【商密测评】密码应用方案模板

密码应用方案模板

1 背景

明确系统的建设规划、国家有关法律法规要求，与规划有关的前期情况概述和项目实施的必要性，以及信息系统相关的其他情况说明。

2 系统概述

2.1 基本情况

系统基本情况包括系统名称，系统责任主体单位情况（名称、地址、所属密码管理部门和单位类型等）、系统上线运行时间，系统用户情况（使用单位、使用人员和使用场景等）、是否为关键信息基础设施、等级保护定级和备案情况、网络安全等级测评情况以及密码应用安全性评估情况等。

2.2 计算平台现状

如果密码应用方案包括计算平台密码应用方案设计，则包括以下具体描述。

a) 物理环境：包括机房或重要场所地点、系统部署位置、内外部环境和管理责任主体。

b) 网络环境：包括网络框架、网络边界划分、内外部数据交互情况、设备组成及实现功能、所采取的安全防护措施，并给出系统网络拓扑图。

c) 计算环境：包括系统硬件构成（如服务器、用户终端、网络设备、存储设备、安全防护设备、密码设备等硬件资源和操作系统、数据库系统、应用中间件等软件资源）。

如果密码应用方案不包括计算平台密码应用方案设计，描述计算平台的场所地点和密码应用安全性评估情况。

2.3 业务应用现状

业务应用现状包括以下具体描述。    

a) 业务应用的基本情况，包括承载的业务情况和责任主体等，

b) 承载的业务情况，包括系统承载的业务应用、业务功能和关键数据类型等。

c) 对于多个子应用的信息系统，对每个子应用分别描述。

2.4 密码应用现状

信息系统部署密码设施设备的基本情况、责任主体和密码支撑情况（如密码中间件的部署情况和密码功能的提供模式）等。

2.5 密码应用管理现状

管理要求包括信息系统管理制度、人员管理、建设运行和应急处置等。

3 密码应用需求分析

结合信息系统现状和GB/T39786中对不同等级的信息系统提出的密码应用基本要求，对密码应用方案涉及的计算平台、业务应用、管理制度、人员管理、建设运行和应急处置进行安全风险分析，确定风险控制措施、密码应用基本需求分析和密码应用特殊需求分析。通过风险控制措施缓解信息系统存在的高风险。

4 安全目标及设计原则

4.1 安全目标

提出密码应用方案所涉及对象的密码应用安全目标。

4.2 设计原则与依据

提出密码应用方案的设计原则，遵循的政策法规和相关标准。

5 密码应用设计

5.1 密码应用技术框架

包括密码应用技术框架图及框架说明。密码应用技术框架包括计算平台、密码支撑平台和业务应用密码应用架构等，综合描述各平台、系统之间的关系，清晰展示密码应用整体技术框架。    

5.2 计算平台密码应用方案

密码应用方案涉及计算平台安全，见7.2的内容设计。

5.3 密码支撑平台方案

密码应用方案涉及为业务应用提供密码功能，见7.3的内容设计。

5.4 业务应用的密码应用方案

密码应用方案涉及业务应用安全，见7.4的内容设计。

5.5 密码应用部署

包括软硬件设备清单（软硬件设备均需包括已有的密码产品清单）、部署示意图及说明等，新增加的密码设备需要明确标识。

6 安全管理方案

参照GB/T22240中等级保护定级，根据GB/T39786对该等级的管理要求，根据部署的密码产品管理机制：设计安全管理方案，包括管理制度、人员管理、建设运行和应急处置方面的制度。

7 安全与合规性分析

逐条对照GB/T39786对应等级下的各项密码应用基本要求，对方案的适用情况、采取的密码保障措施、采取的缓解及替代性措施及自评结果进行说明：

a) 若指标为适用，说明采取的密码保障措施或未采取密码保障措施的情况（如采取的缓解及替代性措施）。

b) 针对适用的指标，存在部分保护对象不适用的情况，论证其不适用性。

c) 若指标为不适用，参考6.4说明其不适用的理由。

根据GB/T39786中要求和设计的密码应用方案，填写密码应用合规性对照表，自评估其密码应用的合规性。密码应用合规性对照如表1所示（以第三级别要求为例，可根据实际系统级别进行修改）。    

表1 密码应用合规性对照表

8 实施保障方案

8.1 实施内容

描述实施对象的边界及密码应用的范围、任务要求等。实施内容包括但不限于采购、软硬件开发或改造、系统集成、综合调试和试运行等。分析项目实施的重难点问题，提出实施过程中可能存在的风险点及应对措施。

8.2 实施计划

包括实施路线图、进度计划和重要节点等。按照施工进度计划确定实施步骤，并分阶段描述任务分工、实施主体、项目建设单位和阶段交付物等。

8.3 保障措施

包括项目实施过程中的组织保障、人员保障、经费保障、质量保障和监督检查等措施。

8.4 经费概算

按照经费使用要求，对密码应用项目建设和产生的相关费用进行概算。采购的密码产品和相关服务要指述产品名称、服务类型和数量等。  

原文始发于微信公众号（利刃信安）：【商密测评】密码应用方案模板