DB14∕T 1938-2019 政務(wù)信息資源數(shù)據(jù)共享交換平臺(tái)（外網(wǎng)） 安全技術(shù)規(guī)范

政務(wù)信息資源數(shù)據(jù)共享交換平臺(tái)(外網(wǎng))安全技術(shù)規(guī)范山西省市場(chǎng)監(jiān)督管理局發(fā)布1 2 3 3 3 3 623政務(wù)信息資源數(shù)據(jù)共享交換平臺(tái)(外網(wǎng))安全技術(shù)規(guī)范本標(biāo)準(zhǔn)規(guī)定了政務(wù)信息資源數(shù)據(jù)共享交換平臺(tái)(外網(wǎng))(以下簡(jiǎn)稱“共享交換平臺(tái)”或“平臺(tái)”)件。凡是不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。信息安全技術(shù)信息安全事件分類分級(jí)指南信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南3術(shù)語(yǔ)和定義以下簡(jiǎn)稱“資源”,是政務(wù)部門(mén)在履行職責(zé)過(guò)程中制作或獲取的以十定形式記錄、保存的文件、4b)對(duì)歸集的數(shù)據(jù)進(jìn)行完整性校驗(yàn)、安全檢查；c)對(duì)數(shù)據(jù)操作按照最小授權(quán)原則進(jìn)行權(quán)限控制；5c)共享交換平臺(tái)接入終端應(yīng)當(dāng)標(biāo)注禁止處理涉密信息的標(biāo)志。4.1.6其他要求a)對(duì)應(yīng)用系統(tǒng)進(jìn)行系統(tǒng)運(yùn)行的安全性檢測(cè)分析，通過(guò)掃描應(yīng)用系統(tǒng)中與鑒別、授權(quán)、訪問(wèn)控制和系統(tǒng)完整性有關(guān)的特定的安全脆弱性，分析其存在的缺陷和漏洞，提出補(bǔ)救措施；b)各級(jí)平臺(tái)應(yīng)按照GB/T22239、GB/T22240的要求，對(duì)共享交換平臺(tái)進(jìn)行等級(jí)評(píng)定，依據(jù)評(píng)定等級(jí)開(kāi)展安全測(cè)評(píng)，依據(jù)測(cè)評(píng)報(bào)告制定整改措施并組織落實(shí)；c)使用國(guó)密加密技術(shù)來(lái)保證數(shù)據(jù)的機(jī)密性和實(shí)體身份的真實(shí)性。4.2資源安全要求4.2.1資源提供安全要求當(dāng)通過(guò)終端上傳或下載信息時(shí)，應(yīng)滿足但不限于以下安全要求：a)使用固定的終端加強(qiáng)登記管理；b)妥善保管賬號(hào)密碼及數(shù)字證書(shū)，安排專人使用和管理，密碼必須滿足復(fù)雜度要求并定期更換，密碼組合須包含英女字母大小寫(xiě)、數(shù)字、特殊字符任意兩種以上；c)終端安裝數(shù)據(jù)防泄露軟件；d)終端安裝防病毒軟件。當(dāng)通過(guò)服務(wù)接口方式提供數(shù)據(jù)服務(wù)時(shí)，應(yīng)滿足但不限于以下安全要求：a)對(duì)涉及隱私保護(hù)、重要敏感數(shù)據(jù)的共享，優(yōu)先采用服務(wù)接口方式；b)通過(guò)服務(wù)接面參數(shù)設(shè)置等方式實(shí)現(xiàn)來(lái)源識(shí)別、訪問(wèn)控制等功能；c)在邊界設(shè)置IB訪問(wèn)策略；d)對(duì)重要業(yè)務(wù)數(shù)據(jù)采取基于國(guó)密算法的安全保障措施；e)服務(wù)接口應(yīng)支持HTTPS協(xié)議。當(dāng)通過(guò)前置交換方式交換數(shù)據(jù)庫(kù)表和文件數(shù)據(jù)時(shí)，應(yīng)滿足但不限于以下安全要求：a)保證數(shù)據(jù)內(nèi)容的真實(shí)性；b)對(duì)數(shù)據(jù)分類分級(jí)，明確共享范圍，指定數(shù)據(jù)接收方；c)對(duì)重要數(shù)據(jù)采用基于國(guó)密算法的安全保障措施；d)對(duì)敏感數(shù)據(jù)進(jìn)行脫敏處理。4.2.2資源使用安全要求按照共享范圍和方式使用數(shù)據(jù)，并妥善保管。當(dāng)通過(guò)終端上傳或下載信息時(shí)，應(yīng)滿足但不限于以下安全要求：a)使用固定的終端，加強(qiáng)登記管理；b)妥善保管賬號(hào)密碼及數(shù)字證書(shū)，安排專人使用和管理，密碼必須滿足復(fù)雜度要求并定期更換，密碼組合須包含英文字母大小寫(xiě)、數(shù)字、特殊字符任意兩種以上；c)終端安裝數(shù)據(jù)防泄露軟件；d)終端安裝防病毒軟件。對(duì)所獲得的共享數(shù)據(jù)進(jìn)行存儲(chǔ)和處理的過(guò)程中，應(yīng)滿足但不限于以下安全要求：a)對(duì)數(shù)據(jù)操作按照最小授權(quán)原則進(jìn)行權(quán)限控制；b)監(jiān)控?cái)?shù)據(jù)操作整體流程，提供審計(jì)功能；6c)數(shù)據(jù)資源分類分級(jí)存儲(chǔ)，對(duì)存儲(chǔ)區(qū)域隔離防護(hù)，對(duì)重要數(shù)據(jù)采用基于國(guó)密算法的安全保障措施；d)對(duì)敏感數(shù)據(jù)進(jìn)行脫敏處理；e)存儲(chǔ)和處理共享數(shù)據(jù)的信息系統(tǒng)，應(yīng)按照等級(jí)保護(hù)要求進(jìn)行管理。4.2.3資源提供方、共享交換平臺(tái)、資源需求方，各自應(yīng)在數(shù)據(jù)交換過(guò)程中完整記錄交換日志，以備安全審計(jì)。5安全事件應(yīng)急管理5.1安全事件分級(jí)5.1.1結(jié)合共享交換平臺(tái)的實(shí)際情況，分析事件對(duì)平臺(tái)的破壞程度，所造成后果的嚴(yán)重程度，將安全事件依次進(jìn)行分級(jí)，應(yīng)符合GB/Z20986的要求。5.1.2根據(jù)共享交換平臺(tái)的各類安全事件列表，調(diào)查各類安全事件的類型、對(duì)平臺(tái)的影響程度以及安全事件的敏感程度等信息，分析對(duì)安全事件進(jìn)行響應(yīng)恢復(fù)所需要的時(shí)間。5.1.3根據(jù)調(diào)查和分析結(jié)果c結(jié)合安全事件對(duì)共享交換平臺(tái)、政務(wù)部門(mén)、平臺(tái)管理單位等利益相關(guān)各方的危害程度等因素，確定安全事件等級(jí)，制定安全事件的報(bào)告程序。5.2制定應(yīng)急預(yù)案通過(guò)安全事件的等級(jí)分析，在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同安全事件的應(yīng)急處置方法。5.3建立響應(yīng)機(jī)制5.3.1對(duì)監(jiān)控到的安全事件按照安全事件上報(bào)程序進(jìn)行報(bào)告，根據(jù)安全狀態(tài)分析報(bào)告對(duì)安全事件進(jìn)行分析，明確安全事件等級(jí)。影響程度以及優(yōu)先級(jí)等，確定是否應(yīng)對(duì)安全事件啟動(dòng)應(yīng)急預(yù)案。5.3.2按照應(yīng)急預(yù)案響應(yīng)機(jī)制對(duì)應(yīng)啟動(dòng)應(yīng)急預(yù)案的安全事件進(jìn)行安全事件處置。5.3.3在安全事件解決后對(duì)未知的安全事件進(jìn)行事件記錄，分析安全記錄信息并補(bǔ)充所需信息，使未知的安全事件成為已知事