DB32/T 5073.2-2025 政务“一朵云”安全管理体系规范 第2部分：密码应用技术要求
- 文件大小：597.67 KB
- 标准类型：综合地方标准
- 标准语言：中文版
- 文件类型：PDF文档
- 更新时间：2025-05-18
- 下载次数：
- 标签：
资料介绍
江苏省地方标准 DB32/T 5073.2-2025 主要内容总结
一、标准概述
该标准是政务“一朵云”安全管理体系规范的第二部分，聚焦密码应用技术要求，旨在构建以商用密码为核心的云安全体系，规范政务云在密码基础设施、资源池、管理平台及业务应用中的技术要求，提升政务云安全防护能力。
二、适用范围
- 适用对象：政务云密码应用建设，涵盖用户终端、网络边界、应用系统及数据安全。
- 核心目标：确保密码技术合规应用，满足机密性、完整性、真实性和不可否认性需求。
三、总体架构
政务云密码应用体系分为四层：
- 密码基础设施：提供电子认证、密钥管理等基础服务。
- 密码资源池：整合物理/虚拟密码资源，提供加解密、签名验签等服务。
- 密码资源管理平台：统一管理密码设备、服务配置及监测告警。
- 密码应用层：覆盖终端、网络边界及业务系统的密码技术应用。
四、基本要求
-
产品技术合规性：
- 使用国家密码管理部门批准的商用密码算法（如SM2/SM3/SM4）和产品。
- 第三方认证机构需具备《电子认证服务许可证》。
-
物理与环境安全：
- 机房采用生物识别门禁系统（指纹/人脸）或符合GM/T 0036的非接触卡门禁。
- 视频监控记录需通过MAC机制保护完整性。
-
网络与通信安全：
- 通信实体需双向身份鉴别，采用TLSv1.1、TLCP或IPSec等安全协议。
- 重要数据传输需加密（如SM4），完整性通过SM3杂凑算法保护。
-
设备与计算安全：
- 服务器、数据库、堡垒机等设备需密码技术实现身份鉴别（如数字证书）。
- 可执行程序与访问控制信息需完整性保护（如HMAC-SM3）。
五、密码基础设施要求
-
电子认证服务：
- 遵循《电子政务数字证书格式规范》，提供证书签发、查询、撤销服务。
- 支持数字签名验签、时间戳及电子签章功能。
-
密钥管理：
- 全生命周期管理（生成、分发、存储、备份、销毁），符合GM/T 0038/0050/0051。
- 密钥生成需通过认证的随机数发生器，分发采用加密传输或物理介质。
六、密码资源池要求
-
服务功能：
- 提供数据加解密、完整性验证、签名验签、时间戳等标准化服务接口。
- 支持敏感字段、文件/对象及数据库加密，算法符合国密标准。
-
性能指标：
- 响应时间：根据业务需求动态扩容，确保服务响应在阈值内。
- 负载能力：支持负载均衡，通过HPS/TPS/QPS衡量处理能力。
- 并发能力：高并发下保障业务连续性，多集群服务互不影响。
七、密码资源管理平台要求
- 功能模块：
- 设备管理（IP/集群）、服务配置（流量控制/黑白名单）。
- 运行监控（日志/成功率）、租户管理（权限/密钥分配）。
- 安全监测（合规性/异常行为）与告警（风险识别/态势分析）。
八、密码应用要求
-
业务终端：
- 使用智能密码钥匙、安全浏览器等实现身份鉴别与数据保护。
-
网络边界：
- 部署SSL/IPSec VPN、安全网关，保障通信实体鉴别与数据机密性。
-
业务应用：
- 遵循GB/T 39786制定密码应用方案，调用密码服务接口保护数据传输/存储。
- 数据库、中间件等需集成密码技术，重要数据加密存储（如SM4）。
九、附录补充
- 密码协议与算法（附录A）：明确TLS/IPSec等协议的应用场景及算法要求（如SM4加密、SM3完整性保护）。
- 密钥管理方式（附录B）：
- 对称密钥（传输加密密钥）通过非对称加密分发，存储于易失介质。
- 非对称密钥（签名/加密）由CA生成，私钥存储于密码设备，公钥以证书形式分发。
- 保护对象与需求（附录C）：
- 涵盖身份鉴别信息、业务数据、日志记录、访问控制等，需满足机密性、完整性及不可否认性。
十、实施意义
- 通过统一密码技术标准，提升政务云安全防护能力，符合《密码法》及《商用密码管理条例》要求。
- 为江苏省政务云建设提供技术支撑，保障政务数据安全与业务连续性。