摘要：本方案的建设范围是省级应急管理厅信息系统的密码应用建设，结合省级应急管理厅信息化建设实际情况，遵循国家商用密码测评要求，落实等级保护要求，根据应急管理行业安全体系，研究密码应用模式，构建以商用密码技术为支撑的安全环境，对应急管理行业信息系统进行全方位的商用密码技术的安全保障。

关键词：应急管理厅信息系统、等级保护、应急管理行业安全体系、卫星通信网、指挥信息网

1.概述

全国应急管理部门刚刚组建，各转隶单位信息化基础薄，远远不能满足应急管理工作需求，难以支撑一流大国应急管理体制。应急管理部印发的《应急管理部关于加快编制地方应急管理信息化发展规划的通知》、《2019年地方应急管理信息化实施指南》、《应急管理信息化2019年第一批地方建设任务书》为地方应急管理厅信息化建设提供了明确的目标和指导方法，为应急管理信息化工作的持续深入开展指明了方向。密码是保障网络安全的核心技术和基础支撑，在金融和重要领域取得了重要突破，在应急管理行业中应贯彻落实《网络安全法》、《密码法》、《商用密码管理条例》、《网络安全等级保护条例》、《关键信息基础设施安全保护条例》等法律和法规要求，积极促进密码产业、密码技术、密码产品、密码系统以及密码相关标准和应急管理行业应用的深度融合发展，发挥其不可替代的安全保障作用，进一步提升应急管理行业的安全保障能力和水平。

本方案的建设范围是省级应急管理厅信息系统的密码应用建设，结合省级应急管理厅信息化建设实际情况，遵循国家商用密码测评要求，落实等级保护要求，根据应急管理行业安全体系，研究密码应用模式，构建以商用密码技术为支撑的安全环境，对应急管理行业信息系统进行全方位的商用密码技术的安全保障。

2.需求分析

依据信息系统密码应用基本要求和等级保护相关政策规范要求，结合应急管理行业信息系统面临的安全风险，需要建设密码管理系统、省级RA中心、身份管理系统、权限管理系统，对全省密码资源进行体系化管理，为用户、各类设备及应用系统提供证书申请、注册、恢复、查询等功能，实现用户、设备及应用的全网互信互认提供基础支撑。同时，卫星通信网、无线通信网和上下级指挥信息网中的数据都要通过省级指挥信息网传输到政务云平台，需通过VPN密码技术对网络数据进行加密传输；云平台上的应急管理行业信息系统承载大量的敏感信息，需要通过密码技术对数据进行机密性保护和完整性保护，防止敏感数据被非法获取、篡改、破坏、重放；当重要的数据被存储时，需要对其进行加密和完整性保护，防止信息被非法泄露和篡改。

3.方案架构

1 

2 

3 

3.1．技术架构

从技术层面构建应急管理行业密码保障体系，实现应急管理行业信息系统的安全防护，综合保障应急管理行业业务应用的安全。从密码基础支撑、密码服务支撑、密码监管、政务云上应急管理业务密码应用、区域边界安全密码应用、安全通信网络密码应用、用户终端密码应用等几个层面组成应急管理行业密码应用的总体框架。其总体框架如下如所示。

密码基础支撑由密码管理系统、省级RA中心、权限管理系统和身份管理系统，对应急管理行业密码应用提供基础支撑环境。

密码服务支撑是指在密码支撑的基础上，提供统一认证、授权管理、访问控制、单点登录等信任服务。

密码监管主要指对密码设备、密码算法、密钥的监控和管理。

政务云上应急管理业务密码应用主要包括用户访问业务应用时的身份认证、授权管理、数据存储安全、数据共享安全等。政务云上应急管理业务密码应用与政务云平台自身的密码应用是相互独立的。

区域边界密码应用用于实现边界的隔离、身份识别，是进入云平台计算环境的第一道门户，其密码应用主要表现在访问者身份可信、访问权限的合法、以及保障资源节点可信等几个方面。

安全通信网络密码应用指在远程传输过程中，保障数据在传输过程中的安全防护性、完整性。

用户终端密码应用主要是指应急管理厅及其隶属单位PC端的密码应用和移动终端密码应用。

图3总体架构图

3.2.产品部署

应急管理行业建设有指挥信息网、无线通信网和卫星通信网，指挥信息网与上下级指挥信息网、其他转隶单位之间互联互通，通过IPsec VPN设备，实现传输链路加密，保障网络传输安全。

卫星通信网中仅考虑信息落地后的传输安全，通过在卫星车载站、卫星便携机和卫星固定站上采用IPsec VPN设备，保障卫星通信网的传输安全。

无线通信网中部署密码服务管理平台，在移动终端上采用密码软卡，并通过SSL VPN进行网络接入身份鉴别，实现移动终端与指挥信息网之间的安全防护。

在政务云平台采用密码管理系统、电子认证系统、身份管理系统、权限管理系统。采用数据加密系统、数据标签系统，保障业务应用的数据安全。

3.3.主要功能

1)   密码管理系统

省应急管理厅在政务云上新建密码管理系统，实现对省应急管理厅密码资源和密码应用的管理。密码管理系统利用密码技术保障密钥全生命周期的安全，通过密码管理系统为省级RA中心以及业务系统建立完整的密钥管理系统，满足以非对称密钥体系和对称密钥体系为主的密钥管理要求。同时，密码管理系统的建设、管理、使用等过程都应当符合相关规范要求，需要对密码设备的运行进行管理，并接受相关主管部门的监督管理。

2)  省级RA中心

省应急管理厅在政务云平台上建设省级RA中心，负责管理本级和下级用户的数字证书，提供电子认证服务，代理证书签发系统完成本地和下级单位用户证书的注册、审核以及制证等管理工作，通过电子认证目录服务和状态查询系统为本地业务系统提供证书信息服务。为应急管理厅各级实体用户、设备及应用签发唯一可信的网络“身份证”，用以识别各类网络实体身份的真实、有效。有业务需求的其他转隶单位可建立业务受理点（LRA），提供本地用户证书申请、下载制证等功能。

3)  身份管理系统

身份管理系统依托密码管理系统和省级RA中心对外提供面向用户、终端、应用的身份认证能力，为业务应用系统提供用户身份认证服务、用户实名验证服务、应用身份认证服务，确保用户访问应用系统时用户身份、应用身份的真实性。并能够颁发身份票据，将分散用户进行统一集中的管控，实现基于身份票据的全网统一认证、跨域条件下的信任传递、统一门户的单点登录，以及应用系统通过简单改造实现应用认证和应用层访问控制，确保用户访问应用系统时用户身份、应用身份的真实性。在认证接入过程中，支持数字证书，生物特征、电子凭证等多模式身份鉴别，结合统一身份管理的身份信息同步，对用户、应用进行有效性验证及身份鉴别，并全网同步认证信息，实现统一用户身份认证服务。

4)权限管理系统

权限管理系统根据所需资源对应用访问或网络接入等请求生成权限信息，访问控制系统基于策略下载权限信息进行访问控制，系统发布鉴权服务为访问控制系统提供在线鉴权鉴别功能。系统支持属性授权、角色授权等授权模型，按照应用场景需求，提供直接授权、委托授权等需求功能。

5)IPSEC VPN

应急指挥信息网与卫星通信网、无线通信网、上下级指挥信息网和其他转隶单位互联互通，通过在网络边界处识别用户访问请求、节点接入请求，提供访问控制和传输加密机制，保证网络通信安全，提供网络边界防护。采用基于国产密码算法的VPN的方式，对链路上传输的所有信息进行全程加密。

6)数据加密系统

构建应急管理厅数据安全存储环境，为政务云和大数据中心的重要政务业务数据提供透明加密服务，保障数据安全存储和可信访问，对电子政务云虚拟主机镜像、重要业务数据和涉及个人隐私数据进行加密存储和完整性检测的数据安全防护。

7)数据标签系统

数据标签系统包括数据标签条件、数据标签服务子系统和数据标签管理子系统。通过数据标签系统可有效的识别数据流转双方的身份，明确数据流向，界定数据责任，保障数据流转过程中的可识别、可追溯和可监管。

4.方案特色

1)  全面合规

•        终端安全、传输加密、接入认证与访问控制、数据存储加密多层防护手段；

•        符合等级保护三级要求及商用密码测评要求。

2)    商密应用

•        身份认证、数据传输保护、数据存储保护全部采用商密算法；

•        采用的密码产品和技术合规，遵循信息系统商用密码应用要求。

成都卫士通信息安全技术有限公司

联系人：吴晓鹏

电  话：13981810123