【密码天地】政务领域政务云密码应用与安全性评估要求

一、场景相关政策要求

《商用密码应用安全性评估管理办法（国家密码管理局令第 3 号）》要求，重要网络与信息系统建设阶段，其运营者应当按照通过商用密码应用安全性评估的商用密码应用方案组织实施，落实商用密码安全防护措施，建设商用密码保障系统。重要网络与信息系统运行前，其运营者应当自行或者委托商用密码检测机构开展商用密码应用安全性评估。网络与信息系统未通过商用密码应用安全性评估的，运营者应当进行改造，改造期间不得投入运行。重要网络与信息系统建成运行后，其运营者应当自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估，确保商用密码保障系统正确有效运行。未通过商用密码应用安全性评估的，运营者应当进行改造，并在改造期间采取必要措施保证网络与信息系统运行安全。

《国家政务信息化项目建设管理办法》（国办发〔2019〕57 号）要求，政务信息化项目建设单位，应同步规划、同步建设、同步运行密码保障系统并定期进行评估。项目备案文件应当包括项目名称、建设单位、审批部门、绩效目标及绩效指标、投资额度、运行维护经费、经费渠道、信息资源目录、信息共享开放、应用系统、等级保护或者分级保护备案情况、密码应用方案和密码应用安全性评估报告等内容，其中改建、扩建项目还需提交前期项目第三方后评价报告。国家政务信息化项目建成后半年内，项目建设单位应当按照国家有关规定申请审批部门组织验收，提交验收申请报告时应当一并附上项目建设总结、财务报告、审计报告、安全风险评估报告、密码应用安全性评估报告等材料。对于不符合密码应用和网络安全要求，或者存在重大安全隐患的政务信息系统，不安排运行维护经费，项目建设单位不得新建、改建、扩建政务信息系统。各部门应当严格遵守有关保密等法律法规规定，构建全方位、多层次、一致性的防护体系，按要求采用密码技术，并定期开展密码应用安全性评估，确保政务信息系统运行安全和政务信息资源共享交换的数据安全。

《请进一步加强国家政务信息系统密码应用与安全性评估的工作的函》（国密局〔2020〕119 号）要求，各项目建设单位按照《办法》密码应用与安全性评估的有关要求，同步规划、同步建设、同步运行密码保障系统并定期进行密码应用安全性评估，保障密码应用与安全性评估经费，配备密码保障系统管理和运维人员。

二、典型场景介绍

1.场景代表性

随着信息技术的发展，云计算已经被广泛应用。为降低系统成本，打通数据融合，越来越多的政府及事业单位的系统选择部署在云上。云计算技术融合了软硬件资源，采用了虚拟化技术，主机边界和网络边界相对于传统数据中心来讲变得非常模糊，风险不但来自南北流量，还来自东西流量，部署在云平台上的系统，其安全风险也随之增加。

政务信息系统上云是国家统筹推进政务数据共享和应用的重要举措，《国家政务信息化项目建设管理办法》（国办发〔2019〕57 号）要求项目建设单位应当充分依托云服务资源开展集约化建设。《国务院关于加强数字政府建设的指导意见》（国发〔2022〕14 号）要求，强化政务云平台支撑能力，国务院各部门政务云纳入全国一体化政务云平台体系统筹管理；各地区按照省级统筹原则开展政务云建设，集约提供政务云服务。

截至 2022 年 10 月，全国 31 个省（自治区、直辖市）和新疆生产建设兵团云基础设施基本建成，超过 70%的地级市建设了政务云平台，政务信息系统逐步迁移上云，初步形成集约化建设格局。云计算应用后，业务应用呈现资源虚拟化、数据集中化、应用服务化的特点，促使安全防护理念发生深刻改变，对云上密码服务模式、密码应用场景及密码服务能力提出了前所未有的高要求。

2. 政务云平台场景介绍

典型政务云平台系统整体架构图如图 1 所示。

(1)物理资源层。物理资源层包括政务云平台运行所需要的基础支撑物理环境，包括计算资源和存储资源等。

(2)资源抽象控制层。资源抽象控制层通过虚拟化技术，负责对底层硬件资源进行抽象，对底层硬件故障进行屏蔽，统一调度计算、存储、网络、安全资源池，并提供资源的统一部署和监控。

(3)云服务层。服务层提供完整的 laaS(Infrastructure as a service,基础设施即服务）、PaaS（Platform as a Service,平台即服务）和 SaaS（Software as a Service,软件即服务）三层云服务，政务云平台的主要业务在云服务层面运行。

政务云平台典型场景业务流程如表 1 所示

三、 技术标准和指导性文件

参考的技术标准和指导性文件如下：

GB/T 20518-2018《信息安全技术 公钥基础设施 数字证书格式规范》

GB/T 25056-2018《信息安全技术 证书认证系统密码及其相关安全技术规范》

GB/T 32905-2016《信息安全技术 SM3 密码杂凑算法》

GB/T 32907-2016《信息安全技术 SM4 分组密码算法》

GB/T 33560-2017《信息安全技术 密码应用标识规范》

GB/T 35276-2017《信息安全技术 SM2 密码算法使用规范》

GB/T 35291-2017《信息安全技术 智能密码钥匙应用接口规范》

GB/T 36322-2018《信息安全技术 密码设备应用接口规范》

GB/T 36968-2018《信息安全技术 IPSec VPN 技术规范》

GB/T 37033-2018《信息安全技术 射频识别系统密码应用技术要求》

GB/T 37092-2018《信息安全技术 密码模块安全要求》

GB/T 38540-2020《信息安全技术 安全电子签章密码技术规范》

GB/T 38556-2020《信息安全技术 动态口令密码应用技术规范》

GB/T 38629-2020《信息安全技术 签名验签服务器技术规范》

GB/T 38636-2020《信息安全技术 传输层密码协议（TLCP）》

GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》

GM/T 0018-2012 《密码设备应用接口规范》

GM/T 0024-2014 《SSL VPN 技术规范》

GM/T 0025-2014 《SSL VPN 网关产品规范》

GM/T 0026-2014 《安全认证网关产品规范》

GM/T 0027-2014 《智能密码钥匙技术规范》

GM/T 0030-2014 《服务器密码机技术规范》

GM/T 0036-2014 《采用非接触卡的门禁系统密码应用技术指南》

GM/T 0050-2016 《密码设备管理 设备管理技术规范》

GM/T 0051-2016 《密码设备管理 对称密钥管理技术规范》

GM/T 0104-2021 《云服务器密码机技术规范》

GM/T 0115-2021 《信息系统密码应用测评要求》

GM/T 0116-2021 《信息系统密码应用测评过程指南》

GM/Y 5001-2019 《密码标准应用指南》

GM/Y 5002-2018 《云计算身份鉴别服务密码标准体系》

GM/Z 4001-2013 《密码术语》

GW 0013-2017 《政务云安全要求》

GW 0202-2014 《国家电子政务外网安全接入平台技术规范》

GW 0206-2014 《接入政务外网的局域网安全技术规范》

《信息系统密码应用高风险判定指引》

《商用密码应用安全性评估量化评估规则》

《商用密码安全性评估 FAQ》