范围
规定了一级到四级的密码应用的基本要求,包括四个技术层面的技术要求和四个方面的管理要求
四个技术层面:物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全
四个管理层面:管理制度、人员管理、建设运行、应急处置
注:第五级密码应用只描述通用要求
术语和定义
机密性:保证信息不被泄露给非授权实体的性质
数据完整性:数据没有遭受以非授权方式所作的改变的性质
真实性:一个实体是其所声称实体的这种特性,真实性适用于用户、进程、系统和信息之类的实体。
不可否认性:证明一个已经发生的操作行为无法否认的性质。
概述
本标准从信息系统的四个技术层面提出密码应用技术要求,保证信息系统的实体身份真实性、重要数据的机密性和完整性、操作行为的不可否认性;并从信息系统的管理制度、人员管理、建设运行和应急处置四方面提出密码应用管理要求,为信息系统提供管理方面的密码应用安全保障。
密码应用技术要求维度
技术要求主要由机密性,完整性,真实性,不可否认性四个密码安全功能维度构成,具体保护对象或应用场景描述如下:
a)机密性技术要求保护对象
使用密码技术的加解密功能实现机密性,信息系统中保护的对象为:
1)身份鉴别信息;
2)密钥数据;
3)传输的重要数据;
4)信息系统应用中所有存储的重要数据。
b)完整性技术要求保护对象
使用基于对称密码算法或密码杂凑算法的信息鉴别码机制、基