在上篇《云时代的密码保障系统建设（上）| 云上安全，云平台首当其冲》中，我们探讨了云上底座，也就是云平台如何采取正确的密码措施通过密评大考。然而，“篮子”安全了，并不意味着“鸡蛋”就可以躺平。对于云上应用系统来说，其密码保障系统的建设既要依托于云平台，更要立足于自身业务，“对症诊疗”。

从云上应用的特性出发

因部署在云平台上，云上应用的密码保障系统建设与云平台不无关系。

根据国家密评标准GB/T 39786，信息系统的密码应用需要从物理层、网络层、设备层、应用层这四个层面，满足国家测评要求。对于云上应用系统而言，其与传统应用系统的一大区别，就在于后者在建设密码保障系统时，“四大层“都需自行规划和建设。而云上应用系统所涉及的物理机房、网络基础设施、计算环境，均由云平台负责规划、建设和运行。在实际测评时，物理层和设备层指标可直接作为”不适用项“免于测评，分数均摊至其他层面，网络层指标则依赖于云平台的测评结果进行打分，应用层各项指标的安全、合规是云上系统测评的重点。

也就是说，有了云平台“托底”，云上应用的密码保障系统建设，则更多聚焦在应用和数据层，也就是云上业务所涉及的用户身份、重要数据和关键操作的安全和合规性问题。

云上应用系统密码建设方案

有云平台助力分担，云上应用的密码保障系统建设是否更简单了呢？

其实不然！当信息系统迁移到云平台之后，传统的密码设备无法直接上云。同时，云计算资源共享、按需分配、动态扩展等特性，对密码的服务方式、接入能力、密钥管理都提出了新的挑战和更高要求。传统以密码设备和软件为核心的解决方案，显然难以满足云时代的密码应用需求，需要一种新的密码服务模式来保障云上应用安全、合规。

遵循国家“三同步一评估”的密码建设总思路，北京数字认证股份有限公司（简称“数字认证”）面向云上应用系统，推出依托于密码云服务平台的云上应用密码保障系统建设方案。根据GB/T39786要求：

云上应用的下三层（物理与环境安全、网络与通信安全、设备与计算安全）依托于云平台的云基础服务设施。对于应用和数据层安全，应从云上应用业务本身出发，对各条业务流的关键数据、安全风险进行分析，提出相应的密码应用需求，之后调用密码云服务平台提供的身份鉴别、签名验签、数据加解密等各类服务，实现用户身份认证、重要数据机密性、完整性和业务抗抵赖性，确保云上业务安全、合规。

数字认证作为国家密评标准GB/T39786的牵头制定者，不但对密码保障系统的设计、建设及测评有着深入理解，还具有丰富的密码建设实践经验，可以为政务、金融、医疗等多个领域提供随需应变的密码保障系统建设方案，确保密码应用安全、合规。

某云上应用系统密码建设实践

某省TZ系统是部署在电子政务外网云平台上的业务系统，主要面向TZ成员和干部提供学习宣传、联谊交友、社会服务、建言资政等服务，不管是外部用户还是内部用户，都可通过浏览器访问登录业务系统，外部用户还可通过移动APP进行访问。

前期，在数字认证基于密码云服务平台的助力下，TZ系统所在的政务云平台已完成密码应用保障系统建设，并顺利通过密评。这次，为了确保云上应用也能顺利过关，数字认证在经过业务风险调研和需求分析后，采取以下密码措施：

通过为用户配备数字证书，并调用密码云服务平台提供的数字签名服务来确保用户登录系统时身份的安全、可信；同时，针对口令、手机号、身份信息、权限信息等重要数据，通过数字信封技术以及密码云服务平台所提供的身份鉴别、协同签名、数据加解密等服务，来确保数据传输和存储安全，以及内容审核等关键操作的不可否认性。

TZ系统密码保障系统的建设从系统自身业务出发，利用政务云平台密码保障系统建设成果，改变传统密码应用略显“臃肿”的特点，实现了密码保障系统的“瘦身”，最终取得事半功倍的效果。

随着云计算愈发普及，密码上云的价值将更为凸显。如果把云上密码建设看作一项工程，要想顺利通过验收，绝不是在最后关头亡羊补牢，而是从一开始就要统筹考虑，“严防死守”。数字认证将不断与时俱进，为业务上云提供更便捷、更贴合需求的密码保障系统建设，护航云时代业务安全落地。

【数字认证】

领先的网络信任与数字安全服务提供商（股票代码：300579），电子认证/电子签名/电子合同领域的市场领导者，应用覆盖政务、卫生、金融、大型企业、电信、航空、公路交通等多个行业，为近千万企业用户和数亿个人用户提供具有法律效力的无纸化交付服务。

责任编辑：kj005