2024年4月19日发(作者：)

商用密码应用安全体系构建方案

(1)

商用密码应用安全体系构建方案

一、商用密码应用要求

商用密码应用系统是指采用商用密码产品或者含有密码技术的

产品集成建设的，实现相关信息的机密性、完整性、真实性、抗抵

赖性等功能的应用系统。国家密码管理局于

2018

年

2

月

8

日正式

发布实施了中华人民共和国密码行业标准

GM/T54-2018

《信息系统

密码应用基本要求》

，

该标准提出了总体要求、密码功能要求、密

码技术应用要求、密钥管理和安全管理共五个部分的内容。

信息系统密码应用基本要求

在总体要求中，提出了符合商用密码管理的相关规定，满足标

准规范的相关要求，包括密码算法、密码技术、密码产品、密码服

务。

在密码功能要求中，规定了信息系统中需要使用密码技术保护

的对象，包括机密性、完整性、真实性、不可否认性。在密码技术

应用要求中，规定了密码技术的应用要求，要求项依据等级增加和

增强，包括物理和环境安全、网络和通信安全、设备和计算安全、

应用和数据安全。

在密钥管理中，对密钥的全生命周期提出了要求，包括密钥生

成、密钥存储、密钥分发、密钥导入与导出、密钥使用、密钥备份

与恢复、密钥归档、密钥销毁。

在安全管理中，规定了密码安全管理要求，包括制度、人员、

实施、应急，其中实施分为规划、建设、运行。二、商用密码应用

安全解决方案

基于商用密码应用安全的发展方向，配合网络运营者安全需求

与安全建设，我们提出了商用密码应用安全解决方案，在《中华人

民共和国密码法》正式施行的新时代下为各行业信息化发展提供借

鉴与参考。

商用密码应用安全体系框架由密码安全能力支撑和密码安全服

务支撑两部分组成。其中密码安全能力包含了密码资源、密码支撑、

密码服务、密码应用以及密码管理基础设施。密码安全服务包含了

技术要求、管理要求和密钥管理。

商用密码应用系统

密码安全能力包含了密码资源、密码支撑、密码服务、密码应

用以及密码管理基础设施。其中密码应用层调用密码服务层提供的

密码应用接，实现所需的数据加密和解密、数字签名和验签等功能，

为信息系统提供安全功能应用或服务。密码服务层提供密码应用接，

分为对称密码服务、公钥密码服务及其他密码服务三大类，为上层

应用提供数据机密性保护、数据完整性保护、数据真实性保护、不

可否认性等功能。

密码支撑层提供密码资源调用，由安全芯片类、密码模块类、

密码整机类等各类密码产品组成，如可信密码模块、智能

IC

卡、

密码卡、服务器密码机等。

密码资源层提供基础性的密码算法资源，底层提供序列、分组、

公钥、杂凑、随机数生成等基础密码算法；上层以算法软件、算法

IP

核、算法芯片等形态对底层的基础密码算法进行封装。

密码安全服务包含了技术要求、管理要求和密钥管理。技术要

求提出四大安全层面，分别为物理和环境、网络和通信、设备和计

算、应用和数据，每个安全层面分别对密码模块进行要求；管理要

求包括管理制度、人员管理、建设运行、应急处置；密钥管理对密

钥的全生命周期进行控制，包括密钥生成、密钥存储、密钥分发、

密钥导入与导出、密钥使用、密钥备份与恢复、密钥归档、密钥销

毁。

商用密码应用安全性评估是指对采用商用密码技术、产品和服

务集成建设的网络和信息系统密码应用的合规性、正确性、有效性

进行评估。该项评估工作主要依据

GM/T54-2018

《信息系统密码应

用基本要求》，对信息系统的规划、建设、

运行三个阶段的密码应用情况安全性评估进行了详细的规定,评估

的基本原则是要做到合规性、正确性和有效性。

商用密码应用安全性评估

在信息系统规划阶段，依据商用密码技术相关标准，为网络运

营者制定商用密码应用安全规划建设方案，保障商用密码应用安全

建设的有效落地与评估工作的顺利开展。

在信息系统建设阶段，委托具有相关资质的测评机构进行商用

密码应用安全性评估，评估结果作为项目建设验收的必备材料，评

估通过后，方可投入运行。

在信息系统运行阶段，积极配合具有相关资质的测评机构定期

开展商用密码应用安全性评估，保障商用密码应用系统顺利通过评

估。其中，关键信息基础设施、网络安全等级保护第三级及以上信

息系统、政务信息系统每年至少评估一次。

此外，在电子政务、教育、医疗、金融等关键领域，参照《政

务信息系统密码应用与安全性评估工作指南》等指导文件，建立以

基础应用平台体系、密码运营服务保障体系、密码应用标准规范体

系为一体的商用密码支撑体系。

在物理和环境安全层面，部署具有密码模块的电子门禁系统、

视频监控系统；通过服务器密码机、加密存储设备、视频加密系统

等实现音视频数据完整性保护。

在网络和通信安全层面，通过数字证书认证系统确保设备

及人员身份的真实性；通过商密

IPSec/SSL VPN

实现网络逻

辑边界的管控，构建内部网络的管理网；通过内部的网络边界控制

机制，实现网络边界的完整性保护；通过服务器密码机对访问控制

信息计算

MAC

或签名后保存，保证访问控制信息的完整性。

在设备和计算安全层面，通过智能密码钥匙对设备管理员的登

录操作进行身份鉴别；通过服务器密码机对通用设备的重要审计信

息、日志记录、系统资源访问控制信息等进行数字签名、

MAC

计算，

保证信息的完整性；通过数字证书认证系统为可信安全单元提供根

CA

证书，实现可信计算密码模块支撑平台。采用硬件密码产品实现

密钥管理、身份鉴别、数据加解密、

MAC

计算、数字签名计算等功

能。

在应用和数据安全层面，通过动态令系统对设备管理员的登录

操作进行身份鉴别；通过电子签章系统对重要应用程序的操作员身

份进行鉴别，确保仅具备权限的操作员才可以对重要应用程序执行

加载和卸载操作。