GB/Z 24294.1-2018信息安全技術(shù)基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南第1部分：總則

ICS35040

L80.

中華人民共和國國家標準化指導性技術(shù)文件

GB/Z242941—2018

部分代替.

GB/Z24294—2009

信息安全技術(shù)

基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南

第1部分總則

:

Informationsecuritytechnology—Guideofimplementationforinternet-based

e-overnmentinformationsecurit—Part1General

gy:

2018-03-15發(fā)布2018-10-01實施

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局發(fā)布

中國國家標準化管理委員會

GB/Z242941—2018

.

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語和定義

3………………1

縮略語

4……………………2

基于互聯(lián)網(wǎng)電子政務(wù)信息安全參考模型

5………………2

安全參考模型

5.1………………………2

安全策略

5.2……………3

識別安全需求

5.3………………………4

安全設(shè)計

5.4……………4

安全實施

5.5……………4

安全評估

5.6……………5

基于互聯(lián)網(wǎng)電子政務(wù)信息安全技術(shù)體系

6………………5

安全技術(shù)體系

6.1………………………5

公鑰基礎(chǔ)設(shè)施

6.2………………………6

安全互聯(lián)與接入控制邊界防護

6.3、……………………6

區(qū)域安全

6.4……………6

終端安全

6.5……………6

應(yīng)用安全

6.6……………6

安全管理

6.7……………6

安全服務(wù)

6.8……………6

體系的實施原則

7…………………………6

按需保護原則

7.1………………………6

權(quán)限最小化原則

7.2……………………7

信息分類防護原則

7.3…………………7

系統(tǒng)分域控制原則

7.4…………………7

體系的實施架構(gòu)

8…………………………7

數(shù)據(jù)集中模式下的體系實施架構(gòu)

8.1…………………7

數(shù)據(jù)分布存儲模式下的體系實施架構(gòu)

8.2……………8

移動辦公模式下的體系實施架構(gòu)

8.3…………………11

體系實施的關(guān)鍵環(huán)節(jié)

9……………………13

系統(tǒng)分域防控

9.1………………………13

統(tǒng)一認證授權(quán)

9.2………………………13

接入控制與安全交換

9.3………………14

終端安全防護

9.4………………………14

Ⅰ

GB/Z242941—2018

.

體系的風險評估

10………………………14

客戶訪談

10.1…………………………14

文檔信息核查

10.2……………………14

建設(shè)方案分析

10.3……………………14

方案實施情況核查

10.4………………15

工具檢測

10.5…………………………15

評估結(jié)論

10.6…………………………15

附錄資料性附錄某市基于互聯(lián)網(wǎng)電子政務(wù)安全系統(tǒng)配置示例

A()…………………16

附錄資料性附錄某市基于互聯(lián)網(wǎng)電子政務(wù)系統(tǒng)信息分類防護示例

B()……………19

Ⅱ

GB/Z242941—2018

.

前言

信息安全技術(shù)基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南分為以下部分

GB/Z24294《》:

第部分總則

———1:;

第部分接入控制與安全交換

———2:;

第部分身份認證與授權(quán)管理

———3:;

第部分終端安全防護

———4:。

本部分為的第部分

GB/Z242941。

本部分按照給出的規(guī)則起草

GB/T1.1—2009。

本部分部分代替基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南與

GB/Z24294—2009《》。GB/Z24294—

相比主要技術(shù)變化如下

2009,:

補充了基于互聯(lián)網(wǎng)電子政務(wù)信息安全參考模型

———;

對基于互聯(lián)網(wǎng)電子政務(wù)信息安全技術(shù)體系做了新修改

———;

針對基于互聯(lián)網(wǎng)電子政務(wù)實施架構(gòu)給出了新的建議

———;

針對接入控制與安全交換給出了新的建議

———;

針對互聯(lián)網(wǎng)電子政務(wù)移動終端新的應(yīng)用模式給出了新的建議

———;

針對信息分類防護的具體應(yīng)用做了新補充

———;

針對信任體系建設(shè)給出了身份認證與授權(quán)管理新建議

———。

請注意本文件的某些內(nèi)容可能涉及專利本文件的發(fā)布機構(gòu)不承擔識別這些專利的責任

。。

本部分由全國信息安全標準化技術(shù)委員會提出并歸口

(SAC/TC260)。

本部分起草單位解放軍信息工程大學中國電子技術(shù)標準化研究院北京天融信科技有限公司鄭

:、、、

州信大捷安信息技術(shù)股份有限公司

。

本部分主要起草人陳性元杜學繪孫奕曹利峰張東巍任志宇夏春濤何駿景鴻理

:、、、、、、、、、

上官曉麗

。

本部分所代替標準的歷次版本發(fā)布情況為

:

———GB/Z24294—2009。

Ⅲ

GB/Z242941—2018

.

引言

互聯(lián)網(wǎng)已成為重要的信息基礎(chǔ)設(shè)施積極利用互聯(lián)網(wǎng)進行我國電子政務(wù)建設(shè)既能提高效率擴大

,,、

服務(wù)的覆蓋面又能節(jié)約資源降低成本利用開放的互聯(lián)網(wǎng)開展電子政務(wù)建設(shè)面臨著計算機病毒網(wǎng)

,、。,、

絡(luò)攻擊信息泄漏身份假冒等安全威脅和風險為推進互聯(lián)網(wǎng)在我國電子政務(wù)中的應(yīng)用指導基于互

、、。,

聯(lián)網(wǎng)電子政務(wù)信息安全保障工作特制定本指導性技術(shù)文件

,。

基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南標準由基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南總則接入

、

控制與安全交換身份認證與授權(quán)管理終端安全防護四部分組成基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施

、、。

指南總則是基于互聯(lián)網(wǎng)電子政務(wù)信息安全建設(shè)的總攬可指導政府部門建立基于互聯(lián)網(wǎng)電子政務(wù)信息

,,

安全系統(tǒng)構(gòu)建基于互聯(lián)網(wǎng)電子政務(wù)信息安全技術(shù)體系接入控制與安全交換身份認證與授權(quán)管理與

,;、

終端安全防護三個規(guī)范分別從互聯(lián)網(wǎng)電子政務(wù)中安全互聯(lián)與接入控制政務(wù)辦公與政務(wù)服務(wù)安全政

,、、

務(wù)終端安全防護三個關(guān)鍵實施點對基于互聯(lián)網(wǎng)電子信息安全系統(tǒng)建設(shè)進行規(guī)范

,。

Ⅳ

GB/Z242941—2018

.

信息安全技術(shù)

基于互聯(lián)網(wǎng)電子政務(wù)信息安全實施指南

第1部分總則

:

1范圍

的本部分給出了基于互聯(lián)網(wǎng)電子政務(wù)信息安全參考模型構(gòu)建了基于互聯(lián)網(wǎng)電子政務(wù)

GB/Z24294,

信息安全技術(shù)體系并對體系的實施原則實施框架實施關(guān)鍵技術(shù)與風險評估給出指南性建議為構(gòu)

,、、。

建基于互聯(lián)網(wǎng)電子政務(wù)信息安全保障架構(gòu)建立基于互聯(lián)網(wǎng)電子政務(wù)信息安全系統(tǒng)提供規(guī)范

、。

本部分適用于沒有電子政務(wù)外網(wǎng)專線或沒有租用通信網(wǎng)絡(luò)專線條件的組織機構(gòu)基于互聯(lián)網(wǎng)開展

,

不涉及國家秘密的電子政務(wù)信息安全建設(shè)為管理人員工程技術(shù)人員信息安全產(chǎn)品提供者進行信息

,、、

安全建設(shè)提供管理和技術(shù)參考涉及國家秘密或所存儲處理傳輸信息匯聚后可能涉及國家秘密的

。,、、,

按照國家保密規(guī)定和標準執(zhí)行

。

2規(guī)范性引用文件

下列文件對于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術(shù)信息安全風險評估規(guī)范

GB/T20984—2007

信息安全技術(shù)政務(wù)計算機終端核心配置規(guī)范

GB/T30278—2013

信息安全技術(shù)云計算服務(wù)安全指南

GB/T31167—2014

3術(shù)語和定義

下列術(shù)語和定義適用于本文件

。

31

.

內(nèi)部數(shù)據(jù)處理域insidedatapro