政务领域政务服务平台与政务云密码应用与安全性评估实施指南发布

背景时间

根据相关工作安排，2024年4月15日中国密码学会密评联委会组织编制了政务领域政务服务平台、政务云两个典型场景密码应用与安全性评估实施指南，现予以发布，供相关单位开展商用密码应用与安全性评估工作参考。

中国密码学会是由密码学及相关领域的科技工作者和单位自愿结成并依法登记的全国性、学术性、非营利性法人社会团体，是中国科协组成部分。经民政部批准于2007年3月成立，业务主管单位中国科协，挂靠单位国家密码管理局。

政务领域政务服务平台密码应用与安全性评估实施指南

发布意义：

为贯彻落实《中华人民共和国密码法》《商用密码管理条例》等法律法规，促进政务领域政务服务平台场景中商用密码的合规、正确、有效应用，依据国家密码政策要求和标准规范，制定本指南。本指南可用于指导各级政务服务平台相关系统建设单位和使用单位以及商用密码应用安全性评估机构规范开展商用密码应用和安全性评估工作，也可供集成单位参考。

政务服务平台场景介绍：

政务服务平台是各级政务服务实施机构运用互联网、大数据、云计算等技术手段，整合各类政务服务事项和业务办理等信息，通过网上大厅、办事窗口、移动客户端、自助终端等多种形式，结合第三方平台，为自然人和法人提供一站式办理的政务服务的网上服务平台。

政务服务平台体系由国家级平台、省级平台、地市级平台三个层级组成，各层级之间通过政务服务数据共享平台进行资源目录注册、信息共享、业务协同、监督考核、统计分析等，实现政务服务事项就近能办、同城通办、异地可办。政务服务平台层级体系如图 1 所示。

本指南分为四章：

第一章主要梳理政务服务平台典型应用场景;

第二章主要对政务服务平台相关风险、密码应用需求、保护对象进行梳理;

第三章主要对政务服务平台进行密码应用设计;

第四章主要对政务服务平台密码应用安全性评估工作进行梳理。

政务领域政务云密码应用与安全性评估实施指南

发布意义：

为贯彻落实《中华人民共和国密码法》《商用密码管理条例》等法律法规，促进政务领域政务云场景中商用密码的合规、正确、有效应用，依据国家密码政策要求和标准规范，制定本指南。本指南可用于指导各级政务云平台(泛指承载政务信息系统运行的云平台)建设单位、运营单位以及商用密码应用安全性评估机构规范开展商用密码应用和安全性评估工作，也可供集成单位参考。

政务云平台场景介绍：

(1) 物理资源层。物理资源层包括政务云平台运行所需要的基础支撑物理环境，包括计算资源和存储资源等。

(2) 资源抽象控制层。资源抽象控制层通过虚拟化技术，负责对底层硬件资源进行抽象，对底层硬件故障进行屏蔽，统一调度计算、存储、网络、安全资源池，并提供资源的统一部署和监控。

(3)云服务层。服务层提供完整的laaS(Infrastructure as a service,基础设施即服务)、PaaS(Platform as a Service,平台即服务)和 SaaS(Software as a Service, 软件即服务)三层云服务，政务云平台的主要业务在云服务层面运行。典型政务云平台系统整体架构图如图 1 所示。

本指南分为四章：

第一章主要梳理政务云平台典型应用场景;

第二章主要对政务云平台相关风险、密码应用需求、保护对象进行梳理;

第三章主要对政务云平台进行密码应用设计;

第四章主要对政务云平台密码应用安全性评估工作进行梳理；

起草单位

以上两指南主要起草单位:国家信息中心、中电科网络安全科技股份有限公司、格尔软件股份有限公司、长春吉大正元信息技术股份有限公司、中国科学院信息工程研究所、国家信息技术安全研究中心等。

附件1：政务领域政务云密码应用与安全性评估实施指南

https://ht.cacrnet.org.cn/upload/file/20240415/1713153948936825.pdf

附件2: 政务领域政务服务平台密码应用与安全性评估实施指南

https://ht.cacrnet.org.cn/upload/file/20240415/1713154003208062.pdf

河南省鼎信信息安全等级测评有限公司成立于2011年，以合规检测类安全服务业务为核心，聚焦安全攻防、数据安全、SaaS安全服务等网络安全方向，专注于提供网络安全服务，是国内领先的网络安全等级测评机构。2022年3月，黄河科技集团战略控股鼎信信息安全等级测评有限公司，鼎信安全也成为省内唯一国资控股安全测评机构。

鼎信安全经过10余年的发展沉淀，公司形成了完整的网络安全服务能力体系，以合规检测、安全服务、云上安全、数据安全、网络安全培训五大方向为主导；涵盖网络安全等级保护咨询、网络安全等级测评、软件测试、密码应用安全咨询、信息安全检查、渗透测试、信息安全风险评估等多个方向，为推动数据开发利用和数据安全产业发展做出了重要贡献。

鼎信安全业务覆盖政府、金融、能源、教育、医疗、运营商等行业，为3000多家客户提供网络安全服务，业务覆盖全国多个省市，并多次为省级重大活动提供网络安全保障技术支撑，获得客户和主管单位的一致认可。

鼎信安全自主研发托管检测与响应（MDR）服务，提供7*24小时在线威胁检测与响应，帮助用户快速进行威胁发现、分析、调查、主动缓解与遏制，为客户提供远程交付的现代安全运营中心（MSOC）服务体验。在一个工作流程中实现事件过滤，自动关联，相关验证，联动响应等威胁检测和响应的全周期，真正实现了在一个平台中统一关联事件，资产，情报和用户。

鼎信安全在黄河科技集团的支持下，发挥国企实力、民企活力，抢抓网络安全发展新机遇，不断扩大科研投入、构建一体化网络安全保障体系，为数字经济发展保驾护航，开创属于“黄河-鼎信安全”的新局面，为河南数字经济发展保驾护航，服务河南，走向全国！

鼎信安全——等级保护的有力推动者，网络安全的坚定维护者