DB2201-T 31-2023 政務(wù)云服務(wù)與接入安全管理規(guī)范

2201ManagementspecificationforI本文件由長春市政務(wù)服務(wù)和數(shù)字化建設(shè)管理局提出本文件主要起草單位：長春市政務(wù)服務(wù)和數(shù)字化建設(shè)管理局、杭州安恒信息技術(shù)股份有限公司。本文件主要起草人：劉競雄、丁慧東、柳羽輝、孟紅月、劉爍、冷皓、戚志軍、李艷、王正偉、1政務(wù)云服務(wù)與接入安全管理規(guī)范營安全，以及政務(wù)云服務(wù)使用者接入政務(wù)云時的應(yīng)用安全、數(shù)據(jù)安全和GB/T25069、GB/T32400和GB/T35295界定的以及下列術(shù)語和定義適用于本文件。3.1政務(wù)云服務(wù)提供者E-governmentcloudservicepr3.2政務(wù)云服務(wù)使用者E-governmentcloudservice3.34縮略語VPN：虛擬專用網(wǎng)(VirtualPrivateNetwork)SSL：安全套接層（SecureSocketWAF：Web應(yīng)用防護(hù)系統(tǒng)（WebApplicationFirewall）25.1.1應(yīng)有授權(quán)機(jī)制，對進(jìn)出機(jī)房人員和運維人員有審核和記錄，應(yīng)定期更新賬號和身份認(rèn)證，運維5.1.2對生產(chǎn)網(wǎng)和非生產(chǎn)網(wǎng)應(yīng)進(jìn)行物理隔離，5.1.4特定服務(wù)器應(yīng)具備系統(tǒng)可信和應(yīng)用可信功能，滿足云服務(wù)使用者對可信計算環(huán)境的需求。5.1.5應(yīng)定期對提供的操作系統(tǒng)和鏡像模板進(jìn)行加固。5.1.6應(yīng)提供VPN服務(wù)，以供政務(wù)云服務(wù)5.1.7應(yīng)提供防火墻服務(wù)，對租戶實例進(jìn)行端口控制。5.1.9應(yīng)對每個租戶實例資源獨立使用，租戶實例服務(wù)器釋放后，原有磁盤和內(nèi)存空間應(yīng)數(shù)字清零。5.1.11應(yīng)對運維平臺賬號強(qiáng)密碼統(tǒng)一管理，定期審計，人員變動應(yīng)收回資源重新設(shè)置分配。5.1.12應(yīng)根據(jù)業(yè)務(wù)需要合理分配用戶權(quán)限，5.2.1宜提供漏洞掃描服務(wù)并出具報告，指導(dǎo)政務(wù)云使5.2.2應(yīng)提供代碼審計服務(wù)、Web應(yīng)5.2.3應(yīng)對數(shù)據(jù)庫進(jìn)行審計，提供敏感數(shù)據(jù)保護(hù)產(chǎn)品。5.2.5應(yīng)保證數(shù)據(jù)的高可用性，提供多副本、系統(tǒng)備份、故障熱遷5.3.2應(yīng)提供主機(jī)配置核查服務(wù)并根據(jù)配置核查結(jié)果，調(diào)整防火墻6.1.1按照政務(wù)云服務(wù)提供者漏洞掃描結(jié)果及時進(jìn)行漏洞驗證和漏洞36.2數(shù)據(jù)安全6.2.3定期進(jìn)行數(shù)據(jù)校驗，確保數(shù)據(jù)可用性和6.3運營安全6.3.1配合政務(wù)云服務(wù)提供者完成安全事件的處置6.3.2根據(jù)政務(wù)云服務(wù)