密碼技術(shù)應用的背景及現(xiàn)狀

數(shù)字時代，各領域都在積極推動數(shù)字經(jīng)濟的發(fā)展，與此同時，最大的掣肘就是數(shù)據(jù)安全，數(shù)據(jù)安全的重要性無與倫比，密碼技術(shù)作為數(shù)據(jù)安全的基礎支撐技術(shù)，已經(jīng)滲透到各行各業(yè)，并面臨新的挑戰(zhàn)，大量信息系統(tǒng)和敏感數(shù)據(jù)由于缺乏有效的密碼保護，造成數(shù)據(jù)泄露、篡改和身份仿冒事件頻發(fā)，密碼技術(shù)被黑客濫用、密碼應用不合規(guī)、密碼算法安全性能低等問題需解決。

標準的意義與作用

為了更好的規(guī)范、指導各領域與行業(yè)信息系統(tǒng)密碼應用的規(guī)劃、建設、運行及測評工作，本標準明確了信息系統(tǒng)密碼應用技術(shù)框架，規(guī)定了信息系統(tǒng)第一級到第四級的密碼應用的基本要求；提出了物理和環(huán)境安全、網(wǎng)絡和通信安全、設備和計算安全、應用和數(shù)據(jù)安全等密碼應用技術(shù)要求，有效保障信息系統(tǒng)的實體身份真實性 ，重要數(shù)據(jù)的機密性和完整性、操作行為的不可否認性；制定了管理制度、人員管理、建設運行、應急處置等密碼應用管理要求，為信息系統(tǒng)管理提供安全保障。是《中華人民共和國密碼法》出臺實施之后，開展商用密碼應用安全性評估工作的重要抓手。

關于“密評”和密評對象

商用密碼應用安全性評估：簡稱“密評”，是指對采用商用密碼技術(shù)、產(chǎn)品和服務集成建設的網(wǎng)絡和信息系統(tǒng)密碼應用的合規(guī)性、正確性、有效性進行評估。開展密評，是國家相關法律法規(guī)提出的明確要求，是網(wǎng)絡安全運營者的法定責任和義務。

密評對象：基礎信息網(wǎng)絡、涉及國計民生和基礎信息資源的重要信息系統(tǒng)、重要工業(yè)控制系統(tǒng)、面向社會服務的政務信息系統(tǒng)，以及關鍵信息基礎設施、等保三級及以上的信息系統(tǒng)。

標準要點解讀

密碼應用技術(shù)要求

（1）機密性：通過加解密功能，對信息系統(tǒng)中的身份鑒別信息、密鑰數(shù)據(jù)以及其他重要的傳輸、存儲數(shù)據(jù)進行保護。

（2）完整性：通過消息鑒別碼機制和數(shù)字簽名機制，對信息系統(tǒng)中的身份鑒別和訪問控制信息、密鑰數(shù)據(jù)、重要傳輸、存儲數(shù)據(jù)、日志記錄、重要信息資源安全標記、重要可執(zhí)行程序、視頻監(jiān)控音像記錄和電子門禁系統(tǒng)進出記錄進行保護。

（3）真實性：通過動態(tài)口令機制，對信息系統(tǒng)中進入重要物理區(qū)域人員、應用系統(tǒng)用戶、登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶、通信雙方、網(wǎng)絡設備接入時進行身份鑒別，保證重要可執(zhí)行程序的來源真實性。

（4）不可否認性：通過數(shù)字簽名機制，保證數(shù)據(jù)原發(fā)行為的不可否認性和數(shù)據(jù)接收行為的不可否認性。

基本要求：

  該標準從物理和環(huán)境安全、網(wǎng)絡和通信安全、設備和計算安全、應用和數(shù)據(jù)安全等四個方面提出了密碼應用技術(shù)要求,以及管理制度、人員管理、建設運行、應急處置等密碼應用管理要求。與GM/T0054-2018《信息系統(tǒng)密碼應用基本要求》相比,該標準結(jié)合近年來商用密碼應用與安全性評估工作實踐對部分內(nèi)容進行了優(yōu)化,按照信息系統(tǒng)安全等級分別提出了相應的密碼應用要求。