聯(lián)系人：李女士
座機(jī)：010-59433750
手機(jī)：15313878231
郵 箱：angelals@secspace.com
地 址：北京市海淀區(qū)金碼大廈B座2328
網(wǎng)絡(luò)安全等級(jí)保護(hù)：?密碼知識(shí)基礎(chǔ)
密碼介紹
密碼學(xué)是網(wǎng)絡(luò)安全的一個(gè)重要方面，但專業(yè)人士在這一方面往往存在很大差距。大多數(shù)網(wǎng)絡(luò)安全專業(yè)人士只知道特定認(rèn)證考試的內(nèi)容，例如國外 CompTIA Security+ 和 CISSP，國內(nèi)CISP認(rèn)證，都對(duì)密碼知識(shí)進(jìn)行考驗(yàn)。不幸的是，這種知識(shí)水平不足以讓您做出重要的安全決策。本文的目標(biāo)是為您提供足夠的知識(shí)，以便能夠提出好問題。也就是，需要大家系統(tǒng)性的學(xué)習(xí)一下密碼學(xué)知識(shí)，以便更好的理解網(wǎng)絡(luò)安全等級(jí)保護(hù)工作中的密碼安全要求。
密碼學(xué)知識(shí)是等級(jí)保護(hù)技術(shù)層面重要組成部分，在等級(jí)保護(hù)中，我們以第三級(jí)為例，有關(guān)密碼技術(shù)和管理要求對(duì)應(yīng)測評(píng)項(xiàng)要求如下：
技術(shù)層面：
安全通信網(wǎng)絡(luò)
| 通信傳輸 |
| 本項(xiàng)要求包括： |
| a)應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性； |
| b)應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。 |
安全計(jì)算環(huán)境
| 身份鑒別 |
| 本項(xiàng)要求包括： |
| a)應(yīng)對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換； |
| b)應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時(shí)自動(dòng)退出等相關(guān)措施； |
| c)當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽; |
| d)應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對(duì)用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)。 |
| 數(shù)據(jù)完整性 |
| 本項(xiàng)要求包括： |
| a)應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計(jì)數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個(gè)人信息等； |
| b)應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲(chǔ)過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計(jì)數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個(gè)人信息等。 |
| 數(shù)據(jù)保密性 |
| 本項(xiàng)要求包括： |
| a)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等； |
| b)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲(chǔ)過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等。 |
管理層面：
安全建設(shè)管理
| 安全方案設(shè)計(jì) |
| 本項(xiàng)要求包括： |
| a)應(yīng)根據(jù)安全保護(hù)等級(jí)選擇基本安全措施，依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施； |
| b)應(yīng)根據(jù)保護(hù)對(duì)象的安全保護(hù)等級(jí)及與其他級(jí)別保護(hù)對(duì)象的關(guān)系進(jìn)行安全整體規(guī)劃和安全方案設(shè)計(jì)，設(shè)計(jì)內(nèi)容應(yīng)包含密碼技術(shù)相關(guān)內(nèi)容，并形成配套文件； |
| c)應(yīng)組織相關(guān)部門和有關(guān)安全專家對(duì)安全整體規(guī)劃及其配套文件的合理性和正確性進(jìn)行論證和審定，經(jīng)過批準(zhǔn)后才能正式實(shí)施。 |
| 產(chǎn)品采購和使用 |
| 本項(xiàng)要求包括： |
| a)應(yīng)確保網(wǎng)絡(luò)安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定； |
| b)應(yīng)確保密碼產(chǎn)品與服務(wù)的采購和使用符合國家密碼管理主管部門的要求； |
| c)應(yīng)預(yù)先對(duì)產(chǎn)品進(jìn)行選型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單。 |
| 測試驗(yàn)收 |
| 本項(xiàng)要求包括： |
| a)應(yīng)制訂測試驗(yàn)收方案，并依據(jù)測試驗(yàn)收方案實(shí)施測試驗(yàn)收，形成測試驗(yàn)收?qǐng)?bào)告； |
| b)應(yīng)進(jìn)行上線前的安全性測試，并出具安全測試報(bào)告，安全測試報(bào)告應(yīng)包含密碼應(yīng)用安全性測試相關(guān)內(nèi)容。 |
安全運(yùn)維管理
| 密碼管理 |
| 本項(xiàng)要求包括： |
| a)應(yīng)遵循密碼相關(guān)國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)； |
| b)應(yīng)使用國家密碼管理主管部門認(rèn)證核準(zhǔn)的密碼技術(shù)和產(chǎn)品。 |
等
發(fā)布者：付曉敏 點(diǎn)擊數(shù)：2392 發(fā)布時(shí)間：2023-12-25 17:23:38 更新時(shí)間：2023-12-25 17:23:38