(高清版)DB2201∕T 31-2023 政務(wù)云服務(wù)與接入安全管理規(guī)范　

2201ManagementspecificationforI本文件由長春市政務(wù)服務(wù)和數(shù)字化建設(shè)管理局提出本文件主要起草單位：長春市政務(wù)服務(wù)和數(shù)字化建設(shè)管理局、杭州安恒信息技術(shù)股份有限公司。本文件主要起草人：劉競雄、丁慧東、柳羽輝、孟紅月、劉爍、冷皓、戚志軍、李艷、王正偉、1政務(wù)云服務(wù)與接入安全管理規(guī)范營安全，以及政務(wù)云服務(wù)使用者接入政務(wù)云時的應(yīng)用安全、數(shù)據(jù)安全和GB/T25069、GB/T32400和GB/T35295界定的以及下列術(shù)語和定義適用于本文件。政務(wù)云服務(wù)提供者E-governmentcloudservicepr政務(wù)云服務(wù)使用者E-governmentcloudservice4縮略語VPN：虛擬專用網(wǎng)(VirtualPrivateNetwork)SSL：安全套接層（SecureSocketWAF：Web應(yīng)用防護系統(tǒng)（WebApplicationFirewall）25.1.1應(yīng)有授權(quán)機制，對進出機房人員和運維人員有審核和記錄，應(yīng)定期更新賬號和身份認證，運維5.1.2對生產(chǎn)網(wǎng)和非生產(chǎn)網(wǎng)應(yīng)進行物理隔離，運維人員應(yīng)通過安全設(shè)備登錄。5.1.3硬件環(huán)境應(yīng)符合GB/T39786的要求。5.1.4特定服務(wù)器應(yīng)具備系統(tǒng)可信和應(yīng)用可信功能，滿足云服務(wù)使用者對可信計算環(huán)境的需求。5.1.5應(yīng)定期對提供的操作系統(tǒng)和鏡像模板進行加固。5.1.6應(yīng)提供VPN服務(wù)，以供政務(wù)云服務(wù)使用者進行維護。5.1.7應(yīng)提供防火墻服務(wù)，對租戶實例進行端口控制。5.1.8提供抗DDos和精細化Web應(yīng)用層資源耗盡型攻擊防護。5.1.9應(yīng)對每個租戶實例資源獨立使用，租戶實例服務(wù)器釋放后，原有磁盤和內(nèi)存空間應(yīng)數(shù)字清零。5.1.10應(yīng)將多個計算節(jié)點的虛擬機在系統(tǒng)層面進行隔離。5.1.11應(yīng)對運維平臺賬號強密碼統(tǒng)一管理，定期審計，人員變動應(yīng)收回資源重新設(shè)置分配。5.1.12應(yīng)根據(jù)業(yè)務(wù)需要合理分配用戶權(quán)限，實行申請、使用和回收機制。5.1.13應(yīng)對政務(wù)云變更做流程化管理，具備應(yīng)急和恢復(fù)預(yù)案，定期組織專家開展攻防演練。5.2.1宜提供漏洞掃描服務(wù)并出具報告，指導政務(wù)云使用者進行漏洞驗證和漏洞修復(fù)。5.2.2應(yīng)提供代碼審計服務(wù)、Web應(yīng)用防護服務(wù)，限制爬蟲對上云業(yè)務(wù)系統(tǒng)的數(shù)據(jù)遍歷。5.2.3應(yīng)對數(shù)據(jù)庫進行審計，提供敏感數(shù)據(jù)保護產(chǎn)品。5.2.4應(yīng)定期對數(shù)據(jù)進行完整性掃描。5.2.5應(yīng)保證數(shù)據(jù)的高可用性，提供多副本、系統(tǒng)備份、故障熱遷移、負載均衡等多重保護。5.2.6應(yīng)提供數(shù)據(jù)傳輸、存儲的加密服務(wù)。5.2.7應(yīng)提供使用SSL證書相關(guān)的技術(shù)支持和幫助。5.3.1應(yīng)建立態(tài)勢感知平臺對威脅進行分析和響應(yīng)。5.3.2應(yīng)提供主機配置核查服務(wù)并根據(jù)配置核查結(jié)果，調(diào)整防火墻策略，不應(yīng)使用高危端口。5.3.3應(yīng)提供日志審計和數(shù)據(jù)庫審計服務(wù)并定期配合完成審計。5.3.4可提供滲透測試服務(wù)。6.1.1按照政務(wù)云服務(wù)提供者漏洞掃描結(jié)果及時進行漏洞驗證和漏洞修復(fù)。6.1.2在系統(tǒng)部署上云前應(yīng)進行代碼審計，并對高危漏洞進行整改。6.1.3對業(yè)務(wù)系統(tǒng)和配置文件采取強加密算法進行加密。6.1.4配合政務(wù)云服務(wù)提供者完成WAF配置時域名和證書的申請36.1.6在上云業(yè)務(wù)系統(tǒng)中對異常遍歷行為進行分析6.2.3定期進行數(shù)據(jù)校驗，確保數(shù)據(jù)可用性和6.3.1配合政務(wù)云服務(wù)提