安全合规！专有云发布“云平台商用密码应用解决方案”

专有云产品中心联合腾讯安全云鼎实验室发布“云平台商用密码应用解决方案”，本方案面向最新实施的国标 GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》标准3级要求，并通过了第三方认证评测机构的评测。该方案可有效化解行业客户对业务上云过程中的密码安全应用合规压力，并以领先的数据安全能力支撑客户云上应用系统的整体安全，让客户可专注于云上应用，成就业务价值。

解决方案的价值

2021年12月，中国密码学会发布《信息系统密码应用高风险判定指引》等4项密码应用与安全性评估指导性文件。其中明确指出：云上应用系统所处的云平台通过密评（即获得“符合”或“基本符合”的结论）后，云上应用系统才能通过密评。并且，云上应用系统所处的云平台的安全级别应不低于云上应用系统。

因此可见，云平台的商密改造工作，将成为未来行业用户业务上云数据安全保护以及密码应用监管的重中之重。

专有云是一类源自腾讯公有云技术栈的私有云产品，其主要面对的是中、大规模的行业云（团体云）及大型企业私有云应用场景。构建合规的国密应用方案框架，对保障重点行业客户的云平台安全与合规具有重大意义。

解决方案的架构

对于一个综合性云平台来说，TCE 由租户端、运营端、TCS 容器底座、大量云服务产品，以及网络、安全设备、服务器等组件组成。云平台涉及的产品和服务众多，云平台的整体密码改造难度不是单个产品和单个服务的数量乘积，而是需要从全局架构统一规划，构建数据全链路的机密性和完整性保护方案。

我们在密码改造过程中，重点针对以下合规要点进行了方案规划：

• 关键点是否采用密码技术进行保护：关键数据加密存储、完整性保护、重要角色强身份认证登录、HTTPS 加密通道、数据交换加密、系统管理配置信息加密（帐号口令等）
• 密码算法/技术是否满足防护要求：所采用的算法是否经过论证，是否符合国密局、行业监管的要求，算法应用是否得当（如：避免摘要算法当加密算法、避免采用 RSA1024 以下位数算法等）
• 密码设备及服务是否具备资质：密码产品、密码服务、密钥管理是否采用了具有商用密码产品认证产品，包括加解密运算设备、Ukey 等。（比如：国标3级合规要求中，密码运算需要交由至少2级密码模块进行）

腾讯专有云企业版 Tencent Cloud Enterprise（Tencent TCE）商用密码应用解决方案

TCE 云平台通过构建安全中间件、平台密钥管理系统两层架构，前者进行安全合规能力的统一封装，进行国密、非国密等不同密码算法的适配，并支持未来更多能力扩展；后者应用腾讯云鼎实验室的密码合规方案及产品，进行密码能力、异构密码产品的适配，保证密码运算严格运行在密码产品中，并支持密钥生命周期管理。同时，方案整合自研及业界密码模块、密码产品生态，构建自主可控的数据安全保护方案。

方案具备以下特点：

• 云平台业内高分通过相关第三方评测
• 全面应用符合国标3级要求的密码产品
• 支持密钥生命周期管理
• 高度统一的合规密钥、算法基础能力

自主可控

• 采用腾讯自研 TencentSM 国密密码模块
• 采用腾讯自研国密浏览器
• 整合国产合规密码生态产品（KMS、密码机、OTP Server、国密 VPN 设备、令牌、Ukey、CA 证书）

开放性

• 支持多厂商异构密码机适配兼容
• 支持合规优先、成本优先两种国密密码方案，支撑各阶段行业国密监管要求及演进能力
• 支持商密、非商密(国际算法)算法能力，助力客户海外业务
• 未来支持多厂商异构密码管理平台适配兼容

高可用性

• 关键密码组件高可用部署
• 支持多 Region、多 AZ 容灾能力
• 与云上应用密码应用方案安全隔离

解决方案的应用

• 业务应用安全上云场景 要求对应用所在云平台进行商用密码安全性评估的场景
• 分阶段建设密码合规场景 一期要求具备基本国密能力，二期要求通过商用密码安全性评估，分阶段建设的场景
• 设备利旧场景 充分利旧现网已有的密码机，同时支撑云平台数据安全，防止重复建设。

结语

专有云平台商用密码应用解决方案，可有力地支撑金融、大企业等行业客户业务上云的数据安全，保障云平台数据安全保护能力上的行业领先性和竞争力。通过满足利旧、商密/国际算法、商密合规阶段性改造等的灵活性要求，大幅降低系统安全合规建设的风险和成本，使客户可专注于上云业务，成就业务价值。