水利密码应用基本要求（征求意见稿）.docx
附件3SLICSxxxxxxxCCSPxx中华人民共和国水利行业标准SLTXXX-20XX水利密码应用基本要求BasicRequirementsfortheApplicationofCryptographyinWaterResourcesSystems（征求意见稿）请将你们发现的有关专利的内容和支持性文件随意见一并返回20XX-XX-XX发布20XX-XX-XX实施中华人民共和国水利部发布、乙-J-BU三I1 .范围12 .规范性引用文件13 .术语与缩略语13.1.术语和定义11.2. 缩略语24 .通用要求35 .基本技术要求35.1.物理和环境安全35.2.网络和通信安全41.3. 设备和计算安全41.4. 应用和数据安全46 .典型业务扩展技术要求56. 1.水利工程控制系统57. 2.水利物联感知系统68. 3.水利大数据平台系统79. 4.水利模型平台系统87 .密码应用管理要求97.1. 1.管理制度97.2. 人员管理97.3. 建设运行107.4. 应急处置11附录A12附录B14附录C14-LX.1刖后根据水利技术标准制修订计划安排，按照GB/T1.1-2020标准化工作导则第1部分：标准化文件的结构和起草规则的要求，编制本标准。请注意本标准的某些内容可能涉及专利。本标准的发布机构不承担识别专利的责任。本标准批准部门：中华人民共和国水利部本标准主持机构：水利部信息中心本标准解释单位：水利部信息中心本标准主编单位：水利部信息中心本标准参编单位：本标准出版单位：中国水利水电出版社本标准主要起草人：本标准审查会议技术负责人：本标准体例格式审查人：本标准在执行过程中，请各单位注意总结经验，积累资料，随时将有关意见和建议反馈至水利部国际合作与科技司（通信地址：北京市西城区白广路二条2号；邮政编码：100053；电话：010-63204533；电子邮箱bzh；网址：jsjdlbzcx）。水利密码应用基本要求1 .范围本标准规定了网络安全等级保护为第一级、第二级和第三级的水利信息系统商用密码应用的基本要求，包括通用要求、基本技术要求、典型业务扩展技术要求和管理要求等。网络安全等级保护为第一级的水利信息系统，应按照GB/T39786第一级的要求开展密码应用。网络安全等级保护为第二级、第三级的水利信息系统应在GB/T39786的基础上，满足本标准要求。本标准适用于指导、规范水利信息系统密码应用的规划、建设、运行等。网络安全等级保护等级为第四级、第五级的水利信息系统，应遵循密码管理相关法律法规标准要求。列入关键信息基础设施的水利信息系统,还应满足关键信息基础设施密码使用管理有关规定。2 .规范性引用文件下列文件中的内容通过文中的规范性引用而构成本标准必不可少的条款。其中，凡是注日期的引用文件，仅该日期对应的版本适用于本标准；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本标准。GB/T35273信息安全技术GB/T37092信息安全技术GB/T39786信息安全技术GB/T43207信息安全技术个人信息安全规范密码模块安全要求信息系统密码应用基本要求信息系统密码应用设计指南SL/T803水利网络安全保护技术规范3 .术语与缩略语3.1. 术语和定义下列术语和定义适用于本标准。3.1.1.机密性confidentiaIity保证信息不被泄露给非授权实体的性质。来源:GB/T397862021,3.13.1.2.数据完整性dataintegrity数据没有遭受以非授权方式所作的改变的性质。来源:GB/T397862021,3.23.1.3.真实性authenticity一个实体是其所声称实体的这种特性。真实性适用于用户、进程、系统和信息之类的实体。来源:GB/T397862021,3.33.1.4.不可否认性no11-repudiation证明一个已经发生的操作行为无法否认的性质。来源:GB/T397862021,3.43.1.5.水利数据waterresourcesdata水事活动组织、个人在开展水利业务、提供水利服务以及日常运营管理过程中产生或获取的，任何以电子或者其他方式对信息的记录。注：如无特别说明，本标准所称水利数据均指通过网络收集、存储、使用、加工、传输、提供、公开的电子形式的水利数据。3.1.6.水利重要数据waterresourceskeydata达到一定精度和规模的，一旦被泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的水利数据。注：仅影响组织自身或公民个体的数据一般不作为重要数据。3 .1.7.数据安全datasecurity通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。来源:GB/T414792022,3.43.2. 缩略语下列缩略语适用于本标准。PLC：可编程逻辑控制器(ProgrammableLogicController)VPN：虚拟专用网络(VirtualPrivateNetwork)SSL：安全套接层(SecuritySocketlayer)IPSec：互联网安全协议(InternetProtocolSecurity)CPU：中央处理器(CentralProcessingUnit)GPU：图形处理器(GraPhiCSProcessingUnit)API：应用程序编程接口（ApplicationProgrammingInterface）4 .通用要求本项要求包括：a）应结合水利信息系统业务流程和数据资产等，开展密码应用方案设计，使用密码技术实现信息系统的机密性、完整性、真实性、不可否认性保护；b）密码应用应与信息系统同步规划、同步建设、同步运行；c）水利部本级、流域管理机构、省级水利部门、大型（含重要中型）水利工程管理单位等应统筹节约建设使用密码资源，按照SL/T803要求建设或共享统一密码服务。水利统一密码服务设计框架参见附录A；d）水利信息系统中使用的密码算法应符合GB/T39786通用要求中关于密码算法的要求；e）水利信息系统中使用的密码技术应符合GB/T39786通用要求中关于密码技术的要求；f）水利信息系统中使用的密码产品、密码服务应符合GB/T39786中关于密码产品、密码服务的要求；g）基本技术要求和典型业务扩展技术要求共同构成水利信息系统密码应用技术要求，水利信息系统无论以何种形式出现，应根据网络安全等级保护等级实现相应级别的基本技术要求;水利工程控制系统、水利物联感知系统、水利大数据平台系统、水利模型平台系统等典型业务，还应满足典型业务扩展技术要求。5 .基本技术要求5.2. 基础要求本项要求包括：a）应符合GB/T39786规定的密码应用基本要求中的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等方面技术要求；网络安全等级保护第二级、第三级水利信息系统密码应用基本技术要求简表参见附录B；b）信息系统中采用的密码产品应符合GB/T37092规定要求并具有商用密码产品认证证书，且第二级系统采用的密码产品应达到安全一级及以上要求，第三级系统采用的密码产品应达到安全二级及以上要求。5.3. 物理和环境安全本项要求包括：a）身份鉴别：第二级系统、第三级系统宜采用密码技术保护的电子门禁系统等，对进入物理机房等重要物理区域的人员进行身份鉴别，保证人员身份的真实性；b）电子门禁记录数据存储完整性：第二级系统可/第三级系统宜采用密码技术对电子门禁系统进出记录数据进行存储完整性保护；C）视频监控记录数据存储完整性：第三级系统宜采用密码技术对机房等重要物理区域的视频监控音像记录数据进行存储完整性保护。5.4. 网络和通信安全本项要求包括：a）身份鉴别：第二级系统宜/第三级系统应采用密码技术，对信息系统与外界交互的通信信道两端的通信实体进行身份鉴别，保证通信实体身份的真实性；b）通信过程重要数据机密性：第二级系统宜/第三级系统应采用密码技术，对通信过程中水利重要数据进行机密性保护；c）通信数据完整性：第二级系统可/第三级系统宜采用密码技术保证通信过程中数据的完整性;d）网络边界访问控制信息完整性：第二级系统可/第三级系统宜采用密码技术，对网络边界访问控制信息进行完整性保护；e）安全接入认证：第三级系统可采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入设备身份的真实性。5.5. 设备和计算安全本项要求包括：a）身份鉴别：第二级系统宜/第三级系统应采用密码技术，对登录设备的用户进行身份鉴别，保证用户的身份真实性；b）远程管理通道安全：第三级系统应采用密码技术建立安全的远程管理信息传输通道；c）访问控制信息完整性：第二级系统可/第三级系统宜采用密码技术，对系统资源的访问控制信息进行完整性保护；d）重要信息资源安全标记完整性：第三级系统宜采用密码技术保证设备中的重要信息资源安全标记的完整性；e）日志完整性：第二级系统可/第三级系统宜采用密码技术，对设备的日志记录进行完整性保护；f）重要可执行程序完整性和来源真实性：第三级系统宜采用密码技术，对重要可执行程序进行完整性保护，并对其来源进行真实性验证。5.6. 应用和数据安全本项要求包括：a）身份鉴别：第二级系统宜/第三级系统应采用密码技术，对登录用户进行身份鉴别，保证应用系统用户身份的真实性；b）访问控制信息完整性：第二级系统可/第三级系统宜采用密码技术保证信息系统应用的访问控制信息的完整性；C）重要信息资源安全标记完整性：第三级系统宜采用密码技术保证信息系统应用的重要信息资源安全标记的完整性；d）重要数据机密性：第二级系统宜/第三级系统应采用密码技术，对信息系统应用的重要数据在传输和存储过程中进行机密性保护；e）重要数据完整性：第二级系统、第三级系统宜采用密码技术，对信息系统应用的重要数据在传输和存储过程中进行完整性保护；f）不可否认性：在可能涉及法律责任认定的应用系统中，第三级系统宜采用符合法律法规相关要求的密码技术，实现数据原发行为和数据接收行为的不可否认性；g）个人敏感信息：应按照GB/T35273要求，对个人敏感信息采用加密等安全措施。6 .典型业务扩展技术要求6.2. 水利工程控制系统6.2.1 一般要求本项要求包括：a）本部分要求主要针对第三级水利信息系统，第一级、第二级系统可参考执行；b）在保证实时性的基础上，应全面加强水利工程控制系统中PLC、测控装置等下位机设备和工程师站、操作员站、采集服务器、应用服务器等上位机设备的密码应用；c）应采用密码技术，对水利工程控制系统机房、现地站、关键设备间等进行物理和环境安全保护；d）水利工程控制系统建设、升级、改造时，宜优先部署具有密码功能产品实现密码应用相关要求；e）各层级设备确需改造，但不具备改造能力的，可部署网关类密码产品实现保护。612网络和通信安全本项要求包括：a）水利工程控制系统中的上位机、下位机等设备互联访问时，应完成基于证书或其他身份证明的双向认证；b）设备之间传输的信息应采用密码技术进行完整性和机密性保护；c）水利工程控制系统
