DB14-T 2546-2022政府网站集约化平台 安全基本要求

ICS35.08014CCSL7314山 西 省 地 方 标 准DB14/T2546—2022政府网站集约化平台安全基本要求20222022093020221230山西省市场监督管理局  发布DB14/T2546DB14/T2546—2022DB14/T2546DB14/T2546—2022目 次前言 II范围 3规范性引用文件 3术语和定义 3安全物理环境 3网络安全 4安全防护 4数据备份与恢复 6II前 言本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。本文件由山西省政务信息管理局提出、组织实施和监督检查。本文件由山西省市场监督管理局对标准的组织实施情况进行监督检查。本文件由山西省电子政务信息标准化技术委员会归口。温静、刘东航、王忠民、王渊、邢玮琦。IIII政府网站集约化平台安全基本要求范围本文件适用于省、市、县（区）政府网站集约化平台的建设。规范性引用文件（包括所有的修改单适用于本文件。GB/T2887计算机场地通用规范GB/T9361计算机场地安全要求GB/T22240-2020信息安全技术信息系统安全保护等级定级指南GB/T25070-2019信息安全技术信息系统等级保护安全设计技术要求GB/T28454-2020信息技术安全技术入侵检测和防御系统（IDPS）的选择、部署和操作3术语和定义3术语和定义下列术语和定义适用于本文件。3.1政府网站3.2政府网站集约化平台3.3政府网站统一信息资源库4安全物理环境安全物理环境包括但不限于：a)机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录出入人员；3应将设备或主要部件进行固定，并设置明显的不易除去的标识；应将各类机柜、设施和设备等通过接地系统安全接地；机房应设置灭火设备；应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内；应在机房供电线路上配置稳压器和过电压防护设备。网络安全网络结构网络结构包括但不限于：政府网站集约化平台如采用主机托管或主机租用方式建设运行，应选择由当地政府集中建设的信创数据中心；GB/T31167政府网站集约化平台的网站服务程序、后台管理程序、数据库系统应分网络区域分开部署。网络性能网络性能包括但不限于：100Mbps/200MbpsHTTP/HTTPS100Mbps/200Mbps；政府网站集约化平台应采用负载均衡、分布式部署等方式实现多条互联网接入链路之间、多应用服务器之间、多数据库服务器之间等的负载均衡。安全防护入侵安全防范入侵安全防范包括但不限于：应遵循最小安装的原则，仅安装需要的组件和应用程序；应关闭不需要的系统服务、默认共享和高危端口；应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。数据库安全数据库安全包括但不限于：应选择国产安全数据库，并对数据库系统进行安全加固；数据库系统应遵循最小安装原则，仅安装应用必需的服务、组件等；4应及时修改数据库系统的默认密码或将默认账号锁定、删除，按照相应的基线配置要求对数据库系统进行配置。口令应由大小写字母、数字及特殊字符组成。普通用户的口令长度不宜1012应按照最小权限原则设计数据库角色和权限，并将相应账号分配给对应的用户，避免账号共用和权限滥用；VPCIPIP安全审计安全审计包括但不限于：在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；针对网站前台用户的注册、登录、关键业务操作等行为日志进行记录，内容包括但不限于用户姓名、手机号码、注册时间、注册地址、登录时间、登录地址、操作用户信息、操作时间、操作内容及操作结果等；针对网站后台内容管理用户的登录、网站内容编辑、审核及发布等行为进行日志记录，内容包括但不限于用户登录时间、登录地址以及编辑、审核及发布等行为发生时的用户信息、时间、地址、内容和结果等；针对网站及网站系统管理用户的登录、账号及权限管理等系统管理操作进行日志记录，内容包括但不限于网站用户登录时间、登录地址以及管理操作对象、操作内容、操作结果等；审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；能对远程访问的用户行为等单独进行行为审计和数据分析。身份鉴别身份鉴别包括但不限于：应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；应采用口令、密码技术、生物特征识别技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术应使用密码技术来实现。网页防篡改网页防篡改包括但不限于：应提供必要的防篡改服务，保证网站页面安全；应能够对网页文件被访问时进行完整性检查包括但不限于静态网页文件（HTML/CSS）、图像文件（GIF/JPG/PNG/BMP）、动态脚本文件（ASP/JSP/PL/PHP）、多媒体文件（WAV/MP3/FLS/MPEG（CGI/DLL/EXEURL中访问/下载的文件；5应能够对网站所有待写入文件、待发布文件进行检测、扫描以及审查，包括但不限于文件类型、网页外链、动态脚本、文字等；对被篡改页面应及时进行隔离，禁止访问并发出警告；应提供必要的风险预警与应急响应，并对篡改事件进行详细记录。其他安全防护要求其他安全防护要求包括但不限于：定期进行安全演练；应修改或删除默认账户，修改默认账户的默认口令应及时删除离职人员账户；应对重要功能开展源代码备份工作。数据备份与恢复数据备份与恢复包括但不限于：应提供重要数据的本地数据备份与恢复功能；应提供异地备份功能，利用通信网络将重要数据备份至备份场地；应提供重要数据处理系统的热冗余，保证系统的高可用性；应每周进行一次完全备份、每3个月实施一次备份恢复演练；e)针对内容发布等网站关键业务的