物理机房门禁和视频监控密码应用密评建设方案 -- 2021.docxVIP

机房物理和环境安全密码应用建设方案 方案背景 机房是信息系统的核心，也是各行业运营的核心，针对机房的安全物理环境建设都是机房建设非常重要的内容。建立机房门禁系统和视频监控系统是机房保护的必备手段。 在我国《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》标准里，对网络信息系统建设提出了明确要求，在第三级安全要求中要求“应设置机房防盗报警系统或设置有专人值守望的视频监控系统”，“机房出入口应配置门禁系统，控制、鉴别和记录进入的人员”。在建设机房视频监控系统时，《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》标准也对系统使用的密码算法做了要求，“应使用国家密码管理主管部门认证核准的密码技术和产品”。 因此，按照《信息安全技术 信息系统密码应用基本要求》对信息系统物理和环境的要求，通过在各个机房部署国家密码管理部门核准、具有《商用密码产品认证证书》的视频监控一体化系统、门禁一体化系统，实现机房出入人员的身份鉴别、图像采集；同时，调用密码模块进行电子签名实现视频监控图像、门禁系统记录的安全防护。通过使用商用密码对视频监控音像记录和电子门禁系统进出记录进行完整性保护。 建设依据 物理和环境安全密码应用基本要求 如上图所示，GB/T 39786-2021《信息系统密码应用基本要求》中对物理与环境安全中明确提出了密码应用的基本技术要求。 本方案严格按照《中华人民共和国密码法》及商用密码有关规范，以落实网络安全等级保护、GB/T 39786-2021密码测评等相关标准为原则，建设密码基础设施。物理机房的密码安全建设，从门禁的身份鉴别、门禁记录数据完整性、视频记录数据完整性层面，采用SM系列密码算法、安全合规的密码产品和密码技术，保证符合GB/T 39786-2021《信息系统密码应用基本要求》中对于等保三级信息系统的密码应用要求。 GM/T 0017-2012《智能密码钥匙密码应用接口规范》 GM/T 0027-2014《智能密码钥匙技术规范》 GM/T 0028-2014《密码模块安全技术要求》 GM/T 0036-2014《采用非接触卡的门禁系统密码应用技术指南》 GB/T 39786-2021《信息系统密码应用基本要求》 整体建设方案 机房物理和环境安全密码应用整体建设方案 如上图所示，通过在各个业务区及机房部署国密门禁系统和国密音视频监控系统，从门禁的身份鉴别、门禁记录数据完整性、视频记录数据完整性层面，完成物理机房密码应用建设。 在每个业务区部署国密门禁控制系统，包括国密CPU卡、国密门禁读卡器和控制器等硬件设备。其中国密CPU卡和国密门禁读卡器实现对门禁用户的身份鉴别。 在每个业务区部署国密音视频监控系统，包括国密网络摄像机和国密NVR等硬件设备。其中国密网络摄像机和国密NVR实现对音像记录数据的机密性保护。 在控制中心机房部署一套日志审计系统、门禁管理系统和密钥管理系统，在门禁管理主机上插入PCI-E密码卡，并配备发卡器、密钥注入器等硬件设备。其中日志审计系统用于对进出记录做完整性保护；发卡器用于给卡片发卡；密钥注入器用于给卡片注入密钥；密钥管理系统用于对密钥进行管理。 在控制中心机房部署一套国密视频播放客户端软件，在监控主机插入PCI-E密码卡（用于实现对音像记录数据的完整性保护），用于查看日志记录和视频信息。 与此同时，通过IP方式由控制中心机房统一控制，需要监控和门禁系统IP可达。 国密门禁系统密码应用建设方案 国密门禁系统主要由相关的硬件产品和软件管理平台组成。其中，硬件产品包括国密CPU卡、国密读卡器、门禁控制器、发卡器、密钥注入器等；而软件产品主要包括门禁管理系统、日志审计系统和密钥管理系统。 如上图所示：国密CPU卡内的密码模块和国密门禁读卡器内的密码模块，采用基于SM1/SM4 国密算法的挑战/应答机制实现用户身份鉴别，由门禁控制器识别其身份的有效性，并确定是否需要执行开门或其他操作。 PCI-E密码卡（配合门禁日志审计系统使用），采用基于SM3的HMAC机制实现对门禁日志记录数据的完整性保护。 国密音视频监控系统密码应用建设方案 国密音视频监控系统由国密摄像机、国密NVR、PCI-E密码卡等硬件设备以及监控系统客户端等软件组成。 如上图所示：国密摄像机和国密NVR，采用基于SM4国密算法的对称加密机制，实现音像记录数据的机密性保护。 国密NVR和PCI-E密码卡，采用基于SM3国密算法的HMAC机制，实现音像记录数据的完整性保护。 整体安装实施方案 门禁系统安装实施方案 业务区门禁系统部署设备 序号 产品名称 数量 操作 备注 1 国密门禁读卡器 0 新增 2 门禁控制器 0 新增 3 国密智能CPU卡 0 新增 业务区门禁系统部署设备 序号 产品名称 数量