GW0103-2014 国家电子政务外网 安全等级保护基本要求.pdf

国家电子政务外网标准 GW01032011 国家电子政务外网 安全等级保护基本要求 Baseline for classified protection of National E-government Network 2011-12-31 发布 2011-12-31 实施 国家电子政务外网管理中心国家电子政务外网管理中心 目 次 前 言.I 引 言.II 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 政务外网资产、威胁分析和脆弱性.4 4.1 资产分析.4 4.2 威胁分析.5 4.3 脆弱性分析.6 5 政务外网安全等级保护概述.7 5.1 政务外网安全保护等级.7 5.2 不同等级的安全保护能力.7 6 第二级基本要求.8 6.1IP 承载网.8 6.2 业务区域网络.9 6.3 管理区域网络.9 7 第三级基本要求.10 7.1 IP 承载网.10 7.2 业务区域网络.12 I 前前 言言 为了贯彻国家信息安全相关法律法规，落实信息安全等级保护相关技术要求，根据国家标准GB/T 22239-2008 信息系统安全等级保护基本要求的要求，为规范国家电子政务外网安全等级保护的工作，针对政务外网的具体情况，特制定本标准。本标准由国家电子政务外网管理中心提出。本标准由国家电子政务外网管理中心归口。本标准主要起草单位：国家电子政务外网管理中心办公室、国家信息中心信息安全研究与服务中心 本标准主要起草人：孙大奇、周民、沈解伍、吴亚非、刘建国、邵国安、禄凯、陈永刚、罗海宁、吕品、徐春学、刘晓光 本标准由国家电子政务外网管理中心负责解释。II 引引 言言 本标准是国家电子政务外网安全等级保护相关系列标准之一。本标准与国标计算机信息系统安全保护等级划分准则（GB 17859-1999）、信息系统安全等级保护基本要求（GB/T 22239-2008）等标准共同构成了国家电子政务外网安全等级保护的相关配套标准。其中GB 17859-1999、GB/T 22239-2008是基础性标准，为政务外网安全等级保护遵从的基本标准。本标准是针对国家电子政务外网现状、技术特点和安全防护要求作进一步细化和扩展，是对GB/T 22239-2008的补充，本标准未提到部分均按 GB/T 22239-2008的信息系统安全等级保护基本要求执行。与本标准相关的系列标准包括：国家电子政务外网安全等级保护实施指南 在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。对于承载涉及国家秘密信息系统的网络保护要求，按照国家相关法律法规和信息安全主管部门的相关规定和标准实施。对于涉及密码的使用和管理，按照国家密码管理主管部门的相关规定和标准实施。凡涉及政务外网数字证书的相关要求，参照国家电子政务外网管理中心印发的相关管理和技术规定执行。1 国家电子政务外网安全等级保护基本要求 1 范围 本标准规定了国家电子政务外网（以下简称政务外网）不同安全保护等级网络的基本技术保护要求，适用于指导政务外网安全等级保护的建设、整改、自查和测评工作，可作为安全等级保护和信息安全主管部门对政务外网安全进行检查和指导时的依据。本标准只涉及政务外网安全等级保护的基本技术要求，有关物理环境、主机/服务器、应用、数据和管理安全等共性要求，请按照国家标准 GB/T 22239-2008 执行。2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。凡是不注明日期的引用文件，其最新版本适用于本标准。GB/T 5271.8 信息技术 词汇 第 8 部分：安全 GB 17859 计算机信息系统安全保护等级划分准则 GB/T 20270 信息安全技术 网络基础安全技术要求 GB/T 20984 信息安全技术 信息安全风险评估规范 GB/T 21061 国家电子政务网络技术和运行管理规范 GB/T 22239 信息安全技术 信息系统安全等级保护基本要求 GB/T 22240 信息安全技术 信息系统安全等级保护定级指南 YD/T 1746 IP 承载网安全防护要求 实施意见（国密局发200910 号）电子政务电子认证服务管理办法（国密局发20097 号）3 术语和定义 GB/T 5271.8 和 GB 17859-1999 确定的以及下列术语和定义适用于本标准。3.1 安全保护能力 Security Protection Ability 系统能够抵御威胁、发现安全事件以及在系统遭到损害后能够恢复先前状态等的程度。3.2 虚拟专用网络 Virtual Private Network（VPN）一种在 IP 承载网络上通过逻辑方式隔离出来的网络。它是一组封闭的网络网段，即使用同一台IP 设备和开放互联协议与其他 VPN 共享同一主干网络，不同 VPN 之间的通信保持分离，路由不可达，形成隔离，在一个虚拟网内，所有用户共享相同的安全策略、优先级服务和管理策略，提供端到端的2 业务连接。所谓“虚拟”指网络连接特性是逻辑的而不是物理的。VPN 技术可用于网关与网关之间的连接、网关与端点之间的连接、端点与端点之间的连接。3.3 多协议标签交换的虚拟专用网 Multi-Protocol Label Switch VPN（MPLS VPN）MPLS-VPN 是指采用多协议标签交换（MPLS）技术在骨干的宽带 IP 网络上构建虚拟专用网络，实现跨地域、安全、高速、可靠的数据、语音、图像多业务通信，并结合差别服务、流量工程等相关技术，将公众网可靠的性能、良好的扩展性、丰富的功能与专用网的安全、灵活、高效结合在一起，为用户提供高质量的服务。3.4 广域网 Wide Area Networks（WAN）把城市之间连接起来的宽带网络称广域网，政务外网从中央到各省的网络称为中央广域网、省到各地（市）网络称为省级广域网、地（市）到各县的广域网称为地（市）级广域网。实现国家、省、市、县纵向业务的互联网通。3.5 城域网 Metropolitan Area Networks （MAN）把同一城市内不同单位的局域网络连接起来的网络称为城域网，实现不同单位跨部门业务的数据共享与交换。3.6 局域网 Local Area Network（LAN)把本单位终端、主机/服务器、存储等设备，通过网络设备连接起来的网络，实现本单位业务系统、数据的互访、共享等，称为局域网。局域网是政务部门开展电子政务业务的基础，其安全、建设、运维等相关工作由网络所属单位自行负责。3.7 逻辑隔离 Logic Isolation 逻辑隔离是一种不同网络间的安全防护措施，被隔离的两端仍然存在物理上数据通道连线。一般使用协议转换、数据格式剥离或数据流控制的方法来实现在两个逻辑隔离区域之间传输数据，并且传输的方向可以是单向或双向。3.8 国家电子政务外网 National E-Government Network 国家电子政务外网是国家电子政务重要基础设施，是承载各级政务部门用于经济调节、市场监管、社会管理和公共服务等非涉及国家秘密的业务应用系统的政务公用网络。包括中央级政务外网和地方 3 政务外网，二者均由相应的广域网和城域网构成。中央广域网与 31 个省、直辖市、自治区和新疆生产建设兵团的省级政务外网互联。中央城域网用于连接在京中央政务部门，并与中央广域网高速互联。地方政务外网由省、地（市）和县级广域网和相应的城域网构成。3.9 公用网络区 Public Network Area 公用网络区采用统一分配的公共 IP 地址，是实现各部门、各地区互联互通，为跨地区、跨部门的业务应用提供数据共享与交换的网络支撑平台。3.10 专用网络区 Private Network Area 依托国家政务外网基础设施，为特定需求的部门或业务设置 VPN 区域，主要满足部门横向、纵向业务的需要，实现部委、省、地（市）和县端到端业务和数据的互联互通，实现与其它业务之间的逻辑隔离。3.11 互联网接入区 Internet Access Area 是各级政务部门通过逻辑隔离安全接入互联网的网络区域，满足各级政务部门访问互联网的需要。同时也是移动办公的公务人员通过政务外网数字证书，经网关认证后安全接入政务外网的途径。按属地化管理的原则，中央和地方分别管理各自的互联网出入口。3.12 网络管理区 Network Management Area 网络管理区主要承载网络管理信息系统，负责管理辖区内的各种网络设备、域名服务器等相关设备及系统的安全管理，实现工单处理、操作任务委派、值班管理、资料管理等在内的日常维护生产任务的电子化、流程化。3.13 安全管理区 Security Management Area 安全管理区主要承载安全管理信息系统，对管辖范围内网络中部署的安全防护设备进行日志采集、关联分析、对网络病毒和攻击进行告警、对安全事故提出预警和采取措施的建议，定期总结并提出分析报告。3.14 政务外网安全防护范围 Goverment Network Security Protection Scope 按网络区划分：中央、省、地（市）广域网、各级城域网、用户接入局域网。按业务区域划分：公用网络区、互联网接入区、专用网络区、用户接入区、网络和安全管理区、4 电子认证区。3.15 数字证书 Digital Certificate 数字证书为实现双方安全通信提供了电子身份认证。在利用互联网、政务外网或局域网时，使用数字证书实现身份识别和电子信息加密。数字证书中含有密钥对（公钥和私钥）所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证，数字证书包含公开密钥拥有者的信息、公开密钥、签发者信息、有效期以及一些扩展信息的数字文件。3.16 资产 Asset 任何对组织有价值的东西。3.17 安全策略 Security Policy 安全策略是组织所接受的一系列管理政策，信息安全的目标是控制或管理主体（例如用户和过程等）对客体（例如数据和程序）的访问。这些控制措施由一系列的政策和目标来约束，这些政策和目标就称为安全策略。3.18 信息安全 Information Security 保证信息的保密性、完整性、可用性；另外也可包括诸如真实性、可核查性、不可否认性和可靠性等特性。3.19 信息安全事态 Information Security Event 信息安全事态是指被识别的一种系统、服务或网络状态的发生，表明一次可能的信息安全策略违规或某些防护措施失效，或者一种可能与安全相关但以前不为人知的一种情况。3.20 信息安全事件 Information Security Incident 一个信息安全事件由单个或一系列的有害或意外信息安全事态组成，极有可能危害业务运作和威胁信息安全。4 政务外网资产、威胁分析和脆弱性 4.1 资产分析 5 政务外网由于各地建设、运维及管理的差异，对资产的选取、识别和划分更应保持科学性、合理性和可管理性。政务外网的资产大致包括各类网络设备、主机、文档、业务、人员、物理环境设施等。政务外网资产分析包括但不限于表 1 所列范围：表 1 资产类别 类 别 资 产 网络和安全设备 表1 网络设备：包括各类路由器、交换机等。表2 传输设备：包括自建的光端机、SDH 或 MSTP 设备和光缆等（不包括租用基础电信运营商和其他提供基础通信服务企业的通信设备）。表3 专线链路及流量控制设备等。表4 安全设备：包括各类防火墙、入侵检测、网关、审计及其他安全防护设备等。主机/服务器 1、网络管理系统设备：包括各类管理主机/服务器、终端、存储、辅助设备等。2、安全管理系统设备：包括各类管理主机/服务器、终端、存储、辅助设备等。3、域名系统设备：包括域名解析服务器、辅助设备等。（与设备、主机密切相关的软、硬件可作为一个整体，不必细分）独立商业软件 可独立识别的操作系统、数据库、中间件等商业软件及应用系统软件等。文档数据 1、设备数据：网络、安全设备相关的业务、功能、管理、配置