商用密码应用安全性评估量化评估规则

什么是 商用密码应用安全性评估量化评估规则

商用密码应用安全性评估量化评估规则是一套用于对商用密码应用进行评估的规则和准则。它旨在通过定量的评估方法和标准，对商用密码应用的安全性进行量化评估和打分，以衡量其在安全性方面的水平和可信度。

这些评估规则通常由密码管理机构、密码专家和行业组织制定，并依据密码安全的最佳实践和相关标准（如国家标准、国际标准等）进行设计。

商用密码应用安全性评估量化评估规则，主要参考遵循 GB/T 39786—2021 和 GM/T 0115—2021

安全层面和测评单元

安全层面有8个，4个是技术层面、4个是管理层面，每个安全层面下面都有不同的测评单元;
每个安全层面有不同的权重，不同测评单元也有不同的权重，见官方文档《商用密码应用安全性评估量化评估规则（2023版）》

按照安全层面序号i：

1. 物理和环境安全
   测评单元:

• 身份鉴别
• 电子门禁记录数据存储完整性
• 视频记录数据存储完整性

2. 网络和通信安全
   测评单元:

• 身份鉴别
• 通信数据完整性
• 通信过程中重要数据的机密性
• 网络边界访问控制信息的完整性
• 安全接入认证

3. 设备和计算安全

• 身份鉴别
• 远程管理通道安全
• 系统资源访问控制信息完整性
• 重要信息资源安全标记完整性
• 日志记录完整性
• 重要可执行程序完整性、重要可执行程序来源真实性

4. 应用和数据安全

• 身份鉴别
• 访问控制信息完整性
• 重要信息资源安全标记完整性
• 重要数据传输机密性
• 重要数据存储机密性
• 重要数据传输完整性
• 重要数据存储完整性
• 不可否认性

5. 管理制度

• 具备密码应用安全管理制度
• 密钥管理规则
• 建立操作规程
• 定期修订安全管理制度
• 明确管理制度发布流程
• 制度执行过程记录留存

6. 人员管理

• 了解并遵守密码相关法律法规和密码管理制度
• 建立密码应用岗位责任制度
• 建立上岗人员培训制度
• 定期进行安全岗位人员考核
• 建立关键岗位人员保密制度和调离制度

7. 建设运行

• 制定密码应用方案
• 制定密钥安全管理策略
• 制定实施方案
• 投入运行前进行密码应用安全性评估
• 定期开展密码应用安全性评估及攻防对抗演习

8. 应急处置

• 应急策略
• 事件处置
• 向有关主管部门上报处置情况

规则内容解析

量化评估框架

参考 GM/T 0115—2021，本规则从三个方面进行量化评估：

1. 密码使用有效性（Cryptography Deployment effectiveness）是指，密码技术是否被正确、有效使用，以满足信息系统的安全需求，有效提供机密性、完整性、真实性和不可否认性的保护

2. 密码算法/技术合规性（Cryptography Algorithm/Technique compliance）是指，信息系统中使用的密码算法是否符合法律、行政法规、国家有关规定和密码相关国家标准、行业标准的有关要求，信息系统中使用的密码技术是否遵循密码相关国家标准和行业标准或通过国家密码管理部门审查鉴定

3. 密钥管理安全（Key management security）是指，密钥的全生命周期管理是否安全，用于密码计算或密钥管理的密码产品/密码服务是否安全

量化评估规则

（1）各测评对象的测评结果量化评估规则

密码应用技术要求中，第 i 个安全层面的第 j 测评单元的第 k 测评对象$T_{i,j,k}$，其量化评估结果$S_{i,j,k}\in [0,1]$，其中 0 表示不符合，1 表示符合，其它表示部分符合。$S_{i,j,k}$ 的取值见表1（涉及计算时，四舍五入，取小数点后 4 位）。
通用要求和密码应用技术要求各安全层面的“密码服务”和“密码产品”指标不单独评价。

总结理解：每个测评对象都有一个 分值，在0到1之间， 0 表示不符合，1 表示符合，其它表示部分符合。

符号 ∈ 是数学符号中的一个元素属于关系符号，表示一个元素是否属于某个集合。它的意思是 "属于" 或 "在其中"。符号 ∈ 通常用于描述一个元素是否属于某个集合。

例如，如果有一个集合 A，我们可以使用符号 ∈ 来表示一个元素 x 是否属于集合 A。如果 x 属于 A，我们可以写作 x ∈ A。如果 x 不属于 A，我们可以写作 x ∉ A，其中符号 ∉ 表示 "不属于"。

符号 ∈ 在数学中常用于集合论、数论、逻辑等领域，用于描述元素与集合之间的关系。

涉及以下情况时，需要对测评对象的分值进行修正：

• 若测评对象 A 弥补了测评对象 B 的不足，测评对象 A 的分值为 $P_A$，测评对象 B 的
  弥补前分值为 $P_B$，则测评对象 B 弥补后的分值为 $\max (0.5\times P_A,P_B)$，即 $0.5\times P_A$ 和 $P_B$之间的较大值（四舍五入，取小数点后 4 位）

总结：弥补是针对测评对象的。

密码应用管理要求不针对各个测评对象的测评结果进行量化评估。

（2）测评单元的测评结果量化评估规则

密码应用技术要求中，第 i 个安全层面的第 j 测评单元 $U_{i,j}$ 的量化评估结果 $S_{i,j}$为该测评单元内所有$n_{i,j}$ 个测评对象测评结果的算术平均值（四舍五入，取小数点后 4 位），即：

$$S_{i,j}=\frac{{\sum }_{1\le k\le n_{i,j}}{S}_{i,j,k}}{n_{i,j}}$$

密码应用管理要求中，第 i 个安全层面的第 j 测评单元，根据 GM/T 0115—2021 给出判
定结果 $S_{i,j}$，符合为 1 分，不符合为 0 分，部分符合为 0.5 分。

（3）安全层面的测评结果量化评估规则

本文件为每个测评单元分配了相应的权重 $w_{i,j}$，如表 4 所示。第 i 个安全层面 $L_i$ 的量化评估结果 $S_i$ 为该安全层面内所有 $n_i$ 个适用测评单元的测评结果 $S_{i,j}$ 的加权平均值（四舍五入，取小数点后 4 位），即：
$$S_i=\frac{{\sum }_{1\le j\le n_i}{w}_{i,j}{S}_{i,j}}{{\sum }_{1\le j\le n_i}{w}_{i,j}}$$

若某测评指标不适用，则不参与量化评估过程，不适用的判定方式参见 GM/T 0115—
2021）。

（4）整体测评结果量化评估规则

本文件为每个安全层面分配了相应的权重 $w_i$，如表 4 所示。量化评估结果 S 为所有 n 个安全层面测评结果$S_i$的加权平均值（四舍五入，取小数点后 2 位），即：

$$S=\frac{{\sum }_{1\le i\le 4}{w}_i\cdot S_i}{{\sum }_{1\le i\le 4}{w}_i}\cdot 70+\frac{{\sum }_{5\le i\le 8}{w}_i\cdot S_i}{{\sum }_{5\le i\le 8}{w}_i}\cdot 30$$

若某个安全层面的所有测评指标都不适用，则该安全层面不参与量化评估过程。比如，
如果信息系统中“物理和环境安全”层面所有测评指标都不适用，而其他各层面均有适用的
测评指标，那么根据表 4 提供的安全层面权重，上述分值计算公式具体为：

$$S=\frac{{\sum }_{2\le i\le 4}{w}_i\cdot S_i}{60}\cdot 70+\frac{{\sum }_{5\le i\le 8}{w}_i\cdot S_i}{30}\cdot 30$$

总结：如果某个安全层面没有适用的测评指标，对应的权重将被忽略，不会对量化评估结果产生影响。下面的例子中，分母的 60 和 30 来自安全层面权重之和，原本技术层面加起来是70 安全层面加起来是30，某个安全层面所有测评单元不适用，就不用加，比如某个安全层面权重是10，这10不用加就变成分母60。

量化评估阈值

采用本文件进行量化评估时，GM/T 0115—2021“9. 评估结论”中的得分阈值为60分。

总结：60分过关~

测评结论

密码应用安全性评估报告应给出信息系统的测评结论，确认信息系统达到相应等级保护要求的程度。

应结合整体测评和对单元测评结果的风险分析给出测评结论。

ａ） 符合：信息系统中未发现安全问题，测评结果中所有单元测评结果中不符合项和部分符合项的统计结果全为0，综合得分为100分。

ｂ） 基本符合：信息系统中存在安全问题，不符合项和部分符合项的统计结果不全为0，但存在的安全问题不会导致信息系统面临高等级安全风险，且综合得分不低于阈值。

ｃ） 不符合：信息系统中存在安全问题，不符合项和部分符合项的统计结果不全为0，而且存在的安全问题会导致信息系统面临高等级安全风险，或综合得分低于阈值。

注：综合得分由各测评单元分数经整体测评修正后累加得到，可参考相关标准或文件了解详细得分规则。