GM_T 0115-2021 信息系统密码应用测评要求.docx

ICS35.040CCSL80

中华人民共和国密码行业标准

GM／T0115—2021

信息系统密码应用测评要求

Testingandevaluationrequirementsforinformationsystemcryptographyapplication

2021-10-19发布2022-05-01实施

国家密码管理局发布

Ⅰ

GM／T0115—2021

目次

前言 Ⅲ

1范围 1

2规范性引用文件 1

3术语和定义 1

4概述 1

5通用测评要求 3

5.1密码算法合规性 3

5.2密码技术合规性 3

5.3密码产品合规性 3

5.4密码服务合规性 4

5.5密钥管理安全性 4

6密码应用技术和密码应用管理测评要求 4

6.1物理和环境安全 4

6.2网络和通信安全 6

6.3设备和计算安全 8

6.4应用和数据安全 11

6.5管理制度 14

6.6人员管理 17

6.7建设运行 19

6.8应急处置 21

7整体测评要求 23

7.1概述 23

7.2单元间测评 23

7.3层面间测评 23

8风险分析和评价 23

9测评结论 24

附录A（资料性）密钥生存周期管理检查要点 25

附录B（资料性）典型密码产品应用测评技术 29

附录C（资料性）典型密码功能测评技术 31

参考文献 33

Ⅲ

GM／T0115—2021

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由密码行业标准化技术委员会提出并归口。

本文件起草单位：国家密码管理局商用密码检测中心、中国科学院数据与通信保护研究教育中心、公安部三所（公安部信息安全等级保护评估中心）、上海交通大学、中国电子科技集团第十五研究所（信息产业信息安全测评中心）、国家信息技术安全研究中心、深圳市网安计算机安全检测技术有限公司、北京信息安全测评中心、山东道普测评技术有限公司。

本文件主要起草人：肖秋林、罗鹏、马原、陈天宇、郑窻昱、银鹰、张立花、吕娜、黎水林、刘健、杨宏志、吴冬宇、李晨旸、张晓溪。

1

GM／T0115—2021

信息系统密码应用测评要求

1范围

本文件规定了信息系统不同等级密码应用的测评要求，从密码算法合规性、密码技术合规性、密码产品合规性、密码服务合规性以及密钥管理安全性等方面，提出了第一级到第五级的密码应用通用测评要求；从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个技术层面提出了第一级到第四级的密码应用技术测评要求；从管理制度、人员管理、建设运行和应急处置等四个管理方面提出了第一级到第四级的密码应用管理测评要求，并给出了整体测评、风险分析和评价、测评结论等测评环节的要求。

本文件适用于指导、规范信息系统密码应用在规划、建设、运行环节的商用密码应用安全性评估工作。

注：第五级密码应用测评要求只在本文件中描述通用测评要求。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。

GB/T39786—2021信息安全技术信息系统密码应用基本要求

GM/Z4001密码术语

3术语和定义

GB/T39786—2021和GM/Z4001界定的以及下列术语和定义适用于本文件。3.1

商用密码应用安全性评估人员commercialcryptographyapplicati