DB3601 11-2024 數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查規(guī)范

CCSA90DB3601Cybersecurityreviewspecificationofdigitalprojects2024-06-03發(fā)布南昌市市場(chǎng)監(jiān)督管理局發(fā)布IDB3601/T11—2024前言 2規(guī)范性引用文件 3術(shù)語和定義 4審查方式 25審查流程 26審查內(nèi)容 37審查結(jié)果 3附錄A（規(guī)范性）數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查流程圖 4附錄B（規(guī)范性）數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則 5附錄C（規(guī)范性）數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查結(jié)果判別說明 參考文獻(xiàn) DB3601/T11—2024本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件由南昌市互聯(lián)網(wǎng)信息辦公室提出并歸口。本文件起草單位：南昌市互聯(lián)網(wǎng)信息辦公室、江西安極信息技術(shù)有限公司。本文件主要起草人：周凡、宋徽青、張倫芳、肖慧、武永偉、周圍、劉煜、潘偉琦、何琪、黃瑞。1DB3601/T11—2024本文件規(guī)定了數(shù)字化項(xiàng)目（非涉密）網(wǎng)絡(luò)安全審查的審查方式、審查流程、審查內(nèi)容、審查結(jié)果。本文件適用于數(shù)字化項(xiàng)目（非涉密）規(guī)劃設(shè)計(jì)階段的網(wǎng)絡(luò)安全審查，其他信息化項(xiàng)目網(wǎng)絡(luò)安全審查可參照?qǐng)?zhí)行。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求GB/T22240信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南GB/T25070信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求GB/T35273信息安全技術(shù)個(gè)人信息安全規(guī)范GB/T39477信息安全技術(shù)政務(wù)信息共享數(shù)據(jù)安全技術(shù)要求GB/T39786信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求GB/T40692政務(wù)信息系統(tǒng)定義和范圍DA/T28建設(shè)項(xiàng)目檔案管理規(guī)范3術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1數(shù)字化項(xiàng)目Digitalprojects全市各級(jí)行政機(jī)關(guān)以及法律法規(guī)授權(quán)的具有管理公共事務(wù)職能的組織等使用財(cái)政性資金建設(shè)、運(yùn)維的數(shù)字化項(xiàng)目，主要包括：電子政務(wù)網(wǎng)絡(luò)平臺(tái)、重點(diǎn)業(yè)務(wù)數(shù)字化系統(tǒng)、數(shù)據(jù)資源庫、信息安全基礎(chǔ)設(shè)施、電子政務(wù)基礎(chǔ)設(shè)施（政務(wù)云、數(shù)據(jù)中心等）、數(shù)字政府標(biāo)準(zhǔn)化體系以及相關(guān)支撐體系等符合《政務(wù)信息系統(tǒng)定義和范圍》（GB/T40692）規(guī)定的非涉密項(xiàng)目。[來源：江西省數(shù)字化項(xiàng)目建設(shè)管理辦法，1,2,有修改]3.2項(xiàng)目設(shè)計(jì)方案Projectdesignscheme2DB3601/T11—2024在項(xiàng)目建設(shè)過程中編制的可行性研究報(bào)告、初步設(shè)計(jì)方案、深化設(shè)計(jì)方案、投資概算或項(xiàng)目建議書3.3安全設(shè)計(jì)方案Securitydesignscheme項(xiàng)目設(shè)計(jì)方案中包含的網(wǎng)絡(luò)安全體系總體設(shè)計(jì)方案、商用密碼應(yīng)用方案、數(shù)據(jù)安全保護(hù)方案等子方3.4關(guān)鍵信息基礎(chǔ)設(shè)施Criticalinformationinfrastructure公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、國防科技工業(yè)等重要行業(yè)和領(lǐng)域的，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴(yán)重危害國家安全、國計(jì)民生、公共利益的重要網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)等。[來源：關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例，1,2]3.5網(wǎng)絡(luò)安全投入Cybersecurityinvestment項(xiàng)目建設(shè)及運(yùn)行過程中投入的安全咨詢服務(wù)、安全運(yùn)維服務(wù)、安全技術(shù)服務(wù)、安全集成服務(wù)、等保測(cè)評(píng)服務(wù)、商用密碼安全性評(píng)估服務(wù)、安全軟件、安全設(shè)備及其他硬件等相關(guān)費(fèi)用。3.6建設(shè)單位Constructingunits對(duì)項(xiàng)目實(shí)施進(jìn)行組織管理，并在項(xiàng)目建設(shè)過程中負(fù)總責(zé)的部門。[來源：DA/T28]3.7審查部門Reviewdepartment負(fù)責(zé)組織網(wǎng)絡(luò)安全審查工作的部門。4審查方式建設(shè)單位應(yīng)向?qū)彶椴块T提交審查材料，審查部門開展審查工作并出具審查意見。5審查流程5.1總體流程應(yīng)參照數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查流程執(zhí)行（數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查流程圖見附錄A）。5.2審查申報(bào)DB3601/T11—2024建設(shè)單位應(yīng)提交項(xiàng)目設(shè)計(jì)方案等書面審查材料。5.3審查受理審查部門收到審查材料后應(yīng)受理審查并通知建設(shè)單位。5.4開展審查工作5.4.1審查工作分為初步審查和專家審查，初步審查為審查部門就申報(bào)材料進(jìn)行初步審查，給出初步審查意見；專家審查為審查部門聘請(qǐng)專家進(jìn)行審查，要求建設(shè)單位配合審查工作。5.4.2專家審查工作應(yīng)由不低于三名專家組成的專家組負(fù)責(zé)，設(shè)置一名專家組組長。流程主要分為三步，一是建設(shè)單位陳述申報(bào)建設(shè)項(xiàng)目安全設(shè)計(jì)方案等相關(guān)情況，二是專家組針對(duì)審查疑問進(jìn)行提問，三是專家組討論并形成專家意見和建議。5.5問題整改審查部門給出書面的審查結(jié)果后，建設(shè)單位應(yīng)針對(duì)審查結(jié)果中的相應(yīng)條款進(jìn)行必要的安全整改工作并書面報(bào)送審查部門。5.6審查意見審查部門應(yīng)出具審查意見并反饋給建設(shè)單位。6審查內(nèi)容應(yīng)參照數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則執(zhí)行（數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則見附錄B）。7審查結(jié)果審查結(jié)果應(yīng)分“通過”和“不通過”兩種情況：——審查結(jié)果為“通過”時(shí)，項(xiàng)目可按項(xiàng)目設(shè)計(jì)方案進(jìn)行建設(shè)；——審查結(jié)果為“不通過”時(shí)，建設(shè)單位應(yīng)對(duì)提交的項(xiàng)目設(shè)計(jì)方案進(jìn)行修改并重新提交審查。應(yīng)參照數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查結(jié)果判別說明確定審查結(jié)果（參見附錄C）。4(規(guī)范性)圖A.1規(guī)定了數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查流程。否是重新提交審查5DB3601/T11—2024（規(guī)范性）數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則表B.1規(guī)定了數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則。表B.1數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則1網(wǎng)絡(luò)安全目標(biāo)、保護(hù)對(duì)象等設(shè)計(jì)的合理性，包括是否列為關(guān)鍵信息基礎(chǔ)設(shè)2保護(hù)對(duì)象的網(wǎng)絡(luò)安全保護(hù)等級(jí)自定級(jí)3網(wǎng)絡(luò)安全現(xiàn)狀及風(fēng)險(xiǎn)分析。根據(jù)安全保護(hù)等級(jí)的要求對(duì)網(wǎng)絡(luò)安全設(shè)備和系統(tǒng)現(xiàn)狀、網(wǎng)絡(luò)安全管理現(xiàn)狀及網(wǎng)絡(luò)安全風(fēng)險(xiǎn)等進(jìn)行分析，并依據(jù)現(xiàn)狀及風(fēng)險(xiǎn)分析提出安全4安全規(guī)劃及安全方案設(shè)計(jì)的合理性。根據(jù)保護(hù)對(duì)象的安全保護(hù)等級(jí)及與其他級(jí)別保護(hù)對(duì)象的關(guān)系進(jìn)行安全整體規(guī)劃和安全方案設(shè)計(jì)。針對(duì)性地提出物理環(huán)境、網(wǎng)絡(luò)架構(gòu)、邊界防護(hù)、計(jì)商用密碼應(yīng)用安全6DB3601/T11—2024表B.1數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則（續(xù)表）7DB3601/T11—2024表B.1數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則（續(xù)表）5數(shù)據(jù)安全設(shè)計(jì)的合理性。涉及數(shù)據(jù)資源建設(shè)的，是否對(duì)重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)進(jìn)行識(shí)別。是否根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對(duì)系統(tǒng)運(yùn)行的影響，制定數(shù)據(jù)備份策略和恢復(fù)策略、備份程序和恢6型產(chǎn)品選型的合理性。方案所選用的網(wǎng)絡(luò)安全產(chǎn)品是否符合國家和主管部門網(wǎng)絡(luò)安全管理有7項(xiàng)目的資金預(yù)算及依據(jù)，網(wǎng)絡(luò)安全資金安排計(jì)劃是否滿足國家、省、市有關(guān)網(wǎng)絡(luò)安全管理的相關(guān)規(guī)定及網(wǎng)絡(luò)安8DB3601/T11—2024表B.1數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則（續(xù)表）8網(wǎng)絡(luò)安全管理制度建立情況。確保安全策略、管理制度和操作規(guī)程等保障措施同步實(shí)施，并保障系統(tǒng)處于持續(xù)99DB3601/T11—2024表B.1數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則（續(xù)表）全DB3601/T11—2024（規(guī)范性）數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查結(jié)果判別說明C.1數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查結(jié)果為“通過”的要求數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查細(xì)則中的審查內(nèi)容要求“必須項(xiàng)”和“建議項(xiàng)”都滿足的判定為“通過”。C.2數(shù)字化項(xiàng)目網(wǎng)絡(luò)安全審查結(jié)果為“不通過”的要求有下列情況之一判定為“不通過”。a）網(wǎng)絡(luò)安全保障體系未進(jìn)行系統(tǒng)化、結(jié)構(gòu)化設(shè)計(jì)，安全防護(hù)層面缺失較大；b）產(chǎn)品與服務(wù)采購不符合國家相關(guān)規(guī)定；c）項(xiàng)目建設(shè)參考安全技術(shù)標(biāo)準(zhǔn)為老舊標(biāo)準(zhǔn)；d）其他結(jié)合實(shí)際情況應(yīng)判定為“不通過”的情況。DB3601/T11—2024參考文獻(xiàn)[1]中華人民共和國網(wǎng)絡(luò)安全法[2]中華人民共和國密碼法[3]