三级密评相关指标项

三级密评相关指标项，具体分为技术、管理、通用，也许你也用得上本图知识，可点赞收藏。

三级密评

• 技术
  • 物理和环境安全
    • 宜物理访问身份鉴别，保证重要区域进入人员身份真实性
      • 核查电子门禁是否采用动态口令、消息鉴别码机制、数字签名技术进行身份鉴别并验证人员身份真实性实现机制是否正确有效
    • 宜保证电子门禁进出记录数据的完整性
      • 是否采用消息鉴别码、数字签名机制对门禁进出记录进行完整性保护，并验证完整性保护机制是否正确和有效
    • 宜保证视频监控音像记录存储完整性
      • 是否采用消息鉴别码、数字签名机制对门禁进出记录进行完整性保护，并验证完整性保护机制是否正确和有效
  • 网络和通信安全
    • 应对通信实体进行身份鉴别，确保真实性
    • 应采用密码技术保证通信过程中重要数据的机密性
    • 宜保证通信过程中数据的完整性
    • 宜保证网络边界访问控制信息的完整性
    • 可对从外部连接到内部网络的设备进行接入认证，确保接入的设备身份真实性
  • 设备和计算安全
    • 应对登录设备的用户进行身份鉴别，保证用户身份真实性
    • 应在远程管理设备时，采用密码技术建立安全的信息传输通道
      • 是否建立安全的信息传输通道，并验证远程管理信道实现机制是否正确有效
    • 宜保证系统资源访问控制信息的完整性
    • 宜保证设备中的重要信息资源安全标记的完整性
    • 宜保证日志记录的完整性
    • 宜对重要可执行程序进行完整性保护，并对来源进行真实性验证
      • 是否对重要可执行程序进行完整性保护并实现其来源的真实性保护，并验证重要可执行程序完整性保护机制和其来源真实性实现机制是否正确和有效。
  • 应用和数据安全
    • 应对登录用户进行身份鉴别，保证用户身份的真实性
    • 应保证重要数据在传输和存储中的机密性
      • 是否采用密码技术的加解密功能对其进行机密性保护
    • 宜保证访问控制信息的完整性
    • 宜保证重要信息资源安全标记的完整性
    • 宜保证重要数据在传输和存储中的机密性
    • 宜提供数据原发证据和数据接收证据，实现数据原发行为和数据接收行为的不可否认性
• 管理
  • 管理制度
    • 应具备密码安全应用安全管理制度，包括密码人员管理、密钥管理、建设运行、应急处置、密码软硬件及介质管理等制度
    • 应根据密码应用方案建立相应密钥管理规则
    • 应对管理人员或操作人员执行的日常管理操作建立操作流程
    • 应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定，对不足或需改进处进行修订
    • 应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制
  • 人员管理
    • 应建立上岗人员培训制度
    • 应定期对密码应用安全岗位进行考核
    • 应建立关键人员保密制度和调离制度，签订保密合同，承担保密义务
    • 应建设密码应用岗位责任制度，明确岗位职责和权限
      • 设置密钥管理员、密码安全审计员、密码操作员等关键安全岗位
      • 对关键岗位建立多人共管机制
      • 上诉三岗位相互制约，密码安全审计员不可与密钥管理员和密码操作员兼任
      • 相关设备与系统管理和使用不得多人共用
  • 建设运行
    • 应依照密码相关标准和密码应用需求，制定密码应用方案
    • 应根据密码应用方案，确定系统涉及的密钥种类、体系及其生存周期环节
    • 应按照应用方案实施建设
    • 应在投入运行前进行密码应用安全性评估，评估通过后系统方可正式运行
    • 应严格执行既定的密码应用安全管理制度，应定期开展密码应用安全性评估及对抗攻防演习，并根据评估结果进行整改
  • 应急处置
    • 应制定密码应用应急策略，做好应急资源准备，发生事件及时启动应急处置措施
    • 应在事件发生后及时向信息系统主管部门进行报告
    • 应在事件处置完成后，及时向主管部门及密码管理部门报告事件发生情况及处置情况
• 通用
  • 密码算法、密码技术、密码产品、密码服务符合国家法律法规及相关标准