路径: 主页 > MISC > 第226页 > LST1807-2017 | 标准编号 | LS/T 1807-2017 (LS/T1807-2017) | | 中文名称 | 粮食信息安全技术规范 | | 英文名称 | Security specification for grain information system | | 行业 | 粮食行业标准 (推荐) | | 中标分类 | B20 | | 国际标准分类 | 35.240.99 | | 字数估计 | 13,150 | | 发布日期 | 2017-03-10 | | 实施日期 | 2017-06-01 | | 引用标准 | GB/T 20518; GB/T 22239; GB/T 22240; GB/T 31167-2014; GB/T 31168-2014 | | 标准依据 | State-Food-Communication No. 1 of 2017 | | 发布机构 | 国家粮食局 | | 范围 | 本标准规定了粮食信息安全保护对象、粮食信息安全技术及安全管理的基本要求。部署在电子政务外网的相关安全建设由电子政务外网保障，部署在电子政务内网的相关安全建设由电子政务内网保障。本标准重点阐述的是各级粮食行政管理部门、粮食企业及其他涉粮机构在企业内部网、互联网交互时的安全要求。本标准适用于粮食信息化项目的规划、设计、建设、运维和评估。 | LS/T 1807-2017
Security specification for grain information system
ICS 35.240.99
B20
中华人民共和国粮食行业标准
粮食信息安全技术规范
2017-03-10发布
2017-06-01实施
国 家 粮 食 局 发 布
目次
前言 Ⅰ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 缩略语 1
5 信息安全保护对象 2
6 总体要求 2
7 安全管理 3
8 安全技术 3
9 粮食专业领域安全技术 5
参考文献 10
前言
本标准按照GB/T 1.1-2009给出的规则起草。
本标准由国家粮食局提出。
本标准由全国粮油标准化技术委员会(SAC/TC270)归口。
本标准起草单位:航天信息股份有限公司、湖北省粮食局、北京天融信科技股份有限公司。
本标准主要起草人:李其均、宋玉玲、罗秀春、施展、王千喜、周贵来。
粮食信息安全技术规范
1 范围
本标准规定了粮食信息安全保护对象、粮食信息安全技术及安全管理的基本要求。部署在电子政
务外网的相关安全建设由电子政务外网保障,部署在电子政务内网的相关安全建设由电子政务内网保
障。本标准重点阐述的是各级粮食行政管理部门、粮食企业及其他涉粮机构在企业内部网、互联网交互
时的安全要求。
本标准适用于粮食信息化项目的规划、设计、建设、运维和评估。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 20518 信息安全技术 公钥基础设施 数字证书格式
GB/T 22239 信息安全技术 信息系统安全等级保护基本要求
GB/T 22240 信息安全技术 信息系统安全等级保护定级指南
GB/T 31167-2014 信息安全技术 云计算服务安全指南
GB/T 31168-2014 信息安全技术 云计算服务安全能力要求
3 术语和定义
下列术语和定义适用于本文件。
3.1
安全域 securitydomain
同一环境内有相同的安全保护需求、相互信任、并具有相同的安全访问控制和边界控制策略的网络
或系统。
3.2
云计算基础设施和其上运行的粮食信息化软件的集合。
3.3
通过专用传感器对储粮环境和粮食的数量、质量进行在线监测的传感器网络系统。
4 缩略语
下列缩略语适用于本文件。
4A:统一安全管理的身份认证、授权、审计和账号(Authentication,Account,Authorization,
Audit)
5 信息安全保护对象
主要包括粮食信息网络、信息系统、粮食信息及其物理环境、支撑性基础设施与安全设备设施等。
5.1 信息网络
被保护网络对象包括粮食业务管理范围内的各个信息网络,分别运行于电子政务内网、电子政务外
网、企业内部网、互联网四个不同的网络中。
5.2 信息系统
被保护业务对象是粮食信息系统中运行的各类粮食业务应用系统,粮食信息系统按业务应用类型
分为粮食企业业务管理应用系统和粮食行政管理应用系统;按照架构分为国家级粮食管理平台(简称
“国家级平台”)、省级粮食管理平台(简称“省级平台”)、企业粮食管理平台。粮食企业业务管理应用系
统运行在企业内网、互联网;粮食行政管理应用系统,分别运行在电子政务内网、电子政务外网和互
联网。
5.3 粮食信息
被保护的信息对象是各类粮食业务信息,可分为公开信息和非公开信息,非公开信息中包含各类敏
感信息。不同的信息类别,应设定不同的安全保护等级措施。
对于公开信息,主要是防篡改、防丢失;对于敏感信息,除防篡改、防丢失外,还需增加防止未经授权
的披露、滥用和销毁。
5.3.1 公开信息
包括但不限于:
粮食生产、粮食加工、粮油市场、粮食消费、储粮环境、社会经济等信息。
5.3.2 粮食敏感信息
包括但不限于:
a) 应该公开,但正式发布前不宜泄漏的信息,如招投标、规划、统计、预算等过程信息;
b) 粮食行政执法过程中生成的不宜公开的记录文件;
c) 粮食企业的地理位置信息;
d) 粮食企业的商业秘密;
e) 粮食行政管理部门的人事规划和工作章程,人员能力评价等信息;
f) 售粮人银行卡、身份证、结算资金等信息;
g) 粮食库存量、质量、轮换计划、粮食应急预案等信息。
6 总体要求
从安全管理、安全技术、粮食专业领域安全技术三个方面提出粮食信息系统的安全要求,其架构如
图1所示。
粮食行政管理部门、粮食企业和其他涉粮机构应按照国家信息安全主管部门的要求对粮食信息系
统进行定级,并根据定级情况达到相应的安全要求。粮食企业业务管理应用系统应符合GB/T 22240
国家信息安全保护等级二级或二级以上标准,跨省或覆盖全省的粮食行政管理应用系统,应符合安全保
护等级三级标准。
图1 粮食信息安全框架
7 安全管理
安全管理的制度、机构、人员、系统建设、运维服务等,应符合GB/T 22239、GB/T 22240的要求。
8 安全技术
粮食信息系统的安全技术应符合 GB/T 22239、GB/T 22240的通用要求外,还应满足以下技术
要求。
8.1 物理安全
8.1.1 办公场地改造的机房
针对收纳库、中心库等粮食企业从办公场地改建的机房,至少应具备:
a) 机房和办公场地应具有防风、防雨的设计;
b) 空调水管安装不得穿过机房房顶或活动地板下;
c) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
d) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;
e) 机房建筑应设置避雷装置;
f) 供电电源应具有良好接地;
g) 应具有防盗窃、防破坏的监控报警装置和安全管理措施;
h) 机房应设置灭火器材;
i) 电源线和通信缆应隔离铺设,避免互相干扰;
j) 收储企业的备用电力供应,至少应满足收购业务在断电情况下的正常运行;
k) 应保持机房和办公场地的干净卫生,计算机设备灰尘较多时,应采取负压清理方式,灰尘较少
时,可采用普通清理方式;
l) 配线架、服务器机架应有显著的标识;
m) 独立机房可配置电子门禁系统,控制、鉴别和记录进入的人员。
8.1.2 仓房外的强电、弱电机柜
包括但不限于:
a) 应有良好的防雨设计;
b) 应具有漏电、过载、短路保护装置;
c) 应对机柜内的线缆、开关或其他控制单元有显著的标识,通过标识,可追溯相关图纸、检修记
录、责任人等。
8.2 网络安全
8.2.1 库区网络布线
包括但不限于:
a) 粮库内网网络的综合布线宜采用光纤环网等可靠的网络链路;
b) 应在每个仓房门口设置一个信息节点;
c) 信息节点应安装在仓房外的防水防尘的弱电箱内。
8.2.2 结构安全
包括但不限于:
a) 与省级管理平台连接的企业,应有固定的IP地址;
b) 应绘制与当前运行情况相符的网络拓扑结构图;
c) 应保证接入网络和核心网络的带宽满足业务高峰期需要,如远程视频监管的需要;
d) 应根据业务类别、重要性和所涉及信息程度等因素,划分不同子网或网段,并按照方便管理和
控制的原则为各子网、网段分配地址段;
e) 重要网段不得直接连接外部信息系统,重要网段与其他网段之间应采取可靠的技术隔离手段。
8.2.3 访问控制
包括但不限于:
a) 应利用网闸、VPN、防火墙等技术确定外部边界,实现安全可靠的外部网络互联;
b) 应利用身份认证技术实现分层管理,将内部安全域的信息分等级划分,禁止低安全域的用户/
业务非授权访问高安全域用户/业务;
c) 应具备网络性能保护机制,防止对网络资源的滥用,确保网络资源的合理使用;
d) 应具备网络接入认证的能力,确保只有授权的终端才能接入网络。
8.2.4 安全审计
应对网络系统中的网络设备运行状况、网络流量、用户行为进行审计。
8.2.5 入侵防范
应在网络边界防范端口扫描、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、网络蠕虫等攻击
行为。
8.3 主机安全
应符合GB/T 22240的要求。
8.4 数据安全
包括但不限于:
a) 粮食企业的业务数据应至少保存一个储粮周期且不少于5年;相关政策有要求的,还应满足相
关政策文件要求;
b) 存储空间不足时,应逐步删除视频数据,保留业务数据;
c) 应具有本地的数据备份,在粮食轮换期应增加备份次数,备份介质应场地外存放;
d) 应加强备份介质的安全管理。
8.5 应用安全
包括但不限于:
a) 粮食信息系统应实现基于粮食行业PKI/CA数字证书体系的用户身份认证,并要求实现4A
的应用系统安全体系,确保本地应用系统的信息安全;
b) 应根据人员的岗位职责,授予不同账户为完成各自承担任务所需的最小权限,并在他们之间形
成相互制约的关系;
c) 应及时删除或禁用多余账号、测试账号、过期账号,避免共享账号、过期账号的使用。
9 粮食专业领域安全技术
9.1 粮食物联网安全
粮食物联网的设计和实施,除了应遵循一般的物理安全、主机安全、网络安全、数据安全和应用安全
的技术要求外,其安全性还应具有:
a) 感知节点应通过接口,通过身份认证和授权访问,确认其身份真实性和正确性,以及访问控制
的准确性后,才能接入到网络中;
b) 大型粮库、粮油加工企业或物流中心,可采用工业防火墙、网闸等设备对粮食业务管理网络和
工业控制网络进行逻辑隔离;
c) 对于出入库数据录入数据的变更,不能以超级用户或其他高权限用户直接操作数据库修改,系
统应提供完整的变更流程,记录数据录入、审核、变更的全过程信息,并形成数据变更报表;
d) 应当遵循客观性原则,不得修改、伪造粮食物联网的原始采集数据;
e) 粮食物联网系统应保留操作日志、访问日志,通过审计人员账户、访问时间、操作内容等日志信
息,追踪定位非授权访问行为;
f) 系统日志应能记录设备的现场手动操作,与远程操作日志结合,形成完整的设备操作日志;
g) 粮食信息化技术支撑单位远程或本地进行系统升级时,应制定变更计划,明确变更时间、变更
内容、变更验证、变更责任人等事项,应对原有版本和当前版本软件、数据备份到物理介质,并
留有相关记录。
9.2 粮食云安全
9.2.1 云计算平台的使用范围
包括但不限于:
a) 对于涉密的粮食信息系统,信息的处理、保存、传输、利用应按照国家保密法规执行,不得使用
政务云或其他公有云服务平台[GB/T 31167-2014中的优先级确定];
b) 涉及粮食信息敏感信息程度较多的信息系统或关键业务系统,可采用社区云或私有云计算平
台,也可按照传统方式自建系统运行;
c) 交通偏远、网络通信条件差的基层收纳点,采用云计算平台,应确保网络中断后,还有备用的技
术手段和措施,完成各环节的信息采集和业务处理,不影响粮食收购业务。
9.2.2 云计算的安全责任认定
粮食信息化平台迁入云计算平台后,其安全责任并未转移,仍需承担云计算平台上的数据和业务的
最终安全责任[GB/T 31167-2014中的云计算服务安全管理基本要求]。
9.2.3 云服务商的选择
包括但不限于:
a) 对于拟迁入云计算平台的系统,应对其信息和业务进行分析,按照信息的敏感程度和业务的重
要程度选择相应安全能力水平的云服务商;
b) 粮食云计算客户应通过合同明确云服务商的责任和义务,强调客户对数据和业务系统运行状
态的知情权;应要求云计算平台提供必要的监管接口和日志查询功能,建立有效的审查、检查
机制,实现对云计算服务的有效监管。
9.2.4 云计算平台客户端的安全要求
粮食云客户应管控自身的客户端系统,应:
a) ......
|