GB/Z 24294-2009信息安全技術基于互聯(lián)網(wǎng)電子政務信息安全實施指南

犐犆犛３５．０４０

犔８０

中華人民共和國國家標準化指導性技術文件

犌犅／犣２４２９４—２００９

信息安全技術

基于互聯(lián)網(wǎng)電子政務信息安全實施指南

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—犌狌犻犱犲狅犳犻犿狆犾犲犿犲狀狋犪狋犻狅狀犳狅狉

犻狀狋犲狉狀犲狋犫犪狊犲犱犈犵狅狏犲狉狀犿犲狀狋犻狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔

２００９０７３０發(fā)布２０１００２０１實施

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局

發(fā)布

中國國家標準化管理委員會

書

犌犅／犣２４２９４—２００９

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５基于互聯(lián)網(wǎng)電子政務安全需求與實施原則!!!!!!!!!!!!!!!!!!!!!!!３

５．１威脅分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２安全需求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．３實施原則!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６基于互聯(lián)網(wǎng)電子政務安全保障總體架構!!!!!!!!!!!!!!!!!!!!!!!!４

６．１政務系統(tǒng)安全架構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２政務網(wǎng)絡結(jié)構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．３安全系統(tǒng)組成!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．４安全系統(tǒng)配置!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６．５密碼要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７系統(tǒng)分類分域控制機制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．２政務信息和應用分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．３信息分類防護措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７．４系統(tǒng)分域控制措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

８安全技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

８．１網(wǎng)絡互聯(lián)、接入控制與邊界防護!!!!!!!!!!!!!!!!!!!!!!!!!!!９

８．２區(qū)域安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

８．３桌面安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

８．４安全管理技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

８．５安全服務!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

８．６應用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

９安全管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

９．１綜述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

９．２安全策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

９．３安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．４組織安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．５數(shù)據(jù)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．６人員安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．７物理和環(huán)境安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．８設備安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

９．９安全管理人員的配置與職責!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

Ⅰ

書

犌犅／犣２４２９４—２００９

９．１０安全評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

１０信息安全工程實施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

１０．１基于互聯(lián)網(wǎng)電子政務信息安全工程流程!!!!!!!!!!!!!!!!!!!!!!１５

１０．２需求分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

１０．３方案設計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

１０．４系統(tǒng)實施與集成!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

１０．５系統(tǒng)試運行與完善!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

１０．６系統(tǒng)安全評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

１０．７系統(tǒng)正式運行!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

附錄Ａ（資料性附錄）某市基于互聯(lián)網(wǎng)電子政務網(wǎng)絡拓撲!!!!!!!!!!!!!!!!!１９

附錄Ｂ（資料性附錄）某市基于互聯(lián)網(wǎng)電子政務安全制度管理體系!!!!!!!!!!!!!２０

附錄Ｃ（資料性附錄）某市基于互聯(lián)網(wǎng)電子政務信息安全實施評估流程!!!!!!!!!!!２２

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

Ⅱ

犌犅／犣２４２９４—２００９

前言

本指導性技術文件的附錄Ａ、附錄Ｂ和附錄Ｃ是資料性附錄。

本指導性技術文件由全國信息安全標準化技術委員會（ＳＡＣ／ＴＣ２６０）提出并歸口。

本指導性技術文件起草單位：解放軍信息工程大學電子技術學院、中國電子技術標準化研究所。

本指導性技術文件主要起草人：陳性元、杜學繪、王超、張東巍、胡嘯、王魯、張紅旗、曹利峰、錢雁斌。

Ⅲ

犌犅／犣２４２９４—２００９

引言

互聯(lián)網(wǎng)已成為重要的信息基礎設施，積極利用互聯(lián)網(wǎng)進行我國電子政務建設，既能提高效率、擴大

服務的覆蓋面，又能節(jié)約資源、降低成本。利用開放的互聯(lián)網(wǎng)開展電子政務建設，面臨著計算機病毒、網(wǎng)

絡攻擊、信息泄漏、身份假冒等安全威脅和風險，應該高度重視信息安全。

為推進互聯(lián)網(wǎng)在我國電子政務中的應用，指導基于互聯(lián)網(wǎng)電子政務信息安全保障工作，特制定本指

導性技術文件。本指導性技術文件確立了基于互聯(lián)網(wǎng)電子政務系統(tǒng)信息安全保障的總體架構，對基于

互聯(lián)網(wǎng)電子政務所涉及的信息安全技術、信息安全管理、信息安全實施等提出了相關要求。

本指導性技術文件主要適用于地市級（含以下）政府單位基于互聯(lián)網(wǎng)開展非涉及國家秘密的電子政

務建設。

Ⅳ

犌犅／犣２４２９４—２００９

信息安全技術

基于互聯(lián)網(wǎng)電子政務信息安全實施指南

１范圍

本指導性技術文件確立了基于互聯(lián)網(wǎng)電子政務信息安全保障總體架構，為基于互聯(lián)網(wǎng)電子政務所

涉及的信息安全技術、信息安全管理、信息安全工程建設等方面安全要求的實施提供指導。

本指導性技術文件主要對統(tǒng)一的安全政務網(wǎng)絡平臺、安全政務辦公平臺、可信公共服務平臺和安全

支撐平臺的建設提出規(guī)范與要求。對于相關政務部門專有的業(yè)務系統(tǒng)，其安全防護根據(jù)明確責任、各負

其責的原則，由主管部門采取適當?shù)陌踩胧?，本指導性技術文件不涉及對它的安全要求。

本指導性技術文件適用于地市級（含以下）政府單位，基于互聯(lián)網(wǎng)開展不涉及國家秘密的電子政務

信息安全建設，為管理人員、工程技術人員、信息安全產(chǎn)品提供者進行信息安全建設提供管理和技術

參考。

２規(guī)范性引用文件

下列標準中的條款通過本指導性技術文件的引用而成為本指導性技術文件的條款。凡是注日期的

引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本指導性技術文件，然而，鼓

勵根據(jù)本指導性技術文件達成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用

文件，其最新版本適用于本指導性技術文件。

ＧＢ／Ｔ２８８７電子計算機場地通用規(guī)范

ＧＢ１７８５９—１９