搜索结果: GM/T 0132-2023, GM/T0132-2023, GMT 0132-2023, GMT0132-2023
| 标准编号 | GM/T 0132-2023 (GM/T0132-2023) | | 中文名称 | 信息系统密码应用实施指南 | | 英文名称 | Implementation guide for information system cryptography application | | 行业 | Chinese Industry Standard (推荐) | | 中标分类 | L80 | | 字数估计 | 30,394 | | 发布日期 | 2023-12-04 | | 实施日期 | 2024-06-01 | | 发布机构 | 国家密码管理局 | GM/T 0132-2023: 信息系统密码应用实施指南
中华人民共和国密码行业标准
ICS 35.030CCS L 80
信息系统密码应用实施指南
2023⁃12⁃04 发布
2024⁃06⁃01 实施
国家密码管理局 发 布
目次
前言·····Ⅲ
1 范围·····1
2 规范性引用文件····1
3 术语和定义·····1
4 信息系统密码应用实施概述····1
4.1 角色和职责····1
4.2 基本流程·····2
5 信息系统密码应用规划····2
5.1 规划阶段的工作流程···2
5.2 密码应用需求分析····3
5.2.1 信息系统现状分析····3
5.2.2 密码应用安全风险分析····4
5.2.3 密码应用基本需求的确定····4
5.2.4 密码应用特殊需求的确定····4
5.2.5 需求分析结果文档化···5
5.3 密码应用方案设计····5
5.3.1 总体策略设计···5
5.3.2 密码应用技术方案设计····5
5.3.3 密码应用安全管理方案设计···6
5.3.4 合规性自查···6
5.3.5 实施保障方案设计····6
5.3.6 设计结果文档化····7
5.4 方案密评·····7
6 信息系统密码应用建设····8
6.1 建设阶段的工作流程···8
6.2 密码建设方案设计····8
6.2.1 密码应用技术措施实现内容的设计···8
6.2.2 密码应用安全管理措施实现内容的设计·····9
6.2.3 设计结果文档化····9
6.3 密码应用技术措施的实现····9
6.3.1 密码产品与密码服务采购····9
6.3.2 密码应用集成···10
6.4 密码应用安全管理措施的实现····10
6.4.1 密码应用配套安全管理制度的制定····10
6.4.2 密码管理岗位和人员的设置····10
6.4.3 建设过程管理···11
6.5 系统密评····11
7 信息系统密码应用运行····12
7.1 运行阶段的工作流程····12
7.2 运行管理和控制····13
7.2.1 运行管理过程控制····13
7.2.2 运行管理人员控制····13
7.3 变更管理和控制····13
7.3.1 变更需求和影响分析····13
7.3.2 变更过程控制···14
7.4 密码应用安全状态监控····14
7.4.1 监控对象确定···14
7.4.2 监控对象状态信息收集···14
7.4.3 监控状态分析和报告····15
7.5 安全自查和持续改进····15
7.5.1 密码应用安全状态自查···15
7.5.2 密码应用整改···16
7.6 系统密评····16
7.7 应急响应与保障····17
7.7.1 应急准备····17
7.7.2 应急监测与响应····17
7.7.3 后期评估与改进····18
7.7.4 应急保障····18
8 信息系统密码应用终止····18
8.1 终止阶段工作流程···18
8.2 密码应用信息转移、暂存和清除···19
8.3 密码应用设备迁移或废弃····19
8.4 密码应用存储介质的清除或销毁····20
附录 A （规范性） 主要过程及其活动和输入输出···21
参考文献·····24
前言
本文件按照 GB/T 1.1-2020《标准化工作导则 第 1 部分：标准化文件的结构和起草规则》的规
定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由密码行业标准化技术委员会提出并归口。
本文件起草单位：兴唐通信科技有限公司、国家密码管理局商用密码检测中心、中国科学院信息工
程研究所、中国科学院数据与通信保护研究教育中心、北京信安世纪科技有限公司、北京数盾信息科技
有限公司、三未信安科技股份有限公司、阿里云计算有限公司、中电科网络安全科技股份有限公司、
公安部第三研究所、蚂蚁科技集团股份有限公司、鼎铉商用密码测评技术（深圳）有限公司、北京天融信
网络安全技术有限公司、中金金融认证中心有限公司、阿里巴巴（中国）网络技术有限公司、上海市数字
证书认证中心有限公司、中互金认证有限公司、国家信息技术安全研究中心、深圳市腾讯计算机系统有
限公司、中国电子科技集团公司第十五研究所、中国国家铁路集团有限公司、暨南大学、启明星辰信息
安全技术有限公司。
本文件主要起草人：王彦力、刘尚焱、许长伟、王兵、马原、郑昉昱、肖秋林、吴星宇、贾世杰、田爱军、
孙丽伟、姚长远、胡伟、何济尘、梅秋丽、汪宗斌、秦体红、吴冬宇、刘健、张立花、杨辰、陈天宇、吕娜、
袁静、乐宏彦、陈萧宇、许涛、张大江、周君平、张宇翔、宋铮、陈磊、万志宇、马春旺、朱红儒、谭武征、
李增局、姬生利、杨龙、田涛、于航、高志权、鹿淑煜、吴波、华珊、李升、方海峰、肖飞、安高峰、贺磊、
司华峰、彭晋、黄天宁、李冰、谢灿、蒋增增、苏继海、孙欣、刘志刚、史汝辉、朱凌。
信息系统密码应用实施指南
1 范围
本文件给出了信息系统密码应用的流程指导和建议，描述了规划、建设、运行及终止阶段的实施过
程及主要活动。
本文件适用于指导信息系统密码应用的实施。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文
件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于
本文件。
GB/T 20984 信息安全技术 信息安全风险评估方法
GB/T 39786 信息安全技术 信息系统密码应用基本要求
GM/T 0115 信息系统密码应用测评要求
GM/T 0116 信息系统密码应用测评过程指南
GM/Z 4001 密码术语
3 术语和定义
GB/T 39786 和 GM/Z 4001 界定的术语和定义适用于本文件。
4 信息系统密码应用实施概述
4.1 角色和职责
信息系统密码应用中涉及的各类角色及其职责如下。
a） 密码管理部门
负责依法管理密码工作。
b） 信息系统责任单位
通常包括项目建设单位以及信息系统运营、使用单位，负责依照信息系统密码应用的管理规范和
技术标准，进行密码应用方案的设计；使用符合国家规定、满足信息系统对应等级密码应用基本要求的
密码算法、密码技术、密码产品和密码服务，开展信息系统密码应用建设或整改工作；制定、落实各项密
码应用配套安全管理制度，定期对信息系统密码应用安全状况、密码应用配套安全管理制度及措施的
落实情况进行自查；自行或委托商用密码应用安全性评估机构开展商用密码应用安全性评估（简称“密
评”），包括密码应用方案密评（简称“方案密评”）和信息系统密评（简称“系统密评”）；对密码应用安全
事件进行应急处置。
c） 密码应用集成服务单位
负责根据信息系统责任单位的委托，依照信息系统密码应用的管理规范和技术标准，协助信息系
统责任单位完成信息系统密码应用的规划、建设、运行及终止阶段的工作（包括但不限于密码应用咨
询、密码应用需求分析、密码应用方案设计、密码应用集成建设或整改服务）。
d） 商用密码应用安全性评估机构
负责按照标准（包括但不限于 GB/T 39786、GM/T 0115 和 GM/T 0116）和指导文件，对密码应用
方案或信息系统开展密评。商用密码应用安全性评估机构简称“密评机构”。
e） 密码产品和服务提供单位
负责依照信息系统密码应用的管理规范和技术标准，开发和提供密码产品或密码服务。
4.2 基本流程
信息系统密码应用的实施流程包括规划、建设、运行和终止四个阶段，基本流程见图 1。
图 1 信息系统密码应用实施基本流程
系统密评在密码应用运行期间遵循持续改进的原则是十分必要的。信息系统因需求变化、未通过
密评导致局部调整，将从运行阶段进入建设阶段，根据问题进行整改，确保满足信息系统密码应用的要
求。当信息系统发生重要变化（如部署位置、系统结构、主要软件与硬件组成、主要密码产品等发生重
大变化可能带来高风险问题）、信息系统密码应用安全要求等级发生变化、重大密码相关安全事件导致
重大调整，需要修改密码应用方案时，将从运行阶段进入规划阶段，重新开始信息系统密码应用的实施
过程。
对于未制定密码应用方案的信息系统，无论信息系统是否已开工建设、上线运行，其密码应用的建
设或改造过程均视为从规划阶段开始。
信息系统密码应用实施的基本流程中各个阶段的主要过程、活动、输入和输出按照附录 A 的
规定。
5 信息系统密码应用规划
5.1 规划阶段的工作流程
信息系统密码应用规划阶段的目标是根据信息系统的基本情况、网络拓扑、软件与硬件组成、承载
业务情况信息、安全需求情况，按照 GB/T 39786 的要求，分析并明确信息系统的密码应用需求，设计
明确的密码应用方案。信息系统密码应用规划阶段的工作流程见图 2。
图 2 信息系统密码应用规划阶段的工作流程
5.2 密码应用需求分析
5.2.1 信息系统现状分析
活动目标：
通过收集了解信息系统情况，并进行综合分析和整理，形成信息系统现状的综合情况描述。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：单位情况说明文档，信息系统的立项、建设和管理文档，信息系统总体描述文档，网络安
全保护等级定级报告。
活动描述：
本活动主要包括以下子活动内容。
a） 识别信息系统总体信息
了解信息系统的总体信息，包括基本情况、网络拓扑、承载的业务情况、软件与硬件组成。
b） 识别信息系统的管理情况
了解信息系统的管理情况，包括管理机构、管理人员、管理职责、管理制度、安全策略。
c） 识别信息系统的信息资产
调查信息系统处理的信息资产，根据数据分类分级国家和行业标准规范，识别需要保护的重要信
息资源和重要数据。
d） 确定信息系统密码应用安全要求等级
根据信息系统的网络安全保护等级，确定信息系统密码应用安全要求等级。
若信息系统未完成网络安全等级保护定级，则根据拟定级情况确定信息系统密码应用安全要求
等级。
e） 信息系统综合描述
对收集的信息进行整理、分析，从以下方面形成对信息系统现状的描述：
1） 信息系统基本情况；
2） 信息系统网络拓扑；
3） 信息系统承载的业务情况；
4） 信息系统软硬件构成；
5） 信息系统管理情况；
6） 需要保护的重要信息资产，包括但不限于重要信息资源、重要数据；
7） 信息系统密码应用安全要求等级。
活动输出：密码应用方案的信息系统概述部分。
5.2.2 密码应用安全风险分析
活动目标：
根据信息系统现状，分析信息系统中存在的密码应用安全风险。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：信息系统总体描述文档，网络安全保护等级定级报告，信息系统资产、威胁、脆弱性分析
文档。
活动描述：
按照 GB/T 39786 相应级别的指标要求，逐条分析信息系统目前现状对指标要求的满足情况，针
对不满足指标要求的，按照 GB/T 20984 分析其面临的安全风险。
活动输出：密码应用方案的安全风险分析部分。
5.2.3 密码应用基本需求的确定
活动目标：
根据信息系统密码应用的安全风险分析，提出信息系统密码应用的基本需求。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：密码应用方案的安全风险分析部分。
活动描述：
按照 GB/T 39786 中相应等级的指标要求，从物理和环境安全、网络和通信安全、设备和计算安
全、应用和数据安全四个技术层面提出技术基本需求，确定各个层面中不涉及相应密码应用需求的指
标项，并从管理制度、人员管理、建设运行和应急处置四个方面提出密码应用管理基本需求。其中，在
网络和通信安全层面，需要特别关注连接不同信息系统的通信信道的责任方归属问题，明确相应通信
信道的密码应用要求；在应用和数据安全层面，需要重点明确信息系统用户不同登录方式的真实性保
护需求，明确每一类重要数据的完整性或机密性保护需求，明确信息系统业务活动中的不可否认性保
护需求。
活动输出：密码应用方案的密码应用基本需求部分。
5.2.4 密码应用特殊需求的确定
活动目标：
根据信息系统的行业特点、关键信息基础设施和重要数据的特殊保护要求，提出信息系统的密码
应用特殊需求。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：密码应用方案的安全风险分析部分、所属行业及关键信息基础设施相关要求。
活动描述：
本活动主要包括以下子活动内容。
a） 合规性特殊需求
针对信息系统面临的实际安全风险，遵照所属行业及关键信息基础设施和重要数据相关的法律法
规和要求、主管部门提出的密码应用要求，以及关键信息基础设施标准中提出的 GB/T 39786 中未包
含或高于 GB/T 39786 的密码应用要求，提出合规性特殊需求。
b） 重要信息资产保护特殊需求
针对信息系统中重要信息资产面临的实际安全风险，判断实施密码应用特殊措施的必要性，提出
重要信息资产保护特殊需求。
活动输出：密码应用方案的密码应用特殊需求部分。
5.2.5 需求分析结果文档化
活动目标：
总结密码应用基本需求和密码应用特殊需求，形成密码应用方案的密码应用需求分析部分。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：密码应用方案的安全风险分析部分、密码应用基本需求部分、密码应用特殊需求部分。
活动描述：
根据安全风险分析、密码应用基本需求和密码应用特殊需求，确定信息系统的密码应用需求，形成
密码应用需求分析。密码应用需求分析包含以下内容：
a） 安全风险分析；
b） 密码应用基本需求描述；
c） 密码应用特殊需求描述。
活动输出：密码应用方案的密码应用需求分析部分。
5.3 密码应用方案设计
5.3.1 总体策略设计
活动目标：
确定信息系统密码应用的总体设计目标和设计原则，以便开展信息系统密码应用的具体设计。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：信息系统责任单位总体安全策略文档，信息系统的立项、建设和管理文档，密码应用方
案的系统概述部分、密码应用需求分析部分。
活动描述：
根据信息系统责任单位总体安全策略，结合信息系统建设规划及密码应用需求的实际情况，明确
信息系统密码应用的设计目标和设计原则。
活动输出：密码应用方案的设计目标及原则部分。
5.3.2 密码应用技术方案设计
活动目标：
根据密码应用需求分析，提出信息系统需要实现的密码应用技术措施，用以指导信息系统密码应
用的具体建设。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：密码应用方案的密码应用需求分析部分。
活动描述：
根据密码应用需求分析，设计密码应用技术框架，分析物理和环境安全、网络和通信安全、设备和
计算安全、应用和数据安全层面的密码保护对象，设计提出采用的密码应用技术措施。其中，在网络和
通信安全层面，需要重点设计跨越不安全网络的通信信道的密码应用技术措施；在应用和数据安全层
面，需要重点针对不同的信息系统，按其特定的安全需求，为其关键业务环节、重要业务数据、业务对象
等设计密码安全机制，为用户选择登录认证机制，并且为这些机制的实现选择需遵循的密码国家及行
业标准。
设计信息系统密钥管理体系，着重提出应用和数据层面的密钥种类及各类密钥全生命周期的技术
实现和保护方式，明确信息系统密钥管理技术措施。
确定信息系统内的密码技术资源的共享情况和市场密码产品与密码服务的供给能力情况，并列出
密码产品与密码服务需求清单。
确定信息系统采用密码功能时的应用系统改造需求。
活动输出：密码应用方案的密码应用技术方案部分。
5.3.3 密码应用安全管理方案设计
活动目标：
根据密码应用需求分析，结合原有管理模式和管理策略，形成统一的密码应用配套安全管理制度
体系。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：密码应用方案的密码应用需求分析部分、密码应用技术方案部分。
活动描述：
根据信息系统密码应用需求分析，结合密码应用技术方案，确定密码应用配套安全管理制度体系。
活动输出：密码应用方案的密码应用安全管理方案部分。
5.3.4 合规性自查
活动目标：
对照 GB/T 39786 相应等级要求以及所属行业及关键信息基础设施相关要求进行自查，确保密码
应用技术方案及密码应用安全管理方案符合要求。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：所属行业及关键信息基础设施相关要求，密码应用方案的密码应用技术方案部分、密码
应用安全管理方案部分。
活动描述：
按照 GB/T 39786 相应等级要求以及所属行业及关键信息基础设施相关要求，逐一列出要求项，
形成密码应用合规性自查表，对方案设计中满足每项要求的情况逐一进行自评价。
活动输出：密码应用方案的安全与合规性分析部分。
5.3.5 实施保障方案设计
活动目标：
根据信息系统的建设规划以及密码应用的技术与安全管理设计，制定实施保障方案。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：信息系统总体描述文档，信息系统的立项、建设和管理文档，信息系统责任单位总体安
全策略文档，密码应用方案的密码应用需求分析部分、密码应用技术方案部分、密码应用安全管理方案
部分。
活动描述：
根据信息系统密码应用的具体设计，结合信息系统建设规划，确定信息系统密码应用的实施内容
（包括但不限于采购、软硬件开发或改造、系统集成、综合调试、试运行），制定实施计划（包括但不限于
实施路线图、进度计划、重要节点），确定保障措施（包括但不限于组织保障、人员保障、经费保障、质量
保障、监督检查），并给出经费概算。
对于运行阶段信息系统的密码应用整改，还需要充分考虑采取各种措施，确保整改过程中信息系
统稳定运行，保证业务的连续性。
活动输出：密码应用方案的实施保障方案部分。
5.3.6 设计结果文档化
活动目标：
将密码应用设计工作的结果文档化，最后形成一套指导信息系统责任单位密码应用工作的密码应
用方案。
参与角色：信息系统责任单位、密码应用集成服务单位。
活动输入：密码应用方案的系统概述部分、密码应用需求分析部分、设计目标及原则部分、密码应
用技术方案部分、密码应用安全管理方案部分、安全与合规性分析部分、实施保障方案部分。
活动描述：
对密码应用设计工作的内容进行整理并形成信息系统密码应用方案。密码应用方案主要包含以
下内容：
a） 信息系统概述；
b） 密码应用需求分析；
c） 设计目标及原则；
d） 密码应用技术方案；
e） 密码应用安全管理方案；
f） 安全与合规性分析；
g） 实施保障方案。
活动输出：密码应用方案。
5.4 方案密评
活动目标：
对制定的密码应用方案组织开展密评，确保方案符合信息系统密码应用要求、符合需求。
参与角色：信息系统责任单位、密评机构、密码应用集成服务单位、密码管理部门。
活动输入：密码应用方案。
活动描述：
本活动主要包括以下子活动内容。
a） 方案评估
信息系统责任单位在初步确定密码应用方案后，对密码应用方案组织开展评估，形成方案密评
报告。
委托商用密码应用安全性评估机构对方案进行评估时，密评机构以包括但不限于访谈、文档审查
或必要情形下现场调查的方式确认方案的合规性和可实施性。密评机构在评估过程中关注密码应用
方案是否充分涵盖信息系统中需要进行商用密码应用建设或改造的对象、是否充分分析信息系统中可
能存在的密码应用安全风险，关注密码应用方案中采用的密码算法、密码技术、密钥管理、密码产品和
密码服务是否符合 GB/T 39786 的要求。
b） 方案复评
未通过密评的密码应用方案，根据评估结果进行修改后，再次开展方案评估，形成方案密评报告。
c） 方案及评估结果备案
密码应用方案完成评估后，信息系统责任单位将密码应用方案和方案密评结果报送密码管理部门
进行备案。
活动输出：方案密评报告。
6 信息系统密码应用建设
6.1 建设阶段的工作流程
信息系统密码应用建设阶段的目标是按照信息系统密码应用方案，制定密码建设方案，落实密码
应用。信息系统密码应用建设阶段的工作流程见图 3。
图 3 信息系统密码应用建设阶段的工作流程
6.2 密码建设方案设计
6.2.1 密码应用技术措施实现内容的设计
活动目标：
对密码应用方案中确定的密码产品或密码服务提出具体要求，并根据要求选择所需的密码产品或
密码服务。
参与角色：信息系统责任单位、密码应用集成服务单位、密码产品和服务提供单位。
活动输入：密码应用方案。
活动描述：
本活动主要包括以下子活动内容。
a） 应用系统设计改造分析
分析信息系统采用密码功能所引发的应用系统设计或改造需求，确定应用系统设计或改造涉及的
功能模块，形成应用系统设计或改造联调测试对接方案。
b） 密码部署方案设计
根据密码应用方案、应用系统设计或改造联调测试对接方案，确定密码产品或密码服务的具体部
署方案。
c） ......
|