安全通信网络技术测评要求项

        1.网络架构-网络区域划分、带宽处理能力保证、优先处理和硬件冗余

        1-0/2-2/3-5/4-6

        a）应划分不同的网络区域，并分配地址

        b）应避免将重要网络区域部署在边界处，重要网络区域与其他网络域应采取可靠的技术隔离手段

        c）应保证网络设备的业务处理能力满足业务高峰期需要

        d）应保证网络各个部分的带宽满足业务高峰期要求

        e）应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性

        f）应按照业务服务的重要程度分配带宽，优先保障重要业务

        测评实施要点：

        1）为保证系统的可用性，对网络设备、安全设备及网络带宽等进行性能监控（CPU、内存、存储空间、带宽等）

        2）划分不同网络区域，为各网络区域分配地址，不同网络区域之间应采取边界防护措施

        3）避免将重要网络区域部署在边界处

        4）采用冗余技术设计网络架构，有效增强网络的可靠性

        5）保证重要业务系统的连续性，应按照业务系统的重要程度和优先级进行带宽分配，从而保证在网络出现拥堵时优先保障重要业务。

        2.通信传输-通信完整性保密性、通信主体身份认证和硬件密码模块

        1-1/2-1/3-2/4-4

        a）应采用校验技术保证通信过程中数据的完整性

        a+）应采用校验技术或密码技术保证通信过程中数据的完整性

        a++）应采用密码技术保证通信过程中数据的完整性

        b）应采用密码技术保证通信过程中数据的保密性

        c）应在通信前基于密码技术对通信的双方进行验证或认证

        d）应基于硬件密码模块对重要通信过程进行密码运算和密钥管理

        测评实施要点：

        1）通信过程中需要完整性保护的数据包括但不限于：鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

        2）通信过程中需要机密性保护的数据包括但不限于：鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

        3）在通信双方建立连接之前，应利用密码技术进行会话初始化验证或认证

        4）要求采用硬件密码模块对重要通信过程进行密码运算和密钥管理

        3.可信验证-基于可信根对通信设备的系统引导程序、系统程序、重要配置参数、通信应用程序等进行可信验证

        1-1/2-1+/3-1++/4-1+++

        a）对通信设备的系统引导程序、系统程序等进行可信验证并在检测到其可信息性受到破坏后进行报警

        a+）对通信设备的系统引导程序、系统程序等进行可信验证并在检测到其可信息性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

        a++）对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证并在应用程序的关键执行环节进行动态可信验证，在检测到其可信息性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

        a+++）对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证并在应用程序的所有执行环节进行动态可信验证，在检测到其可信息性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心，并进行动态关联感知

        测评实施重点：

        1）核查是否已基于可信根对通信设备的重要组件程序等进行可信验证

        2）核查是否在应用程序的关键执行环节进行动态可信验证

        3）测试验证当检测到通信设备的可信性受到破坏时是否进行报警

        4）测试可信验证结果是否以审计记录的形式送至安全管理中心