信息系统密码应用测评过程指南 中国密码学会密评联委会 二〇二〇年十二月 目 录 1 范围 ........................................................................... - 1 2 规范性引用文件 ................................................................. - 1 3 术语和定义 ..................................................................... - 1 4 概述 ........................................................................... - 1 4.1 4.2 4.3 4.4 基本原则 ................................................................... 测评风险识别 ............................................................... 测评风险规避 ............................................................... 测评过程 ................................................................... - 1 2 2 3 - 5 测评准备活动 ................................................................... - 4 5.1 测评准备活动的工作流程 ..................................................... - 4 5.2 测评准备活动的主要任务 ..................................................... - 4 5.3 测评准备活动的输出文档 ..................................................... - 5 6 方案编制活动 ................................................................... - 5 6.1 方案编制活动的工作流程 ..................................................... - 5 6.2 方案编制活动的主要任务 ..................................................... - 6 6.3 方案编制活动的输出文档 ..................................................... - 8 7 现场测评活动 ................................................................... - 9 7.1 现场测评活动的工作流程 ..................................................... - 9 7.2 现场测评活动的主要任务 ..................................................... - 9 7.3 现场测评活动的输出文档 .................................................... - 10 8 分析与报告编制活动 ............................................................ - 11 8.1 分析与报告编制活动的工作流程 .............................................. - 11 8.2 分析与报告编制活动的主要任务 .............................................. - 11 8.3 分析与报告编制活动的输出文档 .............................................. - 13 - I 信息系统密码应用测评过程指南 1 范围 本文件规定了信息系统密码应用的测评过程，规范了测评活动及其工作任务。 本文件适用于商用密码应用安全性评估机构、信息系统责任单位开展密码应用安全性评估工作。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 25069－2010 信息安全技术 术语 GM/Z 4001－2013 密码术语 GB/T AAAAA 信息安全技术 信息系统密码应用基本要求 GM/T BBBB 信息系统密码应用测评要求 GM/T CCCC 信息系统密码应用高风险判定指引 3 术语和定义 GB/T 25069－2010和GM/Z 4001－2013中界定的相关术语和定义，以及下列术语和定义适用于本文 件。 3.1 测评方 testing and evaluation agency 对信息系统开展密码应用安全性评估（简称“密评” ）的主体，具体可以是商用密码应用安全性评 估机构或信息系统责任单位。 3.2 被测单位 agency under testing and evaluation 信息系统责任单位。 3.3 商用密码应用安全性评估人员 commercial cryptography application security evaluation staff 简称“密评人员”，是指测评方中从事测评活动的人员。 4 概述 4.1 基本原则 测评方对信息系统开展密评时，应遵循以下原则： a) 客观公正性原则 测评实施过程中，测评方应保证在符合国家密码主管部门要求及最小主观判断情形下，按照与被测 单位共同认可的密评方案，基于明确定义的测评方式和解释，实施测评活动。 -1- b) 可重用性原则 测评工作可重用已有测评结果，包括商用密码检测认证结果和密码应用安全性评估的测评结果等。 所有重用结果都应以已有测评结果仍适用于当前被测信息系统为前提，并能够客观反映系统当前的安全 状态。 c) 可重复性和可再现性原则 依照同样的要求，使用同样的测评方法，在同样的环境下，不同的密评人员对每个测评实施过程的 重复执行应得到同样的结果。可重复性和可再现性的区别在于，前者关注同一密评人员测评结果的一致 性，后者则关注不同密评人员测评结果的一致性。 d) 结果完善性原则 在正确理解 GB/T AAAAA 各个要求项内容的基础之上，测评所产生的结果应客观反映信息系统的密 码应用现状。测评过程和结果应基于正确的测评方法，以确保其满足要求。 4.2 测评风险识别 测评工作的开展可能会给被测信息系统带来一定风险，测评方应在测评开始前及测评过程中及时进 行风险识别。在测评过程中，面临的风险主要包括： a) 验证测试可能影响被测信息系统正常运行 在现场测评时，需对设备和系统进行一定的验证测试工作，部分测试内容需上机查看信息，可能对 被测信息系统的运行造成不可预期的影响。 b) 工具测试可能影响被测信息系统正常运行 在现场测评时，根据实际需要可能会使用一些测评工具进行测试。测评工具使用时可能会产生冗余 数据写入，同时可能会对系统的负载造成一定的影响，进而对被测信息系统中的服务器和网络通信造成 一定影响甚至损害。 c) 可能导致被测信息系统敏感信息泄漏 测评过程中，可能泄露被测信息系统的敏感信息，如加密机制、业务流程、安全机制和有关文档信 息等。 d) 其他可能面临的风险 在测评过程中，也可能出现影响被测信息系统可用性、机密性和完整性的风险。 4.3 测评风险规避 在测评过程中，可以通过采取以下措施规避风险： a) 签署委托测评协议书 在测评工作正式开始之前，测评方和被测单位需要以委托协议的方式，明确测评工作的目标、范围、 人员组成、计划安排、执行步骤和要求以及双方的责任和义务等，使得测评双方对测评过程中的基本问 题达成共识。 b) 签署保密协议 测评相关方应签署合乎法律规范的保密协议，规定测评相关方在保密方面的权利、责任与义务。 c) 签署现场测评授权书 现场测评之前，测评方应与被测单位签署现场测评授权书，要求测评相关方对系统及数据进行备份， 采取适当的方法进行风险规避，并针对可能出现的事件制定应急处理方案。 d) 现场测评要求 需进行验证测试和工具测试时，应避开被测信息系统业务高峰期，在系统资源处于空闲状态时进行 测试，或配置与被测信息系统一致的模拟/仿真环境，在模拟/仿真环境下开展测评工作；需进行上机验 -2- 证测试时，密评人员应提出需要验证的内容，由被测单位的技术人员进行实际操作。整个现场测评过程， 由被测单位和测评方相关人员进行全程监督。 测评工作完成后，密评人员应交回在测评过程中获取的所有特权，归还测评过程中借阅的相关资料 文档，并将测评现场环境恢复至测评前状态。 4.4 测评过程 4.4.1 测评过程概述 在测评活动开展前，需要对被测信息系统的密码应用方案进行评估，通过评估的密码应用方案可以 作为测评实施的依据。 测评过程包括四项基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制 活动。测评方与被测单位之间的沟通与洽谈应贯穿整个测评过程。测评过程如图1所示。 项目启动 测 评 准 备 活 动 信息收集和分析 工具和表单准备 测评对象确定 方 案 编 制 活 动 测评指标确定 测评检查点确定 测评内容确定 密评方案编制 沟 通 与 洽 谈 现 场 测 评 活 动 现场测评准备 现场测评和结果记录 结果确认和资料归还 单元测评 整体测评 量化评估 分 析 与 报 告 编 制 活 动 风险分析 评估结论形成 密评报告编制 图1 测评过程工作流程图 4.4.2 测评准备活动 本活动是开展测评工作的前提和基础，主要任务是掌握被测信息系统的详细情况，准备测评工具， 为编制密评方案做好准备。 4.4.3 方案编制活动 -3- 本活动是开展测评工作的关键活动，主要任务是确定与被测信息系统相适应的测评对象、测评指标、 测评检查点及测评内容等，形成密评方案，为实施现场测评提供依据。