| 失效链接处理 |
|
2020商用密码PGGC指南 PDF 下载
本站整理下载：
相关截图：
主要内容：
范围
本指南详细描述了商用密码应用安全性评估的主要活动和任务，包括测评准备活动、方
案编制活动、现场测评活动、分析和报告编制活动，适用于规范商用密码应用安全性测评机
构（以下简称“测评机构”）在商用密码应用安全性评估工作中的测评过程。本指南所涉及
的“测评”，若无特殊说明，均指商用密码应用安全性评估相关的测评活动。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本
适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB 17859 计算机信息系统安全保护等级划分准则
GB/T 20984 信息安全技术 信息安全风险评估规范
GB/T 22239 信息安全技术 信息系统安全等级保护基本要求
GB/T 22240 信息安全技术 信息系统安全等级保护定级指南
GB/T 28449 信息安全技术 信息系统安全等级保护测评过程指南
GM/Z 4001-2013 密码术语
GM/T 0054-2018 信息系统密码应用基本要求
信息系统密码测评要求（试行）
3 术语和定义
GB/T 20984、GM/Z 4001-2013、GM/T 0054-2018和《信息系统密码测评要求（试行）》
确立的以及下列的术语和定义适用于本文件。
3.1
优势证据 superior evidence
对单一测评项实施测评过程中获得的多个测评结果之间存在矛盾，且都没有足够的证据
否定与之矛盾的测评结果的，则测评结果的证明力明显大于其他测评结果的证明力的那个
（些）测评结果即为优势证据。
4 概述
4.1 基本原则
a) 客观公正原则
2
测评实施过程中测评人员应保证在最小主观判断情形下，按照测评双方认可的测评方案，
基于明确定义的测评方式和解释，实施测评活动。
b) 经济性和可重用性原则
测评工作可重用已有测评结果，包括商用密码安全产品检测结果和商用密码应用安全性
评估测评结果。所有重用结果都应以结果适用于待测系统为前提，并能够客观反映目前系统
的安全状态。
c) 可重复性和可再现性原则
依照同样的要求，使用同样的测评方法，在同样的环境下，不同的测评机构对每个测评
实施过程的重复执行应得到同样的结果。可重复性和可再现性的区别在于，前者与同一测评
者测评结果的一致性有关，后者则关注不同测评者测评结果的一致性。
d) 结果完善性原则
在正确理解《信息系统密码应用基本要求》各个要求项内容的基础之上，测评所产生的
结果应客观反映信息系统的运行状态。测评过程和结果应服从正确的测评方法，以确保其满
足要求。
4.2 测评风险控制
测评工作的开展可能会给被测系统带来一定风险，测评机构应在测评开始前及测评过程
中及时进行风险识别及分析，对可能发生的风险采取有效措施，以规避风险或降低风险产生
带来的影响。可能面临的风险如下：
a) 验证测试影响系统正常运行
在现场测评时，需对设备和系统进行一定的验证测试工作，部分测试内容需上机查看信
息，可能对系统的运行造成不可预期的影响。
b) 工具测试影响系统正常运行
在现场测评时，根据实际需要可能会使用一些测评工具进行测试。测评工具可能会产生
冗余数据写入，同时可能会对系统的负载造成一定的影响，可能对信息系统中的服务器和网
络通讯造成一定影响甚至伤害。
c) 敏感信息泄漏
泄漏被测系统信息，如加密机制、业务流程、安全隐患和有关文档信息。
d) 其他可能面临的风险
其他可能在测评过程中影响信息系统可用性、机密性和完整性的风险。
|
| Java1234官方群25： | 
|
| Java1234官方群25： | 838462530 |
苏公网安备 32061202001004号
