【优秀方案推荐】海泰方圆密码应用系统建设方案

【编者按】网络安全是网络强国的根本保障，而密码是网络安全的核心技术，是网络空间中网络信任的基石，直接关系国家政治安全、经济安全、国防安全和信息安全，是保护党、国家和人民根本利益的战略性资源，更是国之重器。

密码法 2020 年1月1日正式实施，标志着全国密码应用进入一个崭新时代。

一方面，密码提升到“必须要用、而且也必须用对”的高度；

另一方面，密码领域呈现出“密码技术融合化、密码应用泛在化、密评强制刚性化、规范化”的趋势，这就给密码行业供给侧提出了“密码产品场景化、密码服务方案化、密码能力全面化、密码供给专业化”的全面升级要求。

中办36号文、国务院办公厅《国家政务信息化项目建设管理办法》、等保2.0 标准的颁布， 更是对密码应用提出了具体的要求。

那么，密码改造究竟应该怎么做？如何做才能正确、合规、有效？ 

海泰方圆作为一家拥有 18 年专业经验的密码全能力商密企业，依靠开拓创新的技术能力和产品积累，丰富的行业解决方案及落地经验，给政企用户提供了完善高效的解决方案。

海泰方圆密码应用系统建设方案

一、背景

1999年10月7日，国务院发布273号令，颁布施行《商用密码管理条例》，这是我国密码领域的第一步行政法规。我国的密码应用从此开始走向社会服务，并孕育出一个新的产业--商用密码产业。

2019年10月26日,十三届全国人大常委会第十四次会议审议通过《中华人民共和国密码法》，自2020年1月1日起施行，其中明确了关键信息基础设施使用密码和进行商用密码应用安全性评估（以下简称密评）的要求。

2019年12月30日,《国家政务信息化项目建设管理办法》发布,明确政务信息化项目建设单位,应同步规划、同步建设、同步运行密码保障系统并定期开展密评。

2020年9月24日,中国密码学会密评联委会组织编制的《政务信息系统密码应用与安全性评估工作指南》(2020版)发布,用于引导非涉密国家政务信息系统建设单位和使用单位规范开展商用密码应用与安全性评估工作。

2020年12月9日，中国密码学会密评联委会组织编制了《信息系统密码应用测评要求》等5项指导性文件，对于密评的量化评估和高风险判定都有了相应的规则和指引，使得密评工作更加趋于规范和成熟。

密评经过十余年的积累，相关制度体系已经相对成熟。密评相关概念最早于2007年提出,2017年4月在七省五行业开展密评试点，试点开展过程同时也是第一批27家密评机构的培育过程，2019年10月,开始启动第二批密评试点工作。

为规范密评工作,国家密码管理局制定印发了《商用密码应用安全性评估管理办法(试行)》等系列的管理文件。同时,组织编制了《GM/T 0054-2018 信息系统密码应用基本要求》等系列的指导性文件。

二、需求

目前国内大量的信息系统要么没有使用密码，要么使用密码多数也是使用的国外密码，合规使用国密算法的系统有限。因此为了让已在运行信息系统的安全性尽快得到提升，并且满足密评的要求，针对信息系统的密码改造，如何做到高效易改造，并且合规专业，就是非常迫切的一个需求。

密评工作主要依据的标准是国密局2018年2月发布的《GM/T 0054-2018 信息系统密码应用基本要求》，其中对于信息系统密码应用针对总体要求、密码功能要求、密码技术应用要求、密钥管理和安全管理等方面都做了具体的要求。

相对于之前侧重于关注采用算法和产品等的合规性以外，密评重点关注密码应用的合规性、正确性和有效性的评估。评估的内容不但包括建设的密码保障系统，还包括编写的密码应用方案。

密评在密码技术应用的具体要求中，也涵盖了物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等各个方面，单纯由不同的密码厂商提供不同的密码产品，已经不能够满足现阶段密评的需求。因此就迫切需要密码应用厂商具有全面、全链条的密码能力，为信息系统提供全面的密码应用服务。

三、方案

海泰方圆公司经过18年的密码技术深度积淀，形成了密码应用的专业咨询规划、综合解决方案、密码项目建设和后期运行维护“四步走”的服务，业务全面覆盖信息系统中涉及密码保障的同步规划、建设和运行各阶段，是一家具备全面的密码能力的公司。

针对密码功能要求的四性：机密性、完整性、真实性和不可否认性，我们分别研发了相应的产品并取得了国密局的产品型号证书，通过它们提供相应的服务。

机密性

通过SJT1811数据加解密服务平台提供应用层面的传输和存储机密性保护，通过SHM1602红莲花安全浏览器或SHM1902国密算法中间件与SSL VPN建立国密SSL通道提供网络层面的传输机密性保护。

完整性和不可否认性

通过SRT1716电子文件安全验证系统提供完整性保护和不可否认认定。

真实性

通过SRT1602身份认证系统提供身份认证功能。

通过SHM1902 SSL密码模块调用SJK19102智能密码钥匙提供身份认证功能。

我们不但研发了相应的密码产品，同时具备整合其他密码产品的能力。针对上述密码产品，我们整合成一个统一的密码安全服务平台HT-CSSP（以下简称为平台），通过主动或者被动的方式统一为信息系统提供所需的密码服务。被动的方式主要是通过接口服务的形式让信息系统进行调用，主动的方式主要是通过平台的配置对信息系统进行保护。被动的方式更灵活，主动的方式更易改造，可以根据不同的需求组合使用。

针对物理和环境安全、网络和通信安全、 设备和计算安全、应用和数据安全等四个层面，我们通过平台可以提供全面的密码技术措施。具体包括：

物理和环境安全

通过合规的电子门禁系统，确保信息系统所在机房等重要区域的身份认证，该部分功能可以独立进行部署。

通过平台中的可信验证服务，为电子门禁系统进出记录和视频监控音像记录等数据提供主动或被动的完整性保护。

网络和通讯安全

通过红莲花安全浏览器和SSL VPN实现通信双方的身份鉴别，通信过程中敏感数据的机密性、完整性保护。通过平台的多应用支撑服务可以对红莲花安全浏览器进行策略配置和运行维护。

设备和计算安全

通过国密算法中间件调用智能密码钥匙，可以实现对设备用户的身份认证。

通过平台中的数据加解密服务，对远程管理时管理员的身份鉴别信息进行机密性保护。

通过平台中的可信验证服务，对计算机、服务器等设备中的相关信息进行完整性保护。

应用和数据安全

通过合规的第三方电子认证服务或平台中的身份认证服务，对应用系统的用户进行身份认证。

通过平台中的可信验证服务，对应用系统的相关信息、存储的重要数据、重要日志记录等进行完整性保护。

通过红莲花安全浏览器和SSL VPN或平台中的数据加解密服务，保护客户端与服务器之间、应用系统之间传输的机密性。

通过平台中的可信验证服务，对可能涉及法律责任认定的操作行为进行不可否认认定。

同时多年的密码经验积累，也能保证我们能够针对信息系统的需求提供完整、合规、安全的密钥管理方案，确保密钥的生成、存储、分发、导入、导出、使用、备份、恢复、归档、销毁等全生命周期的安全。也能够针对信息系统的制度、人员、实施和应急等四个方面的安全管理措施提供相应的服务。

【方案公司介绍】 

海泰方圆：以密码全能力和可信技术为核心，全面服务网信大时代的领先商用密码综合解决方案提供商和可信数据资产管理专家。

【密码硬核】

18年密码能力积淀,  提供密码应用安全、数据安全、国密浏览器、物联和终端安全、信创集成等系列产品和服务。

【ToB基因】

客户遍布40多个部委及中央机关、全国近30多个省市自治区5万多个政府机关上百万公务人员、国防科工局10大军工集团近600家院所和100多家银行/证券等金融机构。

【技术领先】参与和主导了近40项国家/行业标准，承担国家/地方密码等专项课题近30项；申请相关专利近200项，软件著作权150项；主要行业期刊论文十数篇；国家火炬计划重点高新技术企业、双软企业、创新示范企业、专利试点企业、国家知识产权优势企业，北京市民营企业社会责任百强单位；拥有“电子文件真实性认定与保障技术北京工程实验室”、北京市博士后（青年英才）创新实践基地、“**信息系统集成/软件开发/运维三甲资质”、“**载体印制资质”、军工/军队/公安/金融等多项资质并多次荣获国家重点新产品。

密码建设、密码改造咨询

李先生 18601092835

扫码二维码，加我微信

陈女士 15110269673

扫码二维码，加我微信