信息系统密码应用测评要求GMT0115-2021.pdf

1、书 书 书犐 犆犛 犆犆犛犔?犌犕犜?犜 犲 狊 狋 犻 狀 犵犪 狀 犱犲 狏 犪 犾 狌 犪 狋 犻 狅 狀狉 犲 狇 狌 犻 狉 犲犿犲 狀 狋 狊犳 狅 狉犻 狀 犳 狅 狉犿犪 狋 犻 狅 狀狊 狔 狊 狋 犲犿犮 狉 狔 狆 狋 狅 犵 狉 犪 狆 犺 狔犪 狆 狆 犾 犻 犮 犪 狋 犻 狅 狀?书 书 书目次前言范围规范性引用文件术语和定义概述通用测评要求 密码算法合规性 密码技术合规性 密码产品合规性 密码服务合规性 密钥管理安全性密码应用技术和密码应用管理测评要求 物理和环境安全 网络和通信安全 设备和计算安全 应用和数据安全 管理制度 人员管理 建设运行 应急处置 整体测

2、评要求 概述 单元间测评 层面间测评 风险分析和评价 测评结论 附录（资料性）密钥生存周期管理检查要点 附录（资料性）典型密码产品应用测评技术 附录（资料性）典型密码功能测评技术 参考文献 犌犕犜 前言本文件按照 标准化工作导则第部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由密码行业标准化技术委员会提出并归口。本文件起草单位：国家密码管理局商用密码检测中心、中国科学院数据与通信保护研究教育中心、公安部三所（公安部信息安全等级保护评估中心）、上海交通大学、中国电子科技集团第十五研究所（信息产业信息安全测评中心）、国家

3、信息技术安全研究中心、深圳市网安计算机安全检测技术有限公司、北京信息安全测评中心、山东道普测评技术有限公司。本文件主要起草人：肖秋林、罗鹏、马原、陈天宇、郑窻昱、银鹰、张立花、吕娜、黎水林、刘健、杨宏志、吴冬宇、李晨、张晓溪。犌犕犜 信息系统密码应用测评要求范围本文件规定了信息系统不同等级密码应用的测评要求，从密码算法合规性、密码技术合规性、密码产品合规性、密码服务合规性以及密钥管理安全性等方面，提出了第一级到第五级的密码应用通用测评要求；从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个技术层面提出了第一级到第四级的密码应用技术测评要求；从管理制度、人员管理、建

4、设运行和应急处置等四个管理方面提出了第一级到第四级的密码应用管理测评要求，并给出了整体测评、风险分析和评价、测评结论等测评环节的要求。本文件适用于指导、规范信息系统密码应用在规划、建设、运行环节的商用密码应用安全性评估工作。注：第五级密码应用测评要求只在本文件中描述通用测评要求。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。信息安全技术信息系统密码应用基本要求 密码术语术语和定义 和 界定的以及下列术语和定义适用于本文件。商用密码应用安全性评估

5、人员犮 狅犿犿犲 狉 犮 犻 犪 犾犮 狉 狔 狆 狋 狅 犵 狉 犪 狆 犺 狔犪 狆 狆 犾 犻 犮 犪 狋 犻 狅 狀狊 犲 犮 狌 狉 犻 狋 狔犲 狏 犪 犾 狌 犪 狋 犻 狅 狀狊 狋 犪 犳 犳在商用密码应用安全性评估机构中从事商用密码应用安全性评估的人员。注：简称“密评人员”。核查犲 狓 犪犿 犻 狀 犲密评人员对测评对象进行观察、查验和分析，以帮助密评人员理解、澄清或取得证据的过程。概述本文件根据 ，将信息系统密码应用测评要求分为通用测评要求、密码应用技术和密码应用管理测评要求。第章用于指导第章的实施，不单独实施测评，也不单独体现在密码应用安全性评估报告的单元测评结果和整体

6、测评结果中。附录为 的测评实施参考。附录和附录分别给出了典型密码产品应用测评技术和典型密码功能测评技术，供密评人员在对信息系统中具体使用的密码产品或应用的密码功能进行测评实施时参考。犌犕犜 本文件中的测评单元对应一组相对独立和完整的测评内容，由测评指标、测评对象、测评实施和结果判定组成。）测评指标：来源于 中各级的要求项，每条指标后面注明了指标对应的安全等级。）测评对象：信息系统密码应用测评过程中不同测评方法作用的对象，包括相关物理安防设施、通信信道、密码产品、通用设备、应用、人员、制度文档等。）测评实施：针对某个测评指标，规定了信息系统密码应用的测评要点。）结果判定：根据测评实施取得的证据，判定信息系统的密码应用是否满足某个测评指标要求的方法和原则。若测评单元涉及两个及以上测评对象，则每个测评对象需要分别进行测评实施并结果判定。测评单元的结果由该单元涉及的所有测评对象的测评实施结果汇总得出。密评人员在开展实际测评时，对于 中的不同安全保护等级的“可”“宜”“应”的条款，按照如下方法确定是否将其纳入测评范围。）对于“可”的条款，由信息系统责任方自行决定是否纳入标准符合性测评范围。若纳入