1、国家密码管理局文件国密局发200910 号关于印发实施意见的通知各省、自治区、直辖市密码管理局，新疆生产建设兵团密码管理局，深圳市密码管理局：为配合信息安全等级保护商用密码管理办法(国密局发200711 号) 的实施，进一步规范信息安全等级保护商用密码管理工作，我局研究制定了实施意见 。现印发你们，请认真贯彻执行。执行中的意见和建议，请及时向我局反馈(联系电话：010-59703637) 。2009 年 12 月 15 日主题词：商用密码 等级保护 实施意见 通知 抄送：公安部十一局、工业和信息化部信息安全协调司、国家保密局中央和国家机关各部委，国务院各直属机构。国家密码管理局办公室 2009
2、 年 lo 月 29 日印发(共印 l000 份) 信息安全等级保护商用密码管理办法实施意见为了配合信息安全等级保护商用密码管理办法(国密局发200711 号) 的实施，进一步规范信息安全等级保护商用密码管理工作，特提出以下意见。一、使用商用密码对信息系统进行密码保护，应当严格遵守国家商用密码相关政策和标准规范。二、在实施信息安全等级保护的信息系统中，商用密码应用系统是指采用商用密码产品或者含有密码技术的产品集成建设的，实现相关信息的机密性、完整性、真实性、抗抵赖性等功能的应用系统。三、商用密码应用系统的建设应当选择具有商用密码相关资质的单位。四、使用商用密码开展信息安全等级保护应当制定商用密
3、码应用系统建设方案。方案应当包括信息系统概述、安全风险与需求分析、商用密码应用方案、商用密码产品清单、商用密码应用系统的安全管理与维护策略、实施计划等内容。五、第三级以上信息系统的商用密码应用系统建设方案应当通过密码管理部门组织的评审后方可实施。中央和国家机关各部委第三级信息系统的商用密码应用系统建设方案，由信息系统的责任单位向国家密码管理部门提出评审申请，国家密码管理部门组织专家进行评审。设有密码管理部门的中央和国家机关部委，其第三级信息系统的商用密码应用系统建设方案可由本部门密码管理部门组织专家进行评审。 各省(区、市) 第三级信息系统的商用密码应用系统建设方案，由信息系统的责任单位向所在
4、省(区、市) 密码管理部门提出评审申请，所在省(区、市) 密码管理部门组织专家进行评审。第四级以上信息系统的商用密码应用系统建设方案，由信息系统的责任单位向国家密码管理部门提出评审申请，国家密码管理部门组织专家进行评审。六、第三级以上信息系统的商用密码应用系统建设必须严格按照通过评审的方案实施。需变更商用密码应用系统建设方案的，应当按照上述第五条的要求重新评审，评审通过后方可实施。 七、使用商用密码实施信息安全等级保护，选用的商用密码产品应当是国家密码管理部门准予销售的产品；选用的含有密码技术的产品，应当是通过国家密码管理部门指定测评机构密码测评的产品。 八、第三级以上信息系统的商用密码应用系
5、统，应当通过国家密码管理部门指定测评机构的密码测评后方可投入运行。密码测评包括资料审查、系统分析、现场测评、综合评估等。信息系统的责任单位应当将测评结果报相应的密码管理部门备案。九、第二级以上信息系统的责任单位，应当填写信息安全等级保护商用密码产品备案表 ，并按照信息安全等级保护商用密码管理办法的要求进行备案。十、第三级以上信息系统的责任单位，应当建立完善的商用密码使用管理制度，保障商用密码应用系统的安全运行。按照密码管理部门的要求办理相关事项。 十一、第三级以上信息系统发生重大变更时，信息系统的责任单位应当将变更情况及时报相应的密码管理部门，并按照密码管理部门的要求办理相关事项。 十二、第三
6、级以上信息系统的商用密码应用系统需要由责任单位以外的单位负责日常维护的，应当选择具有商用密码相关资质的单位。十三、第三级以上信息系统的责任单位，应当积极配合密码管理部门组织开展的商用密码检查工作。 十四、使用商用密码实施信息安全等级保护，应当符合信息安全等级保护商用密码技术实施要求(附后) 。十五、本意见施行前已建成的第三级以上信息系统的商用密码应用系统，应当按照本意见第八条的要求进行密码测评，并根据密码测评意见实施改造。十六、本意见所称“以上”包含本级。附件：信息安全等级保护商用密码技术实施要求信息安全等级保护商用密码技术实施要求国家密码管理局2 0 0 9 年引 言 8第一章 第一级信息系
7、统商用密码技术实施要求 91.1 商用密码技术基本要求 91.1.1 功能要求 91.1.1.1 真实性 91.1.1.2 完整性 91.1.2 密钥管理要求 91.1.3 密码配用策略要求 91.1.4 密码实现机制要求 91.1.5 密码安全防护要求 91.2 商用密码技术应用要求 101.2.1 物理安全 101.2.2 网络安全 101.2.3 主机安全 101.2.4 应用安全 101.2.5 数据安全及备份恢复 10第二章 第二级信息系统商用密码技术实施要求 112.1 商用密码技术基本要求 112.1.1 功能要求 112.1.1.1 真实性 112.1.1.2 机密性 112.
8、1.1.3 完整性 112.1.3 密码配用策略要求 122.1.3.1 密码算法配用策略 122.1.3.2 密码协议使用策略 122.1.3.3 密码设备使用策略 122.1.4 密码实现机制 122.1.5 密码安全防护要求 122.2 商用密码技术应用要求 122.2.1 物理安全 122.2.2 网络安全 132.2.3 主机安全 132.2.4 应用安全 132.2.5 数据安全及备份恢复 13第三章 第三级信息系统商用密码技术实施要求 143.1 商用密码技术基本要求 143.3.1 功能要求 143.1.1.1 真实性 143.1.1.2 机密性 143.1.1.3 完整性 1
9、43.1.1.4 抗抵赖性 153.1.2 密钥管理要求 153.1.3 密码配用策略要求 163.1.3.1 密码算法配用策略 163.1.3.2 密码协议使用策略 163.1.3.3 密码设备使用策略 163.1.4 密码实现机制 163.1.5 密码安全防护要求 163.2 商用密码技术应用要求 173.2.1 物理安全 173.2.2 网络安全 173.2.3 主机安全 173.2.4 应用安全 183.2.5 数据安全及备份恢复 18第四章 第四级信息系统商用密码技术实施要求 194.1 商用密码技术基本要求 194.1.1 功能要求 194.1.1.1 真实性 194.1.1.1.
10、2 机密性 194.1.1.3 完整性 204.1.1.4 抗抵赖 204.1.2 密钥管理要求 204.1.3 密码配用策略要求 214.1.3.1 密码算法配用策略 214.1.3.2 密码协议使用策略 214.1.3.3 密码设备使用策略 214.1.4 密码实现机制 224.1.5 密码安全防护要求 224.2 商用密码技术应用要求 224.2.1 物理安全 224.2.2 网络安全 224.2.3 主机安全 234.2.4 应用安全 234.2.5 数据安全及备份恢复 24引 言密码技术作为信息安全的基础性核心技术，是信息保护和网络信任体系建设的基础，是实行信息安全等级保护不可或缺的
11、关键技术，充分利用密码技术能够有效地保障信息安全等级保护制度的落实，科学合理地采用密码技术及其产品，是落实信息安全等级保护最为有效、经济和便捷的手段。 国家标准(GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求(以下简称“基本要求 ”) 规定了对不同安全保护等级信息系统的基本安全要求，对于涉及到身份的真实性、行为的抗抵赖、内容的机密性和完整性的要求项，密码技术都可以直接或间接地为满足这些要求提供支持，因此如何科学合理地应用密码技术对信息系统进行安全保护就成为实施等级保护的关键工作内容，直接影响着信息安全等级保护的全面推进。为此，我们以商用密码管理条例和信息安全等级保护商
12、用密码管理办法为指导，结合基本要求中的相关安全要求项，在信息安全等级保护商用密码技术要求的基础上，编制了信息安全等级保护商用密码技术实施要求 ，用以规范使用商用密码实施等级保护的相关技术工作，并为商用密码产品的研发和系统的集成提供依据。本要求明确了一、二、三、四级信息系统使用商用密码技术来实施等级保护的基本要求和应用要求。在基本要求中根据密码技术的特点，从技术实施上对商用密码应用系统的功能、密钥管理、密码配用、密码实现和密码保护等方面提出了相关要求和规定。在应用要求中，从应用密码技术来实现相应等级的物理安全、网络安全、主机安全、应用安全和数据安全提出了要求。为方便使用，我们将各级信息系统的商用
13、密码需求和相关技术实施要求按照不同安全等级集中进行编排。第一章 第一级信息系统商用密码技术实施要求1.1 商用密码技术基本要求1.1.1 功能要求1.1.1.1 真实性第一级信息系统使用商用密码进行真实性保护时，应提供以下功能；1) 提供基于实体的身份标识和鉴别服务；2) 为访问网络设备提供身份鉴别服务；3) 为登录操作系统和数据库提供身份鉴别服务；4) 为访问应用系统提供身份鉴别服务；5) 向访问控制系统提供身份真实性的凭证。1.1.1.2 完整性第一级信息系统使用商用密码进行完整性保护时，应提供以下功能；1) 应提供数据完整性校验服务；2) 为通信过程和数据传输提供完整性校验服务;3) 为
14、访问控制系统提供访问控制信息的完整性校验服务。1.1.2 密钥管理要求密钥管理至少应包括密钥的生成、存储和使用等过程，并满足;1) 密钥生成：密钥应具有一定的随机性；2) 密钥存储：采取必要的安全防护措施，防止密钥被轻易非授权获取;3) 密钥使用：采取必要的安全防护措施，防止密钥被非法使用。1.1.3 密码配用策略要求采用国家密码管理部门批准使用的算法。1.1.4 密码实现机制要求不做强制性要求。1.1.5 密码安全防护要求不做强制性要求。1.2 商用密码技术应用要求1.2.1 物理安全第一级物理安全基本技术要求的实现不需使用密码技术。1.2.2 网络安全实现第一级网络安全基本技术要求在访问控
15、制和身份鉴别方面可以使用密码技术。在访问控制机制中，可以使用密码技术的完整性服务来保证访问控制列表的完整性。 在身份鉴别机制中，可以使用密码技术的真实性服务来实现鉴别信息的防假冒，可以使用密码技术的机密性服务来实现鉴别信息的防泄露。1.2.3 主机安全实现第一级主机安全基本技术要求在身份鉴别和访问控制方面可以使用密码技术。在身份鉴别机制中，可以使用密码技术的真实性服务来实现鉴别信息的防假冒。在访问控制机制中，可以使用密码技术的完整性服务来保证访问控制信息的完整性。1.2.4 应用安全实现第一级应用安全基本技术要求在身份鉴别、访问控制和通信安全方面可以使用密码技术。在身份鉴别机制中，可以使用密码
16、技术的真实性服务来实现鉴别信息的防假冒，保证应用系统用户身份的真实性。在访问控制机制中，可以使用密码技术的完整性服务来保证系统功能和用户数据访问控制信息的完整性。在通信安全方面，可以使用密码技术的完整性服务来实现对通信过程中数据完整性。 1.2.5 数据安全及备份恢复第一级数据安全及备份恢复基本技术要求在数据传输安全方面，可以使用密码技术的完整性服务来实现对重要用户数据在传输过程中完整性检测。第二章 第二级信息系统商用密码技术实施要求2.1 商用密码技术基本要求2.1.1 功能要求2.1.1.1 真实性第二级信息系统使用商用密码进行真实性保护时，应提供以下功能；1) 提供基于单个实体的身份鉴别
17、功能；2) 能唯一标识并有效区分实体，包括用户、设备、系统等；3) 为建立网络会话提供身份鉴别服务；4) 为访问网络设备提供身份鉴别服务；5) 保证身份鉴别信息的唯一性；6) 向访问控制系统提供身份真实性的凭证。2.1.1.2 机密性第二级信息系统使用商用密码进行机密性保护时，应提供以下功能；1) 提供数据机密性服务;2) 为初始化会话过程中提供加密保护;3) 对通信过程中的重要字段提供加密保护；4) 对存储的鉴别信息提供加密保护。2.1.1.3 完整性第二级信息系统使用商用密码进行完整性保护时，应提供以下功能；1) 对鉴别信息和重要业务数据在传输过程中提供完整性校验服务；2) 对系统资源的访
18、问控制信息提供完整性校验服务;3) 对文件/数据库表等客体的访问控制信息提供完整性校验服务；4) 对审计记录提供完整性校验服务。 密钥管理应包括对密钥的生成、存储、分发、导入、导出、使用、备份、恢复、更换等过程，并满足:1) 密钥生成：应使用随机数发生器产生密钥；2) 密钥存储：密钥应加密存储，并采取必要的安全防护措施，防止密钥被非法获取。3) 密钥分发：密钥分发应采取有效的安全措施，防止在分发过程中泄露。4) 密钥导入与导出：密钥的导入与导出应采取有效的安全措施，保证密钥的导入与导出安全，以及密钥的正确。5) 密钥使用：密钥必须明确用途，并按用途正确使用；对于公钥密码体制，在使用公钥之前应对
19、其进行验证；应有安全措施防止密钥的泄露和替换；应按照密钥更换周期要求更换密钥，密钥更换允许系统中断运行。6) 密钥备份与恢复：应制定明确的密钥备份策略，采用安全可靠的密钥备份恢复机制，对密钥进行备份或恢复。2.1.3 密码配用策略要求2.1.3.1 密码算法配用策略采用国家密码管理部门批准使用的算法。2.1.3.2 密码协议使用策略采用经国家密码管理部门安全性评审的密码协议实现密码功能。2.1.3.3 密码设备使用策略使用密码设备时应符合以下要求：1) 应选用国家密码管理部门批准的密码设备；2) 信源加密、完整性校验、身份鉴别应选用智能密码钥匙、智能 IC 卡、可信密码模块 TCKI、密码卡、
20、密码机等密码设备；3) 信道加密应选用链路密码机、网络密码机、YPN 密码机等密码设备。2.1.4 密码实现机制应采用专用固件或硬件方式实现。2.1.5 密码安全防护要求密码安全防护应符合以下要求：1) 专用固件或硬件应具有有效的物理安全保护措施；，2) 专用固件或硬件应满足相应运行环境的可靠性要求。2.2 商用密码技术应用要求2.2.1 物理安全实现第二级物理安全基本技术要求不需使用密码技术。2.2.2 网络安全实现第二级网络安全基本技术要求在访问控制和身份鉴别方面推荐使用密码技术。在访问控制方面，推荐使用密码技术的完整性服务来保证网络边界访问控制信息、系统资源访问控制信息的完整性。在身份标
21、识与鉴别方面，推荐使用密码技术的真实性服务来实现鉴别信息的防重用和防冒用，保证网络设备用户身份的真实性；推荐使用密码技术的机密性服务来保证网络设备远程管理时，鉴别信息传输过程中的机密性。2.2.3 主机安全实现第二级主机安全基本技术要求在身份鉴别、访问控制和审计记录方面推荐使用密码技术。 在身份鉴别方面，推荐使用密码技术的真实性服务来实现鉴别信息的防冒用和防重用，保证操作系统和数据库系统用户身份的真实性；推荐使用密码技术的机密性服务来实现鉴别信息远程传输过程中的机密性。 在访问控制方面，推荐使用密码技术的完整性服务来保证系统资源访问控制信息的完整性。在审计记录方面，推荐使用密码技术的完整性服务
22、来对审计记录进行完整性保护。2.2.4 应用安全实现第二级应用安全基本技术要求在身份鉴别、访问控制、审计记录和通信安全方面推荐使用密码技术。在身份鉴别方面，推荐使用密码技术的真实性服务来实现鉴别信息的防重用和防冒用，保证应用系统用户身份的真实性和通信双方身份的真实性。在访问控制方面，推荐使用密码技术的完整性服务来保证文件、数据库表等客体访问控制信息的完整性。在审计记录方面，推荐使用密码技术的完整性服务来保证审计记录的完整性，防止对审计记录的非法修改。在通信安全方面，推荐使用密码技术的完整性服务来保证通信过程中数据的完整性；推荐使用密码技术的机密性服务来对通信过程中敏感数据加密，保证通信过程中敏感信息的机密性。2.2.5 数据安全及备份恢复实现第二级数据安全及备份恢复基本技术要求在数据传输安全和数据存储安全方面可以使用密码技术。在数据传输安全方面，推荐使用密码技术的完整性服务来实现对鉴别信息和重要业务数据在传输过程中完整性检测。在数据存储安全方面，推荐使用密码技术的机密性服务来实现鉴别信息的存储机密性。第三章 第三级信息系统商用密码技术实施要求3.1 商用密码技术基本
