基础电信企业开展商用密码应用安全性评估工作的思考与建议

doi:10.12267/j.issn.2096-5931.2023.01.009

信息通信技术与政策 ›› 2023, Vol. 49 ›› Issue (1): 52-57.doi: 10.12267/j.issn.2096-5931.2023.01.009

基础电信企业开展商用密码应用安全性评估工作的思考与建议

Thinking about security assessment of cryptography development in basic telecom enterprises

张杨, 张艳, 彭华熹, 陈磊, 李邦灵, 马爱良

中国移动通信有限公司研究院安全技术研究所,北京 100032

收稿日期:2022-12-18 出版日期:2023-01-15 发布日期:2023-02-08
作者简介:
张杨,中国移动通信有限公司研究院安全技术研究所研究员,高级工程师,主要从事网络与信息安全、密码应用安全等方面的研究工作;|张艳,中国移动通信有限公司研究院安全技术研究所技术经理,高级工程师,主要从事网络与信息安全、终端安全、密码应用安全等方面的研究工作;|彭华熹,中国移动通信有限公司研究院安全技术研究所研究员,高级工程师,主要从事网络与信息安全、业务安全等方面的研究工作;|陈磊,中国移动通信有限公司研究院安全技术研究所研究员,高级工程师,主要从事信息安全测评等方面的研究工作;|李邦灵,中国移动通信有限公司研究院安全技术研究所研究员,工程师,主要从事网络与信息安全、业务安全等方面的研究工作;|马爱良,中国移动通信有限公司研究院安全技术研究所研究员,工程师,主要从事密码应用安全性评估等方面的研究工作。

ZHANG Yang, ZHANG Yan, PENG Huaxi, CHEN Lei, LI Bangling, MA Ailiang

Department of Security Technology, China Mobile Research Institute, Beijing 100032, China

Received:2022-12-18 Online:2023-01-15 Published:2023-02-08

摘要/Abstract

摘要：

目前,电信网络和基础设施的信息安全需求强烈,业界越来越广泛地采用密码技术进行信息安全建设。《中华人民共和国密码法》(简称《密码法》)的颁布和实施,对信息系统密码应用提出了规范化要求和密评的规定,因此基础电信企业需要提高密码应用水平并对建设和运维的信息系统实施密评。从标准制定、人才培养、平台研发、能力建设和技术研究等方面给出了后续开展密码应用及密评工作的建议。

关键词: 信息安全, 密码技术, 密码应用, 密评

Abstract:

With the increasing demand for information security in telecommunication network and infrastructure, cryptography technology is more and more widely used for information security construction. Cryptography Law of the People’s Republic of China puts forward standardized requirements in cryptography development and security assessment of cryptography development in information systems. Therefore, basic telecom enterprises need to improve the level of cryptography development and implement security assessment of cryptography development. In this regard, this paper gives suggestions in terms of standard setting, personnel training, system platform R & D, capacity building, and technology research.

Key words: information security, cryptography technology, cryptography development, security assessment of cryptography development

中图分类号:

TP309.2

张杨, 张艳, 彭华熹, 陈磊, 李邦灵, 马爱良. 基础电信企业开展商用密码应用安全性评估工作的思考与建议[J]. 信息通信技术与政策, 2023, 49(1): 52-57.

ZHANG Yang, ZHANG Yan, PENG Huaxi, CHEN Lei, LI Bangling, MA Ailiang. Thinking about security assessment of cryptography development in basic telecom enterprises[J]. Information and Communications Technology and Policy, 2023, 49(1): 52-57.

导出引用管理器 EndNote|Ris|BibTeX

链接本文:

http://ictp.caict.ac.cn/CN/10.12267/j.issn.2096-5931.2023.01.009

http://ictp.caict.ac.cn/CN/Y2023/V49/I1/52

类型	颁布时间	名称	相关要求
法律	2019年10月	《中华人民共和国密码法》	“法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施,其运营者应当使用商用密码进行保护,自行或者委托商用密码检测机构开展商用密码应用安全性评估” “关键信息基础设施的运营者违反本法第二十七条第一款规定,未按照要求使用商用密码,或者未按照要求开展商用密码应用安全性评估的,由密码管理部门责令改正,给予警告”
规范性文件	2018年6月	《网络安全等级保护条例(征求意见稿)》	“第三级以上网络运营者应在网络规划、建设和运行阶段,按照密码应用安全性评估管理办法和相关标准,委托密码应用安全性测评机构开展密码应用安全性评估。网络通过评估后,方可上线运行,并在投入运行后,每年至少组织一次评估。密码应用安全性评估结果应当报受理备案的公安机关和所在地设区市的密码管理部门备案”
	2019年12月	《国家政务信息化项目建设管理办法》	“项目建设单位应当落实国家密码管理有关法律法规和标准规范的要求,同步规划、同步建设、同步运行密码保障系统并定期进行评估” “各部门应当严格遵守有关保密等法律法规规定,构建全方位、多层次、一致性的防护体系,按要求采用密码技术,并定期开展密码应用安全性评估,确保政务信息系统运行安全和政务信息资源共享交换的数据安全”
	2020年8月	《商用密码管理条例(修订草案征求意见稿)》	“非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统,其运营者应当使用商用密码进行保护,制定商用密码应用方案,配备必要的资金和专业人员,同步规划、同步建设、同步运行商用密码保障系统,自行或者委托商用密码检测机构开展商用密码应用安全性评估。前款所列网络与信息系统通过商用密码应用安全性评估方可投入运行,运行后每年至少进行一次评估,评估情况报送所在地设区的市级密码管理部门备案”
	2021年7月	《关键信息基础设施安全保护条例》	“运营者对保护工作部门开展的关键信息基础设施网络安全检查检测工作,以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的关键信息基础设施网络安全检查工作应当予以配合” “关键信息基础设施中的密码使用和管理,还应当遵守相关法律、行政法规的规定”
国家标准	2021年3月	GB/T 39786—2021《信息安全技术信息系统密码应用基本要求》	从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全4个技术维度以及管理制度、人员管理、建设运行、应急处置4个管理维度对信息系统从第一级到第四级的密码应用作出了详细要求,是开展密码应用和密评工作的重要依据

类型	颁布时间	名称	相关要求
法律	2019年10月	《中华人民共和国密码法》	“法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施,其运营者应当使用商用密码进行保护,自行或者委托商用密码检测机构开展商用密码应用安全性评估” “关键信息基础设施的运营者违反本法第二十七条第一款规定,未按照要求使用商用密码,或者未按照要求开展商用密码应用安全性评估的,由密码管理部门责令改正,给予警告”
规范性文件	2018年6月	《网络安全等级保护条例(征求意见稿)》	“第三级以上网络运营者应在网络规划、建设和运行阶段,按照密码应用安全性评估管理办法和相关标准,委托密码应用安全性测评机构开展密码应用安全性评估。网络通过评估后,方可上线运行,并在投入运行后,每年至少组织一次评估。密码应用安全性评估结果应当报受理备案的公安机关和所在地设区市的密码管理部门备案”
	2019年12月	《国家政务信息化项目建设管理办法》	“项目建设单位应当落实国家密码管理有关法律法规和标准规范的要求,同步规划、同步建设、同步运行密码保障系统并定期进行评估” “各部门应当严格遵守有关保密等法律法规规定,构建全方位、多层次、一致性的防护体系,按要求采用密码技术,并定期开展密码应用安全性评估,确保政务信息系统运行安全和政务信息资源共享交换的数据安全”
	2020年8月	《商用密码管理条例(修订草案征求意见稿)》	“非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统,其运营者应当使用商用密码进行保护,制定商用密码应用方案,配备必要的资金和专业人员,同步规划、同步建设、同步运行商用密码保障系统,自行或者委托商用密码检测机构开展商用密码应用安全性评估。前款所列网络与信息系统通过商用密码应用安全性评估方可投入运行,运行后每年至少进行一次评估,评估情况报送所在地设区的市级密码管理部门备案”
	2021年7月	《关键信息基础设施安全保护条例》	“运营者对保护工作部门开展的关键信息基础设施网络安全检查检测工作,以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的关键信息基础设施网络安全检查工作应当予以配合” “关键信息基础设施中的密码使用和管理,还应当遵守相关法律、行政法规的规定”
国家标准	2021年3月	GB/T 39786—2021《信息安全技术信息系统密码应用基本要求》	从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全4个技术维度以及管理制度、人员管理、建设运行、应急处置4个管理维度对信息系统从第一级到第四级的密码应用作出了详细要求,是开展密码应用和密评工作的重要依据

[1]	工业和信息化部. 2021年通信业统计公报[EB/OL]. (2022-01-25)[2022-12-18]. https://www.miit.gov.cn/gxsj/tjfx/txy/art/2022/art_e8b64ba8f29d4ce18a1003c4f4d88234.html.
[2]	徐汉良. 商用密码知识与政策干部读本[M]. 北京: 人民出版社, 2017.
[3]	中国人大网. 中华人民共和国密码法[EB/OL]. (2019-10-26)[2022-12-18].http://www.npc.gov.cn/npc/c36798/201910/6f7be7dd5ae5459a8de8baf36296bc74.shtml.
[4]	霍炜, 郭启全, 马原. 商用密码应用与安全性评估[M]. 北京: 电子工业出版社, 2020.
[5]	结城浩. 图解密码技术[M]. 北京: 人民邮电出版社, 2016.
[6]	卿斯汉. 密码学与计算机网络安全[M]. 北京: 清华大学出版社, 2021.
[7]	詹榜华. 新时期·新密码·新发展[J]. 信息安全与通信保密, 2020(11): 7-11.

[1]	王玮, 曹京, 程赓, 李雪莹. 降低自动化决策对个人信息安全影响的研究[J]. 信息通信技术与政策, 2022, 48(8): 52-58.
[2]	张艳, 　何申, 　粟栗. 防泄露可溯源的用户信息轻量级保护方法[J]. 信息通信技术与政策, 2020, 46(2): 46-49.
[3]	陈诗洋, 　刘婷婷. 短视频应用的隐私政策问题与对策研究[J]. 信息通信技术与政策, 2020, 46(2): 74-77.
[4]	范玉吉, 徐力航. 公共利益下个人信息的使用与保护[J]. 信息通信技术与政策, 2020, 46(10): 47-54.
[5]	潘娟, 刘陶. 智能视频监控设备安全风险分析及对策[J]. 信息通信技术与政策, 2019, 45(8): 78-80.
[6]	刘扬. 关于构建网络信息安全防护体系的研究#br# ——基于数据价值视角的大数据监管系统建设的思考 [J]. 信息通信技术与政策, 2019, 45(2): 52-56.
[7]	王远桂, 李晓伟, 陈诗洋. The international policy experience of education and training on information security personnel and its enlightenment[J]. 信息通信技术与政策, 2018, 44(9): 69-73.

基础电信企业开展商用密码应用安全性评估工作的思考与建议

Thinking about security assessment of cryptography development in basic telecom enterprises

RichHTML

PDF

可视化

摘要/Abstract

引用本文

使用本文

图/表 1

参考文献 7

相关文章 7

编辑推荐

Metrics

本文评价