GB/T 40651-2021
信息安全技术实体鉴别保障框架
Information security technique—Entity authentication assurance framework
2022-05-01实施
2021-10-11发布
目 次
1 范围 ……………………………………………………………………………………………………… 1
2 规范性引用文件 ………………………………………………………………………………………… 1
3 术语和定义 …………………………………………………………………………………1
4 缩略语 …………………………………………………………………………………………………… 2
5 保障框架 …………………………………………………………………………………………………3
6参与方负色胆素 ………………………………………………………………………………………… 4
6.1 概述………………………………………………………………………………………………… 4
6.2 实体………………………………………………………………………………………………… 4
6.3 凭证服务提供方……………………………………………………………………………………4
6.4 注册机构 ……………………………………………………………………………………………4
6.5 依赖方………………………………………………………………………………………………4
6.6 验证方………………………………………………………………………………………………4
6.7 可信第三方…………………………………………………………………………………………4
7 主要环节 ………………………………………………………………………………………………… 4
7.1 通则 ………………………………………………………………………………………………… 4
7.2 登记环节……………………………………………………………………………5
7.3 凭证管理环节 ………………………………………………………………………………………5
7.4薯别环节……………………………………………………………………………………………7
7.5 联合环节 …………………………………………………………………………………………… 7
8 保障等级 ……………………………………………………………………………………………… 8
8.1 保障等级分费……………………………………………………………………………8
8.2 身份保障等级到分原则…………….………………………………………………………8
8.3 鉴别器保障等级划分原则 ………………………………………………………………………… 8
8.4联合保障等级划分原则 …………………………………………………………………………… 9
8.5 保障等级的选取 …………………………………………………………………………………… 9
8.6 保障等级的映射和互操作性 ……………………………………………………………………9
9 督理要求…………………………………………………………………………………………………10
9.1 概述………………………………………………………………………………………………… 10
9.2 服务资质…………………………………………………………………………………………… 10
9.3 信息安全管理和审查……………………………………………………………………………… 10
9.4 外包服务监管……………………………………………………………………………………… 10
9.5 服务保障布则……………………………………………………………………………… 10
附录 A （资料性） 威胁分析和风险控制 ……………………………………………………………… 11
A.1 概述 ……………………………………………………………………………………………… 11
A.2 登记环节的威胁分析和风险控制 ……………………………………………………………… 11
A.3 凭证管理环节的威胁分析和风险控制 ………………………………………………………… 12
A.4 鉴别环节的威胁分析和风险控制 ……………………………………………………………… 15
A.5 联合环节的威胁分析和风险控制 ……………………………………………………………… 19
附录 B （资料性） 个人信息的保护 …………………………………………………………………… 21
参考文献…………………………………………………………………………………………………… 22
前 言
本文件按照GB/T1.1—2020《标准化工作导则 第1部分.标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由全国信息安全标准化技术委员会（SAC/TC 260）提出并归口。