GB/Z 24294-2009信息安全技術(shù)基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南

犐犆犛３５．０４０

犔８０

中華人民共和國國家標(biāo)準(zhǔn)化指導(dǎo)性技術(shù)文件

犌犅／犣２４２９４—２００９

信息安全技術(shù)

基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—犌狌犻犱犲狅犳犻犿狆犾犲犿犲狀狋犪狋犻狅狀犳狅狉

犻狀狋犲狉狀犲狋犫犪狊犲犱犈犵狅狏犲狉狀犿犲狀狋犻狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔

２００９０７３０發(fā)布２０１００２０１實施

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局

發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會

書

犌犅／犣２４２９４—２００９

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５基于互聯(lián)網(wǎng)電子政務(wù)安全需求與實施原則!!!!!!!!!!!!!!!!!!!!!!!３

５．１威脅分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２安全需求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．３實施原則!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６基于互聯(lián)網(wǎng)電子政務(wù)安全保障總體架構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!４

６．１政務(wù)系統(tǒng)安全架構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２政務(wù)網(wǎng)絡(luò)結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．３安全系統(tǒng)組成!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．４安全系統(tǒng)配置!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．５密碼要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７系統(tǒng)分類分域控制機(jī)制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．２政務(wù)信息和應(yīng)用分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．３信息分類防護(hù)措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．４系統(tǒng)分域控制措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

８安全技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

８．１網(wǎng)絡(luò)互聯(lián)、接入控制與邊界防護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!９

８．２區(qū)域安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

８．３桌面安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

８．４安全管理技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

８．５安全服務(wù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

８．６應(yīng)用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

９安全管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

９．１綜述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

９．２安全策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

９．３安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．４組織安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．５數(shù)據(jù)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．６人員安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．７物理和環(huán)境安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．８設(shè)備安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．９安全管理人員的配置與職責(zé)!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

Ⅰ

書

犌犅／犣２４２９４—２００９

９．１０安全評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

１０信息安全工程實施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

１０．１基于互聯(lián)網(wǎng)電子政務(wù)信息安全工程流程!!!!!!!!!!!!!!!!!!!!!!１５

１０．２需求分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

１０．３方案設(shè)計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

１０．４系統(tǒng)實施與集成!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

１０．５系統(tǒng)試運行與完善!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

１０．６系統(tǒng)安全評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

１０．７系統(tǒng)正式運行!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

附錄Ａ（資料性附錄）某市基于互聯(lián)網(wǎng)電子政務(wù)網(wǎng)絡(luò)拓?fù)?!!!!!!!!!!!!!!!!１９

附錄Ｂ（資料性附錄）某市基于互聯(lián)網(wǎng)電子政務(wù)安全制度管理體系!!!!!!!!!!!!!２０

附錄Ｃ（資料性附錄）某市基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施評估流程!!!!!!!!!!!２２

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

Ⅱ

犌犅／犣２４２９４—２００９

前言

本指導(dǎo)性技術(shù)文件的附錄Ａ、附錄Ｂ和附錄Ｃ是資料性附錄。

本指導(dǎo)性技術(shù)文件由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會（ＳＡＣ／ＴＣ２６０）提出并歸口。

本指導(dǎo)性技術(shù)文件起草單位：解放軍信息工程大學(xué)電子技術(shù)學(xué)院、中國電子技術(shù)標(biāo)準(zhǔn)化研究所。

本指導(dǎo)性技術(shù)文件主要起草人：陳性元、杜學(xué)繪、王超、張東巍、胡嘯、王魯、張紅旗、曹利峰、錢雁斌。

Ⅲ

犌犅／犣２４２９４—２００９

引言

互聯(lián)網(wǎng)已成為重要的信息基礎(chǔ)設(shè)施，積極利用互聯(lián)網(wǎng)進(jìn)行我國電子政務(wù)建設(shè)，既能提高效率、擴(kuò)大

服務(wù)的覆蓋面，又能節(jié)約資源、降低成本。利用開放的互聯(lián)網(wǎng)開展電子政務(wù)建設(shè)，面臨著計算機(jī)病毒、網(wǎng)

絡(luò)攻擊、信息泄漏、身份假冒等安全威脅和風(fēng)險，應(yīng)該高度重視信息安全。

為推進(jìn)互聯(lián)網(wǎng)在我國電子政務(wù)中的應(yīng)用，指導(dǎo)基于互聯(lián)網(wǎng)電子政務(wù)信息安全保障工作，特制定本指

導(dǎo)性技術(shù)文件。本指導(dǎo)性技術(shù)文件確立了基于互聯(lián)網(wǎng)電子政務(wù)系統(tǒng)信息安全保障的總體架構(gòu)，對基于

互聯(lián)網(wǎng)電子政務(wù)所涉及的信息安全技術(shù)、信息安全管理、信息安全實施等提出了相關(guān)要求。

本指導(dǎo)性技術(shù)文件主要適用于地市級（含以下）政府單位基于互聯(lián)網(wǎng)開展非涉及國家秘密的電子政

務(wù)建設(shè)。

Ⅳ

犌犅／犣２４２９４—２００９

信息安全技術(shù)

基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南

１范圍

本指導(dǎo)性技術(shù)文件確立了基于互聯(lián)網(wǎng)電子政務(wù)信息安全保障總體架構(gòu)，為基于互聯(lián)網(wǎng)電子政務(wù)所

涉及的信息安全技術(shù)、信息安全管理、信息安全工程建設(shè)等方面安全要求的實施提供指導(dǎo)。

本指導(dǎo)性技術(shù)文件主要對統(tǒng)一的安全政務(wù)網(wǎng)絡(luò)平臺、安全政務(wù)辦公平臺、可信公共服務(wù)平臺和安全

支撐平臺的建設(shè)提出規(guī)范與要求。對于相關(guān)政務(wù)部門專有的業(yè)務(wù)系統(tǒng)，其安全防護(hù)根據(jù)明確責(zé)任、各負(fù)

其責(zé)的原則，由主管部門采取適當(dāng)?shù)陌踩胧?，本指?dǎo)性技術(shù)文件不涉及對它的安全要求。

本指導(dǎo)性技術(shù)文件適用于地市級（含以下）政府單位，基于互聯(lián)網(wǎng)開展不涉及國家秘密的電子政務(wù)

信息安全建設(shè)，為管理人員、工程技術(shù)人員、信息安全產(chǎn)品提供者進(jìn)行信息安全建設(shè)提供管理和技術(shù)

參考。

２規(guī)范性引用文件

下列標(biāo)準(zhǔn)中的條款通過本指導(dǎo)性技術(shù)文件的引用而成為本指導(dǎo)性技術(shù)文件的條款。凡是注日期的

引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本指導(dǎo)性技術(shù)文件，然而，鼓

勵根據(jù)本指導(dǎo)性技術(shù)文件達(dá)成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用

文件，其最新版本適用于本指導(dǎo)性技術(shù)文件。

ＧＢ／Ｔ２８８７電子計算機(jī)場地通用規(guī)范

ＧＢ１７８５９—１９