路径: 主页 > GB > 第60页 > GBZ24294.1-2018 | 标准编号 | GB/Z 24294.1-2018 (GB/Z24294.1-2018) | | 中文名称 | 信息安全技术 基于互联网电子政务信息安全实施指南 第1部分：总则 | | 英文名称 | Information security technology -- Guide of implementation for internet-based-government information security -- Part 1: General | | 行业 | 国家标准 | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 30,375 | | 发布日期 | 2018-03-15 | | 实施日期 | 2018-10-01 | | 发布机构 | 中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会 | GB/Z 24294.1-2018
Information security technology--Guide of implementation for internet-basede-government information security--Part 1: General
ICS 35.040
L80
中华人民共和国国家标准化指导性技术文件
部分代替GB/Z 24294-2009
信息安全技术
基于互联网电子政务信息安全实施指南
第1部分:总则
2018-03-15发布
2018-10-01实施
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会发布
目次
前言 Ⅲ
引言 Ⅳ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 缩略语 2
5 基于互联网电子政务信息安全参考模型 2
5.1 安全参考模型 2
5.2 安全策略 3
5.3 识别安全需求 4
5.4 安全设计 4
5.5 安全实施 4
5.6 安全评估 5
6 基于互联网电子政务信息安全技术体系 5
6.1 安全技术体系 5
6.2 公钥基础设施 6
6.3 安全互联与接入控制、边界防护 6
6.4 区域安全 6
6.5 终端安全 6
6.6 应用安全 6
6.7 安全管理 6
6.8 安全服务 6
7 体系的实施原则 6
7.1 按需保护原则 6
7.2 权限最小化原则 7
7.3 信息分类防护原则 7
7.4 系统分域控制原则 7
8 体系的实施架构 7
8.1 数据集中模式下的体系实施架构 7
8.2 数据分布存储模式下的体系实施架构 8
8.3 移动办公模式下的体系实施架构 11
9 体系实施的关键环节 13
9.1 系统分域防控 13
9.2 统一认证授权 13
9.3 接入控制与安全交换 14
9.4 终端安全防护 14
10 体系的风险评估 14
10.1 客户访谈 14
10.2 文档信息核查 14
10.3 建设方案分析 14
10.4 方案实施情况核查 15
10.5 工具检测 15
10.6 评估结论 15
附录A(资料性附录) 某市基于互联网电子政务安全系统配置示例 16
附录B(资料性附录) 某市基于互联网电子政务系统信息分类防护示例 19
前言
GB/Z 24294《信息安全技术 基于互联网电子政务信息安全实施指南》分为以下部分:
---第1部分:总则;
---第2部分:接入控制与安全交换;
---第3部分:身份认证与授权管理;
---第4部分:终端安全防护。
本部分为GB/Z 24294的第1部分。
本部分按照GB/T 1.1-2009给出的规则起草。
本部分部分代替GB/Z 24294-2009《基于互联网电子政务信息安全实施指南》。与GB/Z 24294-
2009相比,主要技术变化如下:
---补充了基于互联网电子政务信息安全参考模型;
---对基于互联网电子政务信息安全技术体系做了新修改;
---针对基于互联网电子政务实施架构给出了新的建议;
---针对接入控制与安全交换给出了新的建议;
---针对互联网电子政务移动终端新的应用模式给出了新的建议;
---针对信息分类防护的具体应用做了新补充;
---针对信任体系建设给出了身份认证与授权管理新建议。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。
本部分由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。
本部分起草单位:解放军信息工程大学、中国电子技术标准化研究院、北京天融信科技有限公司、郑
州信大捷安信息技术股份有限公司。
本部分主要起草人:陈性元、杜学绘、孙奕、曹利峰、张东巍、任志宇、夏春涛、何骏、景鸿理、
上官晓丽。
本部分所代替标准的历次版本发布情况为:
---GB/Z 24294-2009。
引 言
互联网已成为重要的信息基础设施,积极利用互联网进行我国电子政务建设,既能提高效率、扩大
服务的覆盖面,又能节约资源、降低成本。利用开放的互联网开展电子政务建设,面临着计算机病毒、网
络攻击、信息泄漏、身份假冒等安全威胁和风险。为推进互联网在我国电子政务中的应用,指导基于互
联网电子政务信息安全保障工作,特制定本指导性技术文件。
基于互联网电子政务信息安全实施指南标准由基于互联网电子政务信息安全实施指南总则、接入
控制与安全交换、身份认证与授权管理、终端安全防护四部分组成。基于互联网电子政务信息安全实施
指南总则,是基于互联网电子政务信息安全建设的总揽,可指导政府部门建立基于互联网电子政务信息
安全系统,构建基于互联网电子政务信息安全技术体系;接入控制与安全交换、身份认证与授权管理与
终端安全防护三个规范,分别从互联网电子政务中安全互联与接入控制、政务办公与政务服务安全、政
务终端安全防护三个关键实施点,对基于互联网电子信息安全系统建设进行规范。
信息安全技术
基于互联网电子政务信息安全实施指南
第1部分:总则
1 范围
GB/Z 24294的本部分给出了基于互联网电子政务信息安全参考模型,构建了基于互联网电子政务
信息安全技术体系,并对体系的实施原则、实施框架、实施关键技术与风险评估给出指南性建议。为构
建基于互联网电子政务信息安全保障架构、建立基于互联网电子政务信息安全系统提供规范。
本部分适用于没有电子政务外网专线或没有租用通信网络专线条件的组织机构,基于互联网开展
不涉及国家秘密的电子政务信息安全建设,为管理人员、工程技术人员、信息安全产品提供者进行信息
安全建设提供管理和技术参考。涉及国家秘密,或所存储、处理、传输信息汇聚后可能涉及国家秘密的,
按照国家保密规定和标准执行。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 20984-2007 信息安全技术 信息安全风险评估规范
GB/T 30278-2013 信息安全技术 政务计算机终端核心配置规范
GB/T 31167-2014 信息安全技术 云计算服务安全指南
3 术语和定义
下列术语和定义适用于本文件。
3.1
仅向政务办公人员开放的政务办公系统及其数据的所在域。
3.2
通过采用商用密码技术和VPN技术,合理配置不同种类的 VPN产品,完全基于互联网,实现地
市/县区/乡镇等各党政务部门的安全互联互通......
|