GA/T 711-2007信息安全技術應用軟件系統(tǒng)安全等級保護通用技術指南

犐犆犛３５．０２０

犔０９

中華人民共和國公共安全行業(yè)標準

犌犃／犜７１１—２００７

信息安全技術

應用軟件系統(tǒng)安全等級保護通用技術指南

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犆狅犿犿狅狀狋犲犮犺狀犻狇狌犲犵狌犻犱犲狅犳狊犲犮狌狉犻狋狔犮犾犪狊狊犻犳犻犮犪狋犻狅狀狆狉狅狋犲犮狋犻狅狀犳狅狉

犪狆狆犾犻犮犪狋犻狅狀狊狅犳狋狑犪狉犲狊狔狊狋犲犿

２００７０８１３發(fā)布２００７１００１實施

中華人民共和國公安部發(fā)布

書

犌犃／犜７１１—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語、定義和縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４應用軟件系統(tǒng)基礎安全技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．１應用軟件系統(tǒng)風險分析和安全需求!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２應用軟件系統(tǒng)安全方案!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．３應用軟件系統(tǒng)環(huán)境安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．４應用軟件系統(tǒng)業(yè)務連續(xù)性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

４．５應用軟件系統(tǒng)及相應信息系統(tǒng)安全等級劃分!!!!!!!!!!!!!!!!!!!!!４

５應用軟件系統(tǒng)安全技術分等級要求!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１第一級用戶自主保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．１基礎安全技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．２安全功能技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．３ＳＳＯＡＳＳ自身保護要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．４ＳＳＯＡＳＳ設計和實現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．１．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２第二級系統(tǒng)審計保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．２．１基礎安全技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．２．２安全功能技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．２．３ＳＳＯＡＳＳ自身保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．２．４ＳＳＯＡＳＳ設計和實現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．２．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３第三級安全標記保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．１基礎安全技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．２安全功能技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．３ＳＳＯＡＳＳ自身保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

５．３．４ＳＳＯＡＳＳ設計和實現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

５．３．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

５．４第四級結構化保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

５．４．１基礎安全技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

５．４．２安全功能技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

５．４．３ＳＳＯＡＳＳ自身保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

５．４．４ＳＳＯＡＳＳ設計和實現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

５．４．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

５．５第五級訪問驗證保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

５．５．１基礎安全技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

Ⅰ

書

犌犃／犜７１１—２００７

５．５．２安全功能技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

５．５．３ＳＳＯＡＳＳ自身保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

５．５．４ＳＳＯＡＳＳ設計和實現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

５．５．５ＳＳＯＡＳＳ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

附錄Ａ（資料性附錄）應用軟件系統(tǒng)安全的有關概念說明!!!!!!!!!!!!!!!!!３２

Ａ．１應用軟件系統(tǒng)在信息系統(tǒng)中的位置!!!!!!!!!!!!!!!!!!!!!!!!３２

Ａ．２應用軟件系統(tǒng)安全在信息系統(tǒng)安全中的作用!!!!!!!!!!!!!!!!!!!!３２

Ａ．３關于應用軟件系統(tǒng)的業(yè)務連續(xù)性!!!!!!!!!!!!!!!!!!!!!!!!!３２

Ⅱ

犌犃／犜７１１—２００７

前言

本標準的附錄Ａ為資料性附錄。

本標準由公安部信息系統(tǒng)安全標準化技術委員會提出并歸口。

本標準起草單位：北京江南天安科技有限公司，北京思源新創(chuàng)信息安全資訊有限公司。

本標準主要起草人：吉增瑞、王志強、陳冠直、景乾元、宋健平。

Ⅲ

犌犃／犜７１１—２００７

引言

本標準為按照信息系統(tǒng)安全等級保護的要求設計和實現(xiàn)所需要的安全等級的應用軟件系統(tǒng)提供指

導，主要說明為實現(xiàn)ＧＢ１７８５９—１９９９所規(guī)定的每一個安全保護等級，應用軟件系統(tǒng)應達到的安全技術

要求。

應用軟件系統(tǒng)是信息系統(tǒng)的重要組成部分，是信息系統(tǒng)中對應用業(yè)務進行處理的軟件的總和。業(yè)

務應用的安全需求，是信息系統(tǒng)安全需求的出發(fā)點和歸宿。信息系統(tǒng)安全所采取的一切技術和管理措

施，最終都是為確保業(yè)務應用的安全。這些安全措施，有的可以在應用軟件系統(tǒng)中實現(xiàn)，有的需要在信

息系統(tǒng)的其他組成部分實現(xiàn)。

本標準是對各個應用領域的應用軟件系統(tǒng)普遍適用的安全技術要素的概括描述。不同應用領域的

應用軟件系統(tǒng)應根據(jù)需要選取不同的安全技術要素，以滿足其各自業(yè)務應用的具體安全需求。

本標準第４章，應用軟件系統(tǒng)基礎安全技術要求，是對應用軟件系統(tǒng)的每一個安全等級都適用的基

礎性安全技術要求的描述，包括：應用軟件系統(tǒng)風險分析和安全需求，應用軟件系統(tǒng)安全方案，應用軟件

系統(tǒng)環(huán)境安全，應用軟件系統(tǒng)業(yè)務連續(xù)性，以及應用軟件系統(tǒng)與相應信息系統(tǒng)安全等級劃分等。

本標準第５章，應用軟件系統(tǒng)安全技術分等級要求，以ＧＢ１７８５９—１９９９的五個安全等級的劃分為

基本依據(jù)，以ＧＢ／Ｔ２０２７１—２００６關于信息系統(tǒng)通用安全技術要求的等級劃分為基礎，對每一個安全等

級的應用軟件系統(tǒng)的安全技術要求進行描述，包括：基礎安全技術要求，安全功能技術要求，以及為實現(xiàn)

上述安全技術要求應用軟件系統(tǒng)安全子系統(tǒng)的自身保護、設計和實現(xiàn)及安全管理要求。其中，“加粗宋

體”表示在較高等級中比上一級增加或增強的內(nèi)容。

Ⅳ

犌犃／犜７１１—２００７

信息安全技術

應用軟件系統(tǒng)安全等級保護通用技術指南

１范圍

本標準規(guī)定了按照ＧＢ１７８５９—１９９９的五個安全保護等級的劃分對應用軟件系統(tǒng)進行安全等級保

護所涉及的通用技術要求。

本標準適用于按照ＧＢ１７８５９—１９９９的五個安全保護等級的劃分對應用軟件系統(tǒng)進行的安全等級

保護的設計與實現(xiàn)。對于按照ＧＢ１７８５９—１９９９的五個安全保護等級的劃分對應用軟件系統(tǒng)進行的安

全等級保護的測試、管理也可參照使用。

２規(guī)范性引用文件

下列文件中的條款通過本標準的引用而成為本標準的條款。凡是注日期的引用文件，其隨后所有

的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標準，然而，鼓勵根據(jù)本標準達成協(xié)議