数据安全文件体系系列（四） | 数据安全标准

点击蓝字，关注我们

本系列主要阐述数据安全领域的制度文件体系，整合业界的经验编写而成，如有谬误，请及时联系我勘正！本系列文章共计会推出6篇，本文是第四篇，感谢您的关注！

推荐阅读：

数据安全标准，即数据安全领域内可重复或共同使用的约定或准则，是政策文件体系中的一部分。

1. 算法与协议标准。

2. 口令标准。

3. 产品与组件标准。

4. 数据脱敏标准。

5. 漏洞定级标准。

01

算法与协议标准

给出适用于当前（2019年）工程实践的推荐算法。

对称加密算法

关于对称加密算法，需注意以下几点：

• 除非法律法规或监管层有规定（如金融行业有使用SM示例加密算法的要求），推荐默认选用AES加密算法。

• AES支持的三种密钥长度目前均是安全的，推荐首选256位。

• 除非知道各种模式的区别，推荐选用GCM模式（Galois/Counter Mode）

默认情况下，推荐首选AES-GCM-256加密算法。

GCM是在加密算法中采用的一种计数器模式，带有GMAC消息认证码。AES的GCM模式属于AEAD（Authenticated Encryption with Associated Data）算法，同时实现加密、认证和完整性保障功能；而其他不带认证码的模式无法实现消息的认证。

对称加密的典型使用场景：

• 数据存储加密。
• 后台节点间、客户端到服务器之间的认证加密（同时实现身份认证、传输加密）。

非对称加密算法

在当前阶段，非对称加密算法推荐：

• 如果选用RSA，首选RSA 2048。

• 如果选用ECC，首选ECC 224。

典型适用场景：

• 协商/交换对称加密密钥。

• 身份认证。

• 数字签名（即使用私钥加密待传输的内容）。

非对称加密算法仅用于安全地传递对称加密密钥，对称加密算法对大量数据进行加密。

单向散列

单向单列可分为两类：

• 常规的单向散列，如SHA256、SHA384、SHA512、SHA-3等，首选SHA256。

• 慢速散列，如bcrypt、scrypt、PBKDF2等，如果选用PBKDF2，推荐配合HMAC-SHA256使用。

用于口令存储时，推荐的做法是：

• 用户侧不传递原始口令，在用户侧使用任何一种慢速加盐散列处理后再发送给服务器侧。

• 服务器侧收到用户侧发送过来的慢速加盐散列结果，推荐选用SHA256加盐散列继续处理。

• 无论使用哪一种散列算法，都需要加盐。

消息认证

推荐使用HMAC-SHA256。HMAC的用途包括：

• 身份认证：确定消息是谁发的（对约定的消息进行运算，比如请求的参数以及当前时间戳）。

• 完整性保障：确定消息没有被修改（HMAC运算结果不包含消息内容，通常和明文消息一起发送，不能保障消息的保密性）。

密码学安全的伪随机数生成器

无外部输入的情况下，计算机无法产生真正随机的随机数，最多只能产生密码学安全的伪随机数，即CSPRNG（Cryptographically Secure Pseudo-Random Number Generator，密码学安全的伪随机数生成器）。

传输协议

关于传输协议：

• 首选TLS 1.2及以上版本，业务推荐直接使用TLS 1.3或以上版本。

• 完全不要使用SSL 1.0、SSL 2.0、SSL 3.0等版本。

• TLS 1.0不安全（已被发现漏洞），不推荐使用；

• 使用TLS 1.0的网站也不符合PCI-DSS（支付卡行业数据安全标准）要求，支付类网站需要禁用。

• TLS 1.1虽未发现明显漏洞，但各方面已被TLS 1.2超越，不推荐使用，PCI-DSS也强烈建议弃用TLS1.1。

2020年起，浏览器对仍旧使用SSL3.0/TLS1.0/TLS1.1协议的网站，将强制进行不安全提示或禁止访问。

02

口令标准

服务侧静态口令标准

与SSO集成的场景，均应使用SSO身份认证，并配合动态口令或双因子认证，验证员工的身份。

满足静态口令标准，以下几点可供参考：

• 不得使用默认初始口令。
• 不得使用通用口令（即一个口令在多处使用）。
• 口令长度不小于14位（位数为13的时候，理论最快14年可破解）。
• 口令应包含大写字母、小写字母、数字、符号。

员工口令标准

如果业务无法与SSO集成，则：

• 口令长度不小于10位。
• 口令应包含大写字母、小写字母、数字、符号中的三种。

用户口令标准

参考标准如下：

• 口令长度不小于8位。
• 口令应包含大写字母、小写字母、数字、符号中的三种。
• 建议不上传用户的原始口令，先在用户侧执行慢速加盐散列处理后再上传。

03

产品与组件标准

操作系统标准

需要结合业务实际进行约定。

• 服务器侧：推荐选操作系统并确定主版本，如CentOS 7，并将安全防御或检测能力植入系统，如安全加固配置、HIDS安全组件等。

• 用户侧：推荐选用大家都比较熟悉的系统并确定主版本，如Windows 10，并实施安全政策相关的配置，如入域或将原身份认证模块替换为SSO认证模块、组策略、网络准入控制等。

Web服务器标准

推荐约定使用少量几种Web服务器组件并确定主版本，如Nginx1.10、NodeJS 10等。

数据库标准

推荐约定使用少量几种数据库组件并确定主版本，如MariaDB 10等。

容器基础镜像

容器的基础镜像，可以理解为容器内的操作系统，是容器内应用赖以运行的环境。

用户侧标准

用户侧电脑终端：

• 使用指定的防病毒软件。

• 配置指定的补丁更新地址。

• 入域或将原身份认证模块替换为SSO身份认证模块。

• 安装/使用指定的网络准入控制与策略检查客户端软件。

限制使用的服务

有些服务已经过时，存在较多安全问题，应限制尽量不要使用，最好是禁止使用。

文件共享服务，因为涉及多端口及潜在的入侵风险，也应严格限制，在业务中尽量避免使用。

例外场景

约定范围内的产品有时无法满足业务需要，这就需要有一个例外的处理机制，如：

• 在登记备案系统中登记。

• 安全团队介入，提供专业的风险评估与加固意见，实施加固措施。

• 更新产品标准，与时俱进。

04

数据脱敏标准

数据脱敏，即按照一定的规则对数据进行变形、隐藏或部分隐藏处理，让处理后的数据不会泄露原始的敏感数据，实现对敏感数据的保护。

05

漏洞定级标准

对不同的漏洞按照定级进行排序，可以决定处置的优先级。此外，漏洞定级还可以用于向漏洞报告者发放不同的奖励。

关于漏洞分级，业界经常采用的方法有：

• 五级：严重、高危、中危、低危、可接受。
• 三级：高危、中危、低危。

高危漏洞

中危漏洞

低危漏洞

部分来源：《数据安全架构与设计》

往期回顾

JOIN US  ▶▶▶

向下滑动查看所有内容

【数据安全备忘录】精彩时刻 

想了解更多数据安全的管理制度、标准规范、产品服务、认证评估等，可扫码加入「 数据安全备忘录」知识星球，更多精彩内容持续更新中！

【数据要素备忘录】精彩时刻    

想了解更多数据要素的政策制度、标准规范、最佳实践、行业报告等，可扫码加入「 数据要素备忘录」知识星球，更多精彩内容持续更新中！

关注【数据要素与AI新知】公众号，获取更多行业资讯！

公众号｜数据要素与AI新知