测评单元

测评指标

技术要求

物理和环境安全

身份鉴别

*)宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；

电子门禁记录数据存储完整性

*)宜采用密码技术保证电子门禁系统进出记录数据的存储完整性；

视频监控记录数据存储完整性

*)宜采用密码技术保证视频监控音像记录数据的存储完整性。

网络和通信安全

身份鉴别

*)应采用密码技术对通信实体进行身份鉴别，保证通信实体身份的真实性；

通信数据完整性

*)宜采用密码技术保证通信过程中数据的完整性；

通信过程中重要数据的机密性

*)应采用密码技术保证通信过程中重要数据的机密性；

网络边界访问控制信息的完整性

*)宜采用密码技术保证网络边界访问控制信息的完整性；

安全接入认证

*)可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性。

设备和计算安全

身份鉴别

*)应采用密码技术对登录设备的用户进行身份鉴别，保证用户身份的真实性；

远程管理通道安全

*)远程管理设备时，应采用密码技术建立安全的信息传输通道；

系统资源访问控制信息完整性

*)宜采用密码技术保证系统资源访问控制信息的完整性；

重要信息资源安全标记完整性

*)宜采用密码技术保证设备中的重要信息资源安全标记的完整性；

日志记录完整性

*)宜采用密码技术保证日志记录的完整性；

重要可执行程序完整性、重要可执行程序来源真实性

*)宜采用密码技术对重要可执行程序进行完整性保护，并对其来源进行真实性验证。

应用和数据安全

身份鉴别

*)应采用密码技术对登录用户进行身份鉴别，保证应用系统用户身份的真实性；

访问控制信息完整性

*)宜采用密码技术保证信息系统应用的访问控制信息的完整性；

重要信息资源安全标记完整性

*)宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性；

重要数据传输机密性

*)应采用密码技术保证信息系统应用的重要数据在传输过程中的机密性；

重要数据存储机密性

*)应采用密码技术保证信息系统应用的重要数据在存储过程中的机密性；

重要数据传输完整性

*)宜采用密码技术保证信息系统应用的重要数据在传输过程中的完整性；

重要数据存储完整性

*)宜采用密码技术保证信息系统应用的重要数据在存储过程中的完整性；

不可否认性

*)在可能涉及法律责任认定的应用中，宜采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的不可否认性和数据接收行为的不可否认性。

管理

要求

管理

制度

具备密码应用安全管理制度

*)应具备密码应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬件及介质管理等制度；

密钥管理规则

*)应根据密码应用方案建立相应密钥管理规则；

建立操作规程

*)应对管理人员或操作人员执行的日常管理操作建立操作规程；

定期修订安全管理制度

*)应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定，对存在不足或需要改进之处进行修订；

明确管理制度发布流程

*)应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制；

制度执行过程记录留存

*)应具有密码应用操作规程的相关执行记录并妥善保存。

人员

管理

了解并遵守密码相关法律法规

和密码管理制度

*)相关人员应了解并遵守密码相关法律法规、密码应用安全管理制度；

建立密码应用岗位责任制度

*)应建立密码应用岗位责任制度，明确各岗位在安全系统中的职责和权限：

*)根据密码应用的实际情况，设置密钥管理员、密码安全审计员、密码操作员等关键安全岗位；

*)对关键岗位建立多人共管机制；

*)密钥管理、密码安全审计、密码操作人员职责互相制约互相监督，其中密钥管理员岗位不可与密码审计员、密码操作员等关键安全岗位兼任；

*)相关设备与系统的管理和使用账号不得多人共用。

建立上岗人员培训制度

*)应建立上岗人员培训制度，对于涉及密码的操作和管理的人员进行专门培训，确保其具备岗位所需专业技能；

定期进行安全岗位人员考核

*)应定期对密码应用安全岗位人员进行考核；

建立关键岗位人员保密制度和调离制度

*)应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务。

建设

运行

制定密码应用方案

*)应依据密码相关标准和密码应用需求，制定密码应用方案；

制定密钥安全管理策略

*)应根据密码应用方案，确定系统涉及的密钥种类、体系及其生命周期环节，各环节安全管理要求参照《信息安全技术 信息系统密码应用基本要求》附录*；

制定实施方案

*)应按照应用方案实施建设；

投入运行前进行密码应用安全性评估

*)投入运行前应进行密码应用安全性评估，评估通过后系统方可正式运行；

定期开展密码应用安全性评估及攻防对抗演习

*)在运行过程中，应严格执行既定的密码应用安全管理制度，应定期开展密码应用安全性评估及攻防对抗演习，并根据评估结果进行整改。

应急

处置

应急策略

*)应制定密码应用应急策略，做好应急资源准备，当密码应用安全事件发生时，应立即启动应急处置措施，结合实际情况及时处置；

事件处置

*)事件发生后，应及时向信息系统主管部门进行报告；

向有关主管部门上报处置情况

*)事件处置完成后，应及时向信息系统主管部门及归属的密码管理部门报告事件发生情况及处置情况。