1、ICS 35.240.20CCS L 79 DB23黑 龙 江 省 地 方 标 准DB23/T 2844 2021电 子 政 务 云 平 台 安 全 管 理 规 范 2021 - 04 - 13 发 布 2021 - 05 - 12 实 施黑 龙 江 省 市 场 监 督 管 理 局 发 布发 布 DB23/T 2844-2021 I 前 言本 文 件 按 照 GB/T 1.1-2020给 出 的 规 则 起 草 。本 文 件 以 GW 0013 2017 政 务 云 安 全 要 求 为 主 要 依 据 ， 根 据 国 家 要 求 ， 结 合 我 省 实 际 进 行 了 适当 补 充 。本 文
2、件 由 黑 龙 江 省 营 商 环 境 建 设 监 督 局 提 出 并 归 口 。本 文 件 起 草 单 位 ： 黑 龙 江 省 营 商 环 境 建 设 监 督 局 、 黑 龙 江 省 政 务 大 数 据 中 心 、 黑 龙 江 省 标 准 化 研 究院 、 浪 潮 软 件 集 团 有 限 公 司 。本 文 件 主 要 起 草 人 ： 张 毅 、 李 茂 滨 、 段 成 钢 、 董 月 成 、 张 维 新 、 杨 未 圻 、 金 营 、 孙 雷 、 陈 诗 允 、 黄振 东 、 石 剑 峰 、 陈 要 武 、 杨 大 志 、 吕 猛 、 王 磊 、 李 严 、 王 艳 君 。 DB23/T 2
3、844-2021 1 电 子 政 务 云 平 台 安 全 管 理 规 范1 范 围本 文 件 规 定 了 黑 龙 江 省 电 子 政 务 云 平 台 安 全 管 理 的 技 术 要 求 ， 描 述 了 安 全 体 系 及 责 任 划 分 、 政 务 云平 台 管 理 等 。本 文 件 适 用 于 黑 龙 江 省 各 级 政 务 云 平 台 安 全 建 设 和 安 全 管 理 ， 各 级 电 子 政 务 云 管 理 单 位 、 建 设 单 位及 使 用 单 位 可 参 照 执 行 。2 规 范 性 引 用 文 件下 列 文 件 中 的 内 容 通 过 文 中 的 规 范 性 引 用 而 构 成
4、本 文 件 必 不 可 少 的 条 款 。 其 中 ， 注 日 期 的 引 用 文 件 ， 仅 该 日 期 对 应 的 版 本 适 用 于 本 文 件 ； 不 注 日 期 的 引 用 文 件 ， 其 最 新 版 本 （ 包 括 所 有 的 修 改 单 ） 适 用 于 本文 件 。GB/T 31168-2014 信 息 安 全 技 术 云 计 算 服 务 安 全 能 力 要 求GB/T 34078.1-2017 基 于 云 计 算 的 电 子 政 务 公 共 平 台 总 体 规 范 第 1部 分 ： 术 语 和 定 义GW 0013-2017 政 务 云 安 全 要 求3 术 语 和 定 义GB
5、/T 34078.1界 定 的 以 及 下 列 术 语 和 定 义 适 用 于 本 文 件 。3.1 电 子 政 务 云 平 台运 用 云 计 算 技 术 ， 统 筹 利 用 机 房 资 源 、 计 算 资 源 、 存 储 资 源 、 网 络 资 源 、 信 息 资 源 、 应 用 支 撑 等 资 源 ， 发 挥 云 计 算 虚 拟 化 、 高 可 靠 性 、 通 用 性 、 高 可 扩 展 性 以 及 快 速 、 按 需 、 弹 性 的 服 务 特 征 ， 为 各 政 府部 门 构 建 提 供 基 础 设 施 、 支 撑 软 件 、 应 用 系 统 、 信 息 资 源 、 运 行 保 障 和
6、 信 息 安 全 等 服 务 的 电 子 政 务 综 合性 服 务 平 台 ， 简 称 政 务 云 平 台 。3.2 电 子 政 务 云 监 管 平 台通 过 与 电 子 政 务 云 平 台 进 行 接 口 对 接 ， 获 取 监 控 数 据 资 源 ， 并 对 资 源 进 行 管 理 和 展 现 的 平 台 。3.3 电 子 政 务 云 管 理 部 门负 责 规 划 和 推 进 电 子 政 务 云 平 台 基 础 设 施 建 设 及 资 源 服 务 的 管 理 单 位 。3.4 电 子 政 务 云 监 管 部 门 DB23/T 2844-2021 2 负 责 监 管 电 子 政 务 云 平
7、台 建 设 和 运 行 状 态 的 管 理 单 位 。3.5 云 使 用 单 位利 用 电 子 政 务 云 平 台 开 展 政 务 应 用 的 各 政 务 部 门 。3.6 云 服 务 商电 子 政 务 云 平 台 的 承 建 单 位 ， 在 电 子 政 务 云 管 理 部 门 规 划 指 导 下 ， 负 责 电 子 政 务 云 资 源 池 的 建 设 和维 护 ， 通 过 服 务 方 式 为 各 级 政 务 部 门 提 供 计 算 、 存 储 、 网 络 及 安 全 等 各 类 基 础 设 施 资 源 满 足 云 使 用 单 位上 云 需 求 。4 缩 略 语 IaaS： 基 础 设 施 即
8、 服 务 （ Infrastructure as a Service）PaaS： 平 台 即 服 务 （ Platform as a Service）SaaS： 软 件 即 服 务 （ Software as a Service）RTO： 恢 复 时 间 目 标 (Recovery Time Objective)RPO： 恢 复 点 目 标 （ Recovery Point Objective）API： 应 用 程 序 接 口 （ Application Programming Interface）5 安 全 体 系5.1 安 全 建 设5.1.1 政 务 云 平 台 承 载 各 级 政 府
9、部 门 非 涉 密 政 务 信 息 系 统 、 政 务 数 据 资 源 和 政 务 大 数 据 应 用 。5.1.2 出 于 安 全 性 要 求 ， 政 务 云 平 台 建 设 采 取 1+N的 方 式 ， 即 一 个 政 务 云 监 管 平 台 和 N 家 云 服 务 商 。 各 云 服 务 商 应 明 确 安 全 责 任 边 界 ， 各 自 保 障 政 务 云 平 台 可 靠 运 行 ， 在 安 全 体 系 保 障 下 实 现 互 联 互 通 和 信息 共 享 。 各 云 服 务 商 提 供 的 政 务 云 平 台 应 具 有 兼 容 性 ， 应 用 软 件 在 政 务 云 平 台 之 间
10、 可 实 现 跨 平 台 的 兼 容部 署 和 调 度 。5.1.3 优 化 承 载 政 务 云 平 台 的 传 输 网 络 ， 确 保 业 务 应 用 能 够 安 全 可 靠 运 行 ， 满 足 应 用 系 统 业 务 迁 移 及未 来 新 增 上 云 需 求 。5.1.4 云 使 用 单 位 的 应 用 系 统 部 署 到 政 务 云 平 台 后 ， 安 全 管 理 责 任 主 体 不 变 ， 数 据 归 属 不 变 ， 安 全 管理 标 准 不 变 。 政 务 云 监 管 部 门 、 云 服 务 商 、 云 使 用 单 位 要 分 别 制 定 安 全 应 急 预 案 ， 协 同 开 展
11、应 急 演 练 ，相 互 配 合 做 好 重 大 安 全 事 件 的 应 急 响 应 。5.1.5 政 务 云 平 台 的 设 施 资 源 层 、 中 间 平 台 层 和 业 务 应 用 层 都 应 在 安 全 体 系 保 障 下 为 云 使 用 单 位 提 供云 服 务 。 政 务 云 监 管 平 台 对 政 务 云 平 台 的 各 个 层 面 进 行 监 控 、 计 量 和 可 用 性 管 理 。5.2 安 全 架 构政 务 云 平 台 分 为 互 联 网 和 政 务 外 网 两 个 区 域 ， 应 在 两 个 区 域 分 别 建 立 安 全 池 。 两 区 之 间 通 过 网 闸 等 设
12、 备 进 行 隔 离 及 数 据 交 换 。 政 务 云 平 台 与 安 全 资 源 池 深 度 对 接 ， 可 通 过 政 务 云 平 台 实 现 对 安 全 资 源 池 的统 一 管 理 。 通 过 政 务 云 平 台 即 可 申 请 开 通 安 全 服 务 ， 满 足 云 使 用 单 位 对 于 网 络 安 全 、 主 机 安 全 、 业 务 安全 、 数 据 安 全 和 管 理 安 全 的 需 求 。 DB23/T 2844-2021 3 5.3 安 全 服 务 内 容云 服 务 商 可 提 供 的 安 全 服 务 内 容 有 云 防 火 墙 、 DDoS高 防 、 Web应 用 实
13、时 防 护 、 Web安 全 监 测 、 应 用性 能 监 测 、 网 页 防 篡 改 、 主 机 加 固 、 云 主 机 杀 毒 、 云 主 机 防 御 、 数 据 库 审 计 、 日 志 审 计 、 SSL证 书 和 CA认 证 等 ， 且 服 务 内 容 应 根 据 云 使 用 单 位 需 求 持 续 性 增 加 。5.4 安 全 服 务 形 式云 服 务 商 以 政 务 云 服 务 目 录 形 式 提 供 安 全 服 务 ， 政 务 云 监 管 部 门 进 行 审 核 并 根 据 实 际 情 况 适 当 调 整目 录 内 容 ， 各 云 使 用 单 位 根 据 需 要 申 请 使 用
14、。6 安 全 责 任 划 分6.1 安 全 边 界 政 务 云 平 台 包 括 云 服 务 商 和 云 使 用 单 位 两 大 责 任 主 体 ， 包 含 不 同 的 服 务 模 式 和 部 署 模 式 。 主 要 的 部署 模 式 包 括 共 有 云 和 专 享 云 ， 主 要 的 服 务 模 式 包 括 基 础 设 施 即 服 务 、 平 台 即 服 务 和 软 件 即 服 务 。 政 务 云平 台 的 安 全 由 云 服 务 商 和 云 使 用 单 位 共 同 保 障 。 针 对 不 同 服 务 模 式 ， 云 服 务 商 和 云 使 用 单 位 的 安 全 责 任边 界 不 同 ， 由
15、 二 者 对 云 服 务 各 组 件 的 管 理 和 控 制 权 限 范 围 决 定 各 自 的 安 全 责 任 边 界 。6.2 不 同 服 务 模 式 下 的 责 任 划 分政 务 云 平 台 保 护 环 境 是 平 台 上 部 署 的 软 件 及 相 关 组 件 的 集 合 ， 不 同 服 务 模 式 下 的 安 全 责 任 主 体 有 所不 同 ， 云 服 务 商 和 云 使 用 单 位 的 安 全 责 任 应 明 确 划 分 ：a) 在 IaaS 模 式 下 ： 云 服 务 商 向 云 使 用 单 位 提 供 计 算 资 源 、 存 储 、 网 络 等 资 源 ， 提 供 访 问 云
16、 基 础设 施 的 服 务 接 口 。 IaaS 安 全 主 要 包 括 物 理 平 台 安 全 、 边 界 安 全 、 物 理 资 源 安 全 （ 网 络 安 全 、主 机 安 全 、 存 储 安 全 ） 、 抽 象 控 制 安 全 、 虚 拟 网 络 安 全 、 虚 拟 存 储 安 全 、 虚 拟 主 机 安 全 等 。 虚拟 化 计 算 资 源 层 的 安 全 责 任 由 云 使 用 单 位 和 云 服 务 商 分 担 。 云 使 用 单 位 负 责 自 己 部 署 的 操 作 系统 、 运 行 环 境 和 应 用 的 安 全 ,对 这 些 资 源 的 操 作 、 更 新 、 配 置 的
17、 安 全 负 责 、 其 他 由 云 服 务 商 负 责 ；b) 在 PaaS 模 式 下 ： PaaS 位 于 IaaS 之 上 ， 云 服 务 商 向 云 使 用 单 位 提 供 的 是 云 基 础 设 施 之 上 的 软件 开 发 和 运 行 平 台 。 PaaS 层 增 加 的 安 全 主 要 包 括 接 口 安 全 、 开 发 环 境 安 全 、 中 间 件 安 全 、 数据 库 安 全 等 。 软 件 平 台 层 的 安 全 责 任 由 云 使 用 单 位 和 云 服 务 商 分 担 。 云 使 用 单 位 负 责 自 己 开 发和 部 署 的 应 用 及 其 运 行 环 境 的
18、安 全 ， 其 他 由 云 服 务 商 负 责 ；c) 在 SaaS 模 式 下 ： SaaS位 于 IaaS和 PaaS之 上 ， 云 服 务 商 向 云 使 用 单 位 提 供 的 是 运 行 在 云 基 础设 施 之 上 的 应 用 软 件 。 应 提 供 独 立 的 运 行 环 境 ， 用 以 交 付 完 整 的 用 户 体 验 。 SaaS 层 增 加 的 安全 主 要 是 应 用 开 发 安 全 和 应 用 安 全 。 云 使 用 单 位 应 承 担 自 身 数 据 安 全 、 客 户 端 安 全 等 相 关 责 任 ，其 他 由 云 服 务 商 负 责 。6.3 数 据 安 全
19、责 任 划 分无 论 采 用 何 种 服 务 模 式 ， 数 据 保 护 是 关 系 到 政 务 云 平 台 能 否 安 全 可 靠 进 行 交 互 的 关 键 ， 从 应 用 系 统迁 移 开 始 就 应 保 障 应 用 系 统 和 数 据 的 安 全 。 迁 移 上 云 后 ， 对 应 用 系 统 的 访 问 ， 应 采 取 身 份 认 证 、 授 权 管 理 、 账 户 保 护 、 数 据 加 密 、 密 钥 管 理 、 剩 余 信 息 清 除 、 完 整 性 校 验 、 灾 备 与 恢 复 、 通 信 安 全 、 安 全 审 计 、数 据 交 换 安 全 等 技 术 手 段 实 现 应
20、 用 和 数 据 的 保 护 要 求 。 云 使 用 单 位 负 责 自 身 账 号 、 密 码 、 秘 钥 的 安 全 保护 ， 其 他 数 据 安 全 由 云 服 务 商 负 责 。 DB23/T 2844-2021 4 7 政 务 云 平 台 安 全 技 术 要 求详 见 GW 0013-2017 第 7章 。 在 GW 0013-2017中 ， 云 服 务 客 户 为 本 文 件 云 使 用 单 位 、 云 服 务 方 为 本 文件 云 服 务 商 、 政 务 云 管 理 单 位 为 本 文 件 政 务 云 监 管 部 门 。8 政 务 云 平 台 管 理 要 求8.1 云 使 用 单
21、 位云 使 用 单 位 安 全 管 理 要 求 如 下 ：a) 云 使 用 单 位 向 政 务 云 平 台 进 行 应 用 系 统 迁 移 或 部 署 时 ， 应 制 定 相 关 的 技 术 方 案 ， 明 确 安 全 责 任边 界 及 基 于 风 险 分 析 基 础 之 上 的 安 全 计 划 和 控 制 策 略 ， 从 网 络 、 主 机 、 应 用 和 数 据 安 全 及 备 份恢 复 等 方 面 提 出 具 体 要 求 ， 满 足 网 络 安 全 等 级 保 护 技 术 要 求 ； b) 接 受 政 务 云 监 管 部 门 对 云 使 用 单 位 安 全 工 作 的 指 导 、 监 督
22、 、 检 查 和 考 核 ；c) 云 使 用 单 位 承 担 应 用 系 统 部 署 及 管 理 ， 以 及 自 身 业 务 和 数 据 安 全 、 客 户 端 安 全 等 相 关 责 任 ；d) 云 使 用 单 位 应 用 系 统 迁 移 时 ， 应 对 拟 迁 移 至 政 务 云 平 台 的 应 用 系 统 的 敏 感 度 和 业 务 重 要 性 进 行分 析 和 评 估 ， 按 照 应 用 系 统 敏 感 度 和 业 务 重 要 性 要 求 云 服 务 商 提 供 相 应 的 安 全 防 护 能 力 ， 禁 止涉 密 数 据 迁 移 至 云 平 台 ；e) 云 使 用 单 位 的 局 域
23、 网 及 终 端 安 全 由 各 云 使 用 单 位 自 行 负 责 ；f) 云 使 用 单 位 在 政 务 云 平 台 上 的 应 用 系 统 及 内 部 系 统 之 间 的 访 问 控 制 由 云 使 用 单 位 负 责 ；g) 完 成 风 险 评 估 和 损 失 评 估 后 ， 安 全 策 略 应 明 确 数 据 安 全 的 要 求 ， 如 数 据 副 本 的 数 量 、 存 储 的 物理 位 置 ， 根 据 数 据 的 重 要 程 度 明 确 数 据 备 份 的 RPO和 RTO， 明 确 数 据 是 否 需 要 加 密 存 储 ；h) 云 使 用 单 位 管 理 员 应 使 用 安
24、全 受 控 的 终 端 、 多 因 素 认 证 、 复 杂 密 码 （ 至 少 14位 ） ， 受 限 的 访 问权 限 和 传 输 加 密 的 方 式 访 问 并 管 理 政 务 云 平 台 上 的 资 源 。8.2 政 务 云 管 理 部 门 政 务 云 管 理 部 门 管 理 要 求 如 下 ：a) 受 理 、 审 核 云 使 用 单 位 向 政 务 云 平 台 部 署 或 迁 移 应 用 系 统 的 申 请 和 方 案 ；b) 规 划 、 管 理 和 监 督 政 务 云 平 台 建 设 及 运 营 ， 指 导 政 务 云 监 管 部 门 开 展 安 全 检 查 、 安 全 评 估 等
25、监督 工 作 。8.3 政 务 云 监 管 部 门政 务 云 监 管 部 门 管 理 要 求 如 下 ：a) 监 督 云 服 务 商 执 行 安 全 配 置 ， 监 测 云 服 务 商 脆 弱 性 管 理 情 况 和 漏 洞 修 补 情 况 ；b) 审 核 云 服 务 商 和 云 使 用 单 位 的 网 络 安 全 应 急 预 案 ；c) 论 证 云 使 用 单 位 向 政 务 云 平 台 部 署 或 迁 移 应 用 系 统 的 技 术 方 案 、 安 全 责 任 边 界 及 基 于 风 险 分 析基 础 之 上 的 安 全 计 划 和 控 制 策 略 ；d) 监 督 检 查 、 考 核 评
26、估 云 服 务 商 的 运 维 （ 安 全 监 管 ） 工 作 ；e) 云 使 用 单 位 部 署 的 应 用 系 统 退 出 政 务 云 平 台 时 ， 监 督 云 服 务 商 履 行 相 关 责 任 和 义 务 ， 确 保 退 出 阶 段 的 数 据 和 业 务 安 全 ；f) 负 责 管 理 政 务 云 监 管 平 台 ， 通 过 监 管 平 台 对 服 务 质 量 、 服 务 安 全 等 实 施 统 一 监 控 。 监 管 平 台 应监 测 资 源 使 用 率 及 对 重 点 云 使 用 单 位 的 安 全 保 障 情 况 。8.4 云 服 务 商 DB23/T 2844-2021 5
27、 云 服 务 商 安 全 管 理 要 求 如 下 ：a) 云 服 务 商 的 云 管 平 台 应 接 入 政 务 云 监 管 平 台 ， 实 现 统 一 的 运 行 监 管 、 宏 观 调 度 、 资 源 监 控 和 安全 审 计 。 发 生 安 全 事 件 时 ， 通 过 监 管 平 台 及 时 通 知 政 务 云 监 管 部 门 ；b) 接 受 政 务 云 监 管 部 门 对 安 全 工 作 的 指 导 、 监 督 、 检 查 和 考 核 ；c) 具 备 GB/T 3116 信 息 安 全 技 术 云 计 算 服 务 安 全 能 力 要 求 中 的 安 全 服 务 能 力 ；d) 对 所
28、有 设 备 相 关 的 安 全 策 略 定 期 或 不 定 期 备 份 ， 并 制 定 管 理 办 法 。 保 证 政 务 云 平 台 计 算 、 网 络 、存 储 及 其 他 各 基 础 设 施 安 全 并 满 足 云 使 用 单 位 业 务 的 需 要 ；e) 为 云 使 用 单 位 定 制 培 训 计 划 并 提 供 定 期 的 培 训 ， 培 训 内 容 至 少 包 括 数 据 维 护 、 系 统 维 护 和 安 全管 理 及 事 件 处 理 流 程 要 求 等 ；f) 为 云 使 用 单 位 制 定 应 急 预 案 及 安 全 事 件 处 置 响 应 计 划 ， 对 数 据 的 使
29、用 进 行 实 时 的 监 测 及 审 计 ；g) 与 本 单 位 负 责 云 服 务 的 技 术 人 员 或 指 派 的 代 维 机 构 和 人 员 签 订 保 密 协 议 ， 确 保 不 泄 露 政 务 云 平台 承 载 的 信 息 ； h) 严 格 限 制 云 服 务 管 理 员 的 管 理 权 限 ， 按 职 能 划 分 系 统 管 理 员 、 网 络 管 理 员 、 安 全 管 理 员 及 审 计员 等 ， 明 确 各 管 理 员 的 岗 位 职 责 和 作 业 流 程 。 需 要 远 程 管 理 时 ， 应 限 制 权 限 ， 并 进 行 审 计 ， 防止 云 服 务 管 理 权
30、限 的 滥 用 ；i) 为 避 免 云 服 务 商 管 理 员 账 户 和 云 使 用 单 位 管 理 员 账 户 被 恶 意 劫 持 ， 应 予 重 点 保 护 ， 对 管 理 员 信息 、 登 录 密 码 等 数 据 进 行 加 密 保 护 ， 并 做 好 备 份 ；j) 针 对 网 络 、 系 统 和 业 务 ， 均 应 提 供 实 时 监 测 、 分 析 、 预 警 和 应 急 处 置 的 服 务 ， 保 证 各 类 业 务 的连 续 性 。 包 括 对 开 放 云 管 理 系 统 API接 口 的 实 时 监 测 ， 发 现 异 常 及 时 告 警 ；k) 可 提 供 基 于 应 用
31、 的 漏 洞 检 测 、 行 为 及 数 据 异 常 情 况 的 告 警 ， 发 现 问 题 及 时 通 知 云 使 用 单 位 ， 并协 助 云 使 用 单 位 及 时 处 置 ；l) 对 政 务 云 平 台 进 行 7*24小 时 的 实 时 行 为 监 测 ， 对 已 知 特 征 的 网 络 攻 击 行 为 进 行 预 警 。 能 够 利用 入 侵 节 点 的 告 警 进 行 汇 总 分 析 ， 发 现 不 同 告 警 日 志 内 在 联 系 ， 并 对 相 关 云 使 用 单 位 提 出 预 警信 息 。 对 确 定 的 安 全 事 件 ， 协 助 云 使 用 单 位 及 时 处 置
32、并 形 成 事 件 处 置 报 告 ， 并 及 时 通 知 政 务 云监 管 部 门 和 相 关 云 使 用 单 位 ； m) 对 各 类 安 全 事 件 进 行 分 类 分 级 ， 不 论 是 被 安 全 设 备 阻 断 的 各 类 网 络 攻 击 行 为 ， 还 是 安 全 主 管 部门 网 络 安 全 检 查 及 第 三 方 相 应 机 构 授 权 检 测 ， 或 云 服 务 商 主 动 扫 描 检 测 发 现 的 异 常 等 ， 均 需 要进 行 归 类 分 析 、 预 警 及 统 一 的 报 告 ；n) 云 使 用 单 位 终 止 服 务 后 ， 对 云 使 用 单 位 的 应 用 系 统 、 数 据 的 处 置 ， 应 有 书 面 协 议 ， 说 明 应 用 系统 、 数 据 、 管 理 员 的 账 号 密 码 的 处 理 过 程 及 安 全 要 求 。
