信息安全产品实施政府采购的相关政策要求目 录1. 相关政策文件及通知21.1 福建省财政厅通知：21.2 （财库201048号）主要内容：21.3 关于调整信息安全产品强制性认证实施要求的公告（2009年第33号）文件重点内容：22. 信息安全等级保护法规：33. 防火墙产品ISCCC认证级别与等级保护要求对比：43.1 信息安全等级保护技术要求：43.2 防火墙ISCCC认证技术要求：53.3 技术要求对比结论54. 经常接触产品的ISCCC认证情况：65. 目前获得ISCCC认证的产品名录：101. 相关政策文件及通知1.1 福建省财政厅通知：省直各单位，各设区市财政局、信息产业主管部门、质监局： 根据中华人民共和国政府采购法，为进一步贯彻落实质检总局、财政部、认监委关于调整信息安全产品强制性认证实施要求的公告（2009年第33号）要求，规范政府采购信息安全产品行为，现将财政部、工业和信息化部、质检总局、认监委关于信息安全产品实施政府采购的通知（财库201048号）转发给你们，请认真遵照执行。二0一0年五月十九日1.2 （财库201048号）主要内容：一、各级国家机关、事业单位和团体组织(以下统称采购人)使用财政性资金采购信息安全产品的，应当采购经国家认证的信息安全产品。二、在政府采购活动中，采购人或其委托的采购代理机构按照政府采购法的规定一在政府采购招标文件(包括谈判文件、询价文件)中应当载明对产品获得信息安全认证的要求，并要求产品供应商提供由中国信息安全认证中心按国家标准认证颁发的有效认证证书。三、对采购人或其委托的采购代理机构未按上述要求采购的，有关部门要按照有关法律、法规和规章予以处理，财政部门视情况可以拒付采购资金。1.3 关于调整信息安全产品强制性认证实施要求的公告（2009年第33号）文件重点内容：根据关于调整信息安全产品强制性认证实施要求的公告（2009年第33号）规定，在政府采购法规定范围内实行强行认证，未获得强制性认证证书和未加施中国强制性认证标志的，不得进入政府采购领域。涉及的信息安全产品范围为8大类13种产品：1. 安全操作系统产品 2. 安全隔离与信息交换产品3. 安全路由器产品4. 安全审计产品5. 安全数据库系统产品6. 反垃圾邮件产品7. 防火墙产品8. 入侵检测系统产品9. 数据备份与恢复产品强制认证实施规则10. 网络安全隔离卡与线路选择器产品11. 网络脆弱性扫描产品12. 网站恢复产品13. 智能卡cos产品2. 信息安全等级保护法规：公安部、国家保密局、国家密码管理局、国务院信息化工作办公室发布“关于印发信息安全等级保护管理办法的通知（公通字200743号）”，信息安全等级保护管理办法第二十一条规定： 第三级以上信息系统应当选择使用符合以下条件的信息安全产品：（一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有独立的法人资格；（二）产品的核心技术、关键部件具有我国自主知识产权；（三）产品研制、生产单位及其主要业务、技术人员无犯罪记录； （四）产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能；（五）对国家安全、社会秩序、公共利益不构成危害；（六）对已列入信息安全产品认证目录的，应当取得国家信息安全产品认证机构颁发的认证证书。3. 防火墙产品ISCCC认证级别与等级保护要求对比：3.1 信息安全等级保护技术要求：通过信息系统安全等级保护基本要求（GB/T22239-2008），我们简单总结了一下第三级信息系统在网络安全方面防护的重点：1、结构安全业务终端与业务服务器之间进行路由控制；对业务服务重要次序指定带宽分配，优先保证重要应用。2、访问控制为数据流提供端口级控制；实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；重要网段采取技术手段防止地址欺骗。3、安全审计对审计记录进行保护，避免未预期的删除、修改等。4、边界完整性检查能对非授权设备私自联到内部网络进行检查并能有效阻断。5、入侵防范当检测到攻击行为时，能记录源IP、攻击类型等，并提供报警。6、恶意代码防范在网络边界处对恶意代码进行检测和清除，并维护恶意代码库的升级。7、网络设备防护主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术进行身份鉴别。8、通信完整性、保密性应使用密码技术保证通信过程中数据完整性；应采用加密或其他措施保证数据传输保密性。3.2 防火墙ISCCC认证技术要求：目前国内市场上的防火墙类产品，都遵循了信息安全技术 防火墙技术要求和测试评价方法（GB/T20281-2006）这一标准。而从2009年4月开始，中国信息安全认证中心对国内的防火墙产品实施了强制认证（ISCCC认证），并且从2010年5月起，未经过认证的产品不能进入政府采购范围。在ISCCC认证中，防火墙类产品被分为三个等级，第一级最低、第三级最高。三个级别之间在功能上区别大致如下：第一级：抗渗透、恶意代码防御、支撑系统、非正常关机、包过滤、应用代理（包过滤防火墙除外）、NAT（应用级防火墙除外）、流量统计、安全审计、管理。第二级：抗渗透、恶意代码防御、支撑系统、非正常关机、包过滤、应用代理（包过滤防火墙除外）、NAT（应用级防火墙除外）、流量统计、安全审计、管理、状态检测、深度包检测、IP/MAC地址绑定、动态开放端口、策略路由、带宽管理、双机热备、负载均衡。第三级：抗渗透、恶意代码防御、支撑系统、非正常关机、包过滤、应用代理（包过滤防火墙除外）、NAT（应用级防火墙除外）、流量统计、安全审计、管理、状态检测、深度包检测、IP/MAC地址绑定、动态开放端口、策略路由、带宽管理、双机热备、负载均衡、VPN、协同联动。3.3 技术要求对比结论通过上面两项分析，我们可以看出如无其它配套设备：第一级的防火墙设备无法满足“信息安全等级保护第三级”中的带宽管理、地址绑定、动态端口等要求。第二级的防火墙设备无法满足“信息安全等级保护第三级”中的通信完整性、保密性要求。因此取得ISCCC防火墙第三级认证的产品将在等级保护要求较高的项目中拥有一定的优势。4. 经常接触产品的ISCCC认证情况：序号申请方产品名称及型号/版本获证级别证书号发证时间证书状态1北京启明星辰信息安全技术有限公司天清汉马USG防火墙USG-610A/V2.6（百兆）第二级20091623010000012009-8-28有效2北京启明星辰信息安全技术有限公司天清汉马USG防火墙USG-2000C/V2.6（千兆）第二级20091623010000022009-8-28有效3北京启明星辰信息安全技术有限公司天清汉马USG防火墙USG-10000E/V2.6（万兆）第二级20091623010000032009-8-28有效14华为技术有限公司Secoway USG2000 防火墙V3.3（百兆）第一级20091623010000142009-8-28有效15华为技术有限公司Secoway USG5000 防火墙V3.3（千兆）第一级20091623010000152009-8-28有效16华为技术有限公司Quidway Eudemon 200E防火墙V3.3（百兆）第一级20091623010000162009-8-28有效17华为技术有限公司Quidway Eudemon 1000E防火墙V3.3（千兆）第一级20091623010000172009-8-28有效20杭州华三通信技术有限公司H3C SecPath 百兆防火墙V3第二级20091623010000202009-8-28有效21杭州华三通信技术有限公司H3C SecPath 千兆防火墙V3第二级20091623010000212009-8-28有效27北京山石网科信息技术有限公司SG-6000安全网关（防火墙产品），V3.0（千兆）第三级20091623010000272009-8-28有效31杭州安恒信息技术有限公司明御应用及数据库深度防御审计系统V2.7基本级20091623120000312009-8-28有效32杭州安恒信息技术有限公司网站恶意代码防治系统V2.0基本级20091623130000322009-8-28有效35北京启明星辰信息安全技术有限公司天阗入侵检测与管理系统V6.0（百兆）第三级20091623100000352009-9-23有效36北京启明星辰信息安全技术有限公司天阗千兆入侵检测与管理系统V6.0第三级20091623100000362009-9-23有效37北京启明星辰信息安全技术有限公司天镜脆弱性扫描与管理系统V6.0增强级20091623110000372009-9-23有效38北京天融信科技有限公司网络卫士防火墙系统NGFWARES/NGFW4000,V3（百兆）第三级20091623010000382009-9-23有效39北京天融信科技有限公司网络卫士防火墙系统，NGFW4000-UF/V3（千兆）第三级20091623010000392009-9-23有效42北京天行网安信息技术有限责任公司天行安全隔离网闸Topwalk-GAP/V3.0第二级20091623030000422009-12-22有效46深圳市利谱信息技术有限公司TIPTOP物理隔离卡TP-901/V3.0增强级20101623020000462010-2-5有效49北京天融信科技有限公司网络卫士安全网关系统，TopGate/V3（千兆）（防火墙产品）第三级20101623010000492010-3-30有效50北京天融信科技有限公司网络卫士安全网关系统，TopGate/V3（百兆）（防火墙产品）第三级20101623010000502010-3-30有效56北京天融信科技有限公司网络卫士安全隔离与信息交换系统TopRules/V3第二级20101623030000562010-4-19有效58杭州华三通信技术有限公司H3C SecPath 千兆入侵防御系统 V5（网络型入侵检测系统产品）第三级20101623100000582010-4-19有效70北京天融信科技有限公司网络卫士防火墙系统，NGFW4000-UF/V3（万兆）第一级20101623010000702010-5-17有效72北京网康科技有限公司网康互联网控制网关NS-ICG/V5.5.1（安全审计产品）基本级20101623120000722010-5-26有效81上海爱数软件有限公司爱数备份软件V3.0（数据备份与恢复产品）基本级20101623