安全資訊

國家標準

3月9日,國家市場(chǎng)監管總局、國家標準化管理委員會(huì )發(fā)布公告,正式發(fā)布國家標準GB/T39786-2021《信息安全技術(shù) 信息系統密碼應用基本要求》（下稱(chēng)《基本要求》）,將于2021年10月1日起實(shí)施。這是貫徹落實(shí)《中華人民共和國密碼法》,指導商用密碼應用與安全性評估工作的一項基礎性標準,對于規范和引導信息系統合規、正確、有效應用密碼,切實(shí)維護國家網(wǎng)絡(luò )空間與信息安全具有重要意義。

2018年,國家密碼管理局發(fā)布實(shí)施了密碼行業(yè)標準的密碼應用基本要求（下稱(chēng)“行標”）。與行標相比,《基本要求》結合近年來(lái)國內商用密碼應用與安全性評估工作實(shí)踐對部分內容進(jìn)行了優(yōu)化、調整，和現有的網(wǎng)絡(luò )安全等級保護相呼應，《基本要求》同樣對信息系統密碼應用劃分為自低向高的五個(gè)等級，提出密碼保障能力逐級增強的要求。網(wǎng)絡(luò )和信息系統管理部門(mén)按照業(yè)務(wù)實(shí)際情況選擇相應級別的密碼保障技術(shù)能力及管理能力。

總體上《基本要求》從物理和環(huán)境安全、網(wǎng)絡(luò )和通信安全、設備和計算安全、應用和數據安全等四個(gè)層面提出了密碼應用技術(shù)要求，保障信息系統的實(shí)體身份真實(shí)性、重要數據的機密性/完整性、操作行為的不可否認性，并從管理制度、人員管理、建設運行、應急處置等四方面整體提出密碼應用管理要求，以提供管理方面的密碼應用安全保障。從而對安全性評估產(chǎn)生積極的指導作用。

《基本要求》總體而言有以下看點(diǎn)，在密碼應用安全性評估的角度值得關(guān)注（細微語(yǔ)句增刪或語(yǔ)序調整不在此處列舉）：

1、數量精簡(jiǎn)，內容優(yōu)化合理

各級基本要求的數量上比行標有所精簡(jiǎn)，優(yōu)化調整了內容，更為合理。

 2、應用技術(shù)框架更為完善

行標的密碼功能要求（機密性、完整性等）、管理要求，在《基本要求》更科學(xué)的搭建成密碼應用技術(shù)框架，進(jìn)行總體概括。

 3、第三方密碼服務(wù)機構服務(wù)范圍擴大

行標的密碼服務(wù)單純是第三方CA服務(wù)；而在《基本要求》中則擴展到物理、網(wǎng)絡(luò )等不同層面均可使用第三方提供的密碼服務(wù)，但“應經(jīng)商用密碼認證機構認證合格”。

 4、密碼管理力度進(jìn)一步強化

行標中獨立的密鑰管理部分，在《基本要求》中則是分別在管理制度、人員管理和建設運行等層面具體要求，并沒(méi)有降低或削弱控制力度。另外，《基本要求》在附件單獨形成“密鑰生存周期管理”，方便管理部門(mén)根據需求編制密碼管理制度。

5、強化控制力度放寬技術(shù)要求

在以往的評估工作實(shí)踐中對終端的密碼模塊/產(chǎn)品要求爭議較大的，《基本要求》進(jìn)行優(yōu)化，強化控制力度放寬技術(shù)要求，使評估結果更貼近實(shí)際。

對比

要了解關(guān)于密碼模塊這個(gè)較大的調整，先看下面的簡(jiǎn)表進(jìn)行對比：

由上表可以看出，《基本要求》選用密碼模塊安全要求的2018年國標版；控制力度統一加強為“應采用”；而對產(chǎn)品選型影響較大的產(chǎn)品安全級別，則放寬為最高要求三級模塊，更貼近目前技術(shù)發(fā)展現狀，也更有利于具體項目落地。 

密碼技術(shù)是保障網(wǎng)絡(luò )與信息安全的核心技術(shù)和基礎支撐,《密碼法》及相關(guān)法律法規明確了商用密碼應用與安全性評估的法定要求。此次密碼應用行業(yè)標準經(jīng)修改完善后上升為國家標準,進(jìn)一步突出了其在商用密碼應用標準體系中的基礎性地位?！痘疽蟆烦蔀榻窈竺艽a工作的重要抓手，必將更好的引領(lǐng)我國商用密碼應用建設及安全性評估走上快車(chē)道。

競遠安全構筑安全測評、安全測咨詢(xún)、安全保障三位一體服務(wù)體系，為各行業(yè)提供一站式的商用密碼應用安全性評估整體服務(wù)解決方案。作為國家密碼管理局核準認可的第二批商用密碼應用安全性評估試點(diǎn)機構，我們致力于推進(jìn)商用密碼應用產(chǎn)業(yè)發(fā)展，提高各單位商用密碼應用水平，致力于構建具有中國特色的網(wǎng)絡(luò )空間密碼應用安全防護體系。同時(shí)，我們履行廣東省商用密碼協(xié)會(huì )副會(huì )長(cháng)單位的職能，以專(zhuān)業(yè)可靠的服務(wù)精神，充分發(fā)揮創(chuàng )新引領(lǐng)作用,積極開(kāi)拓市場(chǎng)，為會(huì )員和各行業(yè)提供更有價(jià)值的服務(wù)與支持。

規范引用及對照：

GM/T0024-2014

《信息安全技術(shù) 密碼模塊安全要求》

GM/T0054-2018

《信息安全技術(shù) 信息系統密碼應用基本要求》

GB/T37092-2018

《信息安全技術(shù) 密碼模塊安全要求》