基本安全保护能力要求,本标准提出密码保障能力逐级增强的要求,用一,二、三,四、五表示 信息 系统管理者可按照业务实际情况选择相应级别的密码保障技术能力及管理能力各等级描述如下 第一级,是信息系统密码应用安全要求等级的最低等级,要求信息系统符合通用要求和最低限 度的管理要求,并鼓励使用密码保障信息系统安全; 第二级,是在第一级要求的基础上,增加操作规程、人员上岗培训与考核、应急预案等管理要 求,并要求优先选择使用密码保障信息系统安全; 第三级,是在第二级要求的基础上,增加对真实性、机密性的技术要求以及全部的管理要求; 第四级,是在第三级要求的基础上,增加对完整性,不可否认性的技术要求 第五级(略) 本标准所要求的不同等级密码应用基本要求简表参见附录A
GB/T39786一2021 5 通用要求 第一级到第五级的信息系统应符合以下通用要求: a 信息系统中使用的密码算法应符合法律、法规的规定和密码相关国家标准、行业标准的有关 要求; 信息系统中使用的密码技术应遵循密码相关国家标准和行业标准; b 信息系统中使用的密码产品、密码服务应符合法律法规的相关要求 c 第一级密码应用基本要求 6 6.1物理和环境安全 本级要求包括 可采用密码技术进行物理访问身份鉴别,保证重要区域进人人员身份的真实性; a 可采用密码技术保证电子门禁系统进出记录数据的存储完整性; b 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 c 商用密码认证机构认证合格 6.2网络和通信安全 本级要求包括. 可采用密码技术对通信实体进行身份鉴别,保证通信实体身份的真实性; a b 可采用密码技术保证通信过程中数据的完整性 可采用密码技术保证通信过程中重要数据的机密性; c 可采用密码技术保证网络边界访问控制信息的完整性， d 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 e 商用密码认证机构认证合格 6.3设备和计算安全 本级要求包括: 可采用密码技术对登录设备的用户进行身份鉴别,保证用户身份的真实性 a b)可采用密码技术保证系统资源访问控制信息的完整性; c 可采用密码技术保证日志记录的完整性; d 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 商用密码认证机构认证合格 6.4应用和数据安全 本级要求包括 可采用密码技术对登录用户进行身份鉴别,保证应用系统用户身份的真实性 a b 可采用密码技术保证信息系统应用的访问控制信息的完整性 可采用密码技术保证信息系统应用的重要数据在传输过程中的机密性; c 可采用密码技术保证信息系统应用的重要数据在存储过程中的机密性 d 可采用密码技术保证信息系统应用的重要数据在传输过程中的完整性 e 可采用密码技术保证信息系统应用的重要数据在存储过程中的完整性
GB/39786一2021 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 g 商用密码认证机构认证合格 6.5管理制度 使用密码技术的信息系统应符合以下管理制度要求; 应具备密码应用安全管理制度,包括密码人员管理,密钥管理、建设运行,应急处置,密码软硬 件及介质管理等制度; 应根据密码应用方案建立相应密钥管理规则 b 6.6人员管理 使用密码技术的信息系统应符合以下人员管理要求: 相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度; a b 应及时终止离岗人员的所有密码应用相关的访问权限、操作权限 建设运行 本级要求包括: 应依据密码相关标准和密码应用需求,制定密码应用方案; a b 应根据密码应用方案,确定系统涉及的密钥种类、体系及其生存周期环节,各环节密钥管理要 求参照附录B; 应按照密码应用方案实施建设 C 投人运行前可进行密码应用安全性评估 d 6.8应急处置 本级要求为;可根据密码产品提供的安全策略,由用户自主处置密码应用安全事件 第二级密码应用基本要求 7.1物理和环境安全 本级要求包括: 宜采用密码技术进行物理访问身份鉴别,保证重要区域进人人员身份的真实性; a b 可采用密码技术保证电子门禁系统进出记录数据的存储完整性 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 商用密码认证机构认证合格; 以上采用的码产品,应达到GB/T37092一级及以上安全要求 d 7.2网络和通信安全 本级要求包括 宜采用密码技术对通信实体进行身份鉴别,保证通信实体身份的真实性; aa b)可采用密码技术保证通信过程中数据的完整性; 宜采用密码技术保证通信过程中重要数据的机密性; e 可采用密码技术保证网络边界访问控制信息的完整性; d 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 商用密码认证机构认证合格;
GB/T39786一2021 以上采用的密码产品,应达到GB/T37092一级及以上安全要求 7.3设备和计算安全 本级要求包括 宜采用密码技术对登录设备的用户进行身份鉴别,保证用户身份的真实性; a b 可采用密码技术保证系统资源访问控制信息的完整性 可采用密码技术保证日志记录的完整性; c d 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 商用密码认证机构认证合格; 以上采用的密码产品,应达到GB/T37092一级及以上安全要求 7.4应用和数据安全 本级要求包括 宜采用密码技术对登录用户进行身份鉴别,保证应用系统用户身份的真实性 a b 可采用密码技术保证信息系统应用的访问控制信息的完整性; 宜采用密码技术保证信息系统应用的重要数据在传输过程中的机密性; c 宜采用密码技术保证信息系统应用的重要数据在存储过程中的机密性; d 宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性; e 宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 g 商用密码认证机构认证合格; h)以上采用的密码产品,应达到GB/T37092一级及以上安全要求 7.5管理制度 使用密码技术的信息系统应符合以下管理制度要求 a 应具备密码应用安全管理制度,包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬 件及介质管理等制度; b)应根据密码应用方案建立相应密钥管理规则 应对管理人员或操作人员执行的日常管理操作建立操作规程 c 7.6人员管理 使用密码技术的信息系统应符合以下人员管理要求 a) 相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度 b) 应建立密码应用岗位责任制度,明确各岗位在安全系统中的职责和权限; 应建立上岗人员培训制度,对于涉及密码的操作和管理的人员进行专门培训,确保其具备岗位 c 所需专业技能 d 应建立关键人员保密制度和调离制度,签订保密合同,承担保密义务 7.7建设运行 本级要求包括 应依据密码相关标准和密码应用需求,制定密码应用方案 a) b应根据密码应用方案,确定系统涉及的密钥种类、体系及其生存周期环节,各环节密钥管理要 求参照附录B 应按照应用方案实施建设;
GB/39786一2021 d)投人运行前宜进行密码应用安全性评估 7.8应急处置 本级要求为;应制定密码应用应急策略,做好应急资源准备,当密码应用安全事件发生时,按照应急 处置措施结合实际情况及时处置 第三级密码应用基本要求 8.1物理和环境安全 本级要求包括 宜采用密码技术进行物理访问身份鉴别,保证重要区域进人人员身份的真实性; aa b 宜采用密码技术保证电子门禁系统进出记录数据的存储完整性; 宜采用密码技术保证视频监控音像记录数据的存储完整性; c 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 d 商用密码认证机构认证合格 以上采用的密码产品,应达到GB/T37092二级及以上安全要求 8.2网络和通信安全 本级要求包括: 应采用密码技术对通信实体进行身份鉴别保证通信实体身份的真实性; a b 宜采用密码技术保证通信过程中数据的完整性; 应采用密码技术保证通信过程中重要数据的机密性 c d 宜采用密码技术保证网络边界访问控制信息的完整性; 可采用密码技术对从外部连接到内部网络的设备进行接人认证,确保接人的设备身份真实性 e 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 fD 商用密码认证机构认证合格 以上采用的密码产品,应达到GB/T37092二级及以上安全要求 g 8.3设备和计算安全 本级要求包括: 应采用密码技术对登录设备的用户进行身份鉴别,保证用户身份的真实性 a b 远程管理设备时,应采用密码技术建立安全的信息传输通道; 宜采用密码技术保证系统资源访问控制信息的完整性 c 宜采用密码技术保证设备中的重要信息资源安全标记的完整性; d 宜采用密码技术保证日志记录的完整性 e 宜采用密码技术对重要可执行程序进行完整性保护,并对其来源进行真实性验证 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 g 商用密码认证机构认证合格; h)以上采用的密码产品,应达到GB/T37092二级及以上安全要求 8.4应用和数据安全 本级要求包括: 应采用密码技术对登录用户进行身份鉴别,保证应用系统用户身份的真实性 a
GB/T39786一202 b 宜采用密码技术保证信息系统应用的访问控制信息的完整性; c 宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性; d 应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性 应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性; e 宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性， fD) 宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性; 8 h 在可能涉及法律责任认定的应用中,宜采用密码技术提供数据原发证据和数据接收证据,实现 数据原发行为的不可否认性和数据接收行为的不可否认性; 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 商用密码认证机构认证合格 以上采用的密码产品,应达到GB/T37092二级及以上安全要求 8.5管理制度 使用密码技术的信息系统应符合以下管理制度要求: 应具备密码应用安全管理制度,包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬 a 件及介质管理等制度; 应根据密码应用方案建立相应密钥管理规则 b 应对管理人员或操作人员执行的日常管理操作建立操作规程 c d 应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定,对存在不足 或需要改进之处进行修订; 应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制 e 应具有密码应用操作规程的相关执行记录并妥善保存 f 8.6人员管理 使用密码技术的信息系统应符合以下人员管理要求 相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度 a b)应建立密码应用岗位责任制度,明确各岗位在安全系统中的职责和权限 根据密码应用的实际情况,设置密钥管理员、密码安全审计员、密码操作员等关键安全 1 岗位 2 对关键岗位建立多人共管机制 33 密钥管理,密码安全审计、密码操作人员职责互相制约互相监督,其中密码安全审计员岗 位不可与密钥管理员、密码操作员兼任 相关设备与系统的管理和使用账号不得多人共用 ！ 应建立上岗人员培训制度,对于涉及密码的操作和管理的人员进行专门培训,确保其具备岗位 所需专业技能 应定期对密码应用安全岗位人员进行考核; d 应建立关键人员保密制度和调离制度,签订保密合同,承担保密义务 8.7建设运行 本级要求包括 应依据密码相关标准和密码应用需求,制定密码应用方案 a) 应根据密码应用方案,确定系统涉及的密钥种类、体系及其生存周期环节,各环节密钥管理要 b 求参照附录B 应按照应用方案实施建设;
GB/39786一2021 ) 投人运行前应进行密码应用安全性评估,评估通过后系统方可正式运行; e 在运行过程中,应严格执行既定的密码应用安全管理制度,应定期开展密码应用安全性评估及 攻防对抗演习,并根据评估结果进行整改 8.8应急处置 本级要求包括: 应制定密码应用应急策略,做好应急资源准备,当密码应用安全事件发生时,应立即启动应急 a 处置措施,结合实际情况及时处置 事件发生后,应及时向信息系统主管部门进行报告; b 事件处置完成后,应及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处 c 置情况 第四级密码应用基本要求 9.1物理和环境安全 本级要求包括: 应采用密码技术进行物理访问身份鉴别,保证重要区域进人人员身份的真实性 a b 应采用密码技术保证电子门禁系统进出记录数据的存储完整性 c 应采用密码技术保证视频监控音像记录数据的存储完整性 d)以上如采用密码服务该密码服务应符合法律法规的相关要求,需依法接受检测认证的应经 商用密码认证机构认证合格; 以上采用的密码产品,应达到GB/T37092三级及以上安全要求 9.2网络和通信安全 本级要求包括 应采用密码技术对通信实体进行双向身份鉴别保证通信实体身份的真实性; a 应采用密码技术保证通信过程中数据的完整性; b c 应采用密码技术保证通信过程中重要数据的机密性; d 应采用密码技术保证网络边界访问控制信息的完整性; 宜采用密码技术对从外部连接到内部网络的设备进行接人认证,确保接人设备身份的真实性 e 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 商用密码认证机构认证合格; 以上采用的密码产品,应达到GB/T37092三级及以上安全要求 9.3设备和计算安全 本级要求包括 应采用密码技术对登录设备的用户进行身份鉴别,保证用户身份的真实性; a 远程管理设备时,应采用密码技术建立安全的信息传输通道 b 应采用密码技术保证系统资源访问控制信息的完整性; 应采用密码技术保证设备中的重要信息资源安全标记的完整性; d 应采用密码技术保证日志记录的完整性; te 应采用密码技术对重要可执行程序进行完整性保护,并对其来源进行真实性验证 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 g
GB/T39786一202 商用密码认证机构认证合格; h)以上采用的密码产品,应达到GB/T37092三级及以上安全要求 g.4应用和数据安全 本级要求包括 应采用密码技术对登录用户进行身份鉴别,保证应用系统用户身份的真实性 a b 应采用密码技术保证信息系统应用的访问控制信息的完整性 应采用密码技术保证信息系统应用的重要信息资源安全标记的完整性; d 应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性; g h 在可能涉及法律责任认定的应用中,应采用密码技术提供数据原发证据和数据接收证据,实现 数据原发行为的不可否认性和数据接收行为的不可否认性; 以上如采用密码服务,该密码服务应符合法律法规的相关要求,需依法接受检测认证的,应经 商用密码认证机构认证合格 以上采用的密码产品,应达到GB/T37092三级及以上安全要求 9.5管理制度 使用密码技术的信息系统应符合以下管理制度要求 应具备密码应用安全管理制度,包括密码人员管理、密钥管理、建设运行,应急处置、密码软硬 a 件及介质管理等制度 应根据密码应用方案建立相应密钥管理规则 b 应对管理人员或操作人员执行的日常管理操作建立操作规程; c 应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定,对存在不足 d 或需要改进之处进行修订; 应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制 e 应具有密码应用操作规程的相关执行记录并妥善保存 g.6人员管理 使用密码技术的信息系统应符合以下人员管理要求: 相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度; a b)应建立密码应用岗位责任制度,明确各岗位在安全系统中的职责和权限: 根据密码应用的实际情况,设置密钥管理员、密码安全审计员、密码操作员等关键安全 岗位 对关键岗位建立多人共管机制 2 3 密钥管理,密码安全审计,密码操作人员职责互相制约互相监督,其中密码安全审计员岗 位不可与密钥管理员、密码操作员兼任 相关设备与系统的管理和使用账号不得多人共用 4 5 密钥管理员、密码安全审计员、密码操作员应由本机构的内部员工担任,并应在任前对其 进行背景调查 应建立上岗人员培训制度,对于涉及密码的操作和管理的人员进行专门培训,确保其具备岗位 所需专业技能 10
GB/39786一2021 d应定期对密码应用安全岗位人员进行考核; 应建立关键人员保密制度和调离制度,签订保密合同,承担保密义务 g.7建设运行 本级要求包括: 应依据密码相关标准和密码应用需求,制定密码应用方案; a b 应根据密码应用方案,确定系统涉及的密钥种类、体系及其生存周期环节,各环节密钥管理要 求参照附录B; 应按照应用方案实施建设; d 投人运行前应进行密码应用安全性评估,评估通过后系统方可正式运行; 在运行过程中,应严格执行既定的密码应用安全管理制度,应定期开展密码应用安全性评估及 攻防对抗演习,并根据评估结果进行整改 g.8应急处置 本级要求包括: 应制定密码应用应急策略,做好应急资源准备,当密码应用安全事件发生时,应立即启动应急 处置措施,结合实际情况及时处置 事件发生后,应及时向信息系统主管部门及归属的密码管理部门进行报告 b c 事件处置完成后应及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处 置情况 0第五级密码应用基本要求 11
GB/T39786一2021 附 录 A 资料性附录) 不同级别密码应用基本要求汇总列表 第一级一第四级密码应用基本要求,见表A.1,第五级略 表A.1第一级一第四级密码应用基本要求汇总列表 指标体系 第一级 第二级 第三级 第四级 身份鉴别 宜 宜 应 可 电子门禁记录数据存储完整性 可 宜 应 应 物理和环境安全视频监控记录数据存储完整性 宜 应 应 应 应 密码服务 密码产品 -级及以上二级及以上三级及以上 身份鉴别 可 应 应 宜 可 应 通信数据完整性 宜 通信过程中重要数据的机密性 宜 应 应 可 可 应 网络和通信安全网络边界访问控制信息的完整性 可 宜 可 安全接人认证 密码服务 应 应 应 应 -级及以上 密码产品 二级及以上三级及以上 可 应 应 身份鉴别 宜 远程管理通道安全 应 应 系统资源访问控制信息完整性 可 宜 应 应 技术要求 重要信息资源安全标记完整性 宜 设备和计算安全 可 可 应 日志记录完整性 宜 重要可执行程序完整性、重要可执 宜 行程序来源真实性 密码服务 应 应 应 应 密码产品 -级及以上 二级及以上 三级及以上 可 应 应 身份鉴别 宜 可 访问控制信息完整性 宜 应 宜 重要信息资源安全标记完整性 应 可 重要数据传输机密性 宜 可 应 应 重要数据存储机密性 宜 应用和数据安全 重要数据传输完整性 可 宜 应 宜 宜 宜 重要数据存储完整性 可 应 应 不可否认性 宜 应 应 应 密码服务 应 密码产品 -级及以上二级及以上三级及以上 12
GB/39786一2021 表A.1续 指标体系 第 第四级 第 -级 二级 第三级 应 应 应 具备密码应用安全管理制度 应 应 应 应 应 密钥管理规则 建立操作规程 应 应 应 管理制度 定期修订安全管理制度 应 应 明确管理制度发布流翟 应 应 制度执行过程记录留存 应 了解并遵守密码相关法律法规和 应 应 应 应 密码管理制度 建立密码应用岗位责任制度 应 应 应 人员管理 建立上岗人员培训制度 应 应 应 应 应 定期进行安全岗位人员考核 管理要求 建立关键岗位人员保密制度和调 应 应 应 应 离制度 制定密码应用方案 应 应 应 制定密钥安全管理策略 应 应 应 应 应 制定实施方案 建设运行 投人运行前进行密码应用安全性 可 应 应 宜 评估 定期开展密码应用安全性评估及 应 应 攻防对抗演习 可 应 应 应 应急策略 应 应 应急处置 事件处置 应 应 向有关主管部门上报处置情况 13
GB/T39786一2021 附 录 B 资料性附录) 密钥生存周期管理 密钥管理对于保证密钥全生存周期的安全性是至关重要的,可以保证密钥(除公钥外)不被非授权 的访问使用、泄露、修改和替换,可以保证公钥不被非授权的修改和替换 信息系统的应用和数据层面 的密钥体系由业务系统根据密码应用需求在密码应用方案中明确,并在密码应用实施中落实 密钥管 理包括密钥的产生、分发、存储使用、更新、归档、撤销、备份、恢复和销毁等环节 以下给出各个环节的 密钥管理建议供参考: 密钥产生 密钥可以以随机产生,协商产生等不同的方式来产生 密钥在符合GB/T37092的密码产品 中产生是十分必要的,产生的同时可在密码产品中记录密钥关联信息,包括密钥种类、长度、拥 有者、使用起始时间使用终止时间等 密钥分发 b 密钥分发是密钥从一个密码产品传递到另一个密码产品的过程,分发时要注意抗截取、篡改 假冒等攻击,保证密钥的机密性、完整性以及分发者、接收者身份的真实性等 密钥存储 密钥不以明文方式存储在密码产品外部是十分必要的,并采取严格的安全防护措施,防止密钥 被非授权的访问或篡改 公钥是例外,可以以明文方式在密码产品外存储、传递和使用,但有必要采取安全防护措施,防 止公钥被非授权篡改 密钥使用 每个密钥一般只有单一的用途,明确用途并按用途正确使用是十分必要的 密钥使用环节需 要注意的安全问题是:使用密钥前获得授权、使用公钥证书前对其进行有效性验证,采用安全 措施防止密钥的泄露和替换等 另外,有必要为密钥设定更换周期,并采取有效措施保证密钥 更换时的安全性 密钥更新 密钥更新发生在密钥超过使用期限、已泄露或存在泄露风险时,根据相应的更新策略进行 更新 密钥归档 如果信息系统中有密钥归档需求,则根据实际安全需求采取有效的安全措施保证归档密钥的 安全性和正确性 需要注意的是,归档密钥只能用于解密该密钥加密的历史信息或验证该密 钥签名的历史信息 如果执行密钥归档,则有必要生成审计信息,包括归档的密钥、归档的时 间等 密钥撤销 密钥撤销一般针对公钥证书所对应的密钥 当证书到期后,密钥自然撤销;也可以按需进行密 钥撤销,撤销后的密钥不再具备使用效力 h)密钥备份 对于需要备份的密钥,采用安全的备份机制对密钥进行备份是必要的以确保备份密钥的机密 性和完整性,这与密钥存储的要求是一致的 密钥备份行为是审计涉及的范围,有必要生成审 计信息,包括备份的主体、备份的时间等 14
GB/39786一2021 密钥恢复 可以支持用户密钥恢复和司法密钥恢复 密钥恢复行为是审计涉及的范围,有必要生成审计 信息,包括恢复的主体、恢复的时间等 密钥销毁 密钥销毁要注意的是销毁过程的不可逆,即无法从销毁结果中恢复原密钥 15
GB/T39786一2021 参 考文献 [1]GB/T22239-2019信息安全技术网络安全等级保护基本要求 16

信息安全技术信息系统密码应用基本要求GB/T39786-2021

作为信息安全保障的重要手段之一，密码技术的应用已成为现代信息化社会中不可或缺的组成部分。然而，由于密码技术的特殊性质，一旦密码技术被攻破，将直接导致信息泄露、篡改等严重后果。因此，在信息系统中合理应用密码技术，成为确保信息安全的重要措施。 针对密码技术在信息系统中的应用，国家标准化管理委员会发布了《信息安全技术 信息系统密码应用基本要求 GB/T39786-2021》标准，该标准规定了信息系统中密码应用的基本要求和相关技术要求，旨在提高信息系统中密码技术的安全性和可靠性。 该标准主要包括以下方面的内容： 1. 密码应用的基本要求：明确了密码应用的适用范围、定义、分类、目标、原则等基本要求； 2. 密码技术的规定：包括密码技术的类型、算法、密钥管理、加密模式等内容； 3. 密码应用的安全保障：详细介绍了密码应用的风险评估、安全控制、密码使用和管理以及密码审计等方面的要求； 4. 密码应用的技术指南：通过具体案例展示了密码应用的技术实现方法和技术指导。 总的来说，国家标准化管理委员会发布的《信息安全技术 信息系统密码应用基本要求 GB/T39786-2021》标准，为信息系统中密码技术的应用提供了统一规范的要求和指导，将有助于提高信息系统中密码技术的安全性和可靠性，保障信息安全。此外，该标准还提出了密码技术在信息系统中应用的管理要求，包括密码策略、密钥管理、身份验证和访问控制等方面。通过规范密码技术的应用和管理，可以更好的保护信息安全。 总之，《信息安全技术 信息系统密码应用基本要求 GB/T39786-2021》标准的发布，将对信息安全工作产生积极影响，提高信息系统密码应用的安全性和可靠性，为信息化社会的发展提供坚实的保障。

信息安全技术信息系统密码应用基本要求的相关资料

和信息安全技术信息系统密码应用基本要求类似的标准