档案管理系统保密认证BMB17/23/20合规实操全流程落地指南

一、前置硬软条件自查清单

认证前先完成以下检查，避免卡壳：

• 硬件：服务器必须为国产非通用（飞腾/龙芯/海光/鲲鹏均可，建议优先选飞腾/海光政务常用型号），有可信计算模块（TCM/TPM2.0对应BMB标准需TCM优先，TPM需标注合规性说明）；终端电脑为国产非通用或涉密机改，安装可信桌面；
• 软件：服务器端用中标麒麟/统信UOS服务器版（涉密增强），终端用中标麒麟/统信UOS桌面版（涉密增强），数据库用达梦8/人大金仓8/神通7的涉密版；
• 资质：系统开发厂商需有涉密信息系统集成资质（软件开发/系统集成），运维人员需有《涉密信息系统运维人员资格证》；
• 文档：现有系统已完成需求分析、概要设计、详细设计、测试报告的涉密文档化（标注密级、密点，用国家保密局监制纸）。

二、系统核心模块合规配置

1. 身份鉴别模块

配置双因素身份认证：国产USBKey+密码，同时启用账号锁定机制（3次错误密码锁定5分钟，可在配置文件调整但不能小于此值）。以下是通用配置示例（以Java/Spring Boot开发的档案系统对接达梦8涉密版为例）：

```properties application-secret.properties（需加密存放，用Jasypt加密工具） jasypt.encryptor.password=你的加密密钥（长度≥16位，含大小写、数字、特殊字符） 双因素认证Key厂商SDK配置（以飞天诚信为例） key.provider=ftsafe key.sdk.path=/usr/local/ftsafe/sdk/libftsafe.so key.pin.length=6-16 账号锁定 auth.lock.maxAttempts=3 auth.lock.durationMinutes=5 国产算法强制 spring.datasource.url=jdbc:dm://192.168.1.100:5236/ARCHIVE_DB?useUnicode=true&characterEncoding=utf-8&serverTimezone=Asia/Shanghai&ssl=true&useSSL=true&encryptAlgorithm=SM4&encryptKey=你的达梦SM4加密密钥（16位/32位二进制转Base64） ```

Jasypt加密密钥生成命令：

```bash 下载Jasypt工具包：https://github.com/jasypt/jasypt/releases/download/jasypt-1.9.3/jasypt-1.9.3-dist.zip unzip jasypt-1.9.3-dist.zip -d /opt/jasypt cd /opt/jasypt/jasypt-1.9.3/bin ./encrypt.sh input=你的数据库明文密码 password=你的Jasypt主密钥 algorithm=PBEWithMD5AndDES 输出结果替换application-secret.properties中spring.datasource.password=ENC(...)的内容 ```

2. 访问控制模块

严格按照BMB23-2017《涉及国家秘密的信息系统分级保护技术要求》三级要求配置：

• 权限粒度：细到单份档案密级、单份档案字段、单份档案操作（读/写/删/改/导出/打印/复制粘贴）；
• 强制访问控制：系统内置密级标识匹配机制，用户密级≥档案密级才能读，≥机密密级且需授权才能写；
• 三权分立：设置系统管理员、安全管理员、安全审计员三个独立账号，密码互相不知道，权限完全隔离——系统管理员只负责系统配置，安全管理员只负责身份/权限/密级管理，安全审计员只负责审计日志查看/导出/备份；
• 权限分离辅助：审计日志安全管理员和系统管理员无法查看、修改、删除，只有安全审计员能操作。

3. 安全审计模块

强制记录以下100%审计事件（缺一项直接不达标）：

• 身份鉴别事件：登录/登出/双因素验证失败/账号锁定/解锁；
• 访问控制事件：权限申请/审批/变更/撤销，访问授权/拒绝；
• 数据操作事件：读/写/删/改/导出/打印/复制粘贴/下载档案；
• 系统管理事件：系统重启/关机/配置变更/数据库备份/恢复；
• 安全管理事件：密级标识变更/用户密级变更/USBKey绑定/解绑。

审计日志需加密存储在达梦8涉密版的独立审计表中，且保存时间≥6个月，以下是达梦8审计表创建SQL（可直接复制）：

```sql CREATE TABLE "ARCHIVE_AUDIT"."AUDIT_LOG" ( "LOG_ID" NUMBER(20) PRIMARY KEY, "EVENT_TIME" TIMESTAMP(6) DEFAULT CURRENT_TIMESTAMP NOT NULL, "USER_ID" VARCHAR2(64) NOT NULL, "USER_NAME" VARCHAR2(128) NOT NULL, "USER_ROLE" VARCHAR2(32) NOT NULL, "USER_IP" VARCHAR2(64) NOT NULL, "USER_MAC" VARCHAR2(64) NOT NULL, "EVENT_TYPE" VARCHAR2(32) NOT NULL, "EVENT_OBJECT" VARCHAR2(256) NOT NULL, "EVENT_DETAIL" CLOB NOT NULL, "EVENT_RESULT" VARCHAR2(16) NOT NULL, "AUDIT_OPERATOR" VARCHAR2(64) DEFAULT NULL, "AUDIT_REMARK" CLOB DEFAULT NULL ) TABLESPACE "ARCHIVE_AUDIT_TS" ENCRYPT WITH SM4; -- 创建归档触发器，自动备份超3个月的日志到独立加密U盘（挂载路径：/mnt/audit-usb） CREATE OR REPLACE TRIGGER "ARCHIVE_AUDIT"."TRG_AUDIT_ARCHIVE" AFTER INSERT ON "ARCHIVE_AUDIT"."AUDIT_LOG" FOR EACH ROW BEGIN IF :NEW.EVENT_TIME < ADD_MONTHS(CURRENT_TIMESTAMP, -3) THEN INSERT INTO "ARCHIVE_AUDIT"."AUDIT_LOG_ARCHIVE" SELECT FROM "ARCHIVE_AUDIT"."AUDIT_LOG" WHERE "LOG_ID" = :NEW.LOG_ID; DELETE FROM "ARCHIVE_AUDIT"."AUDIT_LOG" WHERE "LOG_ID" = :NEW.LOG_ID; EXECUTE IMMEDIATE 'COPY "ARCHIVE_AUDIT"."AUDIT_LOG_ARCHIVE" TO ''/mnt/audit-usb/audit_archive_' || TO_CHAR(CURRENT_TIMESTAMP, 'YYYYMMDDHH24MISS') || '.csv'' WITH ENCRYPT SM4 KEY ''你的达梦SM4归档密钥'''; END IF; END; / ```

三、终端与网络环境合规配置

1. 终端配置

• 强制安装可信桌面、终端安全保密产品（比如鼎普终端保密检查系统/北信源终端安全管理系统涉密版）；
• 禁用蓝牙、WiFi、摄像头、麦克风、USB存储（除了审批过的USBKey和加密U盘）；
• 屏幕保护时间≤10分钟，且启用密码解锁；
• 禁用所有非涉密应用程序，所有应用程序需经过安全管理员审批+可信签名才能安装。

2. 网络配置

• 系统必须部署在涉密内网（物理隔离），不能连接互联网；
• 服务器和终端之间用千兆光纤连接，核心交换机用国产涉密交换机；
• 启用网络访问控制列表（ACL），只允许授权终端的IP/MAC访问服务器；
• 强制使用SM2/SM3/SM4全系列国产算法进行网络传输加密（IPSec VPN或者SSL/TLS SM2套件）。

四、认证申请与现场检查准备

1. 申请材料准备

• 《涉及国家秘密的信息系统分级保护测评申请书》（国家保密局官网下载：https://www.bsj.gov.cn/n16/n2135/n2143/c100321/content.html）；
• 系统开发集成合同、运维合同、涉密文档全套；
• 硬软设备清单（标注型号、密级、国产率）；
• 测评机构出具的《分级保护测评方案》；
• 三权分立人员的资质证书复印件。

2. 现场检查准备

• 准备3套独立三权分立账号（一套测试用，一套备用，一套正式用）；
• 准备至少10份不同密级的测试档案（公开/内部/秘密/机密均可，绝密慎用）；
• 准备所有硬软设备的说明书、资质证书原件；
• 现场演练身份鉴别失败、权限访问拒绝、审计日志查看/导出/备份、数据恢复等核心场景。