信创与密码应用论坛（杭州）-王世晞《世平信息商用密码应用检查系统发布》（17页）.pdf

《信创与密码应用论坛（杭州）-王世晞《世平信息商用密码应用检查系统发布》（17页）.pdf》由会员分享，可在线阅读，更多相关《信创与密码应用论坛（杭州）-王世晞《世平信息商用密码应用检查系统发布》（17页）.pdf（17页珍藏版）》请在三个皮匠报告上搜索。

1、世平信息商用密码应用检查系统发布Crypto Inspesction System王世晞董事长/CEO杭州世平信息科技有限公司Shiping Information Technologies Co.,Ltd.2022WESTLAKECYBERSECURITYCONFERENCECONTENTS目 录01.产品背景02.产品介绍01产品背景应对法规要求，形成检查监管01.产品背景-密码应用背景密码是重要领域网络和信息系统关键设备自主可控的必选项，不用密码，或者不用自主可控的密码，就好比一个房子，其他部分建得再牢，但锁是简易锁，或者钥匙是别人的，不可能安全可控。重要性主席令五十三号中华人民共和国网

2、络安全法主席令三十五号中华人民共和国密码法主席令二十八号中华人民共和国保守国家秘密法操作性基础性密码技术网络安全监管方：商用密码应用监管检查测评方：商用密码应用安全性评估建设方：商用密码应用安全性自查数据安全应用安全01.产品背景-商用密码应用现状2018年商用密码应用安全性评估联合委员会对一万余个等保三级及以上的信息系统进行普查结果显示，超过75%的系统没有使用密码，存在巨大安全风险。密码应用普及度些单位重信息化建设、轻信息安全保护，普查中对第一批118个重要领域的信息系统进行安全性测评发现，不符合规范的比例达到85%。密码应用合规度现有量应用系统依旧在使MD5、SHA-1、RSA-512、

3、RSA-1024、DES等已被警示有险的密码算法，应系统未按规范要求使密码服务或者错误调密码应接。密码应用安全度01.产品背景-法律要求二十七条：法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当自行或者委托商用密码检测机构开展商用密码应用安全性评估。中华人民共和国密码法三十一条：密码管理部门和有关部门建立日常监管和随机抽查相结合的商用密码事中、事后监管制度，建立统一的商用密码监督管理信息平台。密评及自评法律依据常态化检查法律依据01.产品背景-需求分析亟需有一款可以对密码应用建设单位现场检查的工具，对建设单位商用密码应用与安全性是否合规得出定性判断。各级密码

4、行政管理部门对各种密码应用场景进行技术分析，并依据商用密码应用安全性评估量化评估规则生成定量报告。各密评机构依据商用密码应用安全性评估量化评估规则进行自评，查漏补缺，得出差距分析报告，进而方便进行针对性的密码体系建设方案的设计。各级机关单位监管方测评方建设方非涉密的关键信息基础设施、网络安全等级保护第三级以上网络、国家政务信息系统等网络与信息系统。01.产品背景-对象和目标检查对象检查目的 商用密码管理条例（征求意见稿）核查检查对象在日常工作中是否正确使用商用密码；自行开展的商用密码应用安全性评估是否准确；帮助密码行政管理部门履行法律所赋予的日常监督和随机抽查职能。02产品介绍聚焦高风险项，快

5、速检查分析02.产品介绍-产品定位SIMP-CIS商用密码应用检查系统检查对象：政务信息系统密码应用检查内容：信息系统商用密码应用安全性评估相关标准要求信息收集资产发现一款依据国家法律规范，结合商用密码应用安全检查实际工作经验开发的自动/半自动软硬件检查工具。技术检查与分析检查报告生成02.产品介绍-技术架构用户界面端口监听特征识别服务探视特征库数据识别证书校验用户界面算法校验流量获取疑似检查数据解析问询表单用户角色数据权限数据规则安全策略登录认证功能权限系统日志流量解析证书还原端口识别数据包分析特征识别数据包检测主机数据库网络内容存储特征识别算法引擎接口检查解密还原应用解析数据保护检查报告应

6、用输出应用插件流量分析子模块权限管理基础平台应用解析子模块组件管理检查应用底层平台02.产品介绍-检查内容依据信息系统密码应用高风险判定指引重点检查信息系统密码应用过程中可能存在的高风险且无缓解措施的安全问题机密性是否使用加密技术保障数据传输安全通道安全是否采用指定国密算法保障VPN隧道安全安全性是否采用存在非安全协议或密码技术（TLS1.0等）身份验证是否采用密码技术对登录设备、通信双方的用户进行身份鉴别随机性验证被加密数据是否满足随机性算法验证02.产品介绍-主要功能02验证被检查系统生成或使用的证书格式是否符