GB/T 25070-2019信息安全技术网络安全等级保护安全设计技术要求

ICS35040

L80.

中华人民共和国国家标准

GB/T25070—2019

代替

GB/T25070—2010

信息安全技术

网络安全等级保护安全设计技术要求

Informationsecuritytechnology—

Technicalrequirementsofsecuritydesignforclassifiedprotectionofcybersecurity

2019-05-10发布2019-12-01实施

国家市场监督管理总局发布

中国国家标准化管理委员会

GB/T25070—2019

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

缩略语

4……………………3

网络安全等级保护安全技术设计概述

5…………………4

通用等级保护安全技术设计框架

5.1…………………4

云计算等级保护安全技术设计框架

5.2………………4

移动互联等级保护安全技术设计框架

5.3……………5

物联网等级保护安全技术设计框架

5.4………………6

工业控制等级保护安全技术设计框架

5.5……………7

第一级系统安全保护环境设计

6…………8

设计目标

6.1……………8

设计策略

6.2……………8

设计技术要求

6.3………………………9

第二级系统安全保护环境设计

7…………11

设计目标

7.1……………11

设计策略

7.2……………11

设计技术要求

7.3………………………12

第三级系统安全保护环境设计

8…………16

设计目标

8.1……………16

设计策略

8.2……………17

设计技术要求

8.3………………………17

第四级系统安全保护环境设计

9…………25

设计目标

9.1……………25

设计策略

9.2……………25

设计技术要求

9.3………………………25

第五级系统安全保护环境设计

10………………………34

定级系统互联设计

11……………………34

设计目标

11.1…………………………34

设计策略

11.2…………………………34

设计技术要求

11.3……………………35

附录资料性附录访问控制机制设计

A()………………36

Ⅰ

GB/T25070—2019

附录资料性附录第三级系统安全保护环境设计示例

B()……………38

附录资料性附录大数据设计技术要求

C()……………42

参考文献

……………………45

Ⅱ

GB/T25070—2019

前言

本标准按照给出的规则起草

GB/T1.1—2009。

本标准代替信息安全技术信息系统等级保护安全设计技术要求与

GB/T25070—2010《》,

相比主要变化如下

GB/T25070—2010,:

将标准名称变更为信息安全技术网络安全等级保护安全设计技术要求

———《》;

各个级别的安全计算环境设计技术要求调整为通用安全计算环境设计技术要求云安全计算

———、

环境设计技术要求移动互联安全计算环境设计技术要求物联网系统安全计算环境设计技术

、、

要求和工业控制系统安全计算环境设计技术要求

;

各个级别的安全区域边界设计技术要求调整为通用安全区域边界设计技术要求云安全区域

———、

边界设计技术要求移动互联安全区域边界设计技术要求物联网系统安全区域边界设计技术

、、

要求和工业控制系统安全区域边界设计技术要求

;

各个级别的安全通信网络设计技术要求调整为通用安全通信网络设计技术要求云安全通信

———、

网络设计技术要求移动互联安全通信网络设计技术要求物联网系统安全通信网络设计技术

、、

要求和工业控制系统安全通信网络设计技术要求

;

删除了附录中的子系统间接口和重要数据结构增加了第三级系统可信验

———BB.2“”B.3“”,B.4“

证实现机制

”。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别这些专利的责任

。。

本标准由全国信息安全标准化技术委员会提出并归口

(SAC/TC260)。

本标准起草单位公安部第一研究所北京工业大学北京中软华泰信息技术有限责任公司中国电

:、、、

子信息产业集团有限公司第六研究所中国信息通信研究院阿里云计算技术有限公司中国银行股份

、、、

有限公司软件中心公安部第三研究所国家能源局信息中心中国电力科学研究院有限公司中国科学

、、、、

院软件研究所工业和信息化部计算机与微电子发展研究中心中国软件评测中心中国科学院信息工

、()、

程研究所启明星辰信息技术集团股份有限公司浙江中烟工业有限责任公司中央电视台北京江南天

、、、、

安科技有限公司华为技术有限公司北京航空航天大学北京理工大学北京天融信网络安全技术有限

、、、、

公司北京和利时系统工程有限公司青岛海天炜业过程控制技术股份有限公司北京力控华康科技有

、、、

限公司石化盈科信息技术有限责任公司北京华大智宝电子系统有限公司山东微分电子科技有限公

、、、

司北京中电瑞铠科技有限公司北京广利核系统工程有限公司北京神州绿盟科技有限公司

、、、。

本标准主要起草人蒋勇李超李秋香赵勇袁静徐晓军宫月吴薇黄学臻陈翠云刘志宇

:、、、、、、、、、、、

陈彦如王昱镔张森卢浩吕由林莉徐进傅一帆丰大军龚炳铮贡春燕霍玉鲜范文斌魏亮

、、、、、、、、、、、、、、

田慧蓉李强李艺沈锡镛陈雪秀任卫红孙利民朱红松阎兆腾段伟恒孟雅辉章志华李健俊

、、、、、、、、、、、、、

李威顾军陈卫平琚宏伟陈冠直胡红升陈雪鸿高昆仑张钅朋张敏李昊王宝会汤世平雷晓锋

、、、、、、、、、、、、、、

王弢王晓鹏刘美丽陈聪刘安正刘利民龚亮华方亮石宝臣孙郁熙巩金亮周峰郝鑫梁猛

、、、、、、、、、、、、、、

姜红勇冯坚黄敏张旭武石秦孙洪涛

、、、、、。

本标准所代替标准的历次版本发布情况为

:

———GB/T25070—2010。

Ⅲ

GB/T25070—2019

引言

信息安全技术信息系统等级保护安全设计技术要求在开展网络安全等级

GB/T25070—2010《》

保护工作的过程中起到了非常重要的作用被广泛应用于指导各个行业和领域开展网络安全等级保护

,

建设整改等工作但是随着信息技术的发展在适用性时效性易用性可操作性

,,GB/T25070—2010、、、

上需要进一步完善

。

为了配合中华人民共和国网络安全法的实施同时适应云计算移动互联物联网工业控制和大

《》,、、、

数据等新技术新应用情况下网络安全等级保护工作的开展需对进行修订修订

、,GB/T25070—2010,

的思路和方法是调整原国家标准的内容针对共性安全保护目标提出通用的安全

GB/T25070—2010,

设计技术要求针对云计算移动互联物联网工业控制和大数据等新技术新应用领域的特殊安全保

,、、、、

护目标提出特殊的安全设计技术要求

。

本标准是网络安全等级保护相关系列标准之一

。

与本标准相关的标准包括

:

信息安全技术信息系统安全等级保护实施指南

———GB/T25058;

信息安全技术信息系统安全等级保护定级指南

———GB/T22240;

信息安全技术网络安全等级保护基本要求

———GB/T22239;

信息安全技术网络安全等级保护测评要求

———GB/T28448。

在本标准中黑体字部分表示较低等级中没有出现或增强的要求

,。

Ⅳ

GB/T25070—2019

信息安全技术

网络安全等级保护安全设计技术要求

1范围

本标准规定了网络安全等级保护第一级到第四级等级保护对象的安全设计技术要求

。

本标准适用于指导运营使用单位网络安全企业网络安全服务机构开展网络安全等级保护安全技

、、

术方案的设计和实施也可作为网络安全职能部门进行监督检查和指导的依据

,、。

注第五级等级保护对象是非常重要的监督管理对象对其有特殊的管理模式和安全设计技术要求所以不在本标

:,,

准中进行描述

。

2规范性引用文件

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

。,()。

计算机信息系统安全保护等级划分准则

GB17859—1999

信息安全技术信息系统安全等级保护定级指南

GB/T22240—2008

信息安全技术术语

GB/T25069—2010

信息安全技术云计算服务安全指南

GB/T31167—2014