搜索
《陕西省县级电子政务建设要求与技术规范》编写组目录一、县级电子政务网络与信息安全原则二、县级电子政务网络与信息安全总体要求三、密码要求四、安全等级保护和分类分域防护机制五、安全技术要求六、安全管理要求七、信息安全工程实施1)涉密信息不上网；2)适度安全、综合防范；3)分域控制、分类防护；4)内外网隔离；5)明确责任、各负其责。《建设要求与技术规范》编写组2.1县级电子政务安全架构2.2县级电子政务安全系统组成2.3县级电子政务安全体系技术要求《建设要求与技术规范》编写组1)保密性；2)完整性；3)可用性；4)真实性；5)可控性。《建设要求与技术规范》编写组《建设要求与技术规范》编写组2.1县级电子政务安全架构县级电子政务安全架构包括：安全支撑平台；安全政务网络平台；电子政务统一平台；管理制度体系。《建设要求与技术规范》编写组2.1县级电子政务安全架构•互联网是构建县级电子政务网络所利用的基础网络设施。•安全政务网络平台是依托互联网，通过采用商用密码、防火墙和VPN等技术，将各接入单位安全互联起来的电子政务网络。•安全支撑平台提供安全互联、接入控制、统一身份认证、授权管理、恶意代码防范、入侵检测、安全审计、桌面安全等安全支撑。《建设要求与技术规范》编写组2.1县级电子政务安全架构•电子政务统一平台构成了电子政务的安全应用，既是安全支撑平台的保护对象，又是县级实施电子政务的主体。•管理制度体系是县级电子政务长期有效运行的保证，包括建设管理、使用管理、维护管理、安全管理、数据管理、应急管理等规章制度。《建设要求与技术规范》编写组2.2.县级电子政务安全系统组成电子政务安全支撑平台依托公钥基础设施所提供的数字证书等服务，通过综合采用以密码为核心的信息安全技术，实现安全互联、接入控制与边界防护、区域安全、桌面安全、应用安全、安全服务和安全管理，形成一体化的分类分域安全防护体系。其系统结构如图所示。公钥基础设施应用安全安全服务安全管理桌面安全区域安全安全互联与接入控制、边界防护《建设要求与技术规范》编写组2.2.县级电子政务安全系统组成公钥基础设施：主要是为用户和实体提供数字证书服务，县级不宜建设自己的认证中心，依托市级认证中心实现县级数字证书服务。安全互联与接入控制、边界防护：主要是实现区域间的安全互联，为各区域提供网络边界防护，为政务办公用户提供远程安全接入控制。采用的主要安全技术包括商用密码、VPN、防火墙等技术。《建设要求与技术规范》编写组2.2.县级电子政务安全系统组成区域安全：按照“明确责任、各负其责”的原则，相关部门根据安全需要为各区域提供网络安全保障。主要安全技术包括入侵检测、漏洞扫描、安全审计、网页防篡改、防病毒等技术。桌面安全：主要是为互联网上的政务办公终端提供恶意代码防范、基于个人主机的访问控制、传输安全、存储安全、电子邮件安全和安全审计等综合安全防护措施。主要安全技术包括防恶意代码、登录认证、访问控制、电子邮件安全和安全存储等。《建设要求与技术规范》编写组2.2.县级电子政务安全系统组成应用安全:主要是为电子政务应用系统提供信息分类分域存储、统一身份管理、授权管理、访问控制和分类防护等安全措施。主要安全技术包括加密技术、数字签名技术、统一身份认证技术、授权管理与访问控制技术、信息分类防护技术、网页防篡改技术等。安全管理:主要是为电子政务系统提供授权管理、安全设备管理、安全策略、安全审计、检测评估等措施。主要安全技术包括授权管理技术、VPN安全管理技术、审计管理技术、应急处理技术、漏洞扫描技术等。《建设要求与技术规范》编写组2.2.县级电子政务安全系统组成安全服务：主要是为各类用户提供单点登录、系统补丁下载、恶意代码库升级等在线服务。主要安全技术为统一身份认证、恶意代码防范技术等。《建设要求与技术规范》编写组2.3.县级电子政务安全体系技术要求VPN系统1)功能与系统组成VPN系统完成区域间安全互联、移动安全接入等功能，通过集成防火墙功能可共同完成分域防护与网络边界防护等功能，VPN系统通常包括VPN安全设备、VPN客户端和VPN安全管理设备三个组件。VPN安全设备是区域间安全互联的必选配置。《建设要求与技术规范》编写组2.3.县级电子政务安全体系技术要求2)VPN系统部署在县级电子政务系统中，VPN系统的部署主要有两种：(1)网络安全互联需要接入电子政务网络的局域网，可在其与互联网的连接处部署VPN安全设备，通过建立电子政务的虚拟专用网络，并提供连接间的安全通道，实现网络安全互联。(2)终端安全接入直接通过互联网访问政务办公系统的终端，可安装VPN客户端，与VPN安全设备建立安全通道，实现移动政务办公。《建设要求与技术规范》编写组2.3.县级电子政务安全体系技术要求统一身份管理与授权管理系统:身份管理和授权管理是访问控制的前提，身份管理对用户的身份进行标识与鉴别，授权管理对用户访问资源的权限进行标识与管理。该系统是县级电子政务系统的必选配置，部署于安全管理区域。桌面安全系统：提供主机恶意代码防范、PC防火墙、桌面存储安全、电子邮件安全、安全审计等一体化终端安全保护。该系统分为基本桌面安全和增强桌面安全两类。基本桌面安全是县级电子政务系统的必选配置，增强桌面安全是县级电子政务系统的可选配置。《建设要求与技术规范》编写组2.3.县级电子政务安全体系技术要求恶意代码防范系统：旨在发现病毒、木马等恶意代码的入侵，并阻止其在政务系统上的传播和破坏。在政务终端、服务器和相应部位上应安装和运行恶意代码防范系统并及时更新，定期进行恶意代码扫描和清除，防范恶意代码在网络上的扩散。网页防篡改系统：能够发现网页攻击或篡改，当网页受到破坏时可进行恢复。它是县级电子政务网站系统的必选配置。网页防篡改系统可与被保护系统部署于同一个区域。2.3.县级电子政务安全体系技术要求安全审计系统：为县级电子政务系统安全事件管理提供事中记录、事后分析和追踪的手段，它是县级电子政务系统的必选配置。该系统由审计数据采集引擎和审计数据分析部件组成。审计数据采集引擎通常部署于被审计的设备中；审计数据分析部件通常部署于安全管理区域。入侵检测系统：对计算机网络或计算机系统中的信息进行收集和分析，从中发现违反安全策略的行为和被攻击的迹象。它是县级电子政务系统的可选配置。该系统包括入侵检测网络引擎和入侵检测控制台两部分。入侵检测网络引擎部署于电子政务系统的网络数据交汇处，入侵检测控制台部署于安全管理区域。2.3.县级电子政务安全体系技术要求漏洞扫描系统：对主机和网络系统进行扫描、检测，并进行风险管理，用于发现主机和网络系统的安全漏洞，并评估主机和网络系统的安全风险。它是县级电子政务系统的可选配置。该系统部署于安全管理区域。应急响应与备份恢复：提供应对各种突发事件的发生所做的准备以及在事件发生后所采取的措施。基于互联网电子政务应急响应与备份恢复机制的保护对象是重要电子政务系统和重要数据，能实现对网络安全运行情况的全方位监测、响应与恢复，应根据电子政务系统的重要程度进行系统配置。密码安全产品的使用以及产品所使用的密码算法应符合国家有关规定。《建设要求与技术规范》编写组4.1安全等级保护4.2分类分域防护机制《建设要求与技术规范》编写组《建设要求与技术规范》编写组4.1.安全等级保护县级电子政务信息系统安全保障应遵循信息安全等级保护有关标准和规定，具体定级和保护应按GB17859、GB/T20271、GB/T22240和GB/T22239的相应标准执行。《建设要求与技术规范》编写组4.2.分类分域防护机制政务信息和应用分类1)政务信息分类2)政务应用分类《建设要求与技术规范》编写组4.2.分类分域防护机制信息分类防护措施1)公开信息防护：对公开信息的保护应保证信息的完整性和可用性。2)内部公开信息防护：采用口令或数字证书进行身份鉴别等手段，允许系统内政务人员通过身份鉴别访问内部公开信息，防止系统内非政务人员的非法访问。3)内部受控信息防护：采用数字证书认证、自主访问控制和加密等手段，防止非授权人员的访问和数据泄漏。《建设要求与技术规范》编写组4.2.分类分域防护机制系统分域控制措施1)安全域划分：按照电子政务应用系统信息和应用分类的安全需求，划分为内部数据处理区域和公开数据处理区域；根据安全系统的功能不同，划分为安全管理区域和安全服务区域。安全管理区域安全策略管理系统内部数据处理区域公开数据处理区域电子政务业务处理系统１内部信息数据库公开信息数据库安全服务区域电子政务系统所在区域身份管理和授权管理系统安全审计管理控制台入侵检测管理终端统一身份鉴别和权限验证防恶意代码升级服务版本升级服务网页防篡改系统漏洞扫描系统电子政务业务处理系统２电子政务业务处理系统n政务服务系统１政务服务系统２政务服务系统n分域控制设备《建设要求与技术规范》编写组4.2.分类分域防护机制2)分域控制(1)用户接入控制：电子政务核心区域部署的分域控制设备对内部四个安全域的访问行为进行基于策略的访问控制，实现用户接入控制。内部数据处理区安全管理区安全服务区公开数据处理区安全管理员互联网用户行政办公用户乡镇或移动办公用户专家、政务服务管理人员《建设要求与技术规范》编写组4.2.分类分域防护机制用户接入控制策略如下：①公开数据处理区域允许公众直接访问。②内部数据处理区域仅允许政府单位办公人员和其它授权用户访问。③安全管理区域仅允许安全管理人员访问。④安全服务区域提供与安全相关的服务，允许政府单位办公人员、注册用户访问。《建设要求与技术规范》编写组4.2.分类分域防护机制(2)域间信息安全交换:当存放于内部数据处理区域的数据和公开数据处理区域实施交换时，应符合访问控制策略，防止内部数据的泄漏和破坏。《建设要求与技术规范》编写组5.1网络互联、接入控制与边界防护5.2区域安全5.3桌面安全5.4安全管理技术要求5.5安全服务5.6应用安全《建设要求与技术规范》编写组5.1.网络互联、接入控制与边界防护VPN技术基本要求如下：互联安全、移动安全接入、接入控制、分域控制、网络适应性。VPN安全管理基本要求如下：基本功能要求、VPN设备统一管理要求、端用户统一管理要求、分域控制管理要求、用户接入控制管理要求、安全审计。防火墙应满足如下基本要求：分域控制、物理端口数量要求、安全审计、自身防护。《建设要求与技术规范》编写组5.2.区域安全网络入侵检测应满足如下基本要求：数据探测、行为检测、流量检测、响应与结果处理、性能。安全审计应满足如下基本要求：数据采集与分析、审计策略、审计记录存储、告警与响应。恶意代码防范具体要求如下：恶意代码检测、恶意代码清理、警报和日志、升级、系统兼容性。网页防篡改具体要求如下：篡改行为检测、网页恢复、篡改分析、发布与同步、报警、系统兼容性。《建设要求与技术规范》编写组5.3.桌面安全防护功能：基于互联网电子政务系统的终端应至少采用基本桌面安全措施，具体要求如下：基本桌面安全功能应具有主机恶意代码防范、PC防火墙功能；增强桌面安全功能还应具有桌面存储安全、安全电子邮件和主机审计等功能。与其它终端安全防护的兼容性主机恶意代码防范：能够通过VPN系统及时远程升级恶意代码特征库，定期检查恶意代码，防止网络恶意代码的扩散。Page32《建设要求与技术规范》编写组5.3.桌面安全PC防火墙具体要求：基本功能要求、统一策略配置要求。桌面存储安全具体要求：易用性要求、解密安全要求、密钥管理要求。电子邮件安全传输基本要求：支持邮件传输的保密性、完整性、可鉴别性、抗抵赖性等安全服务；电子邮件安全群发要求；电子邮件点对点安全互发要求；密钥管理要求。移动存储介质安全管理具体要求：移动存储介质认证、移动存储介质控制、集中策略设置。《建设要求与技术规范》编写组5.4.安全管理技术要求统一身份管理基本要求：用户统一标识与管理、用户身份鉴别方式、应支持用户能够进行统一的身份鉴别、应支持用户访问权限的统一管理。统一授权管理基本要求：授权策略管理、自主访问控制策略管理、授权管理、授权的方便性、与应用系统接