1、书 江苏省地方标准物联网智慧小区安防信息系统安全技术要求发布实施江苏省市场监督管理局发 布 国 标 准 出 版 社出 版书目前言范围规范性引用文件术语和定缩略语智慧小区安防系统结构安防感知终端安全要求物理安全要求软件安全要求运行维护要求短程感知通信安全要求有线短程通信网络无线短程通信网络安防感知层网关安全要求物理安全要求软件安全要求运行维护要求感知通信网络安全安防信息平台安全要求安防信息平台接入要求安防信息平台用户管理要求安防信息平台感知层安全信息采集要求安防信息平台感知层安全信息可视化要求安防信息平台对接管控平台要求管控通信网络安全要求参考文献言本文件按照 标准化工作导则第部分标准化文件的结
2、构和起草规则的规定起草请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任本文件由江苏省物联网标准化技术委员会提出并归口本文件起草单位无锡市物联网产业协会公安部第三研究所无锡可信智慧安全技术研究院有限公司无锡物联网产业研究院江南大学中国电信股份有限公司无锡分公司无锡盈达聚力科技有限公司江苏航天大为科技股份有限公司无锡学院江苏西维斯信息技术有限公司中兴智能交通股份有限公司阿里云计算有限公司华云数据控股集团有限公司江苏启明星辰信息安全技术有限公司江苏瑞孚特物联网科技有限公司江苏鑫豪斯物联技术有限公司无锡艾斐凌科技有限公司模架科技产业园宜兴有限公司本文件主 要 起 草 人齐 力杨
3、明钱 鹏 江秦 晓 华谈 伟 中姚 健许 晓 晨周 文 宇孙 万 源张 华蒋亦樟顾逸陈爱国王冬生韩子骞陈红龙如银钱承山许雄雄费钧夏朝彬李翔曹隽杭晓薇雷慧桃孙炜潘涛徐公云物联网智慧小区安防信息系统安全技术要求范围本文件规定了物联网智慧小区安防信息系统的感知终端感知层网关感知通信网络安防信息平台等的安全技术要求本文件适用于物联网智慧小区安防信息系统的设计集成运维和管理规范性引用文件列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于本文件公共安全视频监控联网系统信息传输交换控制技术要求所有部
4、分近场通信安全技术要求信息安全技术个人信息安全规范信息安全技术射频识别系统通用安全技术要求信息安全技术智能卡安全技术要求信息安全技术物联网感知终端应用安全技术要求物联网标识体系总则信息安全技术指纹识别系统技术要求出入口控制系统技术要求信息安全技术物联网感知层接入通信网的安全要求信息安全技术远程人脸识别系统技术要求公安视频图像信息应用系统第部分接口协议要求公共安全社会视频资源安全联网设备技术要求术语和定列术语和定义适用于本文件小区被城市道路或自然分界线围合并与人口规模相适应配套有能满足该区域工作生产人口物质与文化生活所需的公共服务设施的工作生活聚集地安防感知终端用于采集智慧小区安防信息的物联网感
5、知终端示例监控摄像头电子围栏烟雾传感器温湿度传感器红外探测器车位感应器出入门禁电子门锁等物联网安防系统由物联网感知终端通信网络和信息平台等所组成的安防信息系统安防息平台用于小区安防信息汇聚处理可视化展现以及安防终端管理和维护的软硬件平台安防感知层网关用于智慧小区安防短程通信网络内数据汇聚和向安防信息平台转发的感知层网络设备具有数据存储能力计算能力和协议转换能力等可通过北向接口与应用平台建立通信连接和边缘计算通过南向接口与感知控制设备进行通信的实体注实体可以是独立设备或软件网络报警通过网络实现安防系统与公共安全报警系统连接并产生和发送告警信息的过程敏感息信息的泄漏修改破坏或丢失都会对用户产生不可
6、预知损害的需要保护的信息注敏感信息包含但不限于安防系统用户口令通信密钥个人隐私信息等安全通机制包含有实体鉴别数据加解密完整性验证防篡改等技术保障措施的通信协议体物联网卡由物联网通信运营商发售装置在物联网终端或网关用于物联网通信标识和网络流量计费的安全芯片卡物联网安全管控平台以数据服务为基础的用于管理和控制物联网应用安全的综合性信息业务平台北向接口物联网安全管控平台与公众电信网络之间的接口南向接口物联网网关与感知控制设备之间的接口缩略语下列缩略语适用于本文件访问控制列表文件传输协议超文本传送协议集成电路身份标识物联网技术互联网协议媒体访问控制近场通信公开密钥基础设施远程桌面协议实时传输协议实时流
7、传输协议服务器消息链用户识别模块会话初始协议安全外壳协议虚拟专用网络智慧小安防系统结构规范的对象为智慧小区安防系统其系统结构见图系统中的实体包括安防感知终端短程或公网感知终端以简称终端短程感知通信网络有线或无线短程网络安防感知层网关以简称感知层网关感知通信网络有线或无线公网专网智慧小区安防信息平台以简称安防信息平台包括与外部安防管控信息平台互联的安全联网设备 管控通信网络有线或无线公网专网外部安防管控信息平台以简称管控信息平台图 智慧小区安防系统结构安防感知终端安全要求物理安全要求选型应符合 中的规定选址应符合 中的规定并应具备明确可查的位置信息供电应符合 中的规定防拆应符合 中的规定启动设备
8、启动的电顺序宜从不可改写启动程序的芯片开始宜选择安全芯片作为启动芯片硬设备安全硬件设备安全应满足以下要求应具备自检和故障指示功能仅保留应用必需的通信接口并标注接口信息具备接口的设备需用用户名口令方式进行访问授权正式上线产品应封闭硬件和固件调试接口并去除电路板上的丝印信息存在加解密或敏感信息保护需求时应具备安全芯片或安全计算环境且密码相关计算应在安全芯片或安全计算环境中执行密码材料应存储在芯片的安全存储区印刷标识印刷标识应不易被涂改宜采用二维码标识软安全要求标识标识应满足以下要求系统内唯标识标识包含位以上随机数防止批量猜测标识信息防篡改操作系统安全若设备具有操作系统时操作系统安全要求如下应满足开
9、放端口最小化原则应具备设备接入认证和远程用户访问认证功能宜具备安全加固和防逆向能力宜提供安全启动机制进行系统的完整性验证保护当安全验证通过后系统方能正常启动支持设备接入鉴别鉴别应满足以下要求中的项或多项支持基于系统内唯标识的鉴别支持基于网卡地址通信协议和通信端口的鉴别支持基于预分配密钥的对称加密信息鉴别支持基于公钥密码机制的鉴别鉴别失败处理鉴别失败处理应符合 中规定的内容支持接入鉴别机制终端接入安防信息平台的鉴别机制应满足短程通信终端支持网关的间接接入鉴别机制公网专网终端支持信息平台的直接接入鉴别机制访问控制访问控制应满足以下要求支持基于 列表的访问控制有操作系统的终端支持多用户访问控制并最小
10、化用户权限避免使用默认用户名和口令访问终端有操作系统的终端不向非管理员用户开放操作系统配置和软件的更改操作权限入侵防护入侵防护应满足以下要求支持基于安全通信协议的数据过滤支持基于通信端口等限制条件的数据过滤有操作系统的终端支持恶意程序和病毒代码的入侵防护有操作系统的终端支持通信异常监测机制采集控制应用安全出入口控制应用出入口控制应用满足以下要求安全等级符合 中的规定安全要求符合 中的相关规定脸识别应用人脸识别应用满足以下要求功能符合 中第章的安全功能要求性能符合 中第章的安全保障要求指纹识别应用指纹识别应用满足以下要求指纹模块应符合 的规定具备拒绝假指纹的能力具有防护异物混淆攻击的能力具有防护
11、呈现攻击的能力应用应用应符合 所有部分的规定卡应用安全卡应用满足以下安全要求卡符合 的规定卡应实现卡密卡宜采用 卡卡宜具备物理防御手段以防止侧信道攻击卡芯片应具备防复制能力应用安全 应用应符合 的规定数据安全数据安全应满足以下要求支持时间戳信息支持数据传输和存储的时效记录支持数据摘要和校验等机制保障数据传输和本地存储的完整敏感信息数据的传输和存储应采用加密和签名等防护机制保障数据保密性和防篡改人信息安全终端采集个人信息时应符合 中第章第章的规定软件更新软件安装或更新应满足以下要求支持本地基于管理员用户登录的软件更新支持基于安全通信机制下的远程更新支持软件更新包的完整性和防篡改机制验证不支持安装
12、应用软件日志和审计日志和审计应满足以下要求有操作系统的终端支持鉴别失败软件更新操作入侵告警恶意病毒发现设备重启等的安全日志日志内容包括日期时间事件类型操作用户等有操作系统的终端支持安全日志的审计自检和故障处理自检和故障处理应满足以下要求支持基于软件的终端功能自检软件自检失败支持根据安全策略执行设备重启或设备关闭等自动操作并自动留存日志运行维护要求终端生命周期管理生命周期管理应满足以下要求终端存储终端版本信息有效使用期限信息和当前运行状态并定期发送至接入设备终端唯标识随其生命周期生效和失效失效标识不重复使用维护管理维护管理应满足以下要求指定专人定期检查终端并进行可用性维护对于使用移动通信物联网卡
13、的终端要定期检查其可靠性和机卡状态发现异常应形成安全日志并上传安防信息平台运维安全管理制度运维安全管理制度包括但不限于密码人员管理密钥管理 设备运行应急处置密码软硬件及介质管理等制度应满足以下要求应根据应用方案相对应设立管理规则应对管理人员或操作人员执行的日常管理建立操作规程应定期对密码应用安全管理制度和操作规程的合理性和适用性进行论证和审定对存在不足或需要改进之处进行修订应明确相关密码应用安全管理制度和操作规程的发布流程并进行版本控制应具有密码应用操作规程的相关执行记录并妥善保存 应根据系统环境建立网络安全管理规定短程感知通信安全要求有线短程通信网络整体系统中存在有线短程通信网络或总线时应至
14、少满足以下项要求采用物理隔离的专用线路专用协议组网通信采用逻辑隔离或信道加密技术的组网通信无线短程通信网络整体系统中存在无线短程通信网络或总线时应至少满足以下项要求采用专用通信频段或专用通信方式通信协议的组网通信采用逻辑隔离或信道加密技术的组网通信安防感知层网关安全要求物理安全要求选型同选址同供电应采用持续型供电方式供电防拆同启动同硬设备要求同印刷标识同软安全要求标识标识应满足以下要求系统内唯标识标识包含位以上随机数防止批量猜测标识信息防篡改应能够识别来自北向接口的物理标识网络地址标识和应用属性标识标识编码规则应符合 相关规定应具有标识映射和转换功能能够实现南向接口和北向接口所传递各类标识的相
15、互映射和转换鉴别鉴别应至少满足以下要求中的项支持基于系统内唯标识的鉴别支持基于网卡地址通信协议和通信端口的鉴别支持基于口令的鉴别口令复杂度应不小于个字符包含中英文大小写和数字避免使用默认口令物联网网关应支持对其所传送的数据进行加密处理以保证数据的安全性支持基于预分配密钥的对称加密信息鉴别支持基于公钥密码机制的双向鉴别 用户鉴别可支持其他鉴别机制如通过数字证书智能卡或通过人体的生物特征进行鉴别等物联网网关受到攻击至少支持漏洞扫描或拒绝服务攻击时应能够自动记录攻击的发起地址攻击吋间以及攻击类型等关键信息生成实时报警信息并且具有定的阻断能力感知终端接入鉴别机制面向感知终端的接入鉴别机制应满足以下要求
16、支持对其管理网络的所有接入短程感知通信终端进行接入鉴别有效管理通信网络的接入鉴别机制终端接入密钥和接入安全策略接入安全策略包括终端网络白名单和黑名单接入鉴别响应处理等接入安防信息平台鉴别机制面向安防信息平台的接入鉴别机制应满足以下要求支持接入安防信息平台的鉴别支持鉴别失败处理符合 中的规定应具备将来自不同感知控制设备的不同接入协议转换至同种约定协议的功能通过北向接口完成数据的上报应具备将来自北向接口的协议转换成不同类型协议的功能通过南向接口连接至相应的感知控制设备完成设备的控制访问控制访问控制应满足以要求本地访问控制采用网关管理员口令鉴别机制支持基于 列表的访问控制支持多用户访问控制并最小化用
17、户权限不应使用默认用户名和口令访问网关不应向非管理员用户开放操作系统配置和软件的更改操作权限入侵防护入侵防护应满足以要求支持基于安全通信协议的数据过滤支持基于网络地址通信端口等限制条件的数据过滤支持恶意程序和病毒代码的入侵防护支持通信异常监测机制数据安全同为防止数据信息通过拍照等方式泄露平台整体界面应支持水印技术包括时间实时更新登录用户名等信息软更新软件安装或更新应满足以要求支持本地基于管理员用户登录的软件更新支持基于安全通信机制的远程更新支持软件更新包的完整性和防篡改机制验证日志和审计日志和审计应满足以要求支持鉴别失败软件更新操作入侵告警恶意病毒发现设备重启感知层网络异常事件等的安全日志日志
18、内容包括日期时间事件类型操作用户等支持感知终端安全日志数据的读取存储和转发支持安全日志的审计自检和故障处理自检和故障处理应满足以要求支持基于软件的网关功能自检软件自检失败支持根据安全策略执行设备重启操作并自动留存日志运行维护要求生命周期管理感知层网络生命周期管理应满足以要求网关存储网关版本信息有效使用期限信息和当前运行状态并定期发送至安防信息平台网关采集存储并转发接入终端的标识信息版本信息有效使用期限信息和当前运行状态网关唯标识随其生命周期生效和失效失效标识不重复使用宜提供感知控制设备接入数据的预处理边缘处理和存储维护管理维护管理应满足以下要求指定管理员定期检查网关并进行可用性维护对于使用移动
19、通信物联网卡和插卡式硬件数字证书的网关应定期检查其可靠性和机卡状态发现异常应形成安全日志并转发安防信息平台宜具有定位功能例如通过北斗或 完成定位并且提供位置信息共享功能感知通网络安全应符合 中的要求安防息平台安全要求安防息平台接入要求应符合 中的要求安防息平台用户管理要求信息平台的用户管理应满足以下具备多角色用户注册和管理功能角色至少包括平台管理员普通用户支持多类型用户的账号口令和权限分配的管理支持用户管理安全策略包括黑名单白名单管理安防息平台感知层安全息采集要求信息平台应接收经鉴别接入的网关和终端的以下信息内容网关和终端的联网报警信息网关和终端的安全告警信息网关和终端的安全日志数据信息网关和
20、终端的设备生命周期管理信息使用移动通信物联网卡数字证书卡的网关和终端的机卡维护管理信息安防息平台感知层安全息可视化要求信息平台的安全信息可视化应满足以下要求支持联网报警信息可视化支持安全告警信息可视化支持安全日志统计分析信息可视化支持设备生命周期统计信息可视化支持使用移动通信物联网卡数字证书卡的网关和终端的机卡维护管理统计分析信息可视化安防信息平台对接管控平台要求对接设备鉴权对接设备应支持基于安全数字证书的 鉴权鉴权采用的非对称加密算法应符合国家密码管理部门的相关规定传感数据传输数据传输安全性符合 中的要求视频图像数据接入公安视频网要求智慧小区安防信息平台的视频图像数据接入公安视频专网时宜符合
21、 的要求并满足以条件应采用符合 规定的安全联网设备接入要求安全联网设备应支持对向社会资源接入平台传输的视频流视频片段图像及相关信息进行数字签名应支持对向社会资源接入平台传输的视频流视频片段图像及相关信息进行加密应具有重要数据如配置信息应用程序功能日志等的数据备份与恢复功能应能通过密码模块生成并保存非对称密钥对称密钥并产生数字证书密钥生成算法 应支持基于地址的访问控制只允许地址白名单的对象接入能够识别并控制应用协议只允许通过 等进行信令与视频图像信息交换的业务必要的协议类型拒绝等非业务必要的协议类型访问视频资源接入应满足 等规定的协议或设备软件开发工具包从局域网端接入安全联网设备应具备基于数字证书的双向身份认证功能用户身份认证功能 视频图像数据联网接入要按相关标准采集正确的设备名称编码经纬度等基础信息后推送管控通信网络安全要求感知信息传输网络安全要求如使用有线连接的传输网络时宜采用 信道加密技术或专用通道使用无线连接的传输网络时宜采用信道加密等信道保护技术考文献信息安全技术网络安全等级护基本要求公共安全视频监控联网信息安全技术要求公安物联网感知终端安全防护技术要求公安物联网感知终端接入安全技术要求信息安全技术物联网感知层网关安全技术要求
