信息安全等级保护商用密码管理办法实施意办法

《信息安全等级保护商用密码管理办法实施意办法》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、国家密码管理局文件国密局发[2009]10号关于印发《<信息安全等级保护商用密码管理办法>实施意见》的通知各省、自治区、直辖市密码管理局，新疆生产建设兵团密码管理局，深圳市密码管理局：为配合《信息安全等级保护商用密码管理办法》(国密局发[2007]11号)的实施，进一步规范信息安全等级保护商用密码管理工作，我局研究制定了《<信息安全等级保护商用密码管理办法>实施意见》。现印发你们，请认真贯彻执行。执行中的意见和建议，请及时向我局反馈(联系电话：010-59703637)。2009年12月15日主题词：商用密码等级保护实施意

2、见通知抄送：公安部十一局、工业和信息化部信息安全协调司、国家保密局中央和国家机关各部委，国务院各直属机构。国家密码管理局办公室2009年lo月29日印发(共印l000份)《信息安全等级保护商用密码管理办法》实施意见为了配合《信息安全等级保护商用密码管理办法》(国密局发[2007]11号)的实施，进一步规范信息安全等级保护商用密码管理工作，特提出以下意见。一、使用商用密码对信息系统进行密码保护，应当严格遵守国家商用密码相关政策和标准规范。二、在实施信息安全等级保护的信息系统中，商用密码应用系统是指采用商用密码产品或者含有密码

3、技术的产品集成建设的，实现相关信息的机密性、完整性、真实性、抗抵赖性等功能的应用系统。三、商用密码应用系统的建设应当选择具有商用密码相关资质的单位。四、使用商用密码开展信息安全等级保护应当制定商用密码应用系统建设方案。方案应当包括信息系统概述、安全风险与需求分析、商用密码应用方案、商用密码产品清单、商用密码应用系统的安全管理与维护策略、实施计划等内容。五、第三级以上信息系统的商用密码应用系统建设方案应当通过密码管理部门组织的评审后方可实施。中央和国家机关各部委第三级信息系统的商用密码应用系统建设方案，由信息系统的责任单位向

4、国家密码管理部门提出评审申请，国家密码管理部门组织专家进行评审。设有密码管理部门的中央和国家机关部委，其第三级信息系统的商用密码应用系统建设方案可由本部门密码管理部门组织专家进行评审。各省(区、市)第三级信息系统的商用密码应用系统建设方案，由信息系统的责任单位向所在省(区、市)密码管理部门提出评审申请，所在省(区、市)密码管理部门组织专家进行评审。第四级以上信息系统的商用密码应用系统建设方案，由信息系统的责任单位向国家密码管理部门提出评审申请，国家密码管理部门组织专家进行评审。六、第三级以上信息系统的商用密码应用系统建设必

5、须严格按照通过评审的方案实施。需变更商用密码应用系统建设方案的，应当按照上述第五条的要求重新评审，评审通过后方可实施。七、使用商用密码实施信息安全等级保护，选用的商用密码产品应当是国家密码管理部门准予销售的产品；选用的含有密码技术的产品，应当是通过国家密码管理部门指定测评机构密码测评的产品。八、第三级以上信息系统的商用密码应用系统，应当通过国家密码管理部门指定测评机构的密码测评后方可投入运行。密码测评包括资料审查、系统分析、现场测评、综合评估等。信息系统的责任单位应当将测评结果报相应的密码管理部门备案。九、第二级以上信息系

6、统的责任单位，应当填写《信息安全等级保护商用密码产品备案表》，并按照《信息安全等级保护商用密码管理办法》的要求进行备案。十、第三级以上信息系统的责任单位，应当建立完善的商用密码使用管理制度，保障商用密码应用系统的安全运行。按照密码管理部门的要求办理相关事项。十一、第三级以上信息系统发生重大变更时，信息系统的责任单位应当将变更情况及时报相应的密码管理部门，并按照密码管理部门的要求办理相关事项。十二、第三级以上信息系统的商用密码应用系统需要由责任单位以外的单位负责日常维护的，应当选择具有商用密码相关资质的单位。十三、第三级以上

7、信息系统的责任单位，应当积极配合密码管理部门组织开展的商用密码检查工作。十四、使用商用密码实施信息安全等级保护，应当符合《信息安全等级保护商用密码技术实施要求》(附后)。十五、本意见施行前已建成的第三级以上信息系统的商用密码应用系统，应当按照本意见第八条的要求进行密码测评，并根据密码测评意见实施改造。十六、本意见所称“以上”包含本级。附件：《信息安全等级保护商用密码技术实施要求》信息安全等级保护商用密码技术实施要求国家密码管理局2009年引言8第一章第一级信息系统商用密码技术实施要求91.1商用密码技术基本要求91.1.1

8、功能要求91.1.1.1真实性91.1.1.2完整性91.1.2密钥管理要求91.1.3密码配用策略要求91.1.4密码实现机制要求91.1.5密码安全防护要求91.2商用密码技术应用要求101.2.1物理安全101.2.2网络安全101.2.3主机安全101.2.4应用安全101.2.5数据安全及备份