等保咨詢熱線：15084670000,15846603791
商用密碼應(yīng)用安全性評(píng)估的現(xiàn)場(chǎng)實(shí)施過(guò)程由單元測(cè)評(píng)和整體測(cè)評(píng)兩部分組成：
單元測(cè)評(píng)測(cè)評(píng)項(xiàng)為GB/T 39786《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》中的各項(xiàng)基本要求，在開(kāi)展測(cè)評(píng)工作時(shí)，要從密碼通用要求與密碼應(yīng)用基本要求兩個(gè)方向開(kāi)展測(cè)評(píng)工作。
其中密碼通用要求是對(duì)信息系統(tǒng)使用的密碼算法、密碼技術(shù)、密碼產(chǎn)品、密碼服務(wù)的合規(guī)情況進(jìn)行測(cè)評(píng)，具體要求如下（適用于一級(jí)至五級(jí)系統(tǒng)）：
Ø 信息系統(tǒng)中使用的密碼算法應(yīng)符合法律、法規(guī)的規(guī)定和密碼相關(guān)國(guó)家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的有關(guān)要求
Ø 信息系統(tǒng)中使用的密碼技術(shù)應(yīng)遵循密碼相關(guān)國(guó)家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)
Ø 信息系統(tǒng)中使用的密碼產(chǎn)品、密碼服務(wù)應(yīng)符合法律法規(guī)的相關(guān)要求
而密碼應(yīng)用基本要求是對(duì)物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全、管理制度、人員管理、建設(shè)運(yùn)行、應(yīng)急處置共計(jì)8個(gè)層面進(jìn)行測(cè)評(píng)，在具體判定時(shí)要從D（密碼使用有效性）、A（密碼算法/技術(shù)合規(guī)性）、K（密鑰管理安全）三個(gè)維度對(duì)指標(biāo)要求項(xiàng)開(kāi)展測(cè)評(píng)工作。
D（密碼使用有效性）是指，密碼技術(shù)是否被正確、有效使用，以滿足信息系統(tǒng)的安全需求，有效提供機(jī)密性、完整性、真實(shí)性和不可否認(rèn)性的保護(hù)；
A（密碼算法/技術(shù)合規(guī)性）是指，信息系統(tǒng)中使用的密碼算法是否符合法律、法規(guī)的規(guī)定和密碼相關(guān)國(guó)家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的有關(guān)要求，信息系統(tǒng)中使用的密碼技術(shù)是否遵循密碼相關(guān)國(guó)家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)或經(jīng)國(guó)家密碼管理部門核準(zhǔn);
K（密鑰管理安全）是指，密鑰管理的全生命周期是否安全，用于密碼計(jì)算或密鑰管理的密碼產(chǎn)品/密碼服務(wù)是否安全。
物理和環(huán)境安全層面測(cè)評(píng)對(duì)象為物理機(jī)房電子門禁系統(tǒng)、視頻監(jiān)控系統(tǒng)，測(cè)評(píng)點(diǎn)主要保證機(jī)房進(jìn)出人員真實(shí)性，防止惡意人員進(jìn)出機(jī)房；保證電子門禁記錄完整性，防止惡意人員篡改電子門禁記錄，導(dǎo)致發(fā)生安全事件無(wú)法追溯；保證視頻監(jiān)控記錄完整性，防止惡意人員篡改視頻監(jiān)控記錄掩蓋惡意操作或盜竊行為等。
網(wǎng)絡(luò)和通信安全層面測(cè)評(píng)對(duì)象為網(wǎng)絡(luò)通信信道，在信息系統(tǒng)中主要存在兩種信道，分別為傳輸重要業(yè)務(wù)數(shù)據(jù)的業(yè)務(wù)通信信道，以及傳輸重要運(yùn)維數(shù)據(jù)、配置數(shù)據(jù)的管理通信信道，測(cè)評(píng)點(diǎn)主要保證通信實(shí)體身份真實(shí)性，防止客戶端訪問(wèn)偽造服務(wù)端造成重要數(shù)據(jù)泄密；保證數(shù)據(jù)傳輸保密性，防止重要數(shù)據(jù)在傳輸過(guò)程中被竊?。槐ＷC數(shù)據(jù)傳輸完整性，防止重要數(shù)據(jù)在傳輸過(guò)程中被篡改；保證網(wǎng)絡(luò)邊界訪問(wèn)控制信息完整性，防止網(wǎng)絡(luò)邊界信息被篡改導(dǎo)致網(wǎng)絡(luò)邊界訪問(wèn)控制失效，對(duì)系統(tǒng)進(jìn)行惡意攻擊；保證接入設(shè)備身份真實(shí)性，防止惡意設(shè)備接入信息系統(tǒng)進(jìn)行DDOS攻擊等：
設(shè)備和計(jì)算安全層面的測(cè)評(píng)對(duì)象為通用服務(wù)器、堡壘機(jī)、密碼設(shè)備、數(shù)據(jù)庫(kù)，測(cè)評(píng)重點(diǎn)為應(yīng)使用密碼技術(shù)保證登錄設(shè)備人員身份真實(shí)性，防止非法人員登錄設(shè)備對(duì)設(shè)備進(jìn)行惡意操作；應(yīng)使用安全的遠(yuǎn)程管理協(xié)議對(duì)設(shè)備進(jìn)行遠(yuǎn)程管理，防止運(yùn)維人員在對(duì)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，鑒別數(shù)據(jù)、配置數(shù)據(jù)等被竊取、篡改；宜使用密碼技術(shù)保證訪問(wèn)控制信息完整性，防止訪問(wèn)控制信息被篡改，使用水平越權(quán)或垂直越權(quán)等方式竊取系統(tǒng)重要數(shù)據(jù)或?qū)е孪到y(tǒng)不可用；宜使用密碼技術(shù)保證日志完整性，防止設(shè)備日志被非法篡改導(dǎo)致發(fā)生安全事件無(wú)法追溯；宜使用密碼技術(shù)保證安全標(biāo)記完整性，防止安全標(biāo)記被惡意篡改導(dǎo)致訪問(wèn)控制策略失效；宜采用密碼技術(shù)保證重要可執(zhí)行程序完整性以及來(lái)源真實(shí)性，保證重要可執(zhí)行程序在運(yùn)行過(guò)程中無(wú)后門漏洞等。
應(yīng)用和數(shù)據(jù)安全層面的測(cè)評(píng)對(duì)象為應(yīng)用系統(tǒng)及其重要數(shù)據(jù)，其中重要數(shù)據(jù)包含但不限于個(gè)人信息、金融交易類數(shù)據(jù)、重要公文數(shù)據(jù)、重要政務(wù)數(shù)據(jù)等，測(cè)評(píng)重點(diǎn)為應(yīng)采用密碼技術(shù)對(duì)登錄用戶進(jìn)行身份鑒別，保證應(yīng)用系統(tǒng)用戶身份的真實(shí)性，防止惡意人員登錄應(yīng)用系統(tǒng)竊取重要數(shù)據(jù)或?qū)ο到y(tǒng)進(jìn)行惡意破壞；宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的訪問(wèn)控制信息的完整性，防止應(yīng)用系統(tǒng)訪問(wèn)控制信息被惡意篡改，通過(guò)垂直越權(quán)或水平越權(quán)的方式對(duì)系統(tǒng)進(jìn)行網(wǎng)絡(luò)攻擊或竊取重要數(shù)據(jù)；宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要信息資源安全標(biāo)記的完整性，防止安全標(biāo)記信息被惡意篡改導(dǎo)致訪問(wèn)控制機(jī)制失效；應(yīng)采用密碼技術(shù)（信源加密技術(shù)）保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸過(guò)程中的機(jī)密性，防止數(shù)據(jù)傳輸過(guò)程中被泄密，對(duì)信息系統(tǒng)運(yùn)營(yíng)單位或社會(huì)公眾造成不必要的損失；應(yīng)采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在存儲(chǔ)過(guò)程中的機(jī)密性，防止數(shù)據(jù)在存儲(chǔ)過(guò)程中被惡意人員泄密，或系統(tǒng)被網(wǎng)絡(luò)攻擊后導(dǎo)致重要數(shù)據(jù)被竊??；宜采用密碼技術(shù)（信源加密技術(shù)）保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸過(guò)程中的完整性，防止重要數(shù)據(jù)在傳輸過(guò)程中被篡改，導(dǎo)致重要數(shù)據(jù)不可用；在可能涉及法律責(zé)任認(rèn)定的應(yīng)用中，宜采用密碼技術(shù)提供數(shù)據(jù)原發(fā)證據(jù)和數(shù)據(jù)接收證據(jù)，實(shí)現(xiàn)數(shù)據(jù)原發(fā)行為的不可否認(rèn)性和數(shù)據(jù)接收行為的不可否認(rèn)性，防止對(duì)重要操作行為的抵賴，導(dǎo)致發(fā)生法律責(zé)任認(rèn)定時(shí)無(wú)技術(shù)依據(jù)。
管理制度層面，要求被測(cè)單位建立一套以密碼應(yīng)用管理策略、密碼應(yīng)用管理制度、密碼應(yīng)用操作規(guī)程與記錄表單為核心的垂直密碼應(yīng)用管理體系，管理制度方面應(yīng)包含包括密碼人員管理、密鑰管理、建設(shè)運(yùn)行、應(yīng)急處置、密碼軟硬件及介質(zhì)管理等制度，并根據(jù)密碼應(yīng)用方案建立相應(yīng)密鑰管理規(guī)則，保證密鑰在產(chǎn)生、分發(fā)、存儲(chǔ)、使用、更新、歸檔、撤銷、備份、恢復(fù)、銷毀等全生命周期的安全，操作規(guī)程應(yīng)包含管理人員與操作人員執(zhí)行的日常管理操作規(guī)程，記錄表單應(yīng)涵蓋執(zhí)行管理制度時(shí)的所有操作行為，并進(jìn)行記錄歸檔，且在制度執(zhí)行過(guò)程中，應(yīng)定期對(duì)密碼應(yīng)用安全管理制度和操作規(guī)程的合理性和適用性進(jìn)行論證和審定，對(duì)存在不足或需要改進(jìn)之處進(jìn)行修訂，以及保證制度版本唯一、發(fā)布流程規(guī)范等。
人員管理層面，相關(guān)人員應(yīng)了解并遵守密碼相關(guān)法律法規(guī)、密碼應(yīng)用安全管理制度，對(duì)密碼技術(shù)、密碼專業(yè)技能進(jìn)行充分掌握，應(yīng)建立完善的崗位培訓(xùn)制度，對(duì)以上內(nèi)容進(jìn)行定期培訓(xùn)、考核；應(yīng)建立密碼應(yīng)用崗位責(zé)任制度，明確各崗位在安全系統(tǒng)中的職責(zé)和權(quán)限：根據(jù)密碼應(yīng)用的實(shí)際情況，設(shè)置密鑰管理員、密碼安全審計(jì)員、密碼操作員等關(guān)鍵安全崗位，對(duì)關(guān)鍵崗位建立多人共管機(jī)制，密鑰管理、密碼安全審計(jì)、密碼操作人員職責(zé)互相制約互相監(jiān)督，其中密碼安全審計(jì)員崗位不可與密鑰管理員、密碼操作員兼任，相關(guān)設(shè)備與系統(tǒng)的管理和使用賬號(hào)不得多人共用，密鑰管理員、密碼安全審計(jì)員、密碼操作員應(yīng)由本機(jī)構(gòu)的內(nèi)部員工擔(dān)任，并應(yīng)在任前對(duì)其進(jìn)行背景調(diào)查；應(yīng)建立關(guān)鍵人員保密制度和調(diào)離制度，簽訂保密合同，承擔(dān)保密義務(wù)，防止關(guān)鍵崗位人員調(diào)離后泄露本單位密碼應(yīng)用重要信息。
建設(shè)運(yùn)行層面，主要針對(duì)密碼建設(shè)全生命周期階段進(jìn)行管控，在規(guī)劃階段應(yīng)依據(jù)密碼相關(guān)標(biāo)準(zhǔn)和密碼應(yīng)用需求，制定密碼應(yīng)用方案、密鑰管理規(guī)則，防止系統(tǒng)建設(shè)過(guò)程中密碼建設(shè)成果與密碼應(yīng)用需求不對(duì)應(yīng)；在建設(shè)階段，應(yīng)按照應(yīng)用方案實(shí)施建設(shè)；在投入運(yùn)行前應(yīng)進(jìn)行密碼應(yīng)用安全性評(píng)估，評(píng)估通過(guò)后系統(tǒng)方可正式運(yùn)行；在系統(tǒng)運(yùn)行過(guò)程中，應(yīng)嚴(yán)格執(zhí)行既定的密碼應(yīng)用安全管理制度，應(yīng)定期開(kāi)展密碼應(yīng)用安全性評(píng)估及攻防對(duì)抗演習(xí)，并根據(jù)評(píng)估結(jié)果進(jìn)行整改。
應(yīng)急處置層面，主要針對(duì)可能發(fā)生的密碼應(yīng)用安全事件制定應(yīng)急策略，做好應(yīng)急資源準(zhǔn)備，當(dāng)密碼應(yīng)用安全事件發(fā)生時(shí)，應(yīng)立即啟動(dòng)應(yīng)急處置措施，結(jié)合實(shí)際情況及時(shí)處置；事件發(fā)生后，應(yīng)及時(shí)向信息系統(tǒng)主管部門及歸屬的密碼管理部門進(jìn)行報(bào)告；事件處置完成后，應(yīng)及時(shí)向信息系統(tǒng)主管部門及歸屬的密碼管理部門報(bào)告事件發(fā)生情況及處置情況。
整體測(cè)評(píng)是在單元測(cè)評(píng)的基礎(chǔ)上，通過(guò)進(jìn)一步分析信息系統(tǒng)密碼應(yīng)用情況與安全防護(hù)情況對(duì)信息系統(tǒng)實(shí)施的綜合安全評(píng)估，主要分為測(cè)評(píng)結(jié)果修正、整體測(cè)評(píng)結(jié)果和量化評(píng)估兩個(gè)方面：
測(cè)評(píng)結(jié)果修正：主要針對(duì)各個(gè)“部分符合”及“不符合”測(cè)評(píng)指標(biāo)要求的測(cè)評(píng)對(duì)象，分析與其相關(guān)的其他單元、其他層面的測(cè)評(píng)對(duì)象能否和它發(fā)生關(guān)聯(lián)關(guān)系，發(fā)生何種的關(guān)聯(lián)關(guān)系，這些關(guān)聯(lián)關(guān)系產(chǎn)生的作用是否可以“彌補(bǔ)”該測(cè)評(píng)對(duì)象的不足，以及該測(cè)評(píng)對(duì)象的不足是否會(huì)影響與其有關(guān)聯(lián)關(guān)系的其他測(cè)評(píng)對(duì)象的測(cè)評(píng)結(jié)果；
整體測(cè)評(píng)結(jié)果和量化評(píng)估：主要根據(jù)修正后的測(cè)評(píng)結(jié)果進(jìn)行重新的分?jǐn)?shù)計(jì)算，使用量化評(píng)估結(jié)果體現(xiàn)當(dāng)前系統(tǒng)防護(hù)水平。
如需等保測(cè)評(píng)服務(wù)，可后臺(tái)私信聯(lián)系。陸陸科技整合云安全產(chǎn)品的技術(shù)優(yōu)勢(shì)，聯(lián)合優(yōu)質(zhì)等保咨詢、等保測(cè)評(píng)合作資源，提供等保項(xiàng)目的一站式服務(wù)，全面覆蓋等保定級(jí)、備案、建設(shè)整改以及測(cè)評(píng)階段，高效通過(guò)等保測(cè)評(píng)，落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)工作。
