本方案按照“国产密码与控制相结合，构建主动防御的数据安全纵深防御体系”的思路，构建了涵盖网络、数据、应用、安全、运维等全要素的自主可信数据安全商密网。在密码应用设计方面，实现密码应用保障架构，形成面向数据安全的数据加密、传输加密和身份认证三种基础业务应用。同时基于国产密码的可信计算支撑平台可提供数据可信接入、安全存储、身份认证及管理等功能，实现数据高安全、强可靠。另外，基于项目经验，形成可复制的产业成果，为国产密码在国民经济重要领域和关键信息基础设施各行业的推广提供有力支撑。
一、实施背景
随着网络信息技术的迅猛发展，其应用已深度融入我国经济社会的各个方面，但是其所带来的网络信息安全问题也日益凸显，特别是在公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等关键基础信息领域的信息安全问题，将对国家安全、经济发展、社会稳定等带来极大的影响。
商密网系统作为运行和保存商业秘密信息的重要设施，在强化信息集中、加强信息管理、整合信息资源等能力方面，发挥着日益重要的作用，受到党和政府的高度重视。本项目按照“国产密码与控制相结合，构建主动防御的纵深防御体系；明确网络功能、重构防护边界；区分信息等级、分级分类防护；管理技术相融、安全效率并重”的总体思路，以“国产CPU+OS”为核心架构的自主可控体系为依托，构建了涵盖网络、应用、安全、运维等全要素的自主可信商密网系统。
本项目以中央办公厅、国务院办公厅印发的《关于加强重要领域密码应用的指导意见》为指引、以公安部信息系统等级保护相关要求为依据，以依法提高国产密码应用法制化水平及网络空间密码保障能力为目标的设计原则，全方位、体系化地开展关键基础信息系统商密网国产密码建设工作。同时，在密码应用设计方面，实现密码应用保障架构，形成面向信息系统安全的数据加密、传输加密和身份认证三种基础业务应用。一方面，利用国产密码基础设施构建CA认证管理系统，提供认证证书发放、注销与用户加密密钥的生成、管理等服务，为安全网络空间的实体身份、信息的保密、完整及抗抵赖提供可信的安全技术支撑；另一方面，基于国产密码的可信计算支撑平台可提供可信接入、安全存储、身份认证及管理等功能，使业务应用做到高安全、强可靠。
二、实施目标
本项目发挥可信华泰在自主可控领域的技术优势，并结合基于自主可控的安全研究成果，通过自主可控加可信计算的总体建设思路，研究国产密码在自主可信信息安全保障体系中的应用模式，形成基于国产密码的完整系统，实现商密网在安全性和合规性方面的进一步提升。同时基于项目工作积累的宝贵经验，形成可复制的产业成果，为国产密码在央企及国民经济其他重要领域的推广提供有力支撑。
三、建设内容
基于可信计算3.0的数据安全商密应用方案以“飞腾CPU+麒麟OS”为核心架构的自主可控产业生态体系建设成果为依托，构建了涵盖网络、应用、安全、运维等全要素的自主可控国产密码应用和防护系统。同时系统在设计和建设过程中，以应用为牵引，以密码技术为基础，解决存在的安全问题，通过自主可控加可信计算的总体建设思路，以国产密码为基础、可信计算3.0为核心构建主动免疫的安全防御体系，实现关键信息基础设施在安全性和合规性方面的进一步提升。面向信息系统安全的数据加密、传输加密和身份认证三种基础业务应用，一方面，利用国产密码基础设施构建CA认证管理系统，提供认证证书发放、注销与用户加密密钥的生成、管理等服务，为安全网络空间的实体身份、信息的保密、完整及抗抵赖提供可信的安全技术支撑；另一方面，基于国产密码的可信计算支撑平台可提供可信接入、安全存储、身份认证及管理等功能，从计算环境、区域边界、通信网络和管理中心四个方面进行设计，使其具备可信验证、信任链建立、恶意代码防范、协同联动防护、可信标记访问控制、可信应用防护等功能。在性能方面，资源占用率CPU＜5%、内存＜5%，对其他应用软件启动和执行时间的影响＜5%。
四、实施效果
本方案以中央办公厅、国务院办公厅印发的《关于加强重要领域密码应用的指导意见》为指引、以公安部信息系统等级保护相关要求为依据，以依法提高国产密码应用法制化水平及网络空间密码保障能力为目标，按照“明确网络功能、重构防护边界；区分信息等级、分级分类防护；管理技术相融、安全效率并重”的设计原则，全方位、体系化的在中国电子信息产业集团有限公司总部各部门及所属36家二级企业和15家控股上市公司开展重要信息系统商密网国产密码建设工作，并形成可信云、可信服务器、可信存储、可信数据库等产品，打造整体的可信计算3.0主动防御安全解决方案。同时基于项目方案工作积累的宝贵经验，形成可复制的产业成果，为国产密码和可信计算3.0主动防御体系在央企及国民经济其他重要领域的推广提供有力支撑。
（1）国产密码与控制相结合，构建主动防御的纵深防御体系
终端安全是信息系统安全的源头，如果在终端实施主动防御、协同防范，努力消除不安全问题的根源，那么重要信息就不会从终端泄露出去，未知或已知病毒、木马也无法入侵终端，就能够达到主动免疫的防御效果。操作系统计算环境是终端安全的核心和基础。如果没有可信计算主动防御的支撑，计算环境安全就难以保障。采用国产密码支撑下的可信计算技术是商密网安全防护的核心。
任何一个信息系统都由计算环境、区域边界、通信网络三个层次组成。计算环境的安全是信息系统安全的核心，是授权和访问控制的源头；区域边界是计算环境的边界，对进入和流出计算环境的信息实施控制和保护；通信网络是计算环境之间实现信息传输功能的部分。在这三个层次中，如果每一个用户都是经过认证和授权的，其操作都是符合规定的，那么就不会产生攻击性的事故，就能保证整个信息系统的安全。
（2）明确网络功能、重构防护边界
集团公司商密网不得用于存储、处理国家秘密信息，可用于存储、处理集团公司商业秘密和工作秘密信息。集团公司商密网的网络拓扑、安全域划分和网络防护边界等主要内容应根据实际功能用途进行设计，为集团公司核心业务应用提供安全、便捷的访问通道。
（3）区分信息等级、分级分类防护
对集团公司商密网内的结构化和非结构化数据资源进行梳理，按照“核心数据、普通数据和非密数据”进行分级分类防护。对核心数据采取重点防护，对非密数据采取基础防护，根据不同的用户主体和信息资源，分别采取不同的安全防护策略，避免过度防护。
（4）管理技术相融、安全效率并重
集团公司商密网安全防护工作必须将集团公司的商业秘密保护管理要求与信息化技术防护措施相融合，使管理手段与技术手段相辅相成。在对商业数据进行全生命周期管理和保护的基础上，还需充分考虑对信息资源的安全共享和高效利用，实现信息化手段促进集团公司管理效率的提升。