第三级商密测评基本要求—物理和环境安全

物理和环境安全层面的测评对象识别和确定

背景：

GB/T 39786-2021 《信息安全技术 信息系统密码应用基本要求》在8.1节中要求“a） 宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；b） 宜采用密码技术保证电子门禁系统进出记录数据的存储完整性；c） 宜采用密码技术保证视频监控音像记录数据的存储完整性”。相应的，GB/T 43206-2023 《信息安全技术 信息系统密码应用测评要求》在“6.1 物理和环境安全”中规定该安全层面的测评对象包括信息系统所在机房等重要区域及其电子门禁系统和视频监控系统。

问题：

如何确定该层面的测评对象？

对于系统部署在非被测系统单位管辖范围之内的情况，如运营商机房、云服务提供商机房、其他单位或部门管辖的机房等，在物理和环境层面该如何判定该指标的适用性？

如何开展测评？

解答：

物理和环境安全层面的测评对象为被测信息系统所在的物理机房，具体为物理机房的电子门禁系统和视频监控系统。

如果被测信息系统所在的物理机房采用多区域部署或被测信息系统重要资产分布在不同的物理机房内，那么针对该信息系统设计的所有物理机房应作为测评对象进行测评，密评人员需现场取证。

针对被测信息系统部署在被测系统单位管辖范围之外的情况，物理和环境安全层面仍然适用，即需要针对该安全层面进行测评。

1） 如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等经历过商用密码应用安全性评估且相应系统评估结果为“符合”或“基本符合”，则可以服用商用密码应用安全性评估报告中“物理和环境安全”层面的相关测评结论。特别地，如果云平台通过了商用密码应用安全性评估，并且级别不低于云上应用系统的网络安全保护等级时，则云上应用系统（与云平台处于同一物理机房）的物理和环境安全层面可以复用云平台相应的测评结论。

2） 如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等未经历过商用密码应用安全性评估或经历过的相应系统评估结果为“不符合”，则密评人员需要现场取证；对于条件不允许的情况，可以通过系统建设方或租赁方要求IDC机房或云服务提供商机房等运维方提供相关说明文件和证据以支撑测评结论。

问题：

当被测信息系统的机房采用多层门禁措施，且不通门禁采用的物理访问身份鉴别机制不一致时，例如外层门禁采用非密码技术，而内层门禁采用经检测认证合格的安全门禁系统实现，则物理和环境安全层面的“身份鉴别”指标该如何选择测评检查点？

解答：

针对此情况需要考虑多层电子门禁系统的保护范围。

如果信息系统所在的受保护对象都在多层门禁的保护范围之内，则可在多层门禁系统中选择密码应用最合规、正确、有效的进行测评，但要注意多层门禁之间的物理区域存在非授权人员访问的情形。

如果存在某个受保护对象只在最外层电子门禁系统的保护下，那么应该以最外层的电子门禁作为测评对象。

如果受保护对象在多个电子门禁的保护下，那么所有提供保护的电子门禁都需要测评。

几种情况示例如下：

在上述示例中：

图9-1中，可选择一个密码应用最合规、正确、有效的门禁进行测评，测评过程中两个门禁中有一个满足测评要求即可。但是同时要注意，如果门禁1与门禁2之间物理区域还有未授权人员可以访问的话，则必须对门禁2进行测评；而外层门禁可能会起到安全加固和安全风险缓解作用，密评机构需根据实际情况进行确认。

图9-2中，应选择门禁1测评。

图9-3中，门禁1和门禁2都需要测评。

电子门禁记录数据存储完整性测评时的注意事项

背景：

一些信息系统所在机房已经部署合规的电子门禁系统，厂商也声称机房进出记录受到完整性保护。

问题：

对于符合GM/T 0036-2014 《采用非接触卡的门禁系统密码应用技术指南》标准的电子门禁系统，其门禁系统内置的进出记录数据存储的完整性保护是否可以直接采信产品检测结果，如不可直接采信，是否需要门禁系统厂商提供其他证据？

解答：

由于GM/T 0036-2014 《采用非接触卡的门禁系统密码应用技术指南》中规定的相关要求，主要针对的是采用基于非接触式的门禁系统对机房进出人员身份鉴别这一场景，因此，对门禁系统进行密评实施时，按照密评相关标准，需要相关密码厂商提供门禁系统进出记录数据完整性保护的相关证据，并提供实现该密码应用的密码产品检测认证合规性的证明。

商用密码应用证书检测结果查询

注意：需要用国密浏览器打开

https://service.scctc.org.cn/xxfb/jcyw/jczscx/jcjgcx/

国密浏览器推荐

零密浏览器

https://www.zotrus.com/browser

信息系统密码应用基本要求

金融行业信息系统商用密码应用基本要求

信息系统密码应用测评要求

身份鉴别

电子门禁记录数据存储完整性

视频监控记录数据存储完整性

金融行业信息系统商用密码应用测评要求

身份鉴别

电子门禁记录数据存储完整性

视频监控记录数据存储完整性

测评指导书

电子门禁系统

产品类型：

电子门禁系统

测评实施要点：

1） 尝试制作一些错误的电子门禁卡，验证这些卡无法打开门禁；

2） 利用发卡系统分发不通权限的电子门禁卡，验证非授权的卡无法打开门禁；

3） 尝试复制电子门禁卡，验证无法进行有效复制

预期结果：

1） 错误的电子门禁卡无法打开门禁；

2） 不同权限的电子门禁卡仅能打开授权的门禁，非授权的电子门禁卡无法打开门禁；

3） 电子门禁卡无法被复制使用。

总体评价

密评改造

浪潮云

三未信安

原文始发于微信公众号（利刃信安攻防实验室）：【商密测评】第三级商密测评基本要求—物理和环境安全