关于标准39786的小总结

39786从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面提出密码应用技术要求，保障信息系统的实体身份真实性、重要数据的机密性和完整性、操作行为的不可否认性；并从信息系统的管理制度、人员管理、建设运行和应急处置四个方面提出密码应用管理要求，为信息系统提供管理方面的密码应用安全保障。密钥管理部分放入附录B，没有放在正文中给出。39786中“密码服务”成为行业技术要求的必选项，全为应。参考39786的小总结

通用要求（第一到第五级）

密码算法：应符合法律、法规的规定和密码相关国家标准、行业标准的有关要求

密码技术：应遵循密码相关国家标准和行业标准

密码产品、密码服务：应符合法律法规的相关要求

密码安全功能维度

1、机密性（密码技术的加解密功能）

身份鉴别信息
密钥数据
传输的重要数据
信息系统应用中所有存储的重要数据

2、完整性（基于对称密码算法或密码杂凑算法的信息鉴别机制、基于公钥密码算法的数字签名机制等密码技术）

身份鉴别
密钥数据
日志记录
访问控制信息
重要信息资源安全标记
重要可执行程序
视频监控音像记录
电子门禁系统进出记录
传输的重要数据
信息系统应用中所有存储的重要数据

3、真实性（动态口令机制、基于对称密码算法或密码杂凑算法的消息鉴别码机制、基于公钥密码算法的数字签名机制等密码技术）

进入重要物理区域人员的身份鉴别
通信双方的身份鉴别
网络设备接入时的身份鉴别
重要可执行程序的来源真实性保证
登录操作系统和数据库系统的用户身份鉴别
应用系统的用户身份鉴别

4、不可否认性（基于公钥密码算法的数字签名机制等密码技术来保证数据原发行为的不可否认性和数据接收行为的不可否认性）

密码应用技术要求

1、物理和环境安全

第一级（最低，符合通用要求，最低限度的管理要求，鼓励使用密码保障信息系统安全）
- 可：物理访问身份鉴别（人员真实性）
- 可：电子门禁进出记录数据的存储完整性
- 应：密码服务符合法律法规的相关要求，依法接受检测认证，经商用密码认证机构认证合格的
- 无：密码产品
第二级（增加操作规程、人员上岗培训考核、应急预案等管理要求，优选选择）
- 宜：物理访问身份鉴别
- 可：电子门禁进出记录数据的存储完整性
- 应：密码服务认证合格…
- 应：密码产品达到37092一级及以上
第三级（增加对真实性、机密性的技术要求以及全部的管理要求）
- 宜：物理访问身份鉴别
- 宜：电子门禁进出记录数据的存储完整性
- 宜：视频监控音像记录数据的存储完整性
- 应：密码服务认证合格…
- 应：密码产品达到37092二级及以上
第四级（增加对完整性、不可否认性的技术要求）
- 应：物理访问身份鉴别
- 应：电子门禁进出记录数据的存储完整性
- 应：视频监控音像记录数据的存储完整性
- 应：密码服务认证合格…
- 应：密码产品达到37092三级及以上

2、网络和通信安全

第一级
- 可：通信实体身份鉴别
- 可：通信过程中数据的完整性
- 可：通信过程中重要数据的机密性
- 可：网络边界访问控制信息的完整性
- 应：密码服务认证合格…
- 无：密码产品
第二级
- 宜：通信实体身份鉴别
- 可：通信过程数据的完整性
- 宜：通信过程中重要数据的机密性
- 可：网络边界访问控制信息的完整性
- 应：密码服务认证合格…
- 应：密码产品达到37092一级及以上
第三级
- 应：通信实体身份鉴别
- 宜：通信过程数据的完整性
- 应：通信过程中重要数据的机密性
- 宜：网络边界访问控制信息的完整性
- 可：从外连接内网络的设备进行接入认证
- 应：密码服务认证合格…
- 应：密码产品达到37092二级及以上
第四级
- 应：通信实体身份鉴别
- 应：通信过程数据的完整性
- 应：通信过程中重要数据的机密性
- 应：网络边界访问控制信息的完整性
- 宜：从外连接内网络的设备进行接入认证
- 应：密码服务认证合格…
- 应：密码产品达到37092三级及以上

3、设备和计算安全

第一级
- 可：登录设备的用户身份鉴别
- 可：系统资源访问控制信息的完整性
- 可：日志记录的完整性
- 应：密码服务认证合格…
- 无：密码产品
第二级
- 宜：登录设备的用户身份鉴别
- 可：系统资源访问控制信息的完整性
- 可：日志记录的完整性
- 应：密码服务认证合格…
- 应：密码产品达到37092一级及以上
第三级
- 应：登录设备的用户身份鉴别
- 应：远程管理设备建立安全的信息传输通道
- 宜：系统资源访问控制信息的完整性
- 宜：设备中的重要信息资源安全标记的完整性
- 宜：日志记录的完整性
- 宜：重要可执行程序进行完整性保护并对其来源真实性验证
- 应：密码服务认证合格…
- 应：密码产品达到37092二级及以上
第四级
- 应：登录设备的用户身份鉴别
- 应：远程管理设备建立安全的信息传输通道
- 应：系统资源访问控制信息的完整性
- 应：设备中的重要信息资源安全标记的完整性
- 应：日志记录的完整性
- 应：重要可执行程序进行完整性保护并对其来源真实性验证
- 应：密码服务认证合格…
- 应：密码产品达到37092三级及以上

4、应用和数据安全

第一级
- 可：登录用户身份鉴别
- 可：信息系统应用的访问控制信息的完整性
- 可：信息系统应用的重要数据传输机密性
- 可：信息系统应用的重要数据存储机密性
- 可：信息系统应用的重要数据传输完整性
- 可：信息系统应用的重要数据存储完整性
- 应：密码服务认证合格…
- 无：密码产品
第二级
- 宜：登录用户身份鉴别
- 可：信息系统应用的访问控制信息的完整性
- 宜：信息系统应用的重要数据传输机密性
- 宜：信息系统应用的重要数据存储机密性
- 宜：信息系统应用的重要数据传输完整性
- 宜：信息系统应用的重要数据存储完整性
- 应：密码服务认证合格…
- 应：密码产品达到37092一级及以上
第三级
- 应：登录用户身份鉴别
- 宜：信息系统应用的访问控制信息的完整性
- 宜：信息系统应用的重要信息资源安全标记的完整性
- 应：信息系统应用的重要数据传输机密性
- 应：信息系统应用的重要数据存储机密性
- 宜：信息系统应用的重要数据传输完整性
- 宜：信息系统应用的重要数据存储完整性
- 宜：提供数据原发证据和数据接收证据，不可否认性
- 应：密码服务认证合格…
- 应：密码产品达到37092二级及以上
第四级
- 应：登录用户身份鉴别
- 应：信息系统应用的访问控制信息的完整性
- 应：信息系统应用的重要信息资源安全标记的完整性
- 应：信息系统应用的重要数据传输机密性
- 应：信息系统应用的重要数据存储机密性
- 应：信息系统应用的重要数据传输完整性
- 应：信息系统应用的重要数据存储完整性
- 应：提供数据原发证据和数据接收证据，不可否认性
- 应：密码服务认证合格…
- 应：密码产品达到37092三级及以上

密码应用管理要求

1、管理制度

第一级
- 应：具备密码应用安全管理制度
- 应：建立相应密钥管理规则
第二级
- 应：具备密码应用安全管理制度
- 应：建立相应密钥管理规则
- 应：对人员建立操作规程
第三级
- 应：具备密码应用安全管理制度
- 应：建立相应密钥管理规则
- 应：对人员建立操作规程
- 应：定期修订密码应用安全管理制度和操作规程
- 应：明确密码应用安全管理制度和操作规程的发布流程并进行版本控制
- 应：制度执行过程记录留存
第四级
- 应：具备密码应用安全管理制度
- 应：建立相应密钥管理规则
- 应：对人员建立操作规程
- 应：定期修订密码应用安全管理制度和操作规程
- 应：明确密码应用安全管理制度和操作规程的发布流程并进行版本控制
- 应：制度执行过程记录留存

2、人员管理

第一级
- 应：了解并遵守密码相关法律法规、密码应用案前管理制度
- 应：建立关键岗位人员保密制度和调离制度
第二级
- 应：了解并遵守密码相关法律法规、密码应用案前管理制度
- 应：建立密码应用岗位责任制度
- 应：建立上岗人员培训制度
- 应：建立关键岗位人员保密制度和调离制度
第三级
- 应：了解并遵守密码相关法律法规、密码应用案前管理制度
- 应：建立密码应用岗位责任制度
  - 密钥管理员等关键职位
  - 关键岗位建立多人共管机制
  - 岗位互相制约互相监督，密码安全审计员不可与密钥管理员、密码操作员兼任
  - 相关设备与系统的管理和使用账号不得多人公用
- 应：建立上岗人员培训制度
- 应：定期对密码应用安全岗位人员进行考核
- 应：建立关键岗位人员保密制度和调离制度
第四级
- 应：了解并遵守密码相关法律法规、密码应用案前管理制度
- 应：建立密码应用岗位责任制度
  - 密钥管理员等关键职位
  - 关键岗位建立多人共管机制
  - 岗位互相制约互相监督，密码安全审计员不可与密钥管理员、密码操作员兼任
  - 相关设备与系统的管理和使用账号不得多人公用
  - 密钥管理员、密码安全审计员、密码操作员应由本机构内部员工担任，任前背景调查
- 应：建立上岗人员培训制度
- 应：定期对密码应用安全岗位人员进行考核
- 应：建立关键岗位人员保密制度和调离制度

3、建设运行

第一级
- 应：制定密码应用方案
- 应：制定密钥安全管理策略
- 应：按照密码应用方案实施
- 可：投入运行前进行密码应用安全性评估
第二级
- 应：制定密码应用方案
- 应：制定密钥安全管理策略
- 应：按照密码应用方案实施
- 宜：投入运行前进行密码应用安全性评估
第三级
- 应：制定密码应用方案
- 应：制定密钥安全管理策略
- 应：按照密码应用方案实施
- 应：投入运行前进行密码应用安全性评估
- 应：执行密码应用安全管理制度，定期开展密码应用安全性评估及攻防对抗演习
第四级
- 应：制定密码应用方案
- 应：制定密钥安全管理策略
- 应：按照密码应用方案实施
- 应：投入运行前进行密码应用安全性评估
- 应：执行密码应用安全管理制度，定期开展密码应用安全性评估及攻防对抗演习

4、应急处置

第一级
- 可：根据提供的安全策略，用户自主处置安全事件
第二级
- 应：制定密码应用应急策略，结合实际处置
第三级
- 应：制定密码应用应急策略，立即启动应急处置措施
- 应：发生后，及时向信息系统主管部门进行报告
- 应：处置完后，及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况
第四级
- 应：制定密码应用应急策略，立即启动应急处置措施
- 应：发生后，及时向信息系统主管部门进行报告
- 应：处置完后，及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况

附录B：密钥管理

密钥管理对于保证密钥全生存周期的安全性是至关重要的，可以保证密钥（除公钥外）不被非授权的访问、使用、泄露、修改和替换，可以保证公钥不被非授权的修改和替换。信息系统的应用和数据层面的密钥体系由业务系统根据密码应用需求在密码应用方案中明确，并在密码应用实施中落实

密钥生成

密钥分发

密钥使用

密钥归档

密钥存储

密钥导入/导出

没有备份/恢复

密钥销毁

T 39786-2021相关推荐

密评|商用密码应用安全性评估
前言作为近些年刚刚进入人们视线的"密评",许多人均对其较为陌生,密码作为网络安全体系中基础支撑,是国家实现网络安全从被动防御走向主动免疫的重要战略转变. 商用密码应用安全性评估的 ...
密码标准常见问题解释
Q 一.请介绍一下我国商用密码标准体系. 解释:我国商用密码标准体系框架分为管理维.技术维.应用维,体系框架图如下所示. 管理维主要体现密码标准管理层级和归口单位的不同,商用密码国家标准由全国信息安全 ...
外包工作经历暨2021年终总结
公司:太极-慧点科技时间:2021/3/24~2021/6/7 项目:工商联/经济日报社OA项目技术点: 前端:VUE封装组件后端:Springboot.Spring Data Jpa Jenk ...
Jeff Dean回顾谷歌2021
Jeff Dean回顾谷歌2021 新年伊始,谷歌AI掌门人Jeff Dean的年度总结「虽迟但到」,这篇万字长文系统回顾了过去一年来机器学习领域的五大趋势.除了超大AI模型,谷歌去年还做了啥? 20 ...
2021年华为与小康-北汽-长安
2021年华为与小康-北汽-长安华为造不造车?这是之前汽车圈内最有意思的话题,关于内部想要造车的消息也频繁被曝出.直至华为心声社区发布了一篇任正非签发的决议,就是华为不造车,谁以后再建言造车,干扰公 ...
2021 年音视频技术与发展
2021 年音视频技术与发展 2021 年,音视频技术的应用场景已随处可见,从游戏场景「吃鸡」.电商场景直播连麦.教育场景授课答题,再到金融场景银行视频开户等都有身影.那么,回望今年音视频领域到底有哪 ...
2021年大数据ELK（八）：Elasticsearch安装IK分词器插件
全网最详细的大数据ELK文章系列,强烈建议收藏加关注! 新文章都已经列出历史文章目录,帮助大家回顾前面的知识重点. 目录系列历史文章安装IK分词器一.下载Elasticsearch IK分词器 ...
2021年大数据ELK（六）：安装Elasticsearch
全网最详细的大数据ELK文章系列,强烈建议收藏加关注! 新文章都已经列出历史文章目录,帮助大家回顾前面的知识重点. 目录系列历史文章安装Elasticsearch 一.创建普通用户二.为普通用户 ...
2021年大数据ELK（五）：Elasticsearch中的核心概念
全网最详细的大数据ELK文章系列,强烈建议收藏加关注! 新文章都已经列出历史文章目录,帮助大家回顾前面的知识重点. 目录系列历史文章 Elasticsearch中的核心概念一.索引 index 二 ...
2021年大数据ELK（四）：Lucene的美文搜索案例
全网最详细的大数据ELK文章系列,强烈建议收藏加关注! 新文章都已经列出历史文章目录,帮助大家回顾前面的知识重点. 目录系列历史文章美文搜索案例一.需求二.准备工作 1.创建IDEA项目 2. ...

T 39786-2021