信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)安全管理中心技術(shù)要求-編制說明

PAGE4PAGE（一）標(biāo)準(zhǔn)制定背景及任務(wù)來源安全管理中心是對信息系統(tǒng)的安全策略及安全計(jì)算環(huán)境、安全區(qū)域邊界和安全通信網(wǎng)絡(luò)上的安全機(jī)制實(shí)施統(tǒng)一管理的平臺(tái)，是信息系統(tǒng)安全防御體系的重要組成部分，涉及系統(tǒng)管理、安全管理、審計(jì)管理等各個(gè)方面。隨著信息安全問題的日益突出，安全管理理論與技術(shù)的不斷發(fā)展，在推動(dòng)等級(jí)保護(hù)工作的過程中，安全管理中心已成為各方關(guān)注的焦點(diǎn)。此時(shí)，GB/T22239—2008《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》和GB/T25070—2010《信息安全技術(shù)信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》中對安全管理中心的概括性描述已經(jīng)難以滿足相關(guān)產(chǎn)品和系統(tǒng)建設(shè)的指導(dǎo)需求，迫切需要制定一個(gè)具體的針對安全管理中心的技術(shù)要求來規(guī)范此項(xiàng)工作。通過本項(xiàng)目的研究，形成《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全管理中心技術(shù)要求》標(biāo)準(zhǔn)，為安全管理中心類產(chǎn)品和系統(tǒng)的開發(fā)、建設(shè)提供標(biāo)準(zhǔn)要求，為網(wǎng)絡(luò)信息安全等級(jí)保護(hù)測評(píng)工作和信息系統(tǒng)安全按建設(shè)工作的開展提供理論指導(dǎo)，進(jìn)一步完善網(wǎng)絡(luò)信息安全等級(jí)保護(hù)標(biāo)準(zhǔn)評(píng)價(jià)體系，推動(dòng)國家信息安全等級(jí)保護(hù)工作的開展。本標(biāo)準(zhǔn)是全國信息安全標(biāo)準(zhǔn)化委員會(huì)2013年9月下達(dá)的（計(jì)劃編號(hào)2013bzzd-WG5-007），并由中國電子科技集團(tuán)公司第十五研究所牽頭，由公安部信息安全等級(jí)保護(hù)評(píng)估中心、網(wǎng)神信息技術(shù)（北京）股份有限公司共同參與承擔(dān)的國家標(biāo)準(zhǔn)制定項(xiàng)目。（二）主要工作過程2012年11月成立安全管理中心技術(shù)要求編寫小組；2012年11月-12月，編寫小組組織公安一所、公安三所、網(wǎng)神、中軟華泰、安恒、天融信等技術(shù)專家，對國內(nèi)主流安全廠商的產(chǎn)品進(jìn)行調(diào)研和分析，并依據(jù)GB/T22239—2008《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》、GB/T25070—2010《信息安全技術(shù)信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》、MSTL_JGF_04-0190101--2006《信息安全技術(shù)安全管理平臺(tái)產(chǎn)品檢驗(yàn)規(guī)范》和GB/T18336-2008《信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則》等標(biāo)準(zhǔn)，于2012年12月，確定了安全管理中心的形態(tài)、總體結(jié)構(gòu)和技術(shù)框架；2013年1月，完成“網(wǎng)絡(luò)安全等級(jí)保護(hù)安全管理中心技術(shù)要求”（討論稿）的起草；2013年1月-2013年3月，多次組織相關(guān)專家和技術(shù)人員召開了安全管理中心技術(shù)要求研討會(huì)，對技術(shù)要求進(jìn)行了討論，采納了定義、適用范圍、術(shù)語等相關(guān)建議，明確了功能要求、接口要求、自身安全要求等技術(shù)要求內(nèi)容，并根據(jù)各方反饋意見對技術(shù)要求內(nèi)容進(jìn)行了梳理和修改，形成草案，并向安標(biāo)委申請立項(xiàng)；2013年4月-2014年3月，結(jié)合多輪廠商意見和領(lǐng)域?qū)＜乙庖?，對?biāo)準(zhǔn)草案進(jìn)行持續(xù)完善，細(xì)化了分級(jí)的具體要求；2014年4月-2014年6月，前往湖北武漢，以湖北地稅業(yè)務(wù)網(wǎng)系統(tǒng)的安全管理中心作為被測對象，開展標(biāo)準(zhǔn)可行性驗(yàn)證測試，編制了《網(wǎng)絡(luò)安全等級(jí)保護(hù)安全管理中心技術(shù)要求安全標(biāo)準(zhǔn)驗(yàn)證測評(píng)報(bào)告》，并根據(jù)現(xiàn)場測試標(biāo)準(zhǔn)執(zhí)行情況對草案進(jìn)行修訂；2014年7月16日，通過了安標(biāo)委組織的中期檢查，針對專家提出的意見進(jìn)行了修改；2015年5月-6月，多次內(nèi)外部討論修訂，在安全管理中心的咨詢過程中也繼續(xù)征求多方意見；2016年8月，通過安標(biāo)委組織的進(jìn)一步意見征求，針對收集到的意見進(jìn)行討論和修訂；2016年9月，原信息安全等級(jí)保護(hù)系列標(biāo)準(zhǔn)已申請變更為“網(wǎng)絡(luò)安全等級(jí)保護(hù)”標(biāo)準(zhǔn)，為了更加契合等級(jí)保護(hù)國標(biāo)的體系，且該標(biāo)準(zhǔn)屬于等級(jí)保護(hù)系列標(biāo)準(zhǔn)之一，故申請變更名稱為“信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全管理中心技術(shù)要求”。（三）標(biāo)準(zhǔn)編制原則和主要技術(shù)內(nèi)容確定的依據(jù) 制定原則為使技術(shù)要求能夠滿足科學(xué)、規(guī)范地指導(dǎo)相關(guān)單位設(shè)計(jì)、研發(fā)、配置和使用所需要的安全等級(jí)的安全管理中心，引導(dǎo)產(chǎn)業(yè)技術(shù)發(fā)展，推動(dòng)安全等級(jí)保護(hù)工作開展，確保安全管理中心的功能要求、接口要求、自身安全性等方面符合要求，以及良好的可用性，在技術(shù)要求制定過程中，主要遵循了如下幾個(gè)原則：符合國家的有關(guān)政策法規(guī)要求；與已頒布實(shí)施的相關(guān)標(biāo)準(zhǔn)相協(xié)調(diào)；充分考慮我國安全管理中心產(chǎn)品生產(chǎn)企業(yè)的發(fā)展水平；基本覆蓋目前市場上主要的安全管理中心產(chǎn)品類型；適度考慮目前處于發(fā)展成熟過程中的技術(shù)，保持一定的前瞻性。確定主要內(nèi)容的依據(jù)主要內(nèi)容的確定基于如下幾個(gè)方面：以GB/T22239—2008《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》和GB/T25070—2010《信息安全技術(shù)信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》對安全管理中心的描述為總體要求，按照等級(jí)化原則，結(jié)合IPv4向IPv6過渡的應(yīng)用環(huán)境，按照等級(jí)保護(hù)的不同級(jí)別研究不同技術(shù)要求，逐級(jí)擴(kuò)大和加強(qiáng)安全管理中心技術(shù)要求范圍和強(qiáng)度，制定出具有針對性的、可執(zhí)行強(qiáng)的控制點(diǎn)和要求項(xiàng)；以MSTL_JGF_04-0190101--2006《信息安全技術(shù)安全管理平臺(tái)產(chǎn)品檢驗(yàn)規(guī)范》和GB/T18336-2008《信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第2部分：安全功能要求》中的部分內(nèi)容作為安全管理中心功能要求和安全要求的參考，結(jié)合安全管理中心技術(shù)特點(diǎn)進(jìn)行細(xì)化；通過對網(wǎng)神、天融信、安恒、中軟華泰、H3C等主要安全管理中心產(chǎn)品生產(chǎn)廠家的相關(guān)產(chǎn)品研究和分析，總結(jié)了安全管理中心的內(nèi)涵、主要技術(shù)特點(diǎn)和共性特征，形成了功能要求、接口要求、自身安全性要求等技術(shù)指標(biāo)。（四）主要條款的說明，主要技術(shù)指標(biāo)、參數(shù)、實(shí)驗(yàn)驗(yàn)證的論述本標(biāo)準(zhǔn)草案規(guī)定了對基本級(jí)和增強(qiáng)級(jí)的安全管理中心的技術(shù)要求，基本級(jí)要求包括16個(gè)安全類，40個(gè)控制點(diǎn)，125個(gè)要求項(xiàng)，增強(qiáng)級(jí)要求包括25個(gè)安全類，44個(gè)控制點(diǎn)，157個(gè)要求項(xiàng)。本規(guī)范參照GB/T1.1-2009《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)的結(jié)構(gòu)和編寫規(guī)則》進(jìn)行編制。規(guī)范的主要結(jié)構(gòu)和內(nèi)容如下：5基本級(jí)安全管理中心技術(shù)要求5.1功能要求5.1.1系統(tǒng)管理要求5.1.1.1用戶身份管理5.1.1.2數(shù)據(jù)保護(hù)5.1.1.3安全事件管理5.1.1.4風(fēng)險(xiǎn)管理5.1.1.5資源監(jiān)控5.1.2安全管理要求5.1.2.1安全標(biāo)記5.1.2.2授權(quán)管理5.1.2.3設(shè)備策略管理5.1.3審計(jì)管理要求5.1.3.1審計(jì)策略集中管理5.1.3.2審計(jì)數(shù)據(jù)集中管理5.2接口要求5.2.1接口協(xié)議要求5.2.2接口安全要求5.3自身安全性要求5.3.1身份鑒別5.3.2訪問控制5.3.3安全審計(jì)5.3.4剩余信息保護(hù)5.3.5通信完整性5.3.6通信保密性5.3.7抗抵賴5.3.8軟件容錯(cuò)5.3.9資源控制5.3.10入侵防范5.3.11數(shù)據(jù)安全6增強(qiáng)級(jí)安全管理中心技術(shù)要求6.1功能要求6.1.1系統(tǒng)管理要求6.1.1.1用戶身份管理6.1.1.2數(shù)據(jù)保護(hù)6.1.1.3安全事件管理6.1.1.4風(fēng)險(xiǎn)管理6.1.1.5資源監(jiān)控6.1.2安全管理要求6.1.2.1安全標(biāo)記6.1.2.2授權(quán)管理6.1.2.3設(shè)備策略管理6.1.3審計(jì)管理要求6.1.3.1審計(jì)策略集中管理6.1.3.2審計(jì)數(shù)據(jù)集中管理6.2接口要求6.2.1接口協(xié)議要求6.2.2接口安全要求6.3自身安全性要求6.3.1身份鑒別6.3.2安全標(biāo)記6.3.3訪問控制6.3.4可信路徑6.3.5安全審計(jì)6.3.6剩余信息保護(hù)6.3.7通信完整性6.3.8通信保密性6.3.9抗抵賴6.3.10軟件容錯(cuò)6.3.11資源控制6.3.12入侵防范6.3.13數(shù)據(jù)安全附錄A（資料性附錄）安全管理中心與信息系統(tǒng)等級(jí)對應(yīng)關(guān)系附錄B（資料性附錄）歸一化安全事件屬性通過組織技術(shù)研討會(huì)，對技術(shù)要求的合理性、科學(xué)性、可行性等進(jìn)行了多次論證、研討，并根據(jù)各方反饋意見進(jìn)行了多次修訂、完善。以湖北省地稅局業(yè)務(wù)網(wǎng)系統(tǒng)中的安全管理中心作為被測對象，開展了標(biāo)準(zhǔn)草案可行性驗(yàn)證測試，編制了標(biāo)準(zhǔn)驗(yàn)證測試報(bào)告，根據(jù)測試執(zhí)行情況對標(biāo)準(zhǔn)條款要求進(jìn)行了修訂。（五）與現(xiàn)行法律法規(guī)和強(qiáng)制性標(biāo)準(zhǔn)的關(guān)系本技術(shù)要求的制定符合國家現(xiàn)行法律法規(guī)的規(guī)定。本標(biāo)準(zhǔn)是信息安全等級(jí)保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一。與本標(biāo)準(zhǔn)相關(guān)的系列標(biāo)準(zhǔn)包括：——GB/T22239—2008《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》；——GB/T25070—2010《信息安全技術(shù)信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》。本標(biāo)準(zhǔn)與GB17859-1999、GB/T22239-2008、GB/T25070-2010、GB/T20270-2006等標(biāo)準(zhǔn)共同構(gòu)成了網(wǎng)絡(luò)安全等級(jí)保護(hù)的相關(guān)配套標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)是對GB/T22239-2008和GB/T25070-2010提出的安全管理中心的相關(guān)技術(shù)要求的細(xì)化。本標(biāo)準(zhǔn)編制依據(jù)國家標(biāo)準(zhǔn)化管理委員會(huì)發(fā)布的《GB/T1.1-2009標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)的結(jié)構(gòu)和編寫》的相關(guān)要求。（六）重大分歧意見的處理經(jīng)過和依據(jù)本次安全管理中心技術(shù)要求制定過程中沒有重大分歧意見。（七）標(biāo)準(zhǔn)作為強(qiáng)制性或推薦性標(biāo)準(zhǔn)發(fā)布的意見本標(biāo)準(zhǔn)是信息安全等級(jí)保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一，建議作為推薦性標(biāo)準(zhǔn)發(fā)布，與等級(jí)保護(hù)標(biāo)準(zhǔn)體系保持一致。（八）貫徹標(biāo)準(zhǔn)的要求和措施建議1、建議國家各部委及行業(yè)主管部門將信息系統(tǒng)安全管理中心的建設(shè)作為各領(lǐng)域和行業(yè)推動(dòng)信息安全等級(jí)保護(hù)工作的重要組成部分，作為信息安全專項(xiàng)工作給予資金支持，并加強(qiáng)監(jiān)督檢查；2、建議各行業(yè)主管單位組織本行業(yè)內(nèi)的相關(guān)部門，結(jié)合各領(lǐng)域及行業(yè)特點(diǎn)，形成行標(biāo)，強(qiáng)化其可執(zhí)行性；3、對于國家財(cái)政和行業(yè)主管部門資金支持的信息系統(tǒng)建設(shè)項(xiàng)目，應(yīng)明確三級(jí)及三級(jí)以上信息系統(tǒng)應(yīng)建立安全管理中心，