DB41T 1339-2016 智慧城市信息安全建設指南

DB41河南省質量技術監(jiān)督局發(fā)布I 1 1 1 1 2 2 3 4 5 6 7 7 7 7 8 8 8 8 9 9 9 9 9 9 2本標準按照GB/T1.1-2009給本標準主要起草人：張震、張志鴻、王瑞民、楊志峰、魏強、杜學繪、1智慧城市信息安全建設指南凡是不注日期的引用文件，其最新版本（包括所有的修改單）GB/T367-2001視頻安防監(jiān)控系統GB/T22240-2008信息安全技術信息系統安全等級保護實施GB/T28448-2012信息安全技術信息系統安全等級保護測評GB/T28514.3-2012支持IPv6的路由協議技在智慧城市建設范疇內，是指圍繞信息技術的高度集成、信息資源的綜合運用的線上和線下的信息安全，既包含傳統的信息系統安全，也可以包含網絡智慧城市信息安全建設架構，包括技術安全要2運運維安全要求管理安全要求技術安全要求應用服務安全身份鑒別、訪問控制、安全審計、應用傳輸安全、抗抵賴、軟件容錯……計算環(huán)境安全身份鑒別、安全審計……數據存儲安全訪問控制、完整性機制、加密機制、安全審計、數據備份與恢復、剩余信息保護……網絡傳輸安全網絡架構、訪問控制、安全審計、入侵檢測、實體身份鑒別……基礎設施安全感知設備安全、機房安全……5.1基礎設施安全要求b)為感知設備在生存期提供穩(wěn)定可靠的電力供應；5.1.1.2感知設備防護a)感知設備能固定在部署場所中，并設置明顯的不易除去5.1.1.3感知模塊身份認證35.1.1.4通信安全5.1.1.5系統安全a)感知設備的系統用戶應有唯一性標識，能對系統用戶進行身b)具有執(zhí)行能力的感知設備應能對下達指令的對象進行身份鑒別；5.1.1.6采集數據安全a)使用加密或其他保護措施，實現鑒別信息和重要數據的傳輸及存儲的b)提供必要的隱私數據保護措施，防d)對于重要數據，應冗余部署感知設備進5.2網絡傳輸安全技術a)保證主要網絡設備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰4d)按照國家相關規(guī)定，能夠提供支持中間系統到中間系統域內路由信息交換技術(GB/Ta)在網絡邊界部署訪問控制設備，啟用訪問護，日志記錄保護期限符合公安部有關規(guī)定（公安部b)對網絡設備的管理員的權限進行限制；5.3數據存儲安全a)啟用訪問控制功能，依據安全策略控制主體對數據5b)對存儲業(yè)務數據的云服務平臺/磁盤陣列采取采用符合國家密碼管理局相關管理規(guī)定的數據加密措施實現數據的存儲保a)提供覆蓋到每個主體的安全審計功能，對每個主體訪問數據的行為進b)保證無法刪除、修改或覆蓋審計記錄；c)審計記錄包括事件的日期、事件、類型、主體標識、客體a)依據數據相應級別，提供數據備份與d)對備份數據及數據恢復權限做好保密，避免備份數據被篡5.4計算環(huán)境安全b)對同一主體或應用，采用兩種或兩種以上組合的鑒別技術實現身份鑒別；b)保證無法刪除、修改或覆蓋審計記錄；c)審計記錄包括事件的日期、事件、類型、主體標識、客體a)對同一用戶采用兩種或兩種以上組合的鑒別技術實現用戶身c)應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動a)提供訪問控制功能，依據安全策略控制用戶對客體b)訪問控制的覆蓋范圍應包括與資源訪問相關的主體、客體及它們之間的操作；e)依據安全策略嚴格控制用戶對有敏感標記重要b)保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；d)提供對審計記錄數據進行統計、查詢、分析及生成審a)在通信雙方建立連接之前，應用系統利用密碼技術進行會話初始75.5.5抗抵賴在請求的情況下，能夠為數據原發(fā)者或接收者提供真實的原發(fā)證據、真實的接收證據的功能。提供自動保護功能，當故障發(fā)生時自動保護當前所有狀態(tài)，保證系統能夠進行恢a)指定專門的部門或人員定期對機房供配電、空調、溫濕度控制等設施進行維護管d)對信息分類與標識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進行b)確保介質存放在安全的環(huán)境中，對各類介質進行控制和保護，并實行存儲環(huán)境專人管理；8d)定期對網絡系統進行漏洞掃描，對發(fā)現的網絡系統安全漏洞進c)定期進行漏洞掃描，對發(fā)現的系統安全漏洞9a)對防惡意代碼軟件的授權使用、惡意代碼庫升級、定期匯報等作出明b)指定專人對網絡和主機進行惡意代碼檢測并保存檢測記錄；所使用的密碼技術和產品應符合國家密碼管d)報告所發(fā)現的安全弱點和可疑事件，但不能f)對造成系統中斷和造成信息泄密的安全事件采用不同的處理程序a)在統一的應急預案框架下制定不同事件的應急預案，應急預案框架應包括啟動應急預案的條c)對系統相關的人員進行應急預案培訓，應急預案的培訓應至少d)定期對應急預案進行演練，根據不同的應急恢復內容，確按信息安全等級保護管理辦法實施定期的安全檢查、備案、等級保護測評（GB/T22240-20信息安全技術信息系統安全等級保護實指定或授權專門的部門按國家的有關規(guī)定負責c)對系統測試驗收的控制方法和人員行為準則d)指定或授權專門的部門負責系統測試驗收的管理，并按照管理規(guī)定的要求完成b)確定事件響應和處置的范圍、程度以及適用的管理制度等；a)應根據各個部門和崗位的職責明確授權審批事項