浙江省环境信息化安全.docx
《浙江省环境信息化安全.docx》由会员分享，可在线阅读，更多相关《浙江省环境信息化安全.docx（77页珍藏版）》请在冰豆网上搜索。
浙江省环境信息化安全
浙江省环境信息化安全
管理规范
（试行）
浙江省环境保护厅
目录
前言1
1范围2
2规范性引用文件2
3术语和定义3
3.1信息安全3
3.2风险评估3
3.3风险管理3
3.4监测专网3
3.5缩略语3
4环境信息化安全管理体系4
4.1安全管理部门4
4.2安全管理制度4
4.3安全控制策略4
4.4防护控制措施5
4.5安全管理中心5
4.6确保物理层安全5
4.7确保网络层安全5
4.8确保系统层安全6
4.9确保应用层安全7
4.10确保数据层安全7
5人员安全管理8
5.1信息安全管理人员8
5.2技术支持人员8
5.3计算机用户9
5.4保密协议9
5.5用工条款10
5.6用户培训10
6机房和设备安全管理10
6.1机房安全管理10
6.2设备安全管理11
7网络安全管理12
7.1建立监测专网12
7.2网络安全管理制度12
7.3网络安全设施12
7.4网络接入安全管理12
7.5网络运行安全管理13
7.6网络规划、建设中的安全管理14
8应用系统安全管理14
8.1系统规划和立项安全管理14
8.2系统开发与集成安全管理15
8.3系统运行安全管理15
8.4系统操作软件安全管理16
8.5系统测试数据的保护17
9访问控制安全管理17
9.1用户访问管理17
9.2用户注册17
9.3特权管理17
9.4用户访问权限复查18
9.5网络访问管理18
9.6操作系统访问管理18
9.7应用程序访问控制18
10文档、数据与密码应用安全管理19
10.1技术文档19
10.2存储介质19
10.3数据安全20
10.4密码管理20
10.5灾难备份管理21
10.6系统变更管理21
11安全事故、故障和应急管理22
11.1报告安全事故22
11.2报告安全缺陷22
11.3报告软件故障23
11.4应急预案管理23
12第三方访问和外包服务安全管理24
12.1第三方访问控制24
12.2外包服务管理25
13安全监测、检查、评估与审计25
13.1安全监测25
13.2安全检查26
13.3安全评估26
13.4安全审计27
前言
为强化浙江省环境信息化安全管理，防范计算机信息技术安全风险，保障浙江省各级环境保护机构计算机网络与信息系统安全的稳定运行，依据《浙江数字环保信息化发展规划》，结合浙江省环境保护工作实际，制定本标准规范。
本规范所称浙江省环境信息化安全管理，是指在浙江省环境信息化项目中立项、建设、运行及维护等过程中保障计算机信息及其相关系统、环境、网络和操作安全的系列管理活动。
本规范适用于浙江省环保厅及全省各级环保机构。
凡使用浙江省环保厅及全省各级环保机构的网络或信息资源的其他外部机构和个人均应遵守本规范。
本规范由浙江省环境信息中心组织制订。
本规范由浙江省环境保护厅批准。
本规范自下发之日开始实施。
本规范由浙江省环境信息中心负责解释。
浙江省环境信息化安全管理规范
1范围
本规范规定浙江省环境信息化的安全保障体系、人员安全管理、机房和设备安全管理、网络安全管理、应用系统安全管理、在线监测监控网络和数据安全管理、访问控制安全管理、文档、数据与密码应用安全管理、安全事故、故障和应急管理、第三方访问和外包服务安全管理和安全监测、检查、评估与审计等技术要求。
2规范性引用文件
本规范内容引用了下列文件或其中的条款。
凡是不注日期的引用文件，按照其有效版本适用。
BS7799信息安全管理标准规范
ISO/IEC17799信息技术-信息安全管理业务规范（国际标准）
HJ460－2009环境信息网络建设规范
GB50057-1994建筑物防雷设计规范
GB50174电子计算机机房设计规范
GB/T2887电子计算机场地通用规范
GB/T18233-2008信息技术用户建筑群的通用布缆
GB/T19668信息化工程监理规范
GB/T50311-2007建筑与建筑群综合布线系统工程设计规范
GB/T50312-2007综合布线系统工程验收规范
GB50052-1995供配电系统设计规范
GA372-2001防火墙产品的安全功能检测
GA/T387-2002计算机信息系统安全等级保护网络技术要求
GA/T671-2006终端计算机系统安全等级技术要求
HJ/T416-2007环境信息术语
3术语和定义
本规范采用下列定义。
凡在本规范中使用但未定义的术语按相关国家标准或规范解释，无相关国家标准或规范的，按学术界惯例解释。
3.1信息安全
对信息保密性、完整性和有效性的保护。
保密性：
确保信息只能由经授权的用户访问。
完整性：
保护信息的正确性和完整性以及信息的处理方法。
有效性：
保证经授权的用户可以访问到信息。
在需要时，还能够访问其它相关资料。
3.2风险评估
评估对信息和信息处理程序的威胁、冲击和危害，以及这些情况发生的可能性。
3.3风险管理
在可以接受的成本范围内，识别、控制并减少或者消除可能影响信息系统的安全风险。
3.4监测专网
监测专网即浙江省环保系统电子政务外网，是浙江省环保厅及全省各级环保机构内部局域网通过专线互连，用于污染源监测数据传输、环境保护系统综合业务平台、以及数据共享的网络。
电子政务外网为全省互连网络，须与互联网安全隔离，该网是环境保护部电子政务外网的子网。
3.5缩略语
1VPN虚拟专用网VirtualPrivateNetwork
2DNS域名解析系统DomainNameSystem
4环境信息化安全管理体系
4.1安全管理部门
明确保护资产的责任和执行安全事项的责任，指定信息安全负责人，由其总体负责信息安全的发展和实现并管理措施的确定。
4.2安全管理制度
安全管理部门应根据管理原则和应用系统的安全等级，制订相应的管理制度或采用相应规范，具体工作如下：
a）确定系统的安全等级；
b）根据确定的安全等级，确定安全管理范围；
c）制订相应的机房出入管理制度。
对安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域；
d）制订严格的操作规程。
操作规程要根据职责分离和多人负责的原则，各负其责，不得超越自己的管辖范围；
e）制订完备的系统维护制度。
维护时，要首先经主管部门批准，并有安全管理人员在场，故障原因、维护内容和维护前后的情况要详细记录；
f）建立人员雇用和解聘制度，对工作调动和离职人员及时调整相应的授权。
4.3安全控制策略
建立信息安全总体策略及相关的安全控制策略，定期对信息系统进行安全检查和风险评估，提高信息安全的事前控制能力，提高信息化系统的安全运行水平。
4.4防护控制措施
建立身份认证平台，建设身份认证系统。
在身份识别的基础上，建立入网访问控制、网络使用权限控制、目录级安全控制、以及网络服务器安全控制等访问控制，确保各类信息资源不被和访问。
加强数据管理，提高数据安全防范意识和防范能力，严格按程序和权限操作和访问数据，加强数据操作的安全审计，确保数据的安全可靠。
4.5安全管理中心
建立安全管理中心对整个信息安全实行一站式管理，配置协调一致的安全策略，保证所有可能的攻击能够被检测和监控。
4.6确保物理层安全
确保各环保机构通信线路的安全，物理设备的安全，机房的安全等。
主要体现在通信线路的可靠性（线路备份、网管软件、传输介质），软硬件设备的安全性（替换设备、拆卸设备、增加设备），设备的备份，防灾害能力、防干扰能力，设备的运行环境（温度、湿度、烟尘），不间断电源保障等。
4.7确保网络层安全
确保浙江省环保厅及全省各级环保机构在网络层身份认证，网络资源的访问控制，数据传输的保密与完整性，远程接入的安全，域名系统的安全，路由系统的安全，入侵检测的手段，网络设施防病毒等网络方面的安全性。
a）设立防火墙系统、入侵检测系统、身份认证系统、漏洞扫描系统和网络防病毒系统等加以防护，防止外界的入侵和攻击；
b）在内部、外部Web服务器配备防主页篡改系统，进行实时监测，当发现Web站点上的文件被破坏或非法修改后，系统能够自动报警，并迅速恢复被破坏的网页，有效保证Web数据的完整性和真实性；
c）配备安全漏洞扫描系统，对现有网络里的网络设备和主机设备进行漏洞扫描，实现网络体检，并根据扫描结果和实际安全状况对已经发现的漏洞进行修补，及时对服务器操作系统、应用软件存在的漏洞进行相应的升级；
d）部署和实施VPN来实现远程访问的内部用户从外部网络的访问，并且只能通过VPN技术访问内网，确保远程访问的安全性；
4.8确保系统层安全
a）服务器管理员负责并保证服务器运行环境的安全性；
b）服务器中数据的所有者负责控制其被指定管理的数据的安全性；
c）安全监控者负责安全策略的实施，制定安全流程，定期进行评估；
d）安全管理员负责本系统范围内安全的设置和管理；
e）强制规定口令字的长度、使用周期以及可重复试验口令字的次数；对登录的时间和登录的地址进行限制，以防止非法的登录；
f）对于超级用户的权限进行限制，使系统管理员不能访问特殊部门（如：
财务、人事部门等）的信息资源；
g）开发和应用审计系统，审计各种操作成功和失败的情况，及时发现问题前兆，定期备份日志文件；
h）系统可以提供支持基于数字证书的身份认证与接入控制，确保只有合法的用户才能接入服务器；
i）在接入层交换机中提供加载在网络端口上的具有点对点连接特性的接入认证机制。
4.9确保应用层安全
确保提供服务所采用的应用软件和数据的安全，包括确保Web服务、电子邮件系统、DNS等安全。
此外，还包括防止病毒对系统的威胁。
应用系统包括数据库系统及专为环境业务开发的系统。
对于各类软件系统的安全防护，需要从以下几方面进行操作：
a）不同类型的用户应该授予不同的数据库访问管理权限，比如数据库系统登陆权限、资源管理权限、数据库管理员权限、远程访问权限等；
b）提供审计功能，用来监视各用户对数据库施加的动作。
可以通过用户审计和系统审计两种方式来发现数据库使用过程中出现的问题。
4.10确保数据层安全
确保数据在发生故障或灾难性事件情况下不丢失，确保数据层的安全和环保信息系统的数据存储备份安全，数据安全性方面需要做以下工作：
a）敏感数据在传输、保存过程中应当对信息首先加密，然后再传输、存储，例如在线监测数据；
b）存储数据的服务器采用双机容错方式；
c）应用层数据传输到服务器后进行存储，数据全部放在服务器共享的磁盘阵列柜中，用服务器的磁盘阵列来实现各服务器的本地硬盘数据冗余,这样能解决单机故障问题，而且还能防止单个硬盘故障导致的数据丢失；
d）重要数据存储在阵列柜中，可用磁带机或硬盘进行重要数据备份。
5人员安全管理
5.1信息安全管理人员
a）浙江省环保厅及全省各级环保机构应选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作；
b）组织落实上级信息安全管理规定，制定信息安全管理制度，协调部门计算机安全员工作，监督检查信息安全保障工作；
c）审核信息化建设项目中的安全方案，组织实施信息安全保障项目建设，维护、管理信息安全专用设施；
d）检测网络和信息系统的安全运行状况，检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。
统计分析和协调处置信息安全事件；
e）定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作；
f）信息安全管理人员在履行职责时，确因工作需要查询相关涉密信息，须经相关负责人同意后向有关部门提交申请，获得批准后方可查询；
g）信息安全管理人员实行备案管理制度。
信息安全管理人员的配备和变更情况应及时备案。
信息安全管理人员调离原岗位时应办理交接手续，并履行其调离后的保密义务。
5.2技术支持人员
本规定所称技术支持人员，是指参与浙江省环保厅及全省各级环保机构的网络、计算机系统、机房环境等建设、运行、维护的内部技术支持人员和外包服务人员。
a）不得对外泄漏或引用工作中触及的任何敏感信息。
严格权限访问，未经业务主管部门授权不得擅自改变系统设置或修改系统生成的任何数据；
b）主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告本部门主管领导，并及时响应、处置；
c）严格操作管理、测试管理、应急管理、配置管理、变更管理、档案管理等工作制度，做好数据备份工作；
d）外部技术支持人员应严格履行外包服务合同（协议）的各项安全承诺。
提供技术服务期间，严格遵守浙江省环保厅及全省各级环保机构相关安全规定与操作规程，关键操作应经授权，并有环保机构工作人员在场。
不得拷贝或带走任何配置参数信息或业务数据，不得对外泄漏或引用任何工作信息。
5.3计算机用户
本规定所称一般计算机用户是指使用计算机设备的所有人员。
a）及时更新所用计算机的病毒防治软件和安装补丁程序，自觉接受本部门计算机安全员的指导与管理。
b）不得安装与办公和业务处理无关的其他计算机软件和硬件，不得修改系统和网络配置参数。
c）未经相关部门检测和授权，不得将接入浙江省环保厅及全省各级环保机构所用的计算机转接入互联网；不得将便携式计算机接入各环保局内部网络；不得随意将个人计算机带入机房或私自拷贝任何信息。
5.4保密协议
a）保密协议或者不泄露协议用于提醒用户注意该信息是保密的；
b）授权尚未受合同（包含保密协议）约束的临时职员和第三方使用信息处理设备之前，还应当要求他们签订一份保密协议；
c）当用工合同或者协议发生变动时还要对保密协议进行检查。
5.5用工条款
a）用工合同条款应当阐明员工对于信息安全所负的责任。
适当的时候，在聘用期结束后的一段确定时期内仍然要承担这种责任。
其中包括如果员工不遵守安全要求时组织所要采取的行动；
b）在用工合同条款中应当包括并清楚界定员工的法律责任和权利。
5.6用户培训
应当在安全程序中、在信息处理设备的正确使用过程中培训用户，以降低可能的安全风险。
6机房和设备安全管理
6.1机房安全管理
本规定所称机房是指计算机系统等主要设备放置、运行场所以及供配电、通信、空调、消防、监控等配套环境设施。
a）浙江省环保厅及全省各级环保机构机房的规划、建设、改造、运行、维护由相关部门负责。
机房的消防、视频监视录像、防雷、门禁等子系统的规划、建设、运行和维护由相关部门协商确定；
b）浙江省环保厅及全省各级环保机构原则上只建设一个符合国家计算机机房有关标准和相关规定的计算机机房，为所有业务部门提供机房基础设施服务；
c）机房建设、改造的方案应报上一级部门备案。
必要时，由上一级机构会同其他相关部门进行审核；
d）机房建设或改造应选择具有国家建筑装修装饰工程专业承包资质、两年以上从事计算机机房设计与施工经验的专业化公司，重要机房建设或改造工程应引入监理制度；
e）浙江省环保厅及全省各级环保机构应建立机房设施与场地环境监控系统，对机房空调、消防、不间断电源（UPS）、供配电、门禁系统等重要设施实行全面监控；
f）浙江省环保厅及全省各级环保机构机房投入使用前，应经过当地公安消防部门的消防验收和环保机构相关部门组织的验收，并出具明确结论的验收报告。
未经验收或验收不合格的机房均不得投入使用；
g）浙江省环保厅及全省各级环保机构应建立健全机房管理制度，并指派专人担任机房管理员，落实机房安全责任制。
机房管理员应经过相关专业培训，熟知机房各类设备的分布和操作要领，定期巡查机房，发现问题及时报告。
机房管理员负责保管机房建设或改造的所有文档、图纸以及机房运行记录等有关资料，并随时提供调阅；
h）建立机房定期维修保养制度。
易受季节、温度等环境因素影响的设备、已逾保修期的设备、近期维修过的设备等应成为保养的重点。
6.2设备安全管理
a）浙江省环保厅及全省各级环保机构应建立完备的计算机设备登记制度，严格资产管理，明确计算机设备使用者或管理者及其安全责任；
b）浙江省环保厅及全省各级环保机构根据计算机设备重要程度采取不同的安全保护措施，制定完善的访问控制策略，防止XX使用设备或信息。
有特殊安全要求的计算机设备应放置在机房的特殊功能区，必要时，单独建立门禁与监控系统，或配备防电磁泄漏的屏蔽装置等。
7网络安全管理
7.1建立监测专网
a）监测专网因建立在安全隔离互联网的基础上，有效防止互联网上的各种木马、病毒入侵，并能避免环境数据的泄露。
浙江省环保厅及全省各级环保机构在监测专网的基础上，建立与互联网安全隔离的链路环境；
b）保证应用及业务的可用性，数据中心里的关键服务器采用双机热备份技术来实现；
c）保证业务系统和数据的安全，浙江省环保厅及全省各级环保机构应给有需要的各个具体工作人员配备不同的工作电脑，分别连接监测专网（日常工作）和互联网（方便查阅资料），从操作层面上真正实现对互联网的安全隔离。
7.2网络安全管理制度
监测专网和接入该网的计算机及网络，要求不能连接互联网，制订规范的日常安全操作规则。
7.3网络安全设施
安装防火墙、垃圾邮件过滤、网页过滤、VPN、防病毒、网闸等网络安全设施，保障网络安全体系的健康运行，如利用防火墙建立起，从而保护内部网免受非法用户的侵入；利用网闸设备在浙江省环保厅及全省各级环保机构的内网系统与外网之间作连接控制，实现内外网之间的逻辑隔离，确保内网安全。
7.4网络接入安全管理
a）浙江省环保厅及全省各级环保机构的计算机及内部网络与互联网实行安全隔离。
如有需要接入监测专网的计算机及内部网络实行物理隔离；
b）浙江省环保厅及全省各级环保机构的计算机及内部网络如需要接入监测专网,应通过浙江省环保厅相关部门审核、批准并备案，从互联网下载的任何信息，未经病毒检测不得在监测专网上使用；
c）使用互联网的所有用户应遵守国家有关法律法规和浙江省环保厅及全省各级环保机构的相关管理规定，不得从事任何违法违规活动。
7.5网络运行安全管理
a）浙江省环保厅及全省各级环保机构应建立健全网络安全运行制度，配备专（兼）职网络管理员。
网络管理员负责日常监测和检查网络安全运行状况，管理网络资源及其配置信息，建立健全网络运行维护档案，及时发现和解决网络异常情况；
b）网络管理员应定期参加网络安全技术培训，具备一定的非法入侵、病毒蔓延等网络安全威胁的应对技能，紧急情况下，经相关负责人授权后可采取“先断网、后处理”的紧急应对措施；
c）浙江省环保厅及全省各级环保机构应严格管理网络接入。
任何设备接入网络前，接入方案、设备的安全性等应经过审核与必要的检测，审核（检测）通过后方可接入并分配相应的网络资源；
d）浙江省环保厅及全省各级环保机构应严格管理网络变更。
网络管理员如需要调整网络重要参数配置和服务端口，应书面请示相关负责人，变更信息应做好记录。
实施有可能影响网络正常运行的重大网络变更，应提前通知所有使用部门并安排在节假日进行，同时做好配置参数的备份和应急恢复准备；
e）浙江省环保厅及全省各级环保机构应严格控制远程访问。
确因工作需要进行远程访问，应向相关部门提出书面申请，并采取相应的安全防护措施；
f）信息安全管理人员经相关负责人批准，有权对辖内网络进行安全检测、扫描和评估。
检测、扫描和评估结果属敏感信息，不得向外界提供。
XX，任何外部单位与人员不得检测、扫描浙江省环保厅及全省各级环保机构的内部网络。
7.6网络规划、建设中的安全管理
a）浙江省环境信息中心负责网络和网络安全的统一规划、建设部署、策略配置和网络资源分配；
b）浙江省环保厅及全省各级环保机构按照浙江省环境信息中心的统一规划和总体部署，组织实施网络建设、改造工程。
浙江省环保厅及全省各级环保机构网络的建设与改造方案应报上一级部门备案，运行前应通过安全测试。
浙江省环保厅及全省各级环保机构的网络建设和改造应符合如下基本安全要求：
1）符合浙江省环保厅及全省各级环保机构网络安全管理要求，保障网络传输与应用安全。
2）具备必要的网络监测、跟踪和审计等管理功能。
3）针对不同的网络安全区域，采取必要的安全隔离措施。
8应用系统安全管理
8.1管理
a）计算机系统建设项目应在规划与立项阶段同步考虑安全问题，建设方案应满足浙江省环保厅及全省各级环保机构信息安全保障总体规划的相关要求。
项目技术方案应包括以下基本安全内容：
1）业务需求部门提出的安全需求。
2）安全需求分析和实现。
3）运行平台的安全策略与设计。
b）浙江省环保厅及全省各级环保机构负责对项目技术方案进行安全专项审查并提出审查意见，未通过安全审核的项目不得予以立项。
8.2系统开发与集成安全管理
a）计算机系统开发应符合软件工程规范，依据安全需求进行安全设计，保证安全功能的完整实现；
b）计算机系统开发单位应在完成开发任务后将程序源代码及其相关技术文档全部移交相应环保机构。
外部开发单位还应与各环保局签署相关知识产权保护协议和保密协议，不得将计算机系统采用的关键安全技术措施和核心安全功能设计对外公开；
c）计算机系统的开发人员不能兼任计算机系统管理员或业务系统操作人员，不得在程序代码中植入后门和恶意代码程序；
d）计算机系统开发、测试、修改工作不得在生产环境中进行；
e）涉密计算机系统集成应选择具有国家相关部门颁发的涉密系统集成资质证书的单位或企业，并签订严格的保密协议。
8.3系统运行安全管理
浙江省环保厅及全省各级环保机构计算机系统上线运行实行安全审查制度，未通过安全审查的任何新建或改造计算机系统不得上线运行。
具体要求如下：
a）项目承担单位（部门）应组织制定安全测试方案，进行系统上线前的自测试并形成测试报告，报相关部门审查；
b）计算机系统应用部门应在计算机系统上线运行前同步制定相关安全操作规定，报相关部门备案；
c）相关部门应提出明确的测试方案和测试报告审查意见。
必要时，可组织专家评审或实施计算机系统漏洞扫描检测；
d）浙江省环保厅及全省各级环保机构应明确系统管理员，具体负责计算机系统的日常运行管理，并建立重要计算机系统运行维护档案，详细记录系统变更及操作过程。
重要业务系统的系统设置要求2人在场；
e）系统管理员不得兼任业务操作人员。
系统管理员确需对业务系统进行维护性操作的，应征得业务部门同意并在业务操作人员在场的情况下进行，并详细记录维护内容、人员、时间等信息；
f）未经业务负责人书面批准，其他任何人不得擅自使用业务操作人员用机，不得擅自设置、分配、使用、修改、删除操作员代码、口令和业务数据，不得擅自改变用户权限。
8.4系统操作软件安全管理
a）把操作系统的风险降到最低，为在操作系统中使用的软件提供管理措施。
应当考虑管理措施如下：
1）操作系统程序库的更新应当只由指定的程序库管理员根据
适当的管理层授权来执行；
2）操作系统应当只包涵可执行代码；
3）获得测试成功和用户被接受之前，以及在相应的程序资料
库更新之前，不能在操作系统中运行可执行代码；
4）维护对层次系统程序库
升级会员 