JR T 0071.2—2020 金融行业网络安全等级保护实施指引 第2部分：基本要求.pdf

《JR T 0071.2—2020 金融行业网络安全等级保护实施指引 第2部分：基本要求.pdf》由会员分享，可在线阅读，更多相关《JR T 0071.2—2020 金融行业网络安全等级保护实施指引 第2部分：基本要求.pdf（109页珍藏版）》请在麦多课文档分享上搜索。

1、ICS 03.060A 11 JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 0071.2 2020代 替 JR/T 0071 2012金 融 行 业 网 络 安 全 等 级 保 护 实 施 指 引第 2部 分 ： 基 本 要 求 Implementation guidelines for classified protection of cybersecurity of financialindustry Part 2： Basic requirements 2020-11-11发 布 2020-11-11实 施中 国 人 民 银 行 发 布 JR/T 0071.2 2020

2、 I 目 次前 言 .III引 言 .V1 范 围 .12 规 范 性 引 用 文 件 .13 术 语 和 定 义 .14 缩 略 语 .65 网 络 安 全 等 级 保 护 概 述 .65.1 等 级 保 护 对 象 .6 5.2 不 同 级 别 的 安 全 保 护 能 力 .75.3 安 全 通 用 要 求 和 安 全 扩 展 要 求 .75.4 金 融 行 业 增 强 性 安 全 要 求 .76 网 络 安 全 保 障 框 架 .86.1 概 述 .86.2 技 术 体 系 .96.3 管 理 体 系 .107 第 二 级 安 全 要 求 .117.1 安 全 通 用 要 求 .117.

3、2 云 计 算 安 全 扩 展 要 求 .227.3 移 动 互 联 安 全 扩 展 要 求 .247.4 物 联 网 安 全 扩 展 要 求 .25 8 第 三 级 安 全 要 求 .278.1 安 全 通 用 要 求 .278.2 云 计 算 安 全 扩 展 要 求 .458.3 移 动 互 联 安 全 扩 展 要 求 .488.4 物 联 网 安 全 扩 展 要 求 .509 第 四 级 安 全 要 求 .539.1 安 全 通 用 要 求 .539.2 云 计 算 安 全 扩 展 要 求 .729.3 移 动 互 联 安 全 扩 展 要 求 .769.4 物 联 网 安 全 扩 展 要

4、 求 .78附 录 A （ 规 范 性 附 录 ） 关 于 金 融 行 业 安 全 通 用 要 求 、 安 全 扩 展 要 求 和 增 强 性 安 全 要 求 的 选 择 和 使 用 81 附 录 B （ 规 范 性 附 录 ） 关 于 等 级 保 护 对 象 整 体 安 全 保 护 能 力 的 要 求 .86附 录 C （ 规 范 性 附 录 ） 等 级 保 护 安 全 框 架 和 关 键 技 术 使 用 要 求 .87 JR/T 0071.2 2020 II 附 录 D （ 资 料 性 附 录 ） 云 计 算 应 用 场 景 说 明 .89附 录 E （ 资 料 性 附 录 ） 移 动 互

5、 联 应 用 场 景 说 明 .91附 录 F （ 资 料 性 附 录 ） 物 联 网 应 用 场 景 说 明 .93附 录 G （ 资 料 性 附 录 ） 大 数 据 应 用 场 景 说 明 .94附 录 H （ 资 料 性 附 录 ） 敏 感 数 据 和 个 人 金 融 信 息 类 别 . 99参 考 文 献 .101 JR/T 0071.2 2020 III 前 言JR/T 0071 金 融 行 业 网 络 安 全 等 级 保 护 实 施 指 引 分 为 六 部 分 构 成 ： 第 1 部 分 ： 基 础 和 术 语 ； 第 2 部 分 ： 基 本 要 求 ； 第 3 部 分 ： 岗 位

6、 能 力 要 求 和 评 价 指 引 ； 第 4 部 分 ： 培 训 指 引 ； 第 5 部 分 ： 审 计 要 求 ； 第 6 部 分 ： 审 计 指 引 。本 部 分 为 JR/T 0071的 第 2 部 分 。本 部 分 按 照 GB/T 1.1 2009 给 出 的 规 则 起 草 。 本 部 分 代 替 JR/T0071 2012 金 融 行 业 信 息 系 统 信 息 安 全 等 级 保 护 实 施 指 引 ， 与 JR/T0071 2012相 比 ， 主 要 技 术 变 化 如 下 ： 增 加 了 “ 网 络 安 全 等 级 保 护 概 述 ” （ 见 第 5 章 ） ； 修 改

7、 了 “ 网 络 安 全 保 障 框 架 ” （ 见 第 6 章 ， 2012年 版 第 5章 ） ； 修 改 了 “ 第 二 级 安 全 要 求 ” 的 “ 安 全 通 用 要 求 ” 中 “ 安 全 物 理 环 境 ” “ 安 全 通 信 网 络 ” “ 安 全区 域 边 界 ” “ 安 全 计 算 环 境 ” “ 安 全 管 理 中 心 ” “ 安 全 管 理 制 度 ” “ 安 全 管 理 机 构 ” “ 安 全 管 理 人 员 ”“ 安 全 建 设 管 理 ” “ 安 全 运 维 管 理 ” 相 关 要 求 项 （ 见 7.1， 2012 年 版 6.1） ； 增 加 了 “ 第 二

8、 级 安 全 要 求 ” 中 “ 云 计 算 安 全 扩 展 要 求 ” “ 移 动 互 联 安 全 扩 展 要 求 ” “ 物 联 网 安全 扩 展 要 求 ” （ 见 第 7 章 ） ； 修 改 了 “ 第 三 级 安 全 要 求 ” 的 “ 安 全 通 用 要 求 ” 中 “ 安 全 物 理 环 境 ” “ 安 全 通 信 网 络 ” “ 安 全区 域 边 界 ” “ 安 全 计 算 环 境 ” “ 安 全 管 理 中 心 ” “ 安 全 管 理 制 度 ” “ 安 全 管 理 机 构 ” “ 安 全 管 理 人 员 ”“ 安 全 建 设 管 理 ” “ 安 全 运 维 管 理 ” 相

9、关 要 求 项 （ 见 8.1， 2012 年 版 6.2） ； 增 加 了 “ 第 三 级 安 全 要 求 ” 中 “ 云 计 算 安 全 扩 展 要 求 ” “ 移 动 互 联 安 全 扩 展 要 求 ” “ 物 联 网 安 全 扩 展 要 求 ” （ 见 第 8 章 ） ； 修 改 了 “ 第 四 级 安 全 要 求 ” 的 “ 安 全 通 用 要 求 ” 中 “ 安 全 物 理 环 境 ” “ 安 全 通 信 网 络 ” “ 安 全区 域 边 界 ” “ 安 全 计 算 环 境 ” “ 安 全 管 理 中 心 ” “ 安 全 管 理 制 度 ” “ 安 全 管 理 机 构 ” “ 安

10、全 管 理 人 员 ”“ 安 全 建 设 管 理 ” “ 安 全 运 维 管 理 ” 相 关 要 求 项 （ 见 9.1， 2012 年 版 6.3） ； 增 加 了 “ 第 四 级 安 全 要 求 ” 中 “ 云 计 算 安 全 扩 展 要 求 ” “ 移 动 互 联 安 全 扩 展 要 求 ” “ 物 联 网 安全 扩 展 要 求 ” （ 见 第 9 章 ） ； 删 除 了 “ 等 级 保 护 实 施 措 施 ” （ 2012年 版 附 录 A） ； 修 改 了 “ 金 融 行 业 安 全 要 求 的 选 择 和 使 用 说 明 ” （ 见 附 录 A， 2012年 版 附 录 B） ；

11、增 加 了 “ 关 于 等 级 保 护 对 象 整 体 安 全 保 护 能 力 的 要 求 ” （ 见 附 录 B） ； 增 加 了 “ 等 级 保 护 安 全 框 架 和 关 键 技 术 使 用 要 求 ” （ 见 附 录 C） ； 增 加 了 “ 云 计 算 应 用 场 景 说 明 、 不 同 云 服 务 模 式 下 安 全 管 理 责 任 主 体 ” （ 见 附 录 D） ； 增 加 了 “ 移 动 互 联 应 用 场 景 说 明 ” （ 见 附 录 E） ； 增 加 了 “ 物 联 网 应 用 场 景 说 明 ” （ 见 附 录 F） ； 增 加 了 “ 大 数 据 应 用 场 景 说

12、 明 ” （ 见 附 录 G） ； 增 加 了 “ 敏 感 数 据 和 个 人 金 融 信 息 类 别 ” （ 见 附 录 H） 。 JR/T 0071.2 2020 IV 本 部 分 由 中 国 人 民 银 行 提 出 。本 部 分 由 全 国 金 融 标 准 化 技 术 委 员 会 （ SAC/TC 180） 归 口 。本 部 分 起 草 单 位 ： 中 国 人 民 银 行 科 技 司 、 中 国 银 行 保 险 监 督 管 理 委 员 会 统 计 信 息 与 风 险 监 测 部 、 中国 金 融 电 子 化 公 司 、 北 京 中 金 国 盛 认 证 有 限 公 司 、 银 行 卡 检

13、测 中 心 、 中 国 平 安 保 险 （ 集 团 ） 股 份 有 限 公司 、 北 京 天 融 信 网 络 安 全 技 术 有 限 公 司 、 华 为 技 术 有 限 公 司 、 中 国 人 民 银 行 营 业 管 理 部 、 中 国 人 民 银 行广 州 分 行 、 中 国 人 民 银 行 数 字 货 币 研 究 所 、 中 国 人 民 银 行 金 融 信 息 中 心 、 国 泰 君 安 证 券 有 限 公 司 、 中 国人 寿 保 险 股 份 有 限 公 司 、 中 国 人 民 财 产 保 险 股 份 有 限 公 司 、 中 国 工 商 银 行 股 份 有 限 公 司 、 中 国 农 业

14、 银 行股 份 有 限 公 司 、 中 国 银 行 股 份 有 限 公 司 、 中 国 建 设 银 行 股 份 有 限 公 司 、 交 通 银 行 股 份 有 限 公 司 、 蚂 蚁 科技 集 团 股 份 有 限 公 司 、 中 国 金 融 认 证 中 心 、 亚 信 安 全 科 技 有 限 公 司 。本 部 分 主 要 起 草 人 ： 李 伟 、 陈 立 吾 、 沈 筱 彦 、 车 珍 、 曲 维 民 、 昝 新 、 夏 磊 、 方 怡 、 张 海 燕 、 唐 辉 、李 凡 、 王 海 涛 、 张 璐 、 邓 昊 、 潘 丽 扬 、 侯 漫 丽 、 孙 国 栋 、 刘 文 娟 、 赵 方 萌

15、 、 乔 媛 、 崔 莹 、 陈 雪 峰 、 马 成龙 、 杜 巍 、 李 瑞 锋 、 刘 书 元 、 渠 韶 光 、 高 强 裔 、 李 博 文 、 李 金 华 、 金 朝 、 任 勇 强 、 赵 江 、 于 惊 涛 、 胡 珊 、谢 虹 、 杨 剑 、 李 建 彬 、 于 国 强 、 肖 松 、 白 阳 、 张 宇 、 赵 华 、 薛 金 川 、 陈 喜 鹏 、 穆 长 春 、 狄 刚 、 吕 毅 、 何 军 、 袁 慧 萍 、 陈 凯 辉 、 郭 松 青 、 李 锐 、 肖 鹏 哲 、 赵 旭 、 张 耀 峰 、 黄 春 芳 、 杨 晨 、 王 衍 锋 、 高 红 英 、 陈 雪秀 、

16、韩 涛 、 叶 宁 、 俞 国 栋 、 姜 志 辉 、 李 松 涛 、 隆 峰 、 许 定 航 、 陆 霖 、 郭 涛 。本 部 分 所 代 替 标 准 的 历 次 版 本 发 布 情 况 为 ： JR/T 0071 2012。 JR/T 0071.2 2020 V 引 言网 络 安 全 等 级 保 护 是 国 家 网 络 安 全 保 障 工 作 的 一 项 基 本 制 度 ， 金 融 行 业 重 要 系 统 关 系 到 国 计 民 生 ，是 国 家 网 络 安 全 重 点 保 护 对 象 ， 因 此 需 要 一 系 列 适 合 金 融 行 业 的 等 级 保 护 标 准 体 系 作 为 支

17、撑 ， 以 规 范 和指 导 金 融 行 业 等 级 保 护 工 作 的 实 施 。 随 着 云 计 算 、 移 动 互 联 、 物 联 网 、 大 数 据 等 新 技 术 的 广 泛 应 用 ， 金融 机 构 正 根 据 自 身 发 展 的 需 要 ， 持 续 推 进 IT 架 构 的 转 型 。 为 适 应 新 技 术 、 新 应 用 和 新 架 构 情 况 下 金 融行 业 网 络 安 全 等 级 保 护 工 作 的 开 展 ， 现 对 JR/T 0071 进 行 修 订 。 修 订 后 的 JR/T 0071依 据 国 家 网 络 安 全等 级 保 护 相 关 要 求 ， 为 金 融

18、行 业 的 网 络 安 全 建 设 提 供 方 法 论 、 具 体 的 建 设 措 施 及 技 术 指 导 ， 完 善 金 融 行业 网 络 安 全 等 级 保 护 体 系 ， 更 好 适 应 新 技 术 在 金 融 行 业 的 应 用 。 JR/T 0071.2 2020 1 金 融 行 业 网 络 安 全 等 级 保 护 实 施 指 引第 2 部 分 ： 基 本 要 求1 范 围本 部 分 规 范 了 金 融 行 业 网 络 安 全 保 障 框 架 和 不 同 安 全 等 级 对 应 的 安 全 要 求 。本 部 分 适 用 于 指 导 金 融 机 构 、 测 评 机 构 和 金 融 行

19、业 网 络 安 全 等 级 保 护 的 主 管 部 门 实 施 网 络 安 全 等 级保 护 工 作 。2 规 范 性 引 用 文 件 下 列 文 件 对 于 本 文 件 的 应 用 是 必 不 可 少 的 。 凡 是 注 日 期 的 引 用 文 件 ， 仅 注 日 期 的 版 本 适 用 于 本 文 件 。凡 是 不 注 日 期 的 引 用 文 件 ， 其 最 新 版 本 （ 包 括 所 有 的 修 改 单 ） 适 用 于 本 文 件 。GB/T 22239 2019 信 息 安 全 技 术 网 络 安 全 等 级 保 护 基 本 要 求GB/T 22240 2020 信 息 安 全 技 术

20、 网 络 安 全 等 级 保 护 定 级 指 南GB/T 25070 2019 信 息 安 全 技 术 网 络 安 全 等 级 保 护 安 全 设 计 技 术 要 求GB/T 31167 2014 信 息 安 全 技 术 云 计 算 服 务 安 全 指 南GB/T 31168 2014 信 息 安 全 技 术 云 计 算 服 务 安 全 能 力 要 求GB/T 32400 2015 信 息 技 术 云 计 算 概 览 与 词 汇GM/T 0054 2018 信 息 系 统 密 码 应 用 基 本 要 求JR/T 0171 2020 个 人 金 融 信 息 保 护 技 术 规 范3 术 语 和

21、定 义 下 列 术 语 和 定 义 适 用 于 本 文 件 。3.1 网 络 安 全 cybersecurity通 过 采 取 必 要 措 施 ， 防 范 对 网 络 的 攻 击 、 侵 入 、 干 扰 、 破 坏 和 非 法 使 用 以 及 意 外 事 故 ， 使 网 络 处 于稳 定 可 靠 运 行 的 状 态 ， 以 及 保 障 网 络 数 据 的 完 整 性 、 保 密 性 、 可 用 性 的 能 力 。GB/T 22239 2019， 定 义 3.13.2 定 级 系 统 classified system已 确 定 安 全 保 护 等 级 的 系 统 。 注 1： 定 级 系 统

22、分 为 第 一 级 、 第 二 级 、 第 三 级 、 第 四 级 和 第 五 级 系 统 。注 2： 改 写 GB/T 25070 2019， 定 义 3.2。3.3 JR/T 0071.2 2020 2 安 全 保 护 能 力 security protection ability能 够 抵 御 威 胁 、 发 现 安 全 事 件 以 及 在 遭 到 损 害 后 能 够 恢 复 先 前 状 态 等 的 程 度 。GB/T 22239 2019， 定 义 3.23.4 定 级 系 统 安 全 保 护 环 境 security environment of classified system由

23、 安 全 计 算 环 境 、 安 全 区 域 边 界 、 安 全 通 信 网 络 和 （ 或 ） 安 全 管 理 中 心 构 成 的 对 定 级 系 统 进 行 安 全保 护 的 环 境 。GB/T 25070 2019， 定 义 3.33.5 安 全 计 算 环 境 security computing environment对 定 级 系 统 的 信 息 进 行 存 储 、 处 理 及 实 施 安 全 策 略 的 相 关 部 件 。 GB/T 25070 2019， 定 义 3.43.6 安 全 区 域 边 界 security area boundary对 定 级 系 统 的 安 全 计

24、 算 环 境 边 界 ， 以 及 安 全 计 算 环 境 与 安 全 通 信 网 络 之 间 实 现 连 接 并 实 施 安 全 策 略的 相 关 部 件 。GB/T 25070 2019， 定 义 3.53.7 安 全 通 信 网 络 security communication network对 定 级 系 统 安 全 计 算 环 境 之 间 进 行 信 息 传 输 及 实 施 安 全 策 略 的 相 关 部 件 。GB/T 25070 2019， 定 义 3.6 3.8 安 全 管 理 中 心 security management center对 定 级 系 统 的 安 全 策 略 及

25、 安 全 计 算 环 境 、 安 全 区 域 边 界 和 安 全 通 信 网 络 上 的 安 全 机 制 实 施 统 一 管 理的 平 台 或 区 域 。GB/T 25070 2019， 定 义 3.73.9 跨 定 级 系 统 安 全 管 理 中 心 security management center for cross classified system对 相 同 或 不 同 等 级 的 定 级 系 统 之 间 互 联 的 安 全 策 略 及 安 全 互 联 部 件 上 的 安 全 机 制 实 施 统 一 管 理 的平 台 或 区 域 。GB/T 25070 2019， 定 义 3.83

26、.10 定 级 系 统 互 联 classified system interconnection通 过 安 全 互 联 部 件 和 跨 定 级 系 统 安 全 管 理 中 心 实 现 的 相 同 或 不 同 等 级 的 定 级 系 统 安 全 保 护 环 境 之间 的 安 全 连 接 。GB/T 25070 2019， 定 义 3.9 JR/T 0071.2 2020 3 3.11云 计 算 cloud computing通 过 网 络 访 问 可 扩 展 的 、 灵 活 的 物 理 或 虚 拟 共 享 资 源 池 ， 并 按 需 自 助 获 取 和 管 理 资 源 的 模 式 。注 ： 资

27、 源 实 例 包 括 服 务 器 、 操 作 系 统 、 网 络 、 软 件 、 应 用 和 存 储 设 备 等 。GB/T 31167 2014， 定 义 3.13.12云 服 务 cloud service通 过 云 计 算 已 定 义 的 接 口 提 供 的 一 种 或 多 种 能 力 。GB/T 32400 2015， 定 义 3.2.83.13 云 服 务 商 cloud service provider云 计 算 服 务 的 供 应 方 。注 ： 云 服 务 商 管 理 、 运 营 、 支 撑 云 计 算 的 计 算 基 础 设 施 及 软 件 ， 通 过 网 络 交 付 云 计

28、算 的 资 源 。GB/T 31167 2014， 定 义 3.33.14云 服 务 客 户 cloud service customer为 使 用 云 计 算 服 务 同 云 服 务 商 建 立 业 务 关 系 的 参 与 方 。GB/T 31168 2014， 定 义 3.43.15云 计 算 平 台 /系 统 cloud computing platform/system云 服 务 商 提 供 的 云 计 算 基 础 设 施 及 其 上 的 服 务 软 件 的 集 合 。 GB/T 22239 2019， 定 义 3.63.16团 体 云 community cloud由 一 组 特 定

29、 的 云 服 务 客 户 使 用 和 共 享 ， 且 资 源 被 云 服 务 商 或 使 用 者 控 制 的 一 种 云 部 署 和 云 服 务 模式 。3.17基 础 设 施 即 服 务 infrastructure as a service； IaaS云 服 务 商 向 云 服 务 客 户 提 供 可 动 态 申 请 或 释 放 的 计 算 资 源 、 存 储 资 源 、 网 络 资 源 等 基 础 设 施 的 服 务模 式 。3.18 平 台 即 服 务 platform as a service； PaaS云 服 务 商 向 云 服 务 客 户 提 供 应 用 软 件 所 需 的 支

30、撑 平 台 ， 供 云 服 务 客 户 在 此 基 础 上 开 发 和 提 供 相 关 应用 的 服 务 模 式 。3.19软 件 即 服 务 software as a service； SaaS JR/T 0071.2 2020 4 云 服 务 商 向 云 服 务 客 户 提 供 运 行 在 云 基 础 设 施 之 上 的 应 用 软 件 的 服 务 模 式 。3.20虚 拟 机 virtual machine通 过 各 种 虚 拟 化 技 术 ， 为 用 户 提 供 的 与 原 有 物 理 服 务 器 相 同 的 操 作 系 统 和 应 用 程 序 运 行 环 境 的 统称 。 注 ：

31、虚 拟 机 通 常 使 用 物 理 服 务 器 的 资 源 ， 在 用 户 看 来 其 与 物 理 服 务 器 的 使 用 方 式 完 全 相 同 。3.21资 源 池 resource pool按 照 一 定 规 则 可 从 中 获 取 、 释 放 、 或 回 收 资 源 的 物 理 资 源 或 虚 拟 资 源 的 集 合 。 注 ： 资 源 包 括 物 理 机 、 虚 拟 机 、 物 理 存 储 资 源 、 虚 拟 存 储 资 源 、 物 理 网 络 资 源 和 虚 拟 网 络 资 源 等 。3.22宿 主 机 host machine运 行 虚 拟 机 监 视 器 的 物 理 服 务 器

32、 。GB/T 22239 2019， 定 义 3.83.23敏 感 数 据 sensitive data一 旦 泄 露 可 能 会 对 用 户 或 金 融 机 构 造 成 损 失 的 数 据 。3.24个 人 金 融 信 息 personal financial information 金 融 业 机 构 通 过 提 供 金 融 产 品 和 服 务 或 者 其 他 渠 道 获 取 、 加 工 和 保 存 的 个 人 信 息 。注 ： 个 人 金 融 信 息 包 括 账 户 信 息 、 鉴 别 信 息 、 金 融 交 易 信 息 、 个 人 身 份 信 息 、 财 产 信 息 、 借 贷 信 息

33、 及 其 他 反 映 特 定个 人 某 些 情 况 的 信 息 。JR/T 0171 2020， 定 义 3.23.25个 人 金 融 信 息 主 体 personal financial information subject个 人 金 融 信 息 所 标 识 的 自 然 人 。JR/T 0171 2020， 定 义 3.43.26移 动 互 联 mobile communication采 用 无 线 通 信 技 术 将 移 动 终 端 接 入 有 线 网 络 的 过 程 。 GB/T 22239 2019， 定 义 3.93.27移 动 终 端 mobile device在 移 动 业 务 中 使 用 的 终 端 设 备 ， 包 括 智 能 手 机 、 平 板 电 脑 、 个 人 电 脑 等 通 用 终 端 和 专 用 终 端设 备 。GB/T 22239 2019， 定 义 3.10 JR/T 0071.2 2020 5 3.28无 线 接 入 设 备 wireless access device采 用 无 线 通 信 技 术 将 移 动 终 端 接 入 有 线 网 络 的 通 信 设 备 。GB/T 22239