中華人民共和國密碼行業(yè)標(biāo)準(zhǔn)信息系統(tǒng)密碼應(yīng)用實施指南國家密碼管理局發(fā)布I前言 Ⅲ 12規(guī)范性引用文件 13術(shù)語和定義 14信息系統(tǒng)密碼應(yīng)用實施概述 14.1角色和職責(zé) 14.2基本流程 2 25.1規(guī)劃階段的工作流程 25.2密碼應(yīng)用需求分析 35.2.1信息系統(tǒng)現(xiàn)狀分析 35.2.2密碼應(yīng)用安全風(fēng)險分析 45.2.3密碼應(yīng)用基本需求的確定 45.2.4密碼應(yīng)用特殊需求的確定 45.2.5需求分析結(jié)果文檔化 5 55.3.1總體策略設(shè)計 55.3.2密碼應(yīng)用技術(shù)方案設(shè)計 55.3.3密碼應(yīng)用安全管理方案設(shè)計 65.3.4合規(guī)性自查 65.3.5實施保障方案設(shè)計 65.3.6設(shè)計結(jié)果文檔化 5.4方案密評 76信息系統(tǒng)密碼應(yīng)用建設(shè) 86.1建設(shè)階段的工作流程 86.2密碼建設(shè)方案設(shè)計 86.2.1密碼應(yīng)用技術(shù)措施實現(xiàn)內(nèi)容的設(shè)計 86.2.2密碼應(yīng)用安全管理措施實現(xiàn)內(nèi)容的設(shè)計 96.2.3設(shè)計結(jié)果文檔化 96.3密碼應(yīng)用技術(shù)措施的實現(xiàn) 96.3.1密碼產(chǎn)品與密碼服務(wù)采購 96.3.2密碼應(yīng)用集成 10Ⅱ6.4密碼應(yīng)用安全管理措施的實現(xiàn) 6.4.1密碼應(yīng)用配套安全管理制度的制定 6.4.2密碼管理崗位和人員的設(shè)置 6.4.3建設(shè)過程管理 6.5系統(tǒng)密評 7信息系統(tǒng)密碼應(yīng)用運行 7.1運行階段的工作流程 7.2運行管理和控制 7.2.1運行管理過程控制 7.2.2運行管理人員控制 7.3變更管理和控制 7.3.1變更需求和影響分析 7.3.2變更過程控制 7.4密碼應(yīng)用安全狀態(tài)監(jiān)控 7.4.1監(jiān)控對象確定 7.4.2監(jiān)控對象狀態(tài)信息收集 7.4.3監(jiān)控狀態(tài)分析和報告 7.5安全自查和持續(xù)改進 7.5.1密碼應(yīng)用安全狀態(tài)自查 7.5.2密碼應(yīng)用整改 7.6系統(tǒng)密評 7.7應(yīng)急響應(yīng)與保障 7.7.1應(yīng)急準(zhǔn)備 7.7.2應(yīng)急監(jiān)測與響應(yīng) 7.7.3后期評估與改進 8信息系統(tǒng)密碼應(yīng)用終止 8.1終止階段工作流程 8.3密碼應(yīng)用設(shè)備遷移或廢棄 8.4密碼應(yīng)用存儲介質(zhì)的清除或銷毀 附錄A(規(guī)范性)主要過程及其活動和輸入輸出 參考文獻 24Ⅲ本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任。本文件由密碼行業(yè)標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口。本文件起草單位：興唐通信科技有限公司、國家密碼管理局商用密碼檢測中心、中國科學(xué)院信息工程研究所、中國科學(xué)院數(shù)據(jù)與通信保護研究教育中心、北京信安世紀(jì)科技有限公司、北京數(shù)盾信息科技有限公司、三未信安科技股份有限公司、阿里云計算有限公司、中電科網(wǎng)絡(luò)安全科技股份有限公司、公安部第三研究所、螞蟻科技集團股份有限公司、鼎鉉商用密碼測評技術(shù)(深圳)有限公司、北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司、中金金融認證中心有限公司、阿里巴巴(中國)網(wǎng)絡(luò)技術(shù)有限公司、上海市數(shù)字證書認證中心有限公司中互金認證有限公司、國家信息技術(shù)安全研究中心、深圳市騰訊計算機系統(tǒng)有限公司、中國電子科技集團公司第十五研究所、中國國家鐵路集團有限公司、暨南大學(xué)啟明星辰信息安全技術(shù)有限公司。本文件主要起草人：王彥廳對而凝許長值主兵馬原鄭明是二省秋林吳星宇賈世態(tài)、田愛軍、李增局、姬生利楊龍、田濤下航、高志權(quán)威煜、吳波珊、李形方海峰、肖飛安高峰、賀磊、1信息系統(tǒng)密碼應(yīng)用實施指南1范圍本文件給出了信息系統(tǒng)密碼應(yīng)用的流程指導(dǎo)和建議，描述了規(guī)劃、建設(shè)、運行及終止階段的實施過程及主要活動。本文件適用于指導(dǎo)信息系統(tǒng)密碼應(yīng)用的實施2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本(包活所有的修改單)適用于本文件。GB/T20984信息安全技術(shù)信息安全風(fēng)險評估方法GM/To115信息系統(tǒng)密碼應(yīng)用測環(huán)要求GM/T0116信息系統(tǒng)密碼應(yīng)用測評過積特商GM/Z4001密碼術(shù)語3術(shù)語和定義GB/T39786和GM/Z400界定的來鏈和定義適用于本文4信息系統(tǒng)密碼應(yīng)用實施概述4.1角色和職責(zé)信息系統(tǒng)密碼應(yīng)用申涉及的各類角色及其職責(zé)如下。a)密碼管理部門負責(zé)依法管理密碼工作。b)信息系統(tǒng)責(zé)任單位通常包括項目建設(shè)單位以及信息系統(tǒng)運營、使用單位，負責(zé)依照信息系統(tǒng)密碼應(yīng)用的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，進行密碼應(yīng)用方案的設(shè)計；使用符合國家規(guī)定、滿足信息系統(tǒng)對應(yīng)等級密碼應(yīng)用基本要求的密碼算法、密碼技術(shù)、密碼產(chǎn)品和密碼服務(wù)，開展信息系統(tǒng)密碼應(yīng)用建設(shè)或整改工碼應(yīng)用配套安全管理制度，定期對信息系統(tǒng)密碼應(yīng)用安全狀況、密碼應(yīng)用配套安全管理制度及措施的落實情況進行自查；自行或委托商用密碼應(yīng)用安全性評估機構(gòu)開展商用密碼應(yīng)用安全性評估(簡稱“密評”),包括密碼應(yīng)用方案密評(簡稱“方案密評”)和信息系統(tǒng)密評(簡稱“系統(tǒng)密評”);對密碼應(yīng)用安全事件進行應(yīng)急處置。c)密碼應(yīng)用集成服務(wù)單位負責(zé)根據(jù)信息系統(tǒng)責(zé)任單位的委托，依照信息系統(tǒng)密碼應(yīng)用的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，協(xié)助信息系統(tǒng)責(zé)任單位完成信息系統(tǒng)密碼應(yīng)用的規(guī)劃、建設(shè)、運行及終止階段的工作(包括但不限于密碼應(yīng)用咨2和控制終止階段信息系統(tǒng)密碼應(yīng)用實施的基本流程中各個階34若信息系統(tǒng)未完成網(wǎng)絡(luò)安全等級保護定級，則根據(jù)擬定級情況確定信息系統(tǒng)密碼應(yīng)用安全要求1)信息系統(tǒng)基本情況；2)信息系統(tǒng)網(wǎng)絡(luò)拓撲；3)信息系統(tǒng)承載的業(yè)務(wù)情況；4)信息系統(tǒng)軟硬件構(gòu)成；7)信息系統(tǒng)密碼應(yīng)用安全要求等級。按照GB/T39786相應(yīng)級別的指標(biāo)要求，逐條分析信息系統(tǒng)目按照GB/T39786中相應(yīng)等級的指標(biāo)要求，從物理和環(huán)境安全、網(wǎng)絡(luò)全、應(yīng)用和數(shù)據(jù)安全四個技術(shù)層面提出技術(shù)基本需求，確定各個層面中不涉及根據(jù)信息系統(tǒng)的行業(yè)特點、關(guān)鍵信息基礎(chǔ)設(shè)施和重要數(shù)據(jù)的特殊保護要求，5a)合規(guī)性特殊需求規(guī)和要求、主管部門提出的密碼應(yīng)用要求，以及關(guān)鍵信息基礎(chǔ)設(shè)施標(biāo)準(zhǔn)中提出的GB/T39786中未包b)重要信息資產(chǎn)保護特殊需求針對信息系統(tǒng)中重要信息資產(chǎn)面臨的實際安全風(fēng)險，判斷實施密碼應(yīng)用特c)密碼應(yīng)用特殊需求描述。6體系。對照GB/T39786相應(yīng)等級要求以及所屬行業(yè)及關(guān)鍵信息基礎(chǔ)設(shè)施相關(guān)要求進行自查，確保密碼按照GB/T39786相應(yīng)等級要求以及所屬行業(yè)及關(guān)鍵信息基礎(chǔ)設(shè)施相關(guān)要求，逐一列出要求項，7參與角色：信息系統(tǒng)責(zé)任單位、密碼應(yīng)用集成服務(wù)單位。活動輸入：信息系統(tǒng)總體描述文檔，信息系統(tǒng)的立項、建設(shè)和管理文檔，信息系統(tǒng)責(zé)任單位總體安全策略文檔，密碼應(yīng)用方案的密碼應(yīng)用需求分析部分、密碼應(yīng)用技術(shù)方案部分、密碼應(yīng)用安全管理方案部分。活動描述：根據(jù)信息系統(tǒng)密碼應(yīng)用的具體設(shè)計，結(jié)合信息系統(tǒng)建設(shè)規(guī)劃，確定信息系統(tǒng)密碼應(yīng)用的實施內(nèi)容(包括但不限于采購、軟硬件開發(fā)或改造、系統(tǒng)集成、綜合調(diào)試、試運行),制定實施計劃(包括但不限于實施路線圖、進度計劃、重要節(jié)點),確定保障措施(包括但不限于組織保障、人員保障、經(jīng)費保障、質(zhì)量保障、監(jiān)督檢查),并給出經(jīng)費概算。對于運行階段信息系統(tǒng)的密碼應(yīng)用整改，還需要充分考慮采取各種措施，確保整改過程中信息系統(tǒng)穩(wěn)定運行，保證業(yè)務(wù)的連續(xù)性活動輸出：密碼應(yīng)用方案的實施保障方案部分。活動目標(biāo)：將密碼應(yīng)用設(shè)計工作的結(jié)果文檔化，最后形成一套指導(dǎo)信息系統(tǒng)責(zé)任單位密碼應(yīng)用工作的密碼應(yīng)用方案。參與角色：信息系統(tǒng)責(zé)任單位密碼應(yīng)用集成服務(wù)單位。用技術(shù)方案部分密碼應(yīng)用安個管理方案部分與合性分析部分賣施保障方案部分?；顒用枋觯簩γ艽a應(yīng)用設(shè)計工作的內(nèi)容進存整理并碼應(yīng)用力系。密碼應(yīng)用方案主要包含以下內(nèi)容：a)信息系統(tǒng)概述；b)密碼應(yīng)用需求分析c)設(shè)計目標(biāo)及原則d)密碼應(yīng)用技術(shù)方案；e)密碼應(yīng)用安全管理方案；f)安全與合規(guī)性分析；g)實施保障方案。活動輸出：密碼應(yīng)用方案。5.4方案密評活動目標(biāo)：對制定的密碼應(yīng)用方案組織開展密評，確保方案符合信息系統(tǒng)密碼應(yīng)用要求、符合需求?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容。a)方案評估信息系統(tǒng)責(zé)任單位在初步確定密碼應(yīng)用方案后，對密碼應(yīng)用方案組織開展評估，形成方案密評報告。8輸入主要過程輸出系統(tǒng)密評9活動描述：本活動主要包括以下子活動內(nèi)容。a)應(yīng)用系統(tǒng)設(shè)計改造分析分析信息系統(tǒng)采用密碼功能所引發(fā)的應(yīng)用系統(tǒng)設(shè)計或改造需求，確定應(yīng)用系統(tǒng)設(shè)計或改造涉及的功能模塊，形成應(yīng)用系統(tǒng)設(shè)計或改造聯(lián)調(diào)測試對接方案。b)密碼部署方案設(shè)計根據(jù)密碼應(yīng)用方案、應(yīng)用系統(tǒng)設(shè)計或改造聯(lián)調(diào)測試對接方案，確定密碼產(chǎn)品或密碼服務(wù)的具體部署方案。c)密碼產(chǎn)品與密碼服務(wù)采購清單確定按照密碼產(chǎn)品與密碼服務(wù)需求清單，調(diào)研分析密碼產(chǎn)品與密碼服務(wù)的市場、供應(yīng)商資質(zhì)、產(chǎn)品或服務(wù)類型，形成密碼產(chǎn)品與密碼服務(wù)采購清單活動輸出：密碼建設(shè)方案的密碼應(yīng)用技術(shù)措施實現(xiàn)內(nèi)容部分。6.2.2密碼應(yīng)用安全管理措施實現(xiàn)內(nèi)容的設(shè)計活動目標(biāo)：根據(jù)信息系統(tǒng)責(zé)任單位安全管理需要，提出與密碼應(yīng)用安全管理措施相適應(yīng)的管理實施內(nèi)容，以保證在密碼應(yīng)用技術(shù)措施建設(shè)的同時密碼安全管要得以同步建設(shè)參與角色：信息系統(tǒng)責(zé)任單位一密碼應(yīng)府集成服務(wù)單位?；顒虞斎耍好艽a應(yīng)用方案活動描述：本活動主要包括以下子活動內(nèi)容：結(jié)合信息系統(tǒng)密碼應(yīng)用要個管理需要和密用技術(shù)替施建設(shè)內(nèi)容確定密碼應(yīng)用安全管理建設(shè)的范圍和內(nèi)容，同時注意與信基系有原有安全管理制的協(xié)調(diào)性。密應(yīng)用安空管理設(shè)研的肉容主要考慮：管理制度人員管理、建設(shè)運行和應(yīng)急延弈活動輸出密碼建設(shè)方案的密碼應(yīng)用安企管理播施實現(xiàn)內(nèi)容部分?；顒幽繕?biāo)：匯總密碼應(yīng)用技術(shù)措施實現(xiàn)內(nèi)容、密碼應(yīng)用安全管理措施實現(xiàn)內(nèi)容，同時考慮工時和成本，最后形成密碼建設(shè)方案。參與角色：信息系統(tǒng)責(zé)任單位密碼應(yīng)用集成服務(wù)單位。活動輸入：密碼應(yīng)用方案，密碼建設(shè)方案的密碼應(yīng)用技術(shù)措施實現(xiàn)內(nèi)容部分、密碼應(yīng)用安全管理措施實現(xiàn)內(nèi)容部分。活動描述：綜合分析密碼應(yīng)用技術(shù)措施實現(xiàn)內(nèi)容、密碼應(yīng)用安全管理措施實現(xiàn)內(nèi)容，形成密碼建設(shè)方案。6.3密碼應(yīng)用技術(shù)措施的實現(xiàn)活動目標(biāo)：按照密碼建設(shè)方案中對密碼產(chǎn)品與密碼服務(wù)的具體要求進行采購。參與角色：信息系統(tǒng)責(zé)任單位、密碼應(yīng)用集成服務(wù)單位、密碼產(chǎn)品和服務(wù)提供單位。b)系統(tǒng)整改和復(fù)評未通過系統(tǒng)密評的，信息系統(tǒng)責(zé)任單位對信息系統(tǒng)進行整改，整改完成后組織進行復(fù)評，形成系統(tǒng)密評報告。c)評估結(jié)果備案信息系統(tǒng)完成密評后，信息系統(tǒng)責(zé)任單位將系統(tǒng)密評結(jié)果報送密碼管理部門備案。7信息系統(tǒng)密碼應(yīng)用運行7.1運行階段的工作流程信息系統(tǒng)密碼應(yīng)用運行階段的且標(biāo)是要照密碼應(yīng)用方案，執(zhí)行信息系統(tǒng)運行的制度、策略等，確保信息系統(tǒng)密碼應(yīng)用的正常運行信息系統(tǒng)密碼應(yīng)用運行階段的工作流程見圖4。密碼應(yīng)用配安全管理制度變更方案變更結(jié)果報告密碼應(yīng)用安全狀態(tài)信息密碼應(yīng)用安全狀態(tài)分析報告重新制定的密碼應(yīng)用方案方案密評報告密碼產(chǎn)品和或服務(wù)采購合同密碼應(yīng)用集成報告密碼應(yīng)用配套安全管理制度密碼應(yīng)用建設(shè)過程管理文檔系統(tǒng)密評報告密碼應(yīng)用方案密碼應(yīng)用配套安全管理制度及相關(guān)操作執(zhí)行記錄變更結(jié)果報告應(yīng)急演練總結(jié)密碼應(yīng)用安全事件處置報告密碼應(yīng)用安全事件調(diào)查評估報告更新的密碼應(yīng)用應(yīng)急管理制度應(yīng)急資源清單密碼應(yīng)用方案系統(tǒng)警評報告變更結(jié)果報告密碼應(yīng)用安全狀態(tài)分析報告密碼應(yīng)用應(yīng)急管理制度密碼應(yīng)用安全狀態(tài)監(jiān)控對象列表密碼應(yīng)用方案操檐過程記錄表培訓(xùn)及考核記錄密碼應(yīng)用方客系統(tǒng)密評報告安全自查和持續(xù)改進運行管理和控制變要管理和控制應(yīng)急響應(yīng)與保障系統(tǒng)密評報告變更需求系統(tǒng)密評主要過程圖4信息系統(tǒng)密碼應(yīng)用運行階段的工作流程a)記錄操作過程根據(jù)密碼應(yīng)用配套安全管理制度，定期對密碼管理人員進行專門培訓(xùn)和考通過對運行與維護過程中的變更需求和變更影響的分析，來確定變更的類別，計劃后續(xù)的活動a)變更需求和影響分析更的必要性和可行性),并對變更可能存在的影響進行分析判斷。b)變更方案制定a)變更內(nèi)容審核和審批b)變更試驗與恢復(fù)預(yù)案c)變更實施操作記錄或日志。毀操作的安全d)形成變更結(jié)果報否活動輸出變更結(jié)果報雷本活動主要包括以下子活動內(nèi)容。a)安全關(guān)鍵點分析對影響信息系統(tǒng)密碼應(yīng)用的關(guān)鍵要素進行分析，確定密碼應(yīng)用安全狀態(tài)監(jiān)控的對象(包括但不限b)形成監(jiān)控對象列表a)確定整改策略評的整改建議，重新制定密碼應(yīng)用方案并組織開展方案密評案制定密碼建設(shè)方案并開展建設(shè)，組織開展系統(tǒng)密評。具體流程參見第6章。a)開展評估b)系統(tǒng)整改b)改進預(yù)防信息系統(tǒng)密碼應(yīng)用終止階段的目標(biāo)是確保信息系統(tǒng)密碼應(yīng)用的安全終止。當(dāng)信息系統(tǒng)密碼應(yīng)用備遷移和介質(zhì)銷毀方面的安全。信息系統(tǒng)密碼應(yīng)用終止階段的工作流程見圖5。輸入密碼應(yīng)用存儲介質(zhì)的根據(jù)規(guī)定和實際情況制定設(shè)備處理方案(包括設(shè)備遷移方法、設(shè)備廢棄方法和重要數(shù)據(jù)清除方法)。c)處理方案審批d)設(shè)備處理和記錄活動輸入密碼應(yīng)用存儲介質(zhì)清單。本活動主要包括以下子活動容a)識別要清除或銷毀的介質(zhì)根據(jù)要終的信息系統(tǒng)密應(yīng)用的存儲金質(zhì)清單識別載有重要數(shù)據(jù)的密碼應(yīng)用存儲介質(zhì)、所處b)確定存儲介質(zhì)處理方法和流程根據(jù)密碼應(yīng)用存儲介質(zhì)所錢信息的重要程度確定對密碼應(yīng)用存儲介質(zhì)的處理方式和處理流程c)處理方案審批密碼應(yīng)用存儲介質(zhì)的處理方式租處理流程的外理方案需經(jīng)過主管領(lǐng)導(dǎo)審查和批準(zhǔn)d)存儲介質(zhì)處理相記錄