集成商在商用密码应用与安全评估中的定位分析
本文作者：中软总体部 孙延春 博士
一、概述
密码是信息安全的基石，在网络空间安全防护中发挥重要的基础支撑作用。为了贯彻落实《中华人民共和国密码法》（以下简称密码法），2020年8月，国家密码管理局就《商用密码管理条例（修订草案征求意见稿）》（以下简称条例修订版）开始面向社会公开征求意见，相比与1999年实施的《商用密码管理条例》，本次修订对商用密码管理制度进行了结构性重塑，内容涵盖了商用密码的范围、管理和认证机制、与等保的关系、商密应用等。2019年，国务院下发了《国家政务信息系统项目管理办法》（2019【57号】）（以下简称57号文），明确规定商用密码在政务信息系统规划、建设、验收、运维等阶段作用和要求。在信创化大背景下，商用密码应用与安全评估愈发重要。
二、商用密码在政务领域应用的态势分析
2020年是商用密码在政务领域应用的元年，为了充分发挥商用密码在政务领域的作用，相关部门发布了多个文件，要求政务信息系统建设要充分考虑商用密码的应用，按照GB/T 39786-2021的要求进行密码保障系统的建设，但是政务信息系统经过多年的建设，系统较为复杂，服务人群较广，系统的商密改造困难较大，且对系统性能影响较大。因此，已建系统的商密改造需要另辟新径。
1、政策文件要求趋于明确
为了贯彻和落实57号文的要求，国家密码管理局下发了《关于请进一步加强国家政务信息信息密码应用与安全性评估工作的函》（2020【119】号），进一步明确了政务信息系统商密应用规划、建设、运行三同步要求。同时中国密码学会发布了《政务信息系统密码应用和安全性评估工作指南》，明确了干系方的工作职责，促进了商用密码评估工作的落地。2020年12月8号，中国密码学会密评联委会发布了《信息系统密码应用测评要求》等5项指导性文件，进一步明确了测评的计分规则，高风险判定、密评报告的主要内容等。政策要求趋于明确化，商用密码应用和测评工作也越来越具体化，这也很大程度促进了商用密码在政务领域的应用。
2、已建系统改造困难较大
政务信息系统经过多年建设，已经成为政府对内管理、对外服务的重要抓手。商用密码应用改造需要从物理和环境安全层、网络和通讯安全层、设备和计算安全层、应用和数据安全层等入手，涉及到网络传输、数据存储、用户安全身份认证等多个方面加解密、完整性和真实性的校验，对应用系统的改造成本较高，对系统的性能影响也较大。因此，需要另辟新径，既降低应用系统的改造成本，同时对系统性能的影响在可接受的范围内。
3、商密评估工作逐渐落地
根据条例修订版的相关要求，2020年7月，国家密码管理局推出了第一批24家具有商用密码评估资质的单位。同时要求等保三级以上系统必须进行商用密码应用安全性评估，密码评估的结果直接影响着等保测评的结果，越来越多的政务信息系统建设单位开始委托密评机构对信息系统开展密码应用安全评估。
三、典型应用场景分析
1、物理机部署模式
虽然信创云已经成为政务信息系统建设的重点，但系统上云迁移改造需要一段时间，物理机部署模式仍然存在。一般来说，为了满足密码测评的要求，需要在分支机构、核心交换区、核心业务区、运维管理区、内部办公区等区域部署密码保障系统，其他安全设备也需要部署，不在本文讨论范围内。
分支机构区：每台终端部署国密浏览器和Ukey,其中国密浏览器用于数据加解密、数字签名等，UKey主要完成身份验证。同时部署IPSecVPN进行传输通道加解密。
内部办公区：每台终端部署国密浏览器和Ukey。
数据灾备区：主要部署IPSECVPN，用于传输通道的加解密。
核心业务区：主要部署加密机，完成数据传输、存储的机密性、完整性保护。也可以部署数据加密网关等设备。
运维管理区：主要部署SSLVPN，完成对远程运维人员的身份鉴别。同时在终端也需要部署国密浏览器和UKey。
核心交换区：主要部署IPSECVPN等设备。完成与分支机构、数据灾备区等区域IPSEC VPN设备的配对使用。
密码基础设施：主要部署数字证书系统、电子签章系统、时间戳服务器等。
2、移动互联网
随着移动互联网的普及，移动办公业务越来越多，安全形势异常严峻，密码作为信息安全的核心，加强密码保障系统的建设非常有必要。移动互联网密码保障系统主要分为四个部分，移动终端侧、传输网络、安全接入等。
终端安全：主要部署商密密码模块（TF卡、USB KEY、贴膜卡、软卡），为终端提供运行环境隔离，数据传输加密、数据存储加密（安全SDK）、应用安全获取等安全能力。
信道安全：采用商密SSLVPN协议和商密2/3/4算法保障业务数据在无线网络和公共网络上的安全通信。
接入安全：主要部署综合安全认证网关、终端安全管理系统、移动政务系统等。
服务端安全：服务端部署政务应用系统，也需要部署加解密设备，可参考物理机部署模式。
3、信创云模式
信创云已经成为政务建设的主流模式，用于承载各政务部门的公共服务、社会治理、政务审批等业务。云平台面临资源隔离、数据存储、数据共享、多租户、虚拟化等技术带来的安全问题，需要利用密码技术建立针对云租户、系统等基础资源的防护机制。
信创云密码应用的主要内容包括密码资源层、物理资源层、IaaS应用层、PaaS应用层、SaaS应用层等。另外考虑的云平台运维需求，需要对运维通道和运维人员进行加密处理和身份认证。在网络接入边界需要考虑VPN设备的部署，满足移动互联用户、外地分支及机构用户等加密接入的要求。涉及到主要密码设备有：云密码机、密钥管理系统、电子认证基础设施、数据库加密网关、存储加密、IPSEC/SLL VPN等。在终端还要部署国密浏览器、Ukey等。物理和环境层要部署符号国密要求的门禁系统，并对视频监控的内容进行完整性保护。
四、集成商定位分析
在目前的政务信息系统建设过程中，商密的应用涉及到多个层次，从物理环境的门禁系统到应用层身份认证、数据存储加密等。集成商作为政务信息系统的总集成单位，负责系统最终交付，集成商的技术水平和能力直接决定着商密应用的效果。
1、密码应用方案的撰写者
根据57号文的要求，商用密码保障系统应该随项目同步规划、同步建设、同步运行，并定期进行安全性评估。其中密码应用建设方案是前提条件，项目报批文件中应该含有经过专家评审后的密码应用建设方案。但是由于很多项目早于57号文颁布实施之前已经完成立项审批、招标等，集成中标单位会负责密码应用方案的撰写工作，作为后续项目建设和安全性评估的依据。密码应用方案一般包括密码应用解决方案、密码实施方案、密码应急处置方案三个部分。
2、密码产品的集成实施者
在系统实施过程中，集成商要根据密码应用方案的要求，完成设备的采购、部署、联调、测试、上线等工作。尤其是涉及到不同密码设备厂家的产品时，需要制定系统间调用的标准接口，并及时协调厂商进行信创化适配。
3、商密安全性评估的配合者
在商密安全性评估过程中，集成商要配合测评单位进行安全性评估，提供网络架构图和实施文档，评估商密测评对整个项目带来风险，制定应对措施，尽量避免对系统运行产生较大的影响。
五、项目策略分析
根据国家密码管理局【2020】119号函的要求，非涉密的国家政务信息系统应尽快开展密码应用建设与安全性评估工作。因此，需要根据项目所处的阶段，采用针对性的策略，满足国家相关的政策要求。
1、售前交流阶段的项目
对处于售前交流的项目，应该根据国家密码局的要求，在上报审批前，完成密码应用方案的编写、专家审核等工作，项目预算中不仅要包括密码应用安全性评估经费，还要包括密码应用建设经费，还要考虑关联系统的商密改造费用。
2、已经中标正在建设的项目
对处于正在建设中的项目，如果需要采购密码设备，建议采用项目变更进行处理，优先安排密码应用安全性评估的经费，对部分重要业务应用系统进行商密处理时要充分考虑加解密对系统性能的影响。
3、已经验收正在运维的项目
对于已经验收且正在运维的项目，要充分与建设单位沟通，明确商密应用和安全性评估的政策要求，促使建设单位尽可能另外立项，同时要根据商用密码应用安全性评估的要求，提前规划应用系统商密改造方案，明确项目改造实施工作量。
六、总结
随着商用密码相关等政策的颁布实施，政务信息化项目必然迎来商用密码应用和安全性评估的高峰期，存量项目需要商密改造，新建项目需要增加商密内容。作为集成商，一是要把握商密相关政策的要求，项目要合规建设。二是要掌握商密的技术，作为商密应用最关键的环节，集成商要负责将商密产品、服务等集成到业务应用系统中，要考虑对系统性能的影响。三是要加强与商密安全性评估单位的沟通，从安全测评的角度出发进行商密改造和商密保障系统的建设。
参考文献：
1、《中华人民共和国密码法》
2、国务院办公厅《国家政务信息化项目管理办法》（2019【57】号文）
3、国家密码管理局《商用密码管理条例（修订版）征求意见稿》
4、国家密码管理局《关于请进一步加强国家政务信息信息密码应用与安全性评估工作的函》（2020【119】号函）
5、中国密码学会《信息系统密码应用测评要求》等5项指导性文件
6、GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》
