DB23-T 3868.3-2024教育新型基礎(chǔ)設(shè)施建設(shè)+第3部分：業(yè)務(wù)應(yīng)用安全規(guī)范+

ICS35.240.90CCSL67ICS35.240.90CCSL67黑 龍 江 省 地 方 標(biāo) 準(zhǔn)DB23/T3868.3—2024320242024083020240929黑龍江省市場監(jiān)督管理局發(fā)布前 言本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件是DB23/T3868《教育新型基礎(chǔ)設(shè)施建設(shè)》的第3部分。DB23/T3868已經(jīng)發(fā)布了以下部分：──教育新型基礎(chǔ)設(shè)施建設(shè)第1部分：高校數(shù)字校園建設(shè)規(guī)范──教育新型基礎(chǔ)設(shè)施建設(shè)第4部分：數(shù)據(jù)治理規(guī)范本文件主要起草人：辛毅、李清鋒、徐曉航、毛力偉、尹尚書、石笑朋、孫洪磊、樸杰、胡曉鋒、金旭東、胡全、周鋒、張其梁、徐峰、邢麗刃、徐千。教育新型基礎(chǔ)設(shè)施建設(shè)第3部分：業(yè)務(wù)應(yīng)用安全規(guī)范范圍本文件適用于教育新型基礎(chǔ)設(shè)施建設(shè)中的業(yè)務(wù)應(yīng)用安全工作。（GB/T25069—2022信息安全技術(shù)術(shù)語GB/T38674信息安全技術(shù)應(yīng)用軟件安全編程指南下列術(shù)語和定義適用于本文件。下列術(shù)語和定義適用于本文件。網(wǎng)絡(luò)安全[來源:GB/T25069—2022,3.616]供應(yīng)鏈將多個(gè)資源和過程聯(lián)系在一起，并根據(jù)服務(wù)協(xié)議或其他采購協(xié)議建立起連續(xù)供應(yīng)關(guān)系的組織系列。其中每一組織充當(dāng)需方、供方或雙重角色。[來源:GB/T25069—2022,3.223]安全審計(jì)[來源:GB/T25069—2022,3.24]4縮略語下列縮略語適用于本文件。API：應(yīng)用程序編程接口（ApplicationProgrammingInterface）HTTP：超文本傳輸協(xié)議（HypertextTransferProtocol）LDAP：輕型目錄訪問協(xié)議（LightweightDirectoryAccessProtocol）SBOM：軟件物料清單（SoftwareBillofMaterials）SQL：結(jié)構(gòu)化查詢語言（StructuredQueryLanguage）SSL：安全套接層（SecureSocketsLayer）TLS（TransportLayerSecurity）URL（UniformResourceLocator）VPN（VirtualPrivateNetwork）XML：可擴(kuò)展標(biāo)記語言（ExtensibleMarkupLanguage）保密性通過加密技術(shù)和訪問控制保護(hù)業(yè)務(wù)應(yīng)用敏感數(shù)據(jù)，不被未授權(quán)用戶獲取和使用。完整性實(shí)現(xiàn)業(yè)務(wù)應(yīng)用數(shù)據(jù)在傳輸、存儲和處理過程中不被修改或破壞?？捎眯詫?shí)現(xiàn)業(yè)務(wù)應(yīng)用可以持續(xù)穩(wěn)定的為授權(quán)用戶提供正常服務(wù)。輸入與輸出安全應(yīng)符合但不限于下列要求：輸入與輸出安全應(yīng)符合但不限于下列要求：SQL、LDAPXML訪問控制應(yīng)符合但不限于下列要求：USBKeyURL；HTTPReferer應(yīng)符合但不限于下列要求：（）；2)包含大寫字母、小寫字母、數(shù)字、符號中的至少3種。j)定期更改口令，至少每3個(gè)月更換1次口令。2)包含大寫字母、小寫字母、數(shù)字、符號中的至少3種。j)定期更改口令，至少每3個(gè)月更換1次口令。應(yīng)符合但不限于下列要求：按照GB/T38674的規(guī)定執(zhí)行。應(yīng)符合但不限于下列要求：SQL應(yīng)符合但不限于下列要求：HTTPSURLID應(yīng)符合但不限于下列要求：APIAPIAPIAPIAPAPIAPIAPIAPIAPIKeyAPI；API應(yīng)符合但不限于下列要求：應(yīng)符合但不限于下列要求：TLS6供應(yīng)商審核應(yīng)符合但不限于下列要求：軟件安全應(yīng)符合但不限于下列要求：SBOMgitsvncvsAPISBOM應(yīng)用部署應(yīng)符合但不限于下列要求：安全評估應(yīng)符合但不限于以下要求：安全加固應(yīng)符合但不限于下列要求：Web運(yùn)維安全管理應(yīng)符合但不限于下列要求：ITVPN6安全評估與加固應(yīng)符合但不限于下列要求：Web數(shù)據(jù)備份與恢復(fù)應(yīng)符合但不限于下列要求：應(yīng)急預(yù)案與演練應(yīng)符