DB43T 2570-2023 林業(yè)信息化安全規(guī)范　

43I 2 2 8 9 本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》12規(guī)范性引用文件GB/T18019信息技術(shù)包過濾防火墻安全技術(shù)GB/T18020信息技術(shù)應(yīng)用級(jí)防火墻安全技術(shù)GB/T18794.3信息技術(shù)開放系統(tǒng)互連開放系統(tǒng)安全框架第3部分：訪問控制框架GB/T20269信息安全技術(shù)信息系統(tǒng)安全管理要求GB/T20275信息安全技術(shù)入侵檢測(cè)系統(tǒng)技術(shù)要求和測(cè)試GB/T20281信息安全技術(shù)防火墻技術(shù)要求和測(cè)試評(píng)價(jià)GB/T20282信息安全技術(shù)信息系統(tǒng)安全工程管理要求GB/T20988信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范GB/T20984信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本GB/T35273信息安全技術(shù)個(gè)人信息安全規(guī)范GB/T25069、GB/T35273界定的以3.13.23.324物理安全人員出入機(jī)房應(yīng)安排專人負(fù)責(zé)、控制、鑒別4.2防雷4.3防火4.4防水4.5防塵4.7溫濕度控制機(jī)房應(yīng)設(shè)置必要的溫、濕度控制設(shè)施。溫濕度控制應(yīng)符合GB/T2887的要求?？諝庹{(diào)節(jié)應(yīng)符合GB/T應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)a)基于狀態(tài)檢測(cè)的分組過濾；b)多級(jí)的立體訪問控制機(jī)制；3c)面向?qū)ο蟮墓芾頇C(jī)制；d)支持多種連接方式，透明路由；e)雙向的地址轉(zhuǎn)換能力；g)一次性口令認(rèn)證機(jī)制；5.3入侵檢測(cè)安全技術(shù)d)檢測(cè)和掃描行為不能影響正常的網(wǎng)絡(luò)連接服務(wù)和網(wǎng)絡(luò)的效率；h)能夠檢測(cè)出包括DDoS攻擊、暴力破解、Web攻擊、后門木馬、僵尸主機(jī)5.5訪問控制林業(yè)數(shù)據(jù)分級(jí)應(yīng)符合GB/T22239的要求，遵4對(duì)林業(yè)數(shù)據(jù)分級(jí)時(shí)充分考慮數(shù)據(jù)的敏感性來確定林業(yè)數(shù)據(jù)的級(jí)別。第三級(jí)（高敏感發(fā)生安全事件后對(duì)影響對(duì)象6.2數(shù)據(jù)安全管理要求第二級(jí)和第三級(jí)數(shù)據(jù)應(yīng)符合GB/T2223應(yīng)配備數(shù)據(jù)安全崗位人員，明確各崗位工作職責(zé)，細(xì)化日?！獭虘?yīng)明確單位各部門人員的安全責(zé)任，建立數(shù)據(jù)√√應(yīng)定期針對(duì)數(shù)據(jù)安全崗位人員開展數(shù)據(jù)安全培訓(xùn)，培訓(xùn)內(nèi)√√應(yīng)定期針對(duì)所有崗位人員開展數(shù)據(jù)安全培訓(xùn)，培訓(xùn)內(nèi)容應(yīng)考√√√√5應(yīng)對(duì)數(shù)據(jù)相關(guān)崗位人員選用進(jìn)行背景、資質(zhì)審查、技能考核√√√√√節(jié)的工作，管控可能存在的數(shù)據(jù)安全風(fēng)險(xiǎn)。制度流程管應(yīng)明確各級(jí)數(shù)據(jù)安全管理范圍，制定符合業(yè)務(wù)戰(zhàn)略的，√√應(yīng)依據(jù)國(guó)家和湖南省關(guān)于數(shù)據(jù)安全的要求，制定數(shù)據(jù)安據(jù)采集、傳輸存儲(chǔ)、加工、共享、開放、銷毀各環(huán)√√開展合規(guī)管理，應(yīng)持續(xù)識(shí)別法律法規(guī)并轉(zhuǎn)化為數(shù)據(jù)安全√應(yīng)制定數(shù)據(jù)安全的管理流程，考慮數(shù)據(jù)分級(jí)、數(shù)據(jù)共享√√√√√√√在組織架構(gòu)、技術(shù)架構(gòu)或者業(yè)務(wù)服務(wù)發(fā)生重大變化時(shí)，應(yīng)√應(yīng)明確數(shù)據(jù)采集原則、目的與用途、范圍與方式、周期√√應(yīng)對(duì)數(shù)據(jù)源、數(shù)據(jù)采集的環(huán)境、設(shè)施、技術(shù)采取必要√√應(yīng)采用滿足數(shù)據(jù)傳輸安全策略的安全控制措施，如安全√√應(yīng)提供數(shù)據(jù)備份與恢復(fù)功能，考慮數(shù)據(jù)存儲(chǔ)√√√√6應(yīng)實(shí)施數(shù)據(jù)用戶身份標(biāo)識(shí)與鑒別、數(shù)據(jù)訪問控√√√√應(yīng)依據(jù)數(shù)據(jù)使用目的建立訪問控制機(jī)制，限定用戶可訪√√應(yīng)具備數(shù)據(jù)脫敏支持工具或服務(wù)組件，根據(jù)需要√√√√√應(yīng)對(duì)數(shù)據(jù)共享過程記錄日志，及時(shí)清除共享√√√√應(yīng)采用數(shù)據(jù)加密、安全通道等安全措施保護(hù)數(shù)據(jù)√涉及個(gè)人信息的數(shù)據(jù)開放內(nèi)容，應(yīng)根據(jù)業(yè)務(wù)對(duì)個(gè)人信√√應(yīng)具備對(duì)異?；蚋唢L(fēng)險(xiǎn)數(shù)據(jù)訪問行為的智能√采用可靠技術(shù)手段及時(shí)銷毀符合銷毀條件的數(shù)據(jù)，√√應(yīng)通過規(guī)范運(yùn)營(yíng)管控工作，控制日常數(shù)據(jù)安全風(fēng)與審計(jì)、數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估、數(shù)據(jù)安全事件與應(yīng)急管理，運(yùn)√√√√應(yīng)對(duì)存量或新采集的數(shù)據(jù)進(jìn)行分級(jí)，將數(shù)據(jù)√√√√應(yīng)按照業(yè)務(wù)需求和安全策略為用戶配置合理的數(shù)據(jù)權(quán)限√√√√√√√√應(yīng)嚴(yán)格執(zhí)行數(shù)據(jù)重要操作（如批量修改、拷貝、下載等√√√應(yīng)建立數(shù)據(jù)安全監(jiān)審機(jī)制，對(duì)系統(tǒng)日志進(jìn)行分析，及時(shí)√√應(yīng)對(duì)系統(tǒng)日志進(jìn)行統(tǒng)一收集與關(guān)聯(lián)分析，對(duì)數(shù)據(jù)安√7估應(yīng)定期開展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，評(píng)估的內(nèi)容考慮數(shù)據(jù)平√√√√宜制定數(shù)據(jù)安全應(yīng)急預(yù)案，明確數(shù)據(jù)安全事件（√√宜向相關(guān)人員培訓(xùn)數(shù)據(jù)安全應(yīng)急預(yù)案，并定期開√√6.3數(shù)據(jù)完整性應(yīng)利用先進(jìn)的技術(shù)手段或工具檢測(cè)重要用戶數(shù)據(jù)在傳輸過程中完整性是否受到破6.4備份和恢復(fù)a)應(yīng)符合GB/T20988的要求制定災(zāi)難恢c)應(yīng)依據(jù)業(yè)務(wù)安全目標(biāo)要求，制定數(shù)據(jù)備份措施，并及時(shí)根據(jù)業(yè)務(wù)需求更新備份措施。d)應(yīng)定期組織數(shù)據(jù)恢復(fù)測(cè)試，每年對(duì)備份數(shù)據(jù)至少進(jìn)行一次抽樣性恢復(fù)測(cè)試。應(yīng)用系統(tǒng)安全設(shè)計(jì)應(yīng)符合GB/T22239的要求，根據(jù)業(yè)務(wù)軟件設(shè)計(jì)要求，進(jìn)行網(wǎng)絡(luò)安全等級(jí)保護(hù)。7.2身份認(rèn)證b)應(yīng)設(shè)計(jì)密碼的存儲(chǔ)和傳輸安全策略；c)應(yīng)設(shè)計(jì)密碼使用安全策略；e)應(yīng)設(shè)計(jì)賬號(hào)鎖定功能限制連續(xù)失敗登錄；f)應(yīng)根據(jù)系統(tǒng)設(shè)計(jì)限制重復(fù)登陸賬號(hào)；g)對(duì)提供單點(diǎn)登錄的分布式業(yè)務(wù)軟件系統(tǒng)的用戶應(yīng)提供單點(diǎn)標(biāo)識(shí)，且單點(diǎn)標(biāo)識(shí)應(yīng)具有與常規(guī)標(biāo)7.3權(quán)限控制8度應(yīng)根據(jù)業(yè)務(wù)軟件系統(tǒng)的角色和功能分類進(jìn)行限制。7.5通信安全的外鏈業(yè)務(wù)應(yīng)使用反向代理進(jìn)行訪問；Web和數(shù)據(jù)庫(kù)服務(wù)器建立連接訪問，應(yīng)使用內(nèi)網(wǎng)域名進(jìn)行訪問，7.6容錯(cuò)設(shè)計(jì)7.7數(shù)據(jù)庫(kù)安全d)應(yīng)按照已確定的安全等級(jí)對(duì)已建成的信息系統(tǒng)定期進(jìn)行風(fēng)險(xiǎn)評(píng)估和等級(jí)測(cè)評(píng)，符合GB/T99人員安全管理他