经建设完成的系统，应尽快进行系统升级，使用 SM2 算法。 近几年，国家密码管理局发布实施了《证书认证系统密码及其相关 技术规范》、《数字证书认证系统密码协议规范》、《数字证书认 证系统检测规范》、《证书认证密钥管理系统检测规范》等标准规 范，2010 年，发布实施了《密码设备应用接口规范》、《通用密码 服务接口规范》、《证书应用综合服务接口规范》及《智能 IC 卡及 智能密码钥匙密码应用接口规范》等包含 完整性保 护机制，关键数据在通过互联网传输时有被非法篡改、非 法窃听的风险。 4、在公文发布、流程审批等关键交易环节，缺乏密码技 术确保审批文件、公文的真实性、完整性、抗抵赖性。 5、缺乏密钥生成、产生、分发、导入、导出、使用、销 毁等全生命周期管理及密码配套相关配套规章制度及应急 处理预案。 4 建设原则 ****单位国产密码升级改造遵循的设计原则如下： 1.合规性原则 国 还要保证技术的稳定、安全性。 5 建设目标 根据《GM/T 0054 信息系统密码应用基本要求》，在物理环境、网 络和通信、设备和计算、应用和数据几个层面分别满足密码应用要 求中对应的等保二级的要求，建设一套合规适用的密钥管理体系， 并在东山省高速****单位建立相应的配套密码安全管理制度，通过 密码技术与安全管理相结合，保证****单位协同办公管理平台的安 全稳定运行。通过国产密码技术的应用，减少或消除协同办公管理

数据 大屏 项目 基础 数据 分析 安全 监督 业务 分析 项目 现场 人员 分析 项目 隐患 排查 分析 扬尘 管控 视频 监控 危大 工程 实时 监测 项目管理 项目 管理 密钥 激活 统计 现场安全隐患排查 现场 安全 隐患 检查 系统 施工 现场 隐患 随手 拍 施工 现场 移动 巡检 人员信息动态管理 实名 制首 页 项目 库 企业 库 工人 多功能集成应用，让监管更智慧 提供对接密钥申请功能，以实现项目与安监平台的对接，辖 区内项目可自主进行密钥的申请，密钥申请以项目施工许可 证为准，且一个施工许可证只能申请一个密钥，不能重复申 请。对于已经申请密钥的项目，系统自动跟踪记录密钥激活 状态，并进行分析统计；对拥有施工许可证却未进行密钥申 请的项目予以预警提醒。 密钥自主申请 密钥申请审批 密钥发放跟踪 密钥未激活预警 通过对接密钥的发放实现对辖区内项目的管控 通过对接密钥的发放实现对辖区内项目的管控 密钥申请审核 项目基础信息显示 新增项目 实时自动更新项目 政府监管平台汇总、展示辖区内所有项目信息，信息包 括：项目名称、所属分区、施工许可证、是否已对接、 项目状态；对项目密钥申请进行审核；支持新增项目。 项目管理─辅助政府单位审核申请密钥对接的项目 密钥申请审核 项目基础信息显示 密钥激活状态分类 数据自动更新 统计辖区内所有已经进行密钥申请的项目基本信息，主要

易于解析。为保障数据传输安全，接口需支持 SSL/TLS 加密，并通 过 OAuth 2.0 实现身份认证与授权管理，防止未授权访问。 接口请求与响应需包含以下核心字段： - 请求字段： - api_key：用于标识调用方的唯一密钥； - timestamp：请求时间戳，防止重放攻击； - data：实际传输的业务数据，格式为 JSON 对象； - signature：基于 HMAC-SHA256 的签名，确保数据完整性。 先，平 台应采用数据加密技术，对敏感信息进行加密存储和传输，确保数 据在静态和动态状态下的安全性。加密算法需符合国家密码管理局 的标准，如 SM2、SM3、SM4 等，同时定期更新密钥管理机制， 防止密钥泄露带来的安全风险。 其次，平台需实施严格的访问控制策略，基于角色和权限的访 问控制模型（RBAC）确保只有授权人员能够访问特定数据。对于 AI 大模型的训练和使用，需划分敏感数据集和非敏感数据集，并在 据泄露应急响应机制，包括数据泄露检测、快速隔离、风险评估和 修复措施，确保在发生数据泄露时能够及时应对，降低损失。 以下是数据安全与隐私保护的主要措施：  数据加密：采用国密算法对数据进行加密存储和传输，定期更 新密钥。  访问控制：基于 RBAC 模型建立细粒度的权限管理，记录操作 日志。  多因素认证：引入 MFA 机制，增强用户身份验证的安全性。  数据脱敏：对个人隐私数据进行脱敏和匿名化处理。

的分配及管理，为云平台租户提供资源配额、资源申请、资源调度、资源 占用及访问控制，提升整个集群的资源利用率； • 安全管理：分布式底层系统提供安全管理模块，为租户提供身份认证、授 权机制、访问控制等功能。通过 API 密钥对和用户名密码等多种方式进行 服务间调用及用户身份认证；通过角色权限机制进行用户对资源访问的控 制；通过 VPC 隔离机制和安全组对资源网络进行访问控制，保证平台的安 全性； • 集群部署： 防火墙，保证虚拟机应用程序的数据存储和网络安全。 4.3.4.1 实例规格 实例规格是对虚拟机 CPU 内存的配置定义，为虚拟机提供计算能力。CPU 和内 存是虚拟机的基础属性，需配合镜像、VPC 网络、云硬盘、安全组及密钥，提 供一台完整能力的虚拟机。 • 默认提供 1C2G 、2C4G 、4C8G 、8C16G 、16C32G 等实例规格； • 支持自定义实例规格，提供多种 CPU 内存组合，以满足不同应用规模和场 注：通常建议设置简洁的安全组规则，可有效减少网络故障。 4.3.4.6 SSH 密钥 为保证虚拟机安全性，Linux 虚拟机提供密码和 SSH 密钥两种登录方式。SSH 密 钥是通过 RSA 加密算法生成的一对密钥，分别为公钥和私钥。公钥是对外界公 开的密钥，私钥是自己保留的密钥，传输数据时通过公钥加密的数据，只能用 私钥解密并查看。通过 SSH 密钥与 Linux 虚拟机进行连接，相对密码登录更加 安全。

量需根据业务需求和规 模进行规划 虚拟网络服务规划 资源池规划设计方案 - 网络资源池（资源层） 24 IaaS 网络服务 VPC 虚拟路由器 负载均衡 安全服务 安全组 密钥对 防火墙 存储服务 云存储 快照 计算服务 云主机 主机高可用 …… …… …… …… 备份 镜像 / 快照  云服务设计的主要原则：产品响应描述 V2.0 / 虚拟组件 安全计算环境 4 19 20 国密产品 服务器密码机 服务器密码机 SJJ1955-G 4 21 数字证书认证系统 数字证书认证系统 CA-S010 4 22 密钥管理系统 密钥管理系统 KMS-S010 2 满足了信创云环境下，等保 2.0 三级基本要求，云计算安全拓展要求，以及国密测评的设备清单 安全设备清单 40 计算环境 区域边界 网闸、抗 DDOS DDOS 、 NIPS 、防病毒 网关、防火墙 +AV 防病毒 … 通信网络 防火墙、路由器、交换机、 HTTPS 、 VPN… 计算环境 漏洞扫描、 HIPS 、主机 防病毒软件、数据加密、 密钥管理、数据备份… 安全区域边界 对定级系统的安全域边界设置访问控制策 略，在网络边界处部署入侵防范手段，防 御并记录入侵行为，对网络中的用户行为 日志和安全事件信息进行记录和审。 安全通信网络

量需根据业务需求和规 模进行规划 虚拟网络服务规划 资源池规划设计方案 - 网络资源池（资源层） 24 IaaS 网络服务 VPC 虚拟路由器 负载均衡 安全服务 安全组 密钥对 防火墙 存储服务 云存储 快照 计算服务 云主机 主机高可用 …… …… …… …… 备份 镜像 / 快照  云服务设计的主要原则：产品响应描述 V2.0 / 虚拟组件 安全计算环境 4 19 20 国密产品 服务器密码机 服务器密码机 SJJ1955-G 4 21 数字证书认证系统 数字证书认证系统 CA-S010 4 22 密钥管理系统 密钥管理系统 KMS-S010 2 满足了信创云环境下，等保 2.0 三级基本要求，云计算安全拓展要求，以及国密测评的设备清单 安全设备清单 40 计算环境 区域边界 网闸、抗 DDOS DDOS 、 NIPS 、防病毒 网关、防火墙 +AV 防病毒 … 通信网络 防火墙、路由器、交换机、 HTTPS 、 VPN… 计算环境 漏洞扫描、 HIPS 、主机 防病毒软件、数据加密、 密钥管理、数据备份… 安全区域边界 对定级系统的安全域边界设置访问控制策 略，在网络边界处部署入侵防范手段，防 御并记录入侵行为，对网络中的用户行为 日志和安全事件信息进行记录和审。 安全通信网络

下策略：  强加密算法：采用行业标准的加密算法，如 AES（高级加密标 准）进行数据加密。建议使用 256 位密钥长度以增加安全 性。  密钥管理：采用集中化的密钥管理系统，确保加密密钥的生 成、存储和访问受到严格控制。应定期更换密钥，并对密钥访 问进行审计，避免密钥泄露。  数据分类与分级：对数据进行分类和分级管理，根据数据的重 要性和敏感性采取相应的加密措施。例如，对于高敏感度数据

2、性能指标：1）SM1 加解密：4Mb/s(数据与 测试环境有关)；2）RSA 签名/解密：23 次 /s；3）RSA 验证/加密：333 次/s；4）RSA 密 钥对生成：1.1s/对；5）SM2 密钥对生成： 0.20s/对；6）SM2 签名/解密：5.5 次/s；7） SM2 验证/加密：2.7 次/s；8）SM3 摘要： 430kbps。 税务移动安全信息化解决方案 - 50 - 序号 等密码算法，内置硬件随机数发生器；2）SM1 加解密：7Mbps；3）RSA 签名/解密：71 次 /S；4）RSA 验证/加密：333 次/S；5）RSA 密 钥对生成：0.57S/对；6）SM2 密钥对生成： 0.14S/对；7）SM2 签名/解密：15.7 次/秒； 8）SM2 验证/加密：8.1 次/秒；9）SM3 摘要： 632.4kbps。 3、安全应用套件 3.1 安通+企业版

API） 硬盘创建、硬盘信息查询、硬盘更新和硬盘删除等 镜 像 管 理 （ 9 个 REST API） 镜像创建、查询、修改、删除和停用等 第 138 页 密钥对管理（4 个 REST API） 创建、删除、查询密钥对信息等 快 照 管 理 （ 8 个 REST API） 快照创建、查询、修改和查询、修改快照元数据等 网络与安全（83 个 REST API） 私有网络创建、查询、修改，路由器管理，虚拟网卡管 在运维管理页面，用户可以进行私有云、计费策略、资源规格流程管理等等操 作。 7.1.6.3.1.3 计算与存储 在计算与存储界面，用户可以对 ARM、X86、Power 主机、物理主机、硬 盘、快照、镜像、虚拟网卡以及密钥对进行管理操作。 第 182 页 7.1.6.3.1.4 报表服务 在报表服务界面，用户可以自己设定策略来显示想要看到的资源信息，并 可以分资源，用户、费用等等维度进行显示。 7.1.6.3 7.7.1.2.1 密钥对 对于 Linux 操作系统的云主机，认证方式除了使用用户名/密码外，还可以 使用 SSH 公钥/私钥方式。租户可以新建一个 SSH 密钥对，并将其中的公钥分 配给 Linux 操作系统，对于密钥对中的私钥，租户需要立刻下载并妥善保存， 云平台不予保留。 第 443 页 首先，创建新的密钥对，可以选择新建还是基于现有公钥来创建 创建好密钥对后，用户需要尽快完成私钥下载

API） 硬盘创建、硬盘信息查询、硬盘更新和硬盘删除等 镜 像 管 理 （ 9 个 REST API） 镜像创建、查询、修改、删除和停用等 第 138 页 密钥对管理（4 个 REST API） 创建、删除、查询密钥对信息等 快 照 管 理 （ 8 个 REST API） 快照创建、查询、修改和查询、修改快照元数据等 网络与安全（83 个 REST API） 私有网络创建、查询、修改，路由器管理，虚拟网卡管 在运维管理页面，用户可以进行私有云、计费策略、资源规格流程管理等等操 作。 7.1.6.3.1.3 计算与存储 在计算与存储界面，用户可以对 ARM、X86、Power 主机、物理主机、硬 盘、快照、镜像、虚拟网卡以及密钥对进行管理操作。 第 182 页 7.1.6.3.1.4 报表服务 在报表服务界面，用户可以自己设定策略来显示想要看到的资源信息，并 可以分资源，用户、费用等等维度进行显示。 7.1.6.3 7.7.1.2.1 密钥对 对于 Linux 操作系统的云主机，认证方式除了使用用户名/密码外，还可以 使用 SSH 公钥/私钥方式。租户可以新建一个 SSH 密钥对，并将其中的公钥分 配给 Linux 操作系统，对于密钥对中的私钥，租户需要立刻下载并妥善保存， 云平台不予保留。 第 443 页 首先，创建新的密钥对，可以选择新建还是基于现有公钥来创建 创建好密钥对后，用户需要尽快完成私钥下载