《信息安全技術 電子郵件系統(tǒng)安全技術要求-編制說明》

一、任務來源

根據國家標準化管理委員會2014年12月下達的國家標準制定任務，國家標準《信息

安全技術郵件服務器安全技術要求》由國家信息技術安全研究中心負責主編。

二、編制原則

本標準屬于信息安全技術方面的標準，以自主編寫的方式完成。標準編制以國家有關信

息安全技術的政策法規(guī)為基本依據，吸取國際上先進的信息安全標準的相關理念，結合我國

當前郵件系統(tǒng)安全管理的發(fā)展現狀，針對郵件系統(tǒng)安全技術、安全管理和安全運維的體系建

設，在研究如何評價郵件系統(tǒng)安全管理的有效性，以及評價郵件系統(tǒng)安全管理體系有效性的

基礎上，完成國家標準《信息安全技術郵件服務安全技術要求》的編制。

同時，為使標準能夠滿足科學、規(guī)范地開展郵件服務器建設、使用和測試評估工作的需

要，客觀反映我國郵件系統(tǒng)安全技術、安全管理和安全運維的體系建設，提高標準的可操作

性，在標準制定過程中，還力求做到符合國家的有關政策法規(guī)要求；與已頒布實施的相關標

準相協(xié)調；與當前國家郵件服務器安全需求相適應；并適度考慮目前處于發(fā)展成熟過程中的

技術，保持一定的前瞻性。

三、主要工作過程

(一)標準制定的主要工作過程如下：

1)2014年12月—2015年2月，組建標準編制組，學習查閱我國及有關行業(yè)信息安

全法規(guī)、政策及規(guī)范性文件，調研分析研究國內外郵件服務器安全發(fā)展情況、國外相關標準

或安全白皮書，以及政府機關、重要行業(yè)、企事業(yè)單位、科研院所等部門和單位的互聯(lián)網郵

件系統(tǒng)、電子政務外網郵件系統(tǒng)或企事業(yè)等單位內網郵件系統(tǒng)的需求，提出標準初稿。

2)2015年3月—2015年5月，標準編制組內部完善標準初稿，并以多種形式征求專

家和相關單位意見，形成標準草案。編寫標準草案編制說明、意見處理匯總表。

3)2015年6月—2016年6月，工作組按照標準項目專家意見和建議，根據專家意見

進行整理，對《信息安全技術郵件服務安全技術要求》（草案）進行完善和修改。編寫標準

草案編制說明、意見處理匯總表。

4)2016年8月，面向WG5工作組92家成員單位公開征集意見，編制組按照各成員

單位意見對標準進行修改。2016年8月26日，經WG5工作組全體會議決定，形成征求意

見稿。

(二)標準征求意見的落實情況如下：

1)項目執(zhí)行過程中，先后進行了四次專家評審，一次工作組全體會議，共形成了99

條意見，具體內容參見意見匯總表。

2)以國家政務外網為試點單位，進一步了解各黨政部門互聯(lián)網電子郵件安全應用需

求，開展威脅監(jiān)測和安全檢測，完善標準內容；進一步拓展安全郵件系統(tǒng)的部署應用。

3)對行業(yè)用戶、政府用戶的意見征求，包括國家信息中心、上海征信中心、四川省電

子政務外網、湖南省電子政務外網、廣西省電子政務外網、云南省電子政務外網、大連市電

子政務外網。

4)對郵件服務器廠商的意見征求，企業(yè)包括北京安寧創(chuàng)新網絡股份有限公司、北京億

中郵信息技術有限公司。

四、標準的主要內容及確定內容的依據

(一)本標準的主要內容

針對郵件服務器面臨的安全風險，本項目主要從國家標準的角度規(guī)范郵件服務器自身安

全和支撐系統(tǒng)安全、規(guī)范郵件服務器廠商和郵件系統(tǒng)運維服務商的安全配置和安全防護，解

決如何保護郵件數據安全的問題，采用何種方式保護以及規(guī)范郵件服務廠商、郵件系統(tǒng)運維

服務商，以及各級政務部門、研究機構、企事業(yè)單位等郵件服務器的安全，從而實現對電子

郵件信息內容和個人隱私保護是需要解決的主要技術難點。

本標準主要框架如下：

1范圍

2規(guī)范性引用文件

3術語，定義和縮略語

4安全體系架構

5郵件服務器安全要求

6支撐系統(tǒng)安全要求

附錄A（資料性附錄）電子郵件系統(tǒng)組成

附錄B（資料性附錄）安全技術應用模型

(二)本標準在確定主要內容時主要基于如下幾個方面：

1)針對郵件服務器面臨的安全風險，為有效抵御郵件服務器內部以及外在威脅，提出

郵件服務器安全體系架構，體現郵件服務器技術、運行、管理的整體安全性。

2)從郵件應用系統(tǒng)安全、web服務安全、中間件安全、數據庫安全、操作系統(tǒng)安全和

硬件安全等方面提出郵件服務器安全要求，包括基本要求和增強要求。

3)從郵件客戶端安全、管理安全、存儲傳輸安全、運行安全和云計算環(huán)境安全等方面

提出了支撐系統(tǒng)安全要求，其中針對郵件客戶端安全、存儲傳輸安全和云計算環(huán)境

安全分別提出了基本要求和增強要求。

(三)有關內容的幾點說明

1)對郵件服務器的要求

通過對郵件服務器硬件、操作系統(tǒng)、數據庫、Web服務、中間件、應用系統(tǒng)等方面的

認證機制、訪問策略、審計功能等提出要求，規(guī)范了郵件服務器自身安全，實現對電子郵件

信息內容和個人的隱私保護。

2)對支撐系統(tǒng)的要求

通過對電子郵件數據加密存儲/傳輸、垃圾郵件的過濾、惡意代碼的防范、主機的安全

監(jiān)測以及郵件客戶端的安全、云環(huán)境的安全等方面進行規(guī)范，實現郵件服務器的安全運行和

安全管理。

要解決郵件服務器的安全，主要考慮以下三方面：

關于身份鑒別，需鑒別收件人、發(fā)件人的身份，防止冒充身份。

關于傳輸安全，郵件在客戶端與郵件服務器之間、郵件服務器之間傳遞保證安全，防止

泄密。

關于存儲安全，郵件在郵件服務器上存儲過程要安全，防止泄密。

3)關于本標準附錄A的說明

為了清晰的描述郵件服務器結構組成，在附錄A中給出郵件服務器結構示意圖。郵件

服務器由郵件客戶端、郵件服務器和外圍安全防護設備三部分組成。

4)關于本標準附錄B的說明

根據本標準給出的郵件服務器安全體系架構和安全要求，在附錄B中將安全技術模型

分為兩類：通用加密郵件應用模型和云平臺加密郵件應用模型。為設計、建設和使用郵件服

務提供參考應用模型。

五、與相關法律法規(guī)及國家有關規(guī)定、國內相關標準的關系

1)與國家標準《信息安全技術服務器安全技術要求》（GB/T21028-2007）的關系

本標準的編制參考了《信息安全技術服務器安全技術要求》（GB/T21028-2007）的部

分內容。

2)與相關法律法規(guī)及國家有關規(guī)定的關系

參照《隨機性檢測規(guī)范》（GM/T0005-2012）、《可信計算可信密碼模塊接口規(guī)范》（GM/T

0012-2012）、《可信計算可信密碼模塊符合性檢測規(guī)范》（GM/T0013-2012）、《智能密碼鑰

匙密碼應用接口規(guī)范》（GM/T0016-2012）、《智能密碼鑰匙密碼應用接口數據格式規(guī)范》

（GM/T0017-2012）、《密碼設備應用接口規(guī)范》（GM/T0018-2012）、《動態(tài)口令密碼應用

技術規(guī)范》（GM/T0021-2012）等標準規(guī)范，對數據加密、身份認證等部分的安全要求進行

了編制。

六、有關問題的說明

本標準適用于各級政務部門、研究機構、企事業(yè)單位等的互聯(lián)網郵件系統(tǒng)、電子政務外

網郵件系統(tǒng)、電子政務內網郵件系統(tǒng)或單位專網郵件系統(tǒng)的設計、建設、使用和測試評估，

也適用于相關產品