一、身份鉴别

1.指标要求

采用密码技术对通信实体进行身份鉴别机制（第三级）/双向身份鉴别（第四级）。保证通信实体身份的真实性。

2.适用范围

第三级及以上级别信息系统

3.安全问题

1. 存在通用要求中密码算法、密码技术、密码产品和密码服务相关安全问题。
2. 未采用基于对称密码算法或密码杂凑算法的消息鉴别码MAC机制、基于公钥密码算法的数字签名机制等密码技术对通信实体进行身份鉴别。
3. 通信实体身份真实性的密码技术实现机制不正确或无效。
4. 采用的密码产品未获得商用密码认证机构办法的商用密码产品认证证书（适用时）。

4.可能的缓解措施

无

5.风险评价

上述任意安全问题一旦被威胁利用后，可能会导致系统面临高风险。

二、通信过程中重要数据的机密性

1.指标要求

采用密码技术保证通信过程中重要数据的机密性。

2.适用范围

第三级及以上级别信息系统

3.安全问题

1. 存在通用要求中密码算法、密码技术、密码产品和密码服务相关安全问题；
2. 未采用密码技术的加解密功能对通信过程中重要数据进行机密性保护；
3. 通信过程中重要数据机密性保护的密码技术实现机制不正确或无效；
4. 采用的密码产品未获得商用密码认证机构颁发的商用密码产品认证证书（适用时）。

4.可能的缓解措施

在“应用和数据安全”层面针对信息系统所有需要保护的重要数据传输采 用符合要求的密码技术进行机密性保护，且加密后的数据流能够覆盖网络通信信道。

5.风险评价

若未采用密码技术的加解密功能对通信过程中重要数据进行机密性保护，或重要 数据机密性保护的密码技术实现机制不正确或无效，但在“应用和数据安全”层面针对信息系统 所有需要保护的重要数据传输采用符合要求的密码技术进行机密性保护，且加密后的数据流能 够覆盖网络通信信道，可酌情降低风险等级

三、安全接入认证

1.指标要求

采用密码技术对从外部连接到内部网络的设备进行接入认证，确保接入设备身份 的真实性。

2.适用范围

第四级信息系统。

3.安全问题

1. 存在通用要求中密码算法、密码技术、密码产品和密码服务相关安全问题；
2. 未采用基于对称密码算法或密码杂凑算法的消息鉴别码（MAC）机制、基于公钥密码算 法的数字签名机制等密码技术对从外部连接到内部网络的设备进行接入认证；
3. 安全接入认证的密码技术实现机制不正确或无效；
4. 采用的密码产品未获得商用密码认证机构颁发的商用密码产品认证证书（适用时）。

4.可能的缓解措施

无

5.风险评价

上述任一安全问题一旦被威胁利用后，可能会导致信息系统面临高风险。