移動辦公系統(tǒng)安全性規(guī)范

1、地稅移動辦公系統(tǒng) 安全性規(guī)范一、智能終端最低配置要求：（一）終端類型： Android 智能移動終端（二）操作系統(tǒng)及版本： Android 2.3.6 及以上版本（三）屏幕分辨率：不低于 800X 480像素（四）CPU主頻：800MHz及以上（五）存儲空間：不低于 1G（六）網(wǎng)絡(luò)類型：電信、移動、聯(lián)通任一網(wǎng)絡(luò)營運商，支持3G或4G網(wǎng)絡(luò)二、系統(tǒng)網(wǎng)絡(luò)安全要求：（一）移動辦公系統(tǒng)平臺的網(wǎng)絡(luò)系統(tǒng)應(yīng)支持訪問控制、 安全檢測、 攻擊監(jiān)控等一系列安全功能， 應(yīng)提供完整的網(wǎng)絡(luò)安全監(jiān)控、 報警和故 障處理功能。（二）具有入侵檢測的功能，監(jiān)控可疑的連接、非法訪問等，采 取的措施包括實時報警、 自動阻斷通信連接或

2、執(zhí)行用戶自定義的安全 策略；（三）能定期檢查安全漏洞， 根據(jù)掃描的結(jié)果更正網(wǎng)絡(luò)安全漏洞和系統(tǒng)中的錯誤配置；（四）使用加密技術(shù)對在互聯(lián)網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)進行加密； 與 其它網(wǎng)絡(luò)的連接須設(shè)置防火墻， 并定義完備的安全配置策略進行隔離；（五）通過VPN方式與EMA服務(wù)器連接，保證數(shù)據(jù)傳輸?shù)陌踩?。網(wǎng)絡(luò)安全方面應(yīng)當支持訪問控制、安全檢測、攻擊監(jiān)控、操作審計等 一系列安全功能， 應(yīng)提供完整的網(wǎng)絡(luò)安全監(jiān)控、 報警和故障處理功能。（六）網(wǎng)絡(luò)應(yīng)具備一定的冗余能力， 帶有關(guān)鍵性業(yè)務(wù)應(yīng)用的網(wǎng)絡(luò) 鏈路應(yīng)實現(xiàn)冗余，當出現(xiàn)故障時應(yīng)支持自動路由切換；（七）網(wǎng)絡(luò)應(yīng)當劃分合理的安全區(qū)域，女口 INTERNET區(qū)、業(yè)務(wù)功 能區(qū)、

3、數(shù)據(jù)庫區(qū)、 外部系統(tǒng)區(qū)等，并針對每個安全區(qū)域制定合理的訪 問控制策略，進行 IP 地址限制及端口限制；（八）網(wǎng)絡(luò)系統(tǒng)和服務(wù)器系統(tǒng)應(yīng)具有入侵檢測的功能， 可監(jiān)控可 疑的連接、非法訪問等，采取的措施包括實時報警、自動阻斷通信連 接或執(zhí)行用戶自定義的安全策略；（九）網(wǎng)絡(luò)和服務(wù)器系統(tǒng)應(yīng)能定期檢查安全漏洞及病毒， 根據(jù)掃 描的結(jié)果更正網(wǎng)絡(luò)安全漏洞和系統(tǒng)中的錯誤配置；（十）使用加密技術(shù)對在互聯(lián)網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù)進行加密； 進 行遠程維護（管理）時應(yīng)通過 VPN令牌等方式進行接入認證；維護 （管理）操作數(shù)據(jù)流應(yīng)經(jīng)過加密，禁止明文傳輸；遠程維護（管理） 操作須接入第三方獨立的審計系統(tǒng)進行審計，對操作內(nèi)容進行存

4、儲。三、系統(tǒng)數(shù)據(jù)安全要求系統(tǒng)必須采取定期備份或作數(shù)據(jù)容災(zāi)備份等措施來保證數(shù)據(jù)的 安全。四、系統(tǒng)安全要求（一）系統(tǒng)應(yīng)具有防病毒能力。 防病毒軟件應(yīng)具備全面查殺病毒， 查殺病毒準確無誤，管理方便，病毒特征碼自動更新，安裝簡單的特 點；J 、（二）系統(tǒng)應(yīng)具備訪問權(quán)限的識別和控制功能，對應(yīng)用管理員、 系統(tǒng)管理員、 數(shù)據(jù)庫管理員根據(jù)不同的應(yīng)用需求提供多級密碼。 系統(tǒng) 應(yīng)能自動實現(xiàn)下列控制：（三）防猜測口令功能，例如，系統(tǒng)登陸時需要輸入驗證碼，或 者當口令輸入錯誤達到一定次數(shù)系統(tǒng)自動將帳號鎖定并告警。 具有驗 證密碼復(fù)雜度功能，密碼復(fù)雜度應(yīng)達到：密碼長度大于 8 位；密碼是 大小寫字母、數(shù)字，以及特殊字符

5、混合使用。應(yīng)當具有定期強制修改 密碼功能，強制用戶每 3 個月進行一次密碼更改工作。（四）系統(tǒng)應(yīng)具有完善的日志功能， 能夠記錄系統(tǒng)異常情況及其 他安全事件。審計日志應(yīng)至少保存 1 年。包括：1、應(yīng)用系統(tǒng)日志用戶的創(chuàng)建、刪除等操作。用戶登陸和退出的日期和具體時間及 IP 地址等信息。成功的和被拒絕的系統(tǒng)訪問活動的記錄。成功的和被拒絕的數(shù)據(jù)與其他資源的訪問記錄。成功的和被拒絕的管理操作記錄。 用戶操作記錄。2、數(shù)據(jù)庫日志創(chuàng)建、修改和刪除數(shù)據(jù)庫用戶的操作； 創(chuàng)建、修改和刪除任何數(shù)據(jù)庫存儲結(jié)構(gòu)的操作； 創(chuàng)建、修改和刪除任何數(shù)據(jù)庫對象的操作； 創(chuàng)建、修改和刪除表的操作； 創(chuàng)建、修改和刪除索引的操作； 啟用、關(guān)閉審計功能的操作； 賦予、撤銷某個賬戶數(shù)據(jù)庫權(quán)限的操作； 賦予和撤銷某個角色或賬戶對于某個對象權(quán)限的行為