搜索
ICS35.020CCSL80T/CIIA030—2022微生物数据库安全体系设计要求Designrequirementsfordatabasesecuritysysteminthefieldofmicrobiology2022-10-20发布2022-10-20实施中国信息协会发布团体标准T/CIIA030—2022I目次前言.................................................................................II引言................................................................................III1范围................................................................................12规范性引用文件......................................................................13术语和定义..........................................................................14总体要求............................................................................25安全风险评估........................................................................26安全策略............................................................................27安全体系设计要求....................................................................5参考文献.............................................................................10T/CIIA030—2022II前言本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国信息协会提出并归口。本文件起草单位：中国科学院微生物研究所、中国科学院成都文献情报中心、中国科学院武汉病毒研究所、中国科学院计算机网络信息中心、广州物联网研究院、深圳华大生命科学研究院、北京携云启源科技有限公司、杭州迪安生物技术有限公司、北京微未来科技有限公司、广东美格基因科技有限公司、北京声智科技有限公司、北京神州绿盟科技有限公司、北京擎科生物科技有限公司、中国科学院东北地理与农业生态研究所农业技术中心、山东新创生物科技有限公司、中国国信信息总公司、北京蓝象标准咨询服务有限公司。本文件主要起草人：左丽媛、孙定中、邓菲、王芳、陈方、廖方宇、胡良霖、井晓欢、张鑫磊、任绪义、王小敏、邱凯、陈孝良、陈安君、杜军、刘俊杰、于镇华、王勇、王进京、乔华阳、马建红、张德保、段小莉。本文件为首次发布。T/CIIA030—2022III引言科学数据是国家科技创新发展和经济社会发展的重要基础性战略资源，是信息时代传播速度最快、影响面最宽、开发利用潜力最大的科技资源。科学数据信息化离不开数据库的建设，因此必须要保证数据库安全以防止数据被非法使用而造成数据的泄露、破坏和更改。微生物数据库安全体系是微生物生物安防系统的一部分，也是数据库信息安全管理系统在微生物学上的应用实例。目前，微生物数据库的安全性良莠不齐，同时从业人员也缺乏衡量这一特殊系统安全性的参考指标。为了协助相关从业人员建立及评价微生物数据库的安全体系、保护微生物数据的信息安全，本文件从信息科学的角度明确了生物安防中关于数据的安全要求，为微生物数据库安全管理及国家科学数据安全体系建设提供支撑。微生物数据库在建立时应先进行安全风险评估，根据评估结果选择合适的安全策略，并在此基础上形成更具体的设计要求，满足不同类型、不同级别的数据库的安全要求。T/CIIA030—20221微生物数据库安全体系设计要求1范围本文件规定了微生物数据库安全体系设计总体要求、安全风险评估、安全策略和设计要求。本文件适用于微生物数据库的日常维护及安全管理。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T20009—2019信息安全技术数据库管理系统安全评估准则GB/T20273—2019信息安全技术数据库管理系统安全技术要求GB/T25069—2022信息安全技术术语DB33/T2351—2021数字化改革公共数据分类分级指南3术语和定义GB/T20009—2019、GB/T20273—2019、GB/T25069—2022和DB33/T2351—2021界定的以及下列术语和定义适用于本文件。科学数据scientificdata人类社会科技活动积累的或通过其他方式获取的反映客观世界的本质、特征、变化规律等原始性、基础性数据，以及根据不同科技活动需要进行系统加工整理的各类数据的集合。[来源：GB/T31075—2014，2.2.7]微生物数据microbiologicaldata与微生物有关的文字、数字、图形或其他形式的原始数据或产品。微生物数据库microbiologicaldatabase以储存微生物数据及其元数据为主的数据库及其数据库管理系统。生物安防biosecurity防止生物因子及其相关处理设备、技术、数据在所有方不知情的情况下被接触或传播的措施。生物安防风险评估biosecurityriskassessment对某一组织所持有的生物因子被不正当使用的风险及其后果进行评估，并制定相应的防范措施的过程。数据安全datasecurity通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。信息控制informationcontrol对敏感信息进行分级并按照级别确保信息的保密性和完整性的限制性措施。T/CIIA030—202224总体要求微生物数据库的安全需求取决于其存储的科学数据的敏感性，设计微生物数据库安全体系时应遵循以下要求：a)应对数据库的软硬件及科学数据本身进行安全风险评估，相关要求见第5章；b)根据评估结果选择或制定安全策略，相关要求见第6章；c)根据安全策略确定或修改数据库结构并建立一整套适用的安全体系，相关要求见第7章。数据库不应存储高于其安全等级的科学数据。如果确有需要，应先对数据库进行升级以达到相应的安全要求后，再录入数据。5安全风险评估数据库风险评估数据库软硬件风险评估应遵循GB/T20009、GB/T20273的相关规定。微生物数据风险评估5.2.1概述微生物相关数据（例如微生物的培养环境、操作方法、来源、致病性等）可能存在潜在风险，应对其进行风险评估。根据生物安防风险评估结果，选择或制定安全策略，确定数据库结构。5.2.2微生物数据安全分级5.2.2.1分级依据微生物数据安全分级按照生物安防风险评估结果进行划分。不同安全等级的数据形成一个偏序格。同级数据的安全等级在本体系下不能相互比较，若需要比较则应进一步细分。微生物数据安全等级可根据数据的后续处理方式进行调整。5.2.2.2核心数据关系国家安全、国民经济命脉、重要民生和重大公共利益等的数据。5.2.2.3重要数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。重要数据不包含国家秘密和未达到一定数量规模的个人信息。5.2.2.4一般数据不会对国家安全、公共安全形成重要的潜在影响的数据。6安全策略概述微生物数据安全体系各部分之间的实体关系应符合图1的要求。T/CIIA030—20223图1微生物数据库安全体系各部分之间的实体关系图数据分级管理6.2.1数据库物理基础设施根据数据库持有数据的安全等级不同，应选择适用的数据部署方式，可供选择的数据部署方式如下：d)本地部署：如果数据库持有的数据以核心数据或未经脱敏的重要数据为主，应把数据集中存储在本地服务器上，严格控制数据访问。服务器所处环境应能够防止一般性的人为入侵或自然因素破坏；e)云部署：如果数据库所持有的数据以一般数据和公开数据为主，可选用商用云存储等分布式服务器；f)混合式部署：如果数据库中的数据量过于庞大，无法全部部署在本地，且又包含敏感数据，可将安全等级较高的数据存储在本地服务器上，安全等级较低的数据存放在外部的云存储上。6.2.2数据库管理系统微生物数据库管理系统应对不同级别的数据实施不同的管理措施，即多级安全数据库管理系统（MLS/DBMS）。数据库应按照所辖数据的最高安全级别确立DBMS的评估保障等级（EAL）。基于GB/T20273的相关规定，微生物数据库DBMS与其规定的EAL的对应关系如下：a)持有最高安全等级为核心数据的数据库，DBMS应达到EAL4级；b)持有最高安全等级为重要数据的数据库，DBMS应达到EAL3级；c)持有最高安全等级为一般数据的数据库，DBMS应达到EAL2级；d)如果使用混合式数据库或云存储数据，应同时确保所采用的外部服务器的DBMS达到相应的EAL。数据分类管理数据在进入数据库时应予以分类，并按照数据库的目的进行重新编排，以方便检索和展示。数据库提供给用户的内容应与数据库的设计初衷相适宜，不展示多余的数据。除非数据库的目的为原始数据的展示，否则未经分类的数据不应予以展示。分类示例如表1。T/CIIA030—20224表1微生物数据库数据按类划分示例数据名称数据类别一级子类二级子类三级子类微生物数据生物学信息生物体分类学数据形态学数据保藏信息培养方法鉴定方法致病性用途生物分子序列结构功能来源信息来源环境采集地点生境采集人/机构——管理系统数据用户数据登录信息用户名密码权限——用户个人信息——系统运行数据————访问分类分级管理6.4.1权限对于不同安全等级的数据，数据库应设置不同的权限要求。访问安全等级越高的数据，其所需权限也越高；同级别数据的增删改权限要求应高于查看权限要求。根据微生物数据和元数据所属类别，可以差异化进行公开。除了根据科学研究领域以外，还可以根据其它方式（如知识产权）按照对数据库的授权情况另行聚类，在相应的安全等级下设置其他访问权限要求。6.4.2角色根据微生物数据库所辖数据的敏感度和访问形式的不同，数据库应自行决定其角色设置，确保不同的角色权限有明确区分，且角色的细分程度应满足该数据库的用户需求。具体的角色设置应由微生物数据库的安全管理员根据数据库安全策略确定。6.4.3访问控制机制（访问监控器）访问控制器应支持自动根据目标安全等级、用户角色以及数据库安全策略对访问请求进行分类的功能。DBMS应确保访问控制机制符合数据库的数据管理机制且无法被规避。数据更新管理数据更新管理应符合以下要求。a)数据在更新时应有可靠的校验机制，防止因多人对同一条数据重复更新而导致的数据不一致、冗余或其它错误。T/CIIA030—20225b）数据更新记录：1)使用专用文件或数据库，自动记录用户对数据库的所有操作；2)新增数据按照不同的数据分级和访问权限设定编辑权限；3)针对数据库结构、数据库表或字段修改，应先进行数据库备份，更新后应记录修改版本和日志。c）数据审核记录：1)针对数据条目的新增和内容的更新应配置数据审核流程；2)数据审核主要从完整性和准确性两个方面进行，以保障数据库高质量更新。d）更新和审核统计。7安全体系设计要求用户身份鉴别7.1.1用户类型用户类