1、 ICS 65.020.40 CCS B60 43 湖南省地方标准 DB 43/T 25702023 林业信息化安全规范 Forestry Informatization Safety Standardization 2023-04-10 发布 2023-07-10 实施湖南省市场监督管理局发 布 DB 43/T 25702023 I 目次 前言.III 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 物理安全.2 5 网络安全.2 6 数据安全.3 7 应用安全.7 8 安全管理制度.8 9 人员安全管理.9 附录 A（资料性）网络安全事件处置上报.10 附录 B（资料性）网络
2、安全事件处置分析.11 附录 C（资料性）网络安全事件备案.12 附录 D（资料性）网络安全事件处置工作报告.13 DB 43/T 25702023 III 前言 本文件按照GB/T 1.12020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由湖南省林业局提出。本文件由湖南省林业标准化技术委员会归口。本文件起草单位：湖南省林业事务中心、湖南省森林草原防火调度评估中心、湖南省农林工业勘察设计研究总院、航天宏图信息技术股份有限公司。本文件主要起草人：徐海文、张慧、刘鸿升、王灿、唐滔、袁宵、石振威、龙
3、骏、范磊、张乐、徐斌、孔宝贺、苏定坤、汪丽、杨文军、王轩、李仕坤、谢玉成。DB 43/T 25702023 1 林业信息化安全规范 1 范围 本文件规定了林业信息化安全建设的物理安全、网络安全、数据安全、应用安全、安全管理制度、人员安全管理。本文件适用于林业信息化安全建设和管理。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 2887计算机场地通用规范 GB/T 9361 计算机场地安全要求 GB/T 18019信息技术 包过滤防
4、火墙安全技术要求 GB/T 18020信息技术 应用级防火墙安全技术要求 GB/T 18794.3信息技术 开放系统互连 开放系统安全框架 第3部分：访问控制框架 GB/T 20269信息安全技术信息系统安全管理要求 GB/T 20275信息安全技术 入侵检测系统技术要求和测试评价方法 GB/T 20281信息安全技术 防火墙技术要求和测试评价方法 GB/T 20282信息安全技术信息系统安全工程管理要求 GB/T 20988信息安全技术信息系统灾难恢复规范 GB/T 20984信息安全技术信息安全风险评估规范 GB/T 22239 信息安全技术网络安全等级保护基本要求 GB/T 25069
5、信息安全技术 术语 GB/T 35273信息安全技术个人信息安全规范 3 术语和定义 GB/T 25069、GB/T 35273界定的以及下列术语和定义适用于本文件。保密性 confidentiality 使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。攻击者 attacker 故意利用技术上或非技术上的安全弱点，以窃取或泄露信息系统或网络的资源，或危及信息系统或网络资源可用性的任何人。黑客 hackers 泛指对网络或联网系统进行未授权访问的人。DB 43/T 25702023 2 4 物理安全 出入口控制 人员出入机房应安排专人负责、控制、鉴别和记录，应符合GB/T 9361的
6、要求。防雷 机房所在建筑应具备防雷设施，防雷应符合GB/T 9361的要求。防火 机房应设置灭火设备，机房防火应符合GB/T 9361的要求。防水 应对穿过机房墙壁和楼板的水管增加必要的保护措施；应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。防水应符合GB/T 9361的要求。防尘 防尘应符合GB/T2887的要求。防静电 防静电应符合GB/T 9361的要求。温湿度控制 机房应设置必要的温、湿度控制设施。温湿度控制应符合GB/T2887的要求。空气调节应符合GB/T 9361的要求。电力供应 机房设备用电应按照设备负荷严格规划，严禁在机架内随意串接、复接电源插线板或设备；应设置维护和测试用
7、电源插座。应提供稳定可靠的电力供应。应符合GB/T2887、GB/T 9361的要求。5 网络安全 网络架构 应绘制完整的网络拓扑结构图，有相应的网络配置表，包含设备IP地址等主要信息，并及时更新。应保证关键网络设备的业务处理能力满足业务需要，保证网络的带宽满足数据传输需要。防火墙 防火墙产品应选择成熟、先进、知名的品牌，应符合GB/T 18019、GB/T 18020、GB/T 20281的要求，还应具备以下功能：a)基于状态检测的分组过滤；b)多级的立体访问控制机制；DB 43/T 25702023 3 c)面向对象的管理机制；d)支持多种连接方式，透明路由；e)双向的地址转换能力；f)透
8、明应用代理功能；g)一次性口令认证机制；h)带宽管理能力；i)远程管理能力；j)负载均衡；k)支持动态 IP 地址内嵌 VPN 功能支持；l)审计、日志功能。入侵检测安全技术 入侵检测系统选择成熟、先机、知名的品牌，应符合GB/T 20275的要求，还应具备以下功能：a)能在网络环境下实现实时地、分布协同地全面检测可能的入侵行为；b)能及时识别黑客攻击行为，阻断或弱化攻击行为并能详细记录，生成入侵检测报告，向管理员报警；c)所采用的入侵检测产品和技术不能被绕过或旁路；d)检测和扫描行为不能影响正常的网络连接服务和网络的效率；e)检测的特征库要全面并能够及时更新；f)安全检测策略可由用户自行设定
9、；g)能够帮助建立网络安全策略；h)能够检测出包括 DDoS 攻击、暴力破解、Web 攻击、后门木马、僵尸主机、异常行为、漏洞攻击、命令与控制等网络安全风险。数据传输安全 为保证数据传输的机密性和完整性，应在专用网络中采用具备信息透明加解密、信息认证、安全设计及告警功能的安全VPN系统。访问控制 访问控制应符合GB/T 18794.3的要求。还应在网络部署访问控制设备，启用访问控制功能。应实现允许或拒绝用户访问，控制粒度至少为用户组。6 数据安全 数据分级 6.1.1 分级原则 林业数据分级应符合GB/T 22239的要求，遵循统一的分级要素，制定本级林业数据分级。6.1.2 分级要素 林业数
10、据的分级按照安全事件后的影响对象、程度、范围进行分级。影响对象包括党政机关、企事业单位和社会组织、自然人。影响程度包括轻微影响、一般影响和严重影响。DB 43/T 25702023 4 影响范围可分为较大影响范围和较小影响范围。6.1.3 分级标准 对林业数据分级时充分考虑数据的敏感性来确定林业数据的级别。第一级（不敏感）：发生安全事件后对影响对象的工作运作、资产权益、人身安全无影响；或产生较小影响范围的轻微影响。第二级（低敏感）：发生安全事件后对影响对象的工作运作、资产权益、人身安全产生一般影响或较大影响范围的轻微影响。第三级（高敏感）：发生安全事件后对影响对象的工作运作、资产权益、人身安全
11、产生严重影响。分级要素与数据级别的对应关系，见表1。表1 数据分级矩阵表 影响程度 影响范围 较小影响范围 较大影响范围 轻微影响 第一级 第一级 一般影响 第二级 第二级 严重影响 第三级 第三级 6.1.4 分级流程 分级应按照梳理数据资产、初步确定分级结果、定级评审、决策方审批、备案、数据分级变更的流程开展。数据安全管理要求 6.2.1 总体要求 根据政务数据安全级别，数据安全实施分级管理。第一级数据应符合GB/T 22239的要求。第二级和第三级数据应符合GB/T 22239及本文件6.2.2、6.2.3、6.2.4、6.2.5的要求。个人信息数据安全管理应符合GB/T35273的要求
12、。6.2.2 人员管理要求 应配备数据安全岗位人员，承担数据安全工作。人员管理要求见表2。表2 人员管理要求 管理领域 管理要求 第二级 第三级 岗位人员配备 应配备数据安全岗位人员，明确各岗位工作职责，细化日常工作内容，承担数据安全工作 应明确单位各部门人员的安全责任，建立数据安全考核惩戒措施 培训教育 应定期针对数据安全岗位人员开展数据安全培训，培训内容应考虑数据安全管理、数据安全技术、数据安全运营、数据安全合规等方面 应定期针对所有岗位人员开展数据安全培训，培训内容应考虑数据安全相关管理制度、规范、标准、流程等方面 应对培训结果实施考核，确保培训的效果 DB 43/T 25702023
13、5 表2 人员管理要求（续）管理领域 管理要求 第二级 第三级 人员安全管理 应对数据相关岗位人员选用进行背景、资质审查、技能考核，确保人员具有胜任数据安全岗位工作的能力 在人员岗位变动时，应与其明确数据安全保密责任与要求 数据相关岗位人员应实施轮岗、权限分离、多人共管等管理措施 6.2.3 制度流程 应通过建立数据安全制度和管理流程，规范数据采集、传输、存储、加工、共享、开放、销毁各环节的工作，管控可能存在的数据安全风险。制度流程管理要求见表3。表3 制度流程管理要求 管理领域 管理要求 第二级 第三级 管理制度 应明确各级数据安全管理范围，制定符合业务战略的，满足本级数据安全要求的安全目标
14、、管理策略、方针和原则 应依据国家和湖南省关于数据安全的要求，制定数据安全管理制度，考虑数据采集、传输存储、加工、共享、开放、销毁各环节相关的安全保护 开展合规管理，应持续识别法律法规并转化为数据安全制度要求，规避法律合规风险 管理流程 应制定数据安全的管理流程，考虑数据分级、数据共享、数据开放、数据导入数据导出、数据销毁等方面 应建立数据安全投诉渠道及处理流程 制度流程的管理 应将数据安全制度、流程发布，开展培训和宣贯 应定期审核和更新数据安全制度和流程 在组织架构、技术架构或者业务服务发生重大变化时，应及时评估数据安全制度流程的适用性，并修订 6.2.4 技术措施 在数据采集、传输、存储、
15、加工、共享、开放、销毁各环节中，应考虑部署相应的数据加密、数据脱敏、数据溯源、数据操作权限管理、数据操作记录、数据备份与恢复、数据安全审计等技术措施。技术措施管理要求见表4。表4 技术措施管理要求 管理领域 管理要求 第二级 第三级 数据采集 应明确数据采集原则、目的与用途、范围与方式、周期与频率和保存期限 应对数据源、数据采集的环境、设施、技术采取必要的安全机制和管控措施，对产生数据的数据源进行鉴别和记录 数据传输 应采用满足数据传输安全策略的安全控制措施，如安全通道、可信通道、数据加密等 数据存储 应提供数据备份与恢复功能，考虑数据存储的保密性、完整性 应建立数据逻辑存储隔离授权机制 DB
16、 43/T 25702023 6 表4 技术措施管理要求（续）管理领域 管理要求 第二级 第三级 应实施数据用户身份标识与鉴别、数据访问控制等安全控制措施 应具备对数据存储媒体访问和操作行为的安全审计能力 数据加工 应依据数据使用目的建立访问控制机制，限定用户可访问数据范围，具备完整的数据使用操作记录 应具备数据脱敏支持工具或服务组件，根据需要将数据脱敏后使用 应具备数据加工过程的风险监测和处理能力 数据共享 应对请求共享的终端、用户或服务组件进行身份鉴别 应对数据共享过程记录日志，及时清除共享过程中缓存的数据 应对数据共享过程进行监控 应采用数据加密、安全通道等安全措施保护数据共享过程中的数
17、据 数据开放 涉及个人信息的数据开放内容，应根据业务对个人信息进行必要的加密处理 应具备对异常或高风险数据访问行为的智能化识别和预警能力 数据销毁 采用可靠技术手段及时销毁符合销毁条件的数据，确保数据不可还原 6.2.5 运营管控 应通过规范运营管控工作，控制日常数据安全风险，应对发生的网络安全事件进行分析参照附录B，并需进行上报，参照附录A，制作网络安全事件处置工作报告，参照附录D，同时对事件进行备案，参照附录C。数据安全运营管控应考虑数据资产管理、数据分级、数据权限管理、数据操作管理、数据安全监测与审计、数据安全风险评估、数据安全事件与应急管理，运营管控管理要求见表5。表5 数据安全运营管
18、控要求 管理领域 管理要求 第二级 第三级 数据资产管理 应定期梳理数据资产情况，形成数据资产清单 应明确数据资产梳理周期，定期更新数据资产清单 数据分级 应对存量或新采集的数据进行分级，将数据的分级结果形成清单 应定期评审及更新数据分级结果 数据权限管理 应按照业务需求和安全策略为用户配置合理的数据权限，考虑最小授权和角色权限制约等要求，建立数据权限分配表 应严格执行数据权限审批流程，登记记录 应定期对数据权限进行清查，人员岗位变动后及时变更权限 应通统一管理权限审批、记录等事项 数据操作管理 应严格执行数据重要操作（如批量修改、拷贝、下载等）的审批流程，保留审批记录以及数据操作记录 应统一
19、管理重要操作的审批、执行和记录等事项 数据安全监测与审计 应建立数据安全监审机制，对系统日志进行分析，及时发现高风险和违规操作，及时核实和处理 应对系统日志进行统一收集与关联分析，对数据安全风险实时监测预警 DB 43/T 25702023 7 表5 数据安全运营管控要求（续）管理领域 管理要求 第二级 第三级 数据安全风险评估 应定期开展数据安全风险评估，评估的内容考虑数据平台的安全风险、数据业务的安全风险、人员操作风险、数据使用风险等方面 对评估发现的问题，应整改并实现闭环管理 数据安全事件与应急管理 宜制定数据安全应急预案，明确数据安全事件（如发生数据泄漏事件）的上报流程和处置方法等 宜
20、向相关人员培训数据安全应急预案，并定期开展演练，宜根据演练的结果或单位组织架构、业务等的变化情况，及时更新应急预案 数据完整性 应利用先进的技术手段或工具检测重要用户数据在传输过程中完整性是否受到破坏。备份和恢复 应能够对重要数据进行备份和恢复，数据备份恢复应符合如下要求：a)应符合 GB/T 20988 的要求制定灾难恢复策略，包括灾难恢复资源的获取方式、灾难恢复能力等级或灾难恢复资源各要素的具体要求；异地备份中心建设选址，应符合国家政策要求和业务安全要求。b)应设计数据备份与恢复方案，确定数据备份范围、策略、方法、流程，数据恢复的 目标、流程。c)应依据业务安全目标要求，制定数据备份措施，
21、并及时根据业务需求更新备份措施。d)应定期组织数据恢复测试，每年对备份数据至少进行一次抽样性恢复测试。7 应用安全 设计要求 应用系统安全设计应符合GB/T 22239的要求，根据业务软件设计要求，进行网络安全等级保护。身份认证 应建立完备的身份认证机制，可接入到统一认证中心。a)应采用用户名和口令、动态口令认证和 GA 认证、证书认证、短信认证等方式；b)应设计密码的存储和传输安全策略；c)应设计密码使用安全策略；d)应设置图形验证码；e)应设计账号锁定功能限制连续失败登录；f)应根据系统设计限制重复登陆账号；g)对提供单点登录的分布式业务软件系统的用户应提供单点标识，且单点标识应具有与常规
22、标识相同的安全性；权限控制 DB 43/T 25702023 8 应验证用户访问权限；电子政务外网等线上业务应设计后台管理控制方案；后台管理应采用白名单方式对访问的来源IP地址进行限制；应设计在后端实现访问控制，禁止仅在前端实现访问控制；授权粒度应根据业务软件系统的角色和功能分类进行限制。安全审计 应对业务系统的登录行为、业务操作以及系统运行状态进行记录与保存。通信安全 7.5.1 接口方式安全设计 禁止侵入式使用数据库；系统前后端数据传输，可通过Json进行传输；与其他系统连接进行身份认证，可通过token认证；系统信息传输过程中，应注意防止中间人攻击。7.5.2 会话安全 登录成功后应建立
23、新的会话；应确保会话数据的存储安全；更新会话数据时，应对数据进行严格的输入验证；当用户登录成功并成功创建会话后，应在系统的各个页面提供用户退出功能；退出时应及时注销服务器端的会话数据；应设计合理的会话存活时间，超时后应销毁会话，并清除会话的信息；应能够对系统的最大并发会话连接数进行限制。7.5.3 其他要求 除本文件7.5.1、7.5.2章节要求外还应确保采用的安全协议不包含已公开漏洞；云端业务软件系统的外链业务应使用反向代理进行访问；Web和数据库服务器建立连接访问，应使用内网域名进行访问，避免使用IP地址访问；通过互联网域名访问业务软件系统应考虑网络运营商负载线路及IPV4、IPV6双站兼
24、容。容错设计 应具备异常处理机制；应使用通用错误信息；程序发生异常时，应重定向到特定网页；应向前端返回一般性错误消息；程序发生异常时，应终止当前业务，并对当前业务进行回滚操作。数据库安全 运行环境应考虑单机部署以及分布式部署；数据库设计应注意业务逻辑不要过于复杂，应对索引优化，使用查询应通过视图，应考虑稳定性、安全性，应读写分离；设计访问过程时应以最小权限设计为主。8 安全管理制度 安全管理制度应包括：a)应符合 GB/T 20269 的要求开展信息安全管理工作；b)应依托湖南省统筹建设的数据容灾备份设施进行数据异地备份；c)应符合 GB/T 20282 的要求开展信息系统安全工程的管理，做好
25、安全监理工作；d)应按照已确定的安全等级对已建成的信息系统定期进行风险评估和等级测评，符合 GB/T 20984 的要求。DB 43/T 25702023 9 9 人员安全管理 应对各类人员安全意识教育和岗位技能培训；应确保在外部人员访问受控区域前得到授权或审批；工作人员应定期接受网络安全、密码应用及保密方面的管理及技能培训；工作人员需签订保密承诺书，严格遵守保密规章制度；关键岗位工作人员退出时，应签署退出承诺书，明确其应承担的责任和义务；DB 43/T 25702023 10 A A 附录A （资料性）网络安全事件处置上报 表A.1 网络安全事件处置上报 信息系统运营 使用单位名称 报告时间
26、 报告人 联系电话 通讯地址 电子邮件 信息系统名称 事发时间 事件描述 初步判定事件类型 安全攻击 计算机病毒事件 特洛伊木马事件 僵尸网络事件 混合程序攻击事件 网页内嵌恶意代码事件拒绝服务攻击事件 后门攻击事件 漏洞攻击事件 网络扫描窃听事件 网络钓鱼事件 干扰事件信息篡改事件 信息假冒事件 信息泄露事件 信息窃取事件 信息丢失事件 其他 设备设施故障 服务器 数据库 网络设备 安全设备线路应用系统 操作系统盗窃或破坏 雷击 失火 漏水或返潮 静电 温湿度 电力供应 电磁干扰 其他 信息安全风险 网络端口被监听 IP地址欺骗 TCP序号袭击 病毒 黑客账号管理混乱 缺乏分级管理 FTP存
27、在风险 便携性移动设备控制不严 其他 造成的影响 业务中断 系统破坏 数据流失 其他 影响范围 单台主机 多台主机 整个信息系统 整个局域网 其他 初步判定的事件等级 I级 II级 III级 预案执行情况与结果 存在的问题和改进的意见 DB 43/T 25702023 11 B B 附录B （资料性）网络安全事件处置分析 表B.1 第三方网络安全事件分析表 第三方机构 单位名称 联系人 联系电话 传真 电子邮件 信息系统运 营使用单位 单位名称 联系人 联系电话 传真 电子邮件 信息系统名称 事发时间 事件描述 初步判定的事件类型 安全攻击 计算机病毒事件 特洛伊木马事件 僵尸网络事件 混合程
28、序攻击事件 网页内嵌恶意代码事件拒绝服务攻击事件 后门攻击事件 漏洞攻击事件 网络扫描窃听事件 网络钓鱼事件 干扰事件信息篡改事件 信息假冒事件 信息泄露事件 信息窃取事件 信息丢失事件 其他 设备设施故障 服务器 数据库 网络设备 安全设备线路应用系统 操作系统盗窃或破坏 雷击 失火 漏水或返潮 静电 温湿度 电力供应 电磁干扰 其他 信信息安全风险 网络端口被监听 IP地址欺骗 TCP序号袭击 病毒 黑客账号管理混乱 缺乏分级管理 FTP存在风险 便携性移动设备控制不严 其他 之前是否出现过类似情况 是（如果是说明发生时间及被破坏系统的名称）否 分析网络安全事件的发展趋势 初步判定的事件等
29、级 特别重大事件 重大事件 较大事件 一般事件 DB 43/T 25702023 12 C C 附录C （资料性）网络安全事件备案 表C.1 网络安全事件备案表 事件发现单位 单位名称 通讯地址 省 地(区、市、州、)县(区、市)联系人 联系电话 传真 电子邮件 信息系统运营 使用单位 单位名称 通讯地址 省 地(区、市、州、)县(区、市)联系人 联系电话 传真 电子邮件 受理备案单位 单位名称 通讯地址 省 地(区、市、州、)县(区、市)联系人 联系电话 传真 电子邮件 发现时间 发现途径 信息系统运营使用单位自行发现公安机关通过互联网搜索发现公安机关远程漏洞扫描手段发现国家网络与信息安全管
30、理机构 测评机构 信息安全厂商 科研院所 其他 之前是否出现过 类似情况 是 （发生时间及被破坏系统的名称）否 DB 43/T 25702023 13 D D 附录D （资料性）网络安全事件处置工作报告 D.1 事件经过 简述该网络安全事件的发现、处理及上报经过。D.2 事件成因 描述该网络安全事件发生的起因。如：由自然灾害、故障（电力中断故障、网络损坏或是软件故障、硬件设备故障等）、人为破坏（破坏网络线路、破坏通信设施，黑客攻击、病毒攻击、恐怖袭击）等引起的安全事件。D.3 评估事件影响 描述网络安全事件发生后，造成的影响和影响范围。如：多个应用系统业务中断，造成多台服务器宕机，重要业务数据丢失等。D.4 整改措施 描述信息系统运营使用单位发生安全事件后，处理的措施和处理结果。如：保留证据、查看配置、消除影响、溯源攻击、恢复服务及后期整改等。D.5 其他情况 事发系统定级、备案、测评等情况
