Tiêu chuẩn TCVN 13720:2023 Công nghệ thông tin - Các kỹ thuật an toàn

Tiêu chuẩn quốc gia TCVN 13720:2023 về kiểm thử mô-đun mật mã

Ngày 25/08/2023, Bộ Khoa học và Công nghệ đã ban hành Tiêu chuẩn quốc gia TCVN 13720:2023, quy định về kiểm thử các mô-đun mật mã trong môi trường hoạt động, có hiệu lực từ ngày 25/08/2023. Tiêu chuẩn này do Cục Quản lý mật mã dân sự và Kiểm định sản phẩm mật mã biên soạn và được thẩm định bởi Tổng cục Tiêu chuẩn Đo lường Chất lượng.

Đối tượng điều chỉnh của TCVN 13720:2023 là các mô-đun mật mã được sử dụng trong nhiều môi trường khác nhau và yêu cầu an toàn liên quan đến việc tích hợp và vận hành chúng. Tiêu chuẩn này cũng phục vụ cho việc hướng dẫn kiểm thử viên và tổ chức về cách lựa chọn và đánh giá mô-đun mật mã.

Phạm vi và mục đích

TCVN 13720:2023 cung cấp những khuyến nghị và danh sách kiểm tra cho việc xác nhận hoạt động của các mô-đun mật mã. Điều này là cần thiết để đảm bảo mô-đun mật mã hoạt động đúng trong các môi trường ứng dụng khác nhau, từ dữ liệu nhạy cảm cao như thông tin cá nhân đến các ứng dụng tài chính. Tiêu chuẩn xác định lại các yêu cầu an toàn dựa trên các khoảng cách như an toàn vật lý, chính sách an toàn, và môi trường hoạt động.

Các loại mô-đun mật mã

Tiêu chuẩn phân loại mô-đun mật mã thành các nhóm khác nhau:

• Mô-đun phần mềm
• Mô-đun phần sụn
• Mô-đun phần cứng
• Mô-đun lai ghép

Mỗi loại mô-đun có các yêu cầu an toàn cụ thể và mức xếp hạng an toàn từ 1 đến 4 tùy thuộc vào tính năng bảo mật.

Yêu cầu an toàn của mô-đun mật mã

Tiêu chuẩn yêu cầu mô-đun mật mã phải đáp ứng 11 lĩnh vực an toàn, bao gồm: mô tả mô-đun, các vai trò và dịch vụ, an toàn phần mềm và phần sụn, và đảm bảo vòng đời. Mỗi lĩnh vực có các yêu cầu cụ thể và mức an toàn khác nhau, nhằm đảm bảo hoạt động an toàn và hiệu quả của mô-đun mật mã trong môi trường ứng dụng.

Kiểm thử xác nhận hoạt động

Việc kiểm thử xác nhận hoạt động được mô tả như một quy trình để đảm bảo việc cài đặt, cấu hình và hoạt động của mô-đun mật mã. Tiêu chuẩn này đưa ra các khuyến nghị chi tiết cho kiểm thử viên trong các hoạt động kiểm tra bao gồm: đánh giá cài đặt, phát hiện lỗ hổng, kiểm tra hệ thống quản lý khóa và độ tin cậy của thông tin xác thực.

Tiêu chuẩn này cũng nhấn mạnh tầm quan trọng của việc sử dụng chứng chỉ an toàn cho mô-đun mật mã đã được xác nhận để đảm bảo tuân thủ và tự động hóa công nhận mô-đun mật mã trong môi trường an toàn.

TCVN 13720:2023 không chỉ hỗ trợ các tổ chức trong việc lựa chọn và đánh giá mô-đun mật mã mà còn đóng vai trò quan trọng trong việc đảm bảo an toàn thông tin và bảo mật dữ liệu trong môi trường công nghệ thông tin hiện đại.