T-WHCSA 004-2024 智慧園區(qū)網(wǎng)絡安全防御體系建設指南

INetworkSecurityDefenseSystem 2規(guī)范性引用文件 3術語、定義和縮略語 3.1智慧園區(qū) 3.2網(wǎng)絡安全 3.3安全保護能力 3.4信息網(wǎng)絡系統(tǒng) 3.5網(wǎng)絡空間 4建設指導框架圖 5物理安全 5.1物理環(huán)境安全 5.2設備物理安全 6網(wǎng)絡安全 6.1網(wǎng)絡架構 6.2邊界防護 6.3訪問控制 6.4入侵防范 6.5身份鑒別 6.6安全審計 7數(shù)據(jù)安全 7.1數(shù)據(jù)全生命周期防護 7.2個人信息保護 8應用安全 8.1應用系統(tǒng)及程序安全 8.2業(yè)務服務安全 9安全保障 9.1日常安全運維 9.2風險評估 9.3應急管理 10附錄：智慧園區(qū)相關知識庫 本標準按照GB/T1.1-2009《標準化工作導則第1部分：標準的結構和編寫》的規(guī)則制定。本標準由武漢市經(jīng)濟和信息化委員會提出并歸口。本標準起草單位：武漢市網(wǎng)絡安全協(xié)會、智網(wǎng)安云（武漢）信息技術有限公司、華中師范大學、湖北大學、中國電信股份有限公司武漢分公司、中國通信建設第三工程局有限公司、武漢數(shù)智云科技有限公司、武漢虹信技術服務有限責任公司、武漢烽火創(chuàng)新谷管理有限公司、武漢微創(chuàng)光電股份有限公司。本標準主要起草人：劉悅恒、梁忠輝、覃兵、曹高輝、黃辰、雷顯開、喬奇、張玉萍、嚴媛、王燕青、方波、王蓉蓉、郭賢凱、朱用功、張松、張峰、邢亞平、陳佳陽。智慧園區(qū)企業(yè)的數(shù)字化和網(wǎng)絡環(huán)境愈加復雜化，網(wǎng)絡惡意攻擊更加專業(yè)化和產(chǎn)業(yè)化，入侵手法也愈發(fā)多樣化與復雜化，使得傳統(tǒng)網(wǎng)絡安全解決方案不斷受到挑戰(zhàn)。傳統(tǒng)邊界防護設備在防御常見威脅上起到了重要作用，但不能防范所有的、新型的攻擊行為，包括來自內(nèi)部和外部的攻擊行為，智慧園區(qū)面臨網(wǎng)絡安全威脅的風險逐步增大。本標準通過針對共性安全防護目標提出智慧園區(qū)場景通用的安全防御體系建設指南，指導智慧園區(qū)企業(yè)對網(wǎng)絡安全防御體系的建設。1智慧園區(qū)網(wǎng)絡安全防御體系建設指南本標準為智慧園區(qū)的IT網(wǎng)絡安全體系規(guī)劃、建設提供指導。主要包括智慧園區(qū)的物理安全、網(wǎng)絡安全、數(shù)據(jù)安全、應用安全和安全保障。2規(guī)范性引用文件GB/T25069-2010信息安全技術術語GB/T25070-2019信息安全技術網(wǎng)絡安全等級保護安全設計技術要求GB/T22239-2019信息安全技術網(wǎng)絡安全等級保護基本要求GB/T20984-2022信息安全技術信息安全風險評估方法GB/T43697-2024數(shù)據(jù)安全技術數(shù)據(jù)分類分級規(guī)則GB/T35273—2020信息安全技術個人信息安全規(guī)范GB/T20986——2023信息安全技術網(wǎng)絡安全事件分類分級指南中央網(wǎng)信辦《國家網(wǎng)絡安全事件應急預案》3術語、定義和縮略語3.1智慧園區(qū)智慧園區(qū)smartpark以信息技術為手段、信息應用為支撐，充分運用云計算、物聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能、移動互聯(lián)網(wǎng)等新一代信息技術，推進園區(qū)技術融合、業(yè)務融合、數(shù)據(jù)融合及服務融合，實現(xiàn)園區(qū)基礎設施信息化、運營管理精細化、功能服務便利化和產(chǎn)業(yè)發(fā)展高端化的軟件產(chǎn)業(yè)園區(qū)。3.2網(wǎng)絡安全網(wǎng)絡安全cybersecurity通過采取必要措施，防范對網(wǎng)絡的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網(wǎng)絡處于2穩(wěn)定可靠運行的狀態(tài)，以及保障網(wǎng)絡數(shù)據(jù)的完整性、保密性、可用性的能力。3.3安全保護能力安全保護能力securityprotectionability能夠抵御威脅、發(fā)現(xiàn)安全事件以及在遭到損害后能夠恢復先前狀態(tài)等的程度。3.4信息網(wǎng)絡系統(tǒng)信息網(wǎng)絡系統(tǒng)informationnetworksystem應用計算機、通信、多媒體、信息安全等等信息技術和IT設備、傳輸線路，將功能獨立的IT系統(tǒng)、各類終端系統(tǒng)互聯(lián)，與行為科學、管理科學等共同構成信息網(wǎng)絡平臺，通過可實現(xiàn)各種功能的軟件應用實現(xiàn)資源共享和信息交互。3.5網(wǎng)絡空間網(wǎng)絡空間cyberspace基于網(wǎng)絡形成的虛擬的數(shù)字社會。4建設指導框架圖3圖1智慧園區(qū)網(wǎng)絡安全防御體系框架5物理安全物理安全主要規(guī)范智慧園區(qū)物理安全措施，包含信息系統(tǒng)所處物理環(huán)境安全、設備自身物理安全等方面。5.1物理環(huán)境安全5.1.1物理環(huán)境安全主要定義信息系統(tǒng)所處物理環(huán)境的安全保障，包含溫濕度、防火、防雷、防潮、電力保障等方面。5.1.2信息系統(tǒng)所處的物理環(huán)境應設置訪問控制措施，配置電子門禁系統(tǒng)，控制、鑒別和記錄進出的人員。5.2設備物理安全5.2.1設備物理安全主要定義設備(網(wǎng)絡設備、傳感設備等)自身的物理保護，包含物理訪問接入、設備輸入輸出管控等方面；5.2.2保證設備電力供應，應在供電線路上配置穩(wěn)壓器和過電壓防護設備；應提供短期的備用電力供應，至少滿足設備在突發(fā)斷電情況下的正常運行要求；5.2.3應具備電磁防護措施。6網(wǎng)絡安全網(wǎng)絡安全是指對園區(qū)網(wǎng)絡環(huán)境及運行的業(yè)務系統(tǒng)采取的安全防護措施，具體包括網(wǎng)絡架構、邊界防護、訪問控制、入侵防范、身份鑒別和安全審計。6.1網(wǎng)絡架構6.1.1應保證園區(qū)信息系統(tǒng)使用的鏈路帶寬滿足業(yè)務高峰需求；網(wǎng)絡鏈路各設備的業(yè)務處理能力滿足園區(qū)業(yè)務高峰需求；6.1.2應根據(jù)園區(qū)業(yè)務重要性劃分網(wǎng)絡安全區(qū)域，分區(qū)重點防護。46.2邊界防護6.2.1應能夠對非授權設備私自接入園區(qū)內(nèi)部網(wǎng)絡的行為進行檢查或限制；6.2.2應能夠對園區(qū)內(nèi)部用戶非授權連接外部網(wǎng)絡的行為進行檢查或限制；6.2.3應限制園區(qū)無線網(wǎng)絡的使用，保證無線網(wǎng)絡通過受控的邊界設備接入園區(qū)內(nèi)部網(wǎng)絡；應明確禁止使用無線網(wǎng)絡的區(qū)域，如園區(qū)數(shù)據(jù)中心、核心生產(chǎn)區(qū)域等；6.2.4應對園區(qū)網(wǎng)絡接入邊界的網(wǎng)絡流量和訪問行為進行實時檢測，阻斷異常網(wǎng)絡行為并告警。6.3訪問控制6.3.1應根據(jù)網(wǎng)絡安全區(qū)域設置安全策略，設置匹配園區(qū)業(yè)務訪問需求的控制規(guī)則；6.3.2應刪除多余或無效的訪問控制規(guī)則，持續(xù)優(yōu)化訪問控制規(guī)則列表；6.3.3應對進出園區(qū)網(wǎng)絡的數(shù)據(jù)和流量進行基于應用協(xié)議和應用內(nèi)容的訪問控制；6.3.4訪問控制的粒度應達到主體為用戶級，客體為業(yè)務系統(tǒng)、端口級。6.4入侵防范6.4.1應在園區(qū)網(wǎng)絡邊界、核心節(jié)點處檢測、防止或限制從外部發(fā)起和從內(nèi)部發(fā)起的網(wǎng)絡攻擊行為；6.4.2應采取相關技術措施對網(wǎng)絡行為進行分析；6.4.3應在園區(qū)網(wǎng)絡核心節(jié)點處、主機環(huán)境中對惡意代碼進行檢測和清除，并維護惡意代碼防護技術的升級和更新；6.4.4應記錄網(wǎng)絡攻擊信息的攻擊源、類型、目標、時間；6.4.5應對園區(qū)重要網(wǎng)絡節(jié)點的入侵和攻擊行為進行實時告警。6.5身份鑒別6.5.1應對接入園區(qū)網(wǎng)絡的用戶進行身份表示和鑒別，且身份標識具有唯一性；6.5.2身份鑒別信息具有復雜度要求并定期更換；應對登錄失敗行為配置限制會話、結束會話等措施；6.5.3應采取加密措施，防止身份鑒別信息在網(wǎng)絡傳輸過程中被竊聽；6.5.4應采用雙因子認證鑒別技術對用戶進行身份鑒別。6.6安全審計6.6.1應在園區(qū)網(wǎng)絡邊界、核心網(wǎng)絡節(jié)點處進行安全審計，審計范圍覆蓋到每個入網(wǎng)用戶；6.6.2安全審計內(nèi)容包含日期、時間、用戶、事件類型、是否成功及其他審計信息；6.6.3安全審計記錄應采取保護措施，定期備份，避免發(fā)生刪除、修改或覆蓋等；6.6.4應對采用遠程訪問的用戶行為進行單獨審計和分析；6.6.5應對審計進程進行保護，防止未經(jīng)授權的中斷。7數(shù)據(jù)安全數(shù)據(jù)安全主要規(guī)范園區(qū)業(yè)務系統(tǒng)中的數(shù)據(jù)安全及存儲的個人信息安全，包含數(shù)據(jù)全生命周期防護和個人信息保護。7.1數(shù)據(jù)全生命周期防護7.1.1應根據(jù)園區(qū)業(yè)務類型和重要級別進行分類，分類維度應包含數(shù)據(jù)來源、數(shù)據(jù)組織、數(shù)據(jù)字段和其他等；7.1.2應根據(jù)園區(qū)業(yè)務系統(tǒng)數(shù)據(jù)內(nèi)容的敏感度進行分級，按照實際業(yè)務需求制定多層級別。7.1.3應采用身份認證、準入控制、鏈路加密、應用層加密等方式防止假冒數(shù)據(jù)源接入，確保采集數(shù)據(jù)的真實性和完整性；7.1.4在數(shù)據(jù)（流式數(shù)據(jù)、數(shù)據(jù)庫、文件、服務接口等類型的數(shù)據(jù)）傳輸過程中，應采取加密措施保障數(shù)據(jù)的完整性、機密性；7.1.5應對數(shù)據(jù)使用者身份進行鑒別，防止假冒合法人員使用數(shù)據(jù)；對使用者進行權限控制，防止數(shù)據(jù)使用者越權訪問數(shù)據(jù)；7.1.6應對園區(qū)存在的敏感數(shù)據(jù)進行脫敏處理，對所有訪問敏感數(shù)據(jù)的行為進行監(jiān)控和審計；67.1.7應根據(jù)數(shù)據(jù)類別、級別采用不同的安全存儲機制，對于重要程度低的數(shù)據(jù)，可以明文存儲；對于重要程度很高的數(shù)據(jù)，使用加密存儲，保證關鍵數(shù)據(jù)的保密性；7.1.8應對不再具有價值或需要保護隱私時的數(shù)據(jù)，對其進行銷毀。7.2個人信息保護7.2.1應按照《中華人民共和國個人信息保護法》的相關要求，處理園區(qū)業(yè)務系統(tǒng)中存儲的個人信8應用安全應用安全主要規(guī)范智慧園區(qū)網(wǎng)絡中的應用系統(tǒng)及程序安全、業(yè)務服務安全。8.1應用系統(tǒng)及程序安全8.1.1園區(qū)應用系統(tǒng)及程序主要包含智慧園區(qū)運營管理平臺、園區(qū)及企業(yè)服務平臺、無線管理系統(tǒng)、視頻監(jiān)控系統(tǒng)、門禁管理系統(tǒng)、停車管理系統(tǒng)、接警應急指揮系統(tǒng)、數(shù)字廣播系統(tǒng)、LED大屏顯示系統(tǒng)、信息發(fā)布系統(tǒng)等，以及園區(qū)APP、微信小程序等其他應用程序；8.1.2應對園區(qū)WEB應用系統(tǒng)采取技術措施，防止惡意攻擊、非法訪問、防篡改等攻擊行為；8.1.3應對承載園區(qū)WEB應用運行的主機采取技術措施，防止主機入侵、病毒木馬感染、后門上傳等攻擊行為；8.1.4園區(qū)APP、微信小程序等其他應用程序應開展風險評估、安全加固、實時監(jiān)測等技術防護工作。8.2業(yè)務服務安全8.2.1應對接入園區(qū)無線管理系統(tǒng)、門禁管理系統(tǒng)、數(shù)字廣播系統(tǒng)、LED大屏顯示系統(tǒng)等系統(tǒng)的客體進行準入控制，嚴格限制未經(jīng)授權的客體接入；設置控制策略，限制接入客體的最小權限；8.2.2應對智慧園區(qū)運營管理平臺、園區(qū)及企業(yè)服務平臺、視頻監(jiān)控系統(tǒng)、門禁管理系統(tǒng)、停車管理系統(tǒng)等包含園區(qū)敏感數(shù)據(jù)的系統(tǒng)進行數(shù)據(jù)保護措施，防止敏感數(shù)據(jù)泄漏及未經(jīng)授權的數(shù)據(jù)使用；8.2.3應對接警應急指揮系統(tǒng)、數(shù)字廣播系統(tǒng)、LED大屏顯示系統(tǒng)、信息發(fā)布系統(tǒng)等系統(tǒng)進行傳播數(shù)據(jù)的安全監(jiān)控和審計，防止非法信息的傳播。79安全保障安全保障主要規(guī)范智慧園區(qū)網(wǎng)絡安全管理與支撐相關的標準與措施，包含日常安全運維、風險評估、應急管理。9.1日常安全運維9.1.1應制定園區(qū)網(wǎng)絡安全管理制度，并根據(jù)制度完成對應的技術工作；管理制度應定期修訂完善；9.1.2應對園區(qū)業(yè)務系統(tǒng)及程序進行安全監(jiān)測，制定監(jiān)測指標，包含可用性、安全性等；安全監(jiān)測手段具備風險實時告警能力；9.1.3應定期進行安全巡檢，對安全設備進行配置及策略檢查，輸出安全巡檢報告，報告內(nèi)容包含運行狀態(tài)、優(yōu)化建議等內(nèi)容；9.1.4完成日常安全運維工作后，輸出工作報告，工作報告形式有周報、月報、季報、年報表。9.2風險評估9.2.1應進行園區(qū)網(wǎng)絡資產(chǎn)、業(yè)務資產(chǎn)梳理，形成園區(qū)資產(chǎn)臺賬，并定期更新完善；根據(jù)資產(chǎn)梳理臺賬，確定網(wǎng)絡安全風險評估目標；9.2.2應制定網(wǎng)絡安全風險評估流程及周期，定期開展評估工作，輸出風險評估報告；9.2.3應采用專業(yè)風險評估工具，結合人工驗證，確定風險是否可利用及風險值；9.2.4對已確認的風險制定修復和加固方案，并完成加固；9.2.5應定期更新和迭代風險評估技術及流程，確保評估技術的可用性。9.3應急管理9.3.1應編制園區(qū)網(wǎng)絡安全應急管理制度，并定期修改完善，加強制度的宣貫和下發(fā)；9.3.2應制定安全事件應急響應流程，組建網(wǎng)絡安全應急響應團隊；9.3.3應定期組織網(wǎng)絡安全應急演練，模擬安全攻擊，檢測園區(qū)網(wǎng)絡安全防護策略的有效性；9.3.4應建設安全事件溯源技術措施，對正在發(fā)生及已發(fā)生的安全事件進行溯源定位。810附錄：智慧園區(qū)相關知識庫附錄A：數(shù)據(jù)分類分級示例數(shù)據(jù)類別數(shù)據(jù)子類分類參考數(shù)據(jù)分級參考研發(fā)域數(shù)據(jù)開發(fā)及測試代碼核心開發(fā)及測試代碼數(shù)據(jù)重要開發(fā)及測試代碼數(shù)據(jù)一般開發(fā)及測試代碼數(shù)據(jù)應用設計原型核心應用設計原型數(shù)據(jù)重要應用設計原型數(shù)據(jù)一般應用設計原型數(shù)據(jù)園區(qū)設計規(guī)劃圖紙核心園區(qū)設計規(guī)劃圖紙數(shù)據(jù)重要園區(qū)設計規(guī)劃圖紙數(shù)據(jù)一般園區(qū)設計規(guī)劃圖紙數(shù)據(jù)監(jiān)控域數(shù)據(jù)生產(chǎn)監(jiān)控數(shù)據(jù)核心生產(chǎn)監(jiān)控數(shù)據(jù)重要生產(chǎn)監(jiān)控數(shù)據(jù)一般生產(chǎn)監(jiān)控數(shù)據(jù)園區(qū)環(huán)境監(jiān)控數(shù)據(jù)重要園區(qū)環(huán)境監(jiān)控數(shù)據(jù)一般園區(qū)環(huán)境監(jiān)控數(shù)據(jù)園區(qū)車輛監(jiān)控數(shù)據(jù)重要園區(qū)車輛監(jiān)控數(shù)據(jù)一般園區(qū)車輛監(jiān)控數(shù)據(jù)園區(qū)人員流動監(jiān)控數(shù)據(jù)重要園區(qū)人員流動監(jiān)控數(shù)據(jù)一般園區(qū)人員流動監(jiān)控數(shù)據(jù)管理域數(shù)據(jù)園區(qū)安全管理制度重要園區(qū)安全管理制度數(shù)據(jù)一般園區(qū)安全管理制度數(shù)據(jù)固定資產(chǎn)信息重要固定資產(chǎn)信息一般固定資產(chǎn)信息經(jīng)營與財務數(shù)據(jù)核心經(jīng)營與財務數(shù)據(jù)重要經(jīng)營與財務數(shù)據(jù)一般經(jīng)營與財務數(shù)據(jù)人力與客戶數(shù)據(jù)重要人力與客戶數(shù)據(jù)一般人力與客戶數(shù)據(jù)資源管理數(shù)據(jù)重要資源管理數(shù)據(jù)一般資源管理數(shù)據(jù)運維域數(shù)據(jù)供應鏈數(shù)據(jù)核心供應鏈數(shù)據(jù)