三亞市商務(wù)局關(guān)于再次遴選中國（三亞）跨境電子商務(wù)綜合試驗(yàn)區(qū)線上綜合服務(wù)平臺商用密碼應(yīng)用安全性評估服務(wù)服務(wù)商的公告

測評單元

測評指標(biāo)

技術(shù)要求

物理和環(huán)境安全

身份鑒別

a)宜采用密碼技術(shù)進(jìn)行物理訪問身份鑒別，保證重要區(qū)域進(jìn)入人員身份的真實(shí)性；

電子門禁記錄數(shù)據(jù)存儲完整性

b)宜采用密碼技術(shù)保證電子門禁系統(tǒng)進(jìn)出記錄數(shù)據(jù)的存儲完整性；

視頻監(jiān)控記錄數(shù)據(jù)存儲完整性

c)宜采用密碼技術(shù)保證視頻監(jiān)控音像記錄數(shù)據(jù)的存儲完整性。

網(wǎng)絡(luò)和通信安全

身份鑒別

a)應(yīng)采用密碼技術(shù)對通信實(shí)體進(jìn)行身份鑒別，保證通信實(shí)體身份的真實(shí)性；

通信數(shù)據(jù)完整性

b)宜采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；

通信過程中重要數(shù)據(jù)的機(jī)密性

c)應(yīng)采用密碼技術(shù)保證通信過程中重要數(shù)據(jù)的機(jī)密性；

網(wǎng)絡(luò)邊界訪問控制信息的完整性

d)宜采用密碼技術(shù)保證網(wǎng)絡(luò)邊界訪問控制信息的完整性；

安全接入認(rèn)證

e)可采用密碼技術(shù)對從外部連接到內(nèi)部網(wǎng)絡(luò)的設(shè)備進(jìn)行接入認(rèn)證，確保接入的設(shè)備身份真實(shí)性。

設(shè)備和計(jì)算安全

身份鑒別

a)應(yīng)采用密碼技術(shù)對登錄設(shè)備的用戶進(jìn)行身份鑒別，保證用戶身份的真實(shí)性；

遠(yuǎn)程管理通道安全

b)遠(yuǎn)程管理設(shè)備時(shí)，應(yīng)采用密碼技術(shù)建立安全的信息傳輸通道；

系統(tǒng)資源訪問控制信息完整性

c)宜采用密碼技術(shù)保證系統(tǒng)資源訪問控制信息的完整性；

重要信息資源安全標(biāo)記完整性

d)宜采用密碼技術(shù)保證設(shè)備中的重要信息資源安全標(biāo)記的完整性；

日志記錄完整性

e)宜采用密碼技術(shù)保證日志記錄的完整性；

重要可執(zhí)行程序完整性、重要可執(zhí)行程序來源真實(shí)性

f)宜采用密碼技術(shù)對重要可執(zhí)行程序進(jìn)行完整性保護(hù)，并對其來源進(jìn)行真實(shí)性驗(yàn)證。

應(yīng)用和數(shù)據(jù)安全

身份鑒別

a)應(yīng)采用密碼技術(shù)對登錄用戶進(jìn)行身份鑒別，保證應(yīng)用系統(tǒng)用戶身份的真實(shí)性；

訪問控制信息完整性

b)宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的訪問控制信息的完整性；

重要信息資源安全標(biāo)記完整性

c)宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要信息資源安全標(biāo)記的完整性；

重要數(shù)據(jù)傳輸機(jī)密性

d)應(yīng)采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸過程中的機(jī)密性；

重要數(shù)據(jù)存儲機(jī)密性

e)應(yīng)采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在存儲過程中的機(jī)密性；

重要數(shù)據(jù)傳輸完整性

f)宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在傳輸過程中的完整性；

重要數(shù)據(jù)存儲完整性

g)宜采用密碼技術(shù)保證信息系統(tǒng)應(yīng)用的重要數(shù)據(jù)在存儲過程中的完整性；

不可否認(rèn)性

h)在可能涉及法律責(zé)任認(rèn)定的應(yīng)用中，宜采用密碼技術(shù)提供數(shù)據(jù)原發(fā)證據(jù)和數(shù)據(jù)接收證據(jù)，實(shí)現(xiàn)數(shù)據(jù)原發(fā)行為的不可否認(rèn)性和數(shù)據(jù)接收行為的不可否認(rèn)性。

管理

要求

管理

制度

具備密碼應(yīng)用安全管理制度

a)應(yīng)具備密碼應(yīng)用安全管理制度，包括密碼人員管理、密鑰管理、建設(shè)運(yùn)行、應(yīng)急處置、密碼軟硬件及介質(zhì)管理等制度；

密鑰管理規(guī)則

b)應(yīng)根據(jù)密碼應(yīng)用方案建立相應(yīng)密鑰管理規(guī)則；

建立操作規(guī)程

c)應(yīng)對管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程；

定期修訂安全管理制度

d)應(yīng)定期對密碼應(yīng)用安全管理制度和操作規(guī)程的合理性和適用性進(jìn)行論證和審定，對存在不足或需要改進(jìn)之處進(jìn)行修訂；

明確管理制度發(fā)布流程

e)應(yīng)明確相關(guān)密碼應(yīng)用安全管理制度和操作規(guī)程的發(fā)布流程并進(jìn)行版本控制；

制度執(zhí)行過程記錄留存

f)應(yīng)具有密碼應(yīng)用操作規(guī)程的相關(guān)執(zhí)行記錄并妥善保存。

人員

管理

了解并遵守密碼相關(guān)法律法規(guī)

和密碼管理制度

a)相關(guān)人員應(yīng)了解并遵守密碼相關(guān)法律法規(guī)、密碼應(yīng)用安全管理制度；

建立密碼應(yīng)用崗位責(zé)任制度

b)應(yīng)建立密碼應(yīng)用崗位責(zé)任制度，明確各崗位在安全系統(tǒng)中的職責(zé)和權(quán)限：

1)根據(jù)密碼應(yīng)用的實(shí)際情況，設(shè)置密鑰管理員、密碼安全審計(jì)員、密碼操作員等關(guān)鍵安全崗位；

2)對關(guān)鍵崗位建立多人共管機(jī)制；

3)密鑰管理、密碼安全審計(jì)、密碼操作人員職責(zé)互相制約互相監(jiān)督，其中密鑰管理員崗位不可與密碼審計(jì)員、密碼操作員等關(guān)鍵安全崗位兼任；

4)相關(guān)設(shè)備與系統(tǒng)的管理和使用賬號不得多人共用。

建立上崗人員培訓(xùn)制度

c)應(yīng)建立上崗人員培訓(xùn)制度，對于涉及密碼的操作和管理的人員進(jìn)行專門培訓(xùn)，確保其具備崗位所需專業(yè)技能；

定期進(jìn)行安全崗位人員考核

d)應(yīng)定期對密碼應(yīng)用安全崗位人員進(jìn)行考核；

建立關(guān)鍵崗位人員保密制度和調(diào)離制度

e)應(yīng)建立關(guān)鍵人員保密制度和調(diào)離制度，簽訂保密合同，承擔(dān)保密義務(wù)。

建設(shè)

運(yùn)行

制定密碼應(yīng)用方案

a)應(yīng)依據(jù)密碼相關(guān)標(biāo)準(zhǔn)和密碼應(yīng)用需求，制定密碼應(yīng)用方案；

制定密鑰安全管理策略

b)應(yīng)根據(jù)密碼應(yīng)用方案，確定系統(tǒng)涉及的密鑰種類、體系及其生命周期環(huán)節(jié)，各環(huán)節(jié)安全管理要求參照《信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》附錄A；

制定實(shí)施方案

c)應(yīng)按照應(yīng)用方案實(shí)施建設(shè)；

投入運(yùn)行前進(jìn)行密碼應(yīng)用安全性評估

d)投入運(yùn)行前應(yīng)進(jìn)行密碼應(yīng)用安全性評估，評估通過后系統(tǒng)方可正式運(yùn)行；

定期開展密碼應(yīng)用安全性評估及攻防對抗演習(xí)

e)在運(yùn)行過程中，應(yīng)嚴(yán)格執(zhí)行既定的密碼應(yīng)用安全管理制度，應(yīng)定期開展密碼應(yīng)用安全性評估及攻防對抗演習(xí)，并根據(jù)評估結(jié)果進(jìn)行整改。

應(yīng)急

處置

應(yīng)急策略

a)應(yīng)制定密碼應(yīng)用應(yīng)急策略，做好應(yīng)急資源準(zhǔn)備，當(dāng)密碼應(yīng)用安全事件發(fā)生時(shí)，應(yīng)立即啟動應(yīng)急處置措施，結(jié)合實(shí)際情況及時(shí)處置；

事件處置

b)事件發(fā)生后，應(yīng)及時(shí)向信息系統(tǒng)主管部門進(jìn)行報(bào)告；

向有關(guān)主管部門上報(bào)處置情況

c)事件處置完成后，應(yīng)及時(shí)向信息系統(tǒng)主管部門及歸屬的密碼管理部門報(bào)告事件發(fā)生情況及處置情況。