DB32T 1927-2011 政府信息系统安全防护基本要求

ICS35.040L70备案号：31592-2011江苏省地方标准DB32DB32/T1927-2011政府信息系统安全防护基本要求Baselineforgovernmentinformationsystem2011-11-10发布2012-01-10实施江苏省质量技术监督局发布DB32/T1927-2011I目次前言.............................................................................................................................................................................II引言............................................................................................................................................................................III1范围..........................................................................................................................................................................12规范性引用文件.......................................................................................................................................................13术语和定义..............................................................................................................................................................14基本要求..................................................................................................................................................................14.1物理安全.............................................................................................................................................................14.2网络安全.............................................................................................................................................................34.3主机安全系统………………………………………………………………………………………………………………………………………….44.4应用安全………………………………………...……………………………………………………………………………………………………..64.5数据安全…………………………………...…………………………………………………………………………………………………………..84.5安全管理…………………………………...………………………………………………………………………..………………………………...8DB32/T1927—2011II前言本标准依据GB/T1.1—2009《标准化工作导则第1部分：标准的结构和编写》编写。本标准由江苏省经济和信息化委员会归口。本标准由江苏省经济和信息化委员会提出。本标准起草单位：江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）。本标准起草人：吴兰、黄申、张影秋、程恺。DB32/T1927-2011III引言本规范规定了政府信息系统安全防护的基本要求，用以指导设计者如何设计和实现满足安全需求的政府信息系统。本规范主要从物理安全、网络安全、主机系统安全、应用安全、数据安全和安全管理等方面对安全防护基本要求做了全面的描述。本规范所提到的政府信息系统要求满足GB/T22239中第三级的要求。DB32/T1927—20111政府信息系统安全防护基本要求1范围本规范规定了政府信息系统安全防护的基本要求。本规范适用于政府信息系统安全防护的设计、验收和安全检查。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239—2008信息安全技术信息系统安全等级保护基本要求3术语和定义GB/T22239-2008确立的术语和定义适用于本标准。3.1政府信息系统governmentinformationsystem是指由政府机关建设和使用，履行经济调节、市场监管、社会管理和公共服务职能的信息系统。4基本要求4.1物理安全4.1.1物理位置的选择4.1.1.1基本要求：机房及辅助场地应选择在具有较强的防震、防风和防雨等能力的建筑内；4.1.1.2位置要求：机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；4.1.1.3其他要求：机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生火灾、水灾、易遭受雷击的地区。4.1.2物理访问控制4.1.2.1机房出入：机房出入口应有专人管理或配置电子门禁系统，鉴别进入的人员身份并登记在案；4.1.2.2来访人员：应批准进入机房的来访人员，限制和监控其活动范围；4.1.2.3分区管理：应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过度区域。4.1.3防盗窃和防破坏4.1.3.1设备放置范围：应将主要设备放置在物理受限的范围内；4.1.3.2设备标记：应对设备或主要部件进行固定，并设置明显的不易除去的标记；4.1.3.3线缆铺设：应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等；4.1.3.4介质标识存储：应对介质分类标识，存储在介质库或档案室中；4.1.3.5设备移动要求：设备或存储介质携带出工作环境时，应受到监控和内容加密；DB32/T1927—201124.1.3.6防盗报警系统：应配置防盗报警系统，保证非法入侵和破坏行为得到及时报警和处置；4.1.3.7监控报警系统：应对机房设置监控报警系统，并保存监控记录。4.1.4机房接地与防雷击4.1.4.1接地要求：采用地桩、水平栅网、金属板、建筑物基础钢筋构建接地系统等，确保接地体的良好接地；4.1.4.2去耦、滤波要求：设置信号地与直流电源地，不造成额外耦合，保障去耦、滤波等的良好效果；4.1.4.3防护地与屏蔽地要求：设置安全防护地与屏蔽地，采用阻抗尽可能小的导体，以减小各种地之间的电位差；4.1.4.4交流电源地线要求：设置交流电源地线；交流供电线应有规范连接位置的三芯线，并将地线与机房的地线网连通；4.1.4.5避雷要求：机房建筑应设置避雷装置；4.1.4.6防雷要求：应设置防雷保安器，防止感应雷。4.1.5防火4.1.5.1自动报警灭火系统：应设置火灾自动消防系统，自动检测火情、自动报警，并自动灭火；4.1.5.2建筑材料的防火：机房及相关的工作房间和辅助房，其建筑材料应具有耐火等级；4.1.5.3区域隔离防火：机房采取区域隔离防火措施，将重要设备与其他设备隔离开。4.1.6防水和防潮4.1.6.1水管安装要求：机房应避免安装水管，屋顶和地板下不应安装水管，应对穿过墙壁和楼板的水管增加必要的保护措施；4.1.6.2防水渗透要求：应采取措施防止雨水通过屋顶和墙壁渗透，应采取措施防止室内水蒸气结露和地下积水的转移与渗透。4.1.7防静电4.1.7.1接地与屏蔽：应采用必要的接地防静电措施与屏蔽系统；4.1.7.2静电地板：机房和重要介质设备间，应采用防静电地板。4.1.8温湿度控制4.1.8.1基本温湿度要求：应符合相关国家标准的要求，使机房温湿度达到所需的温湿度要求；4.1.8.2较完备空调系统：应有较完备的中央空调系统，保证机房温湿度的变化在计算机系统运行所允许的范围；4.1.8.3完备空调系统：应有完备的中央空调系统，保证机房各个区域的温湿度变化能满足计算机系统运行、人员活动和其他辅助设备的要求。4.1.9电力供应4.1.9.1分开供电：计算机系统供电应与其他供电分开；4.1.9.2稳压供电：应设置稳压器和过电压防护设备；4.1.9.3紧急供电：应提供短期的备用电力供应（如：UPS设备）；4.1.9.4备用供电：重要信息系统，应建立备用供电系统（如备用发电机），以备常用供电系统停电时启用，应设置冗余或并行的电力电缆线路。DB32/T1927—201134.1.10电磁防护4.1.10.1接地防干扰：应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；4.1.10.2隔离防干扰：电源线和通信线缆应隔离，避免互相干扰；4.1.10.3机房屏蔽：对重要信息系统的重要设备和磁介质实施电磁屏蔽。4.2网络安全4.2.1结构安全与网段划分4.2.1.1网络设备的业务处理能力应具备冗余能力，要求满足业务高峰期需要；4.2.1.2应设计和绘制与当前运行情况相符的网络拓扑结构图；4.2.1.3应根据机构业务的特点，在满足业务高峰期需要的基础上，合理设计网络带宽；4.2.1.4应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；4.2.1.5应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子网或网段，根据需要确定相应的子网间访问控制措施，并按照方便管理和控制的原则为各子网、网段分配地址段；4.2.1.6重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗；4.2.1.7应按照对业务服务的重要次序来指定带宽分配优先级别，在网络发生拥堵的时候优先保证重要业务系统提供服务。4.2.2网络访问控制4.2.2.1应能根据会话状态信息（包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用），为数据流提供明确的允许/拒绝访问的能力；4.2.2.2应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；4.2.2.3应依据安全策略允许或者拒绝便携式和移动式设备的网络接入；4.2.2.4应在会话处于非活跃一定时间或会话结束后终止网络连接；4.2.2.5应限制网络最大流量数及网络连接数。4.2.3拨号访问控制4.2.3.1应在基于安全属性的允许远程用户对系统访问的规则的基础上，对系统所有资源允许或拒绝用户进行访问，控制粒度为单个用户；4.2.3.2应限制具有拨号访问权限的用户数量；4.2.3.3应按用户和系统之间的允许访问规则，决定允许用户对受控系统进行资源访问。4.2.4网络安全审计4.2.4.1应对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录；4.2.4.2对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相