湖北省电子政务安全标准介绍

湖北省电子政务平安标准介绍

二00九年四月二十二日湖北中网科技刘刚杰三个平安标准DB42/T451—2021湖北电子政务权限管理与登录技术标准DB42/T452－2021湖北省电子政务数字证书技术应用标准DB42/T462－2021湖北省电子政务外网平安体系建设标准根底、框架、体系身份〔机构、个人、设备、应用〕如何进入、权限是什么三个平安标准DB42/T451—2021湖北电子政务权限管理与登录技术标准DB42/T452－2021湖北省电子政务数字证书技术应用标准DB42/T462－2021湖北省电子政务外网平安体系建设标准根底、框架、体系身份〔机构、个人、设备、应用〕如何进入、权限是什么目的为省、市、县三级电子政务建立信息平安保障体系提供依据和指导；保护网络系统、应用系统的可靠稳定运行，减少各种平安事件对信息系统的威胁和影响；保护重要数据的机密性、完整性及可用性；建立平安信任体系，建立基于角色的访问控制机制；促进各部门网络的互联互通、资源共享，促进电子政务的高效开展。目次1适用范围2标准性引用文件3术语和定义4电子政务网平安架构5机房及物理线路平安6网络平安本标准包括12局部：7系统平安8应用平安9数据容灾与恢复10平安信任体系11平安运维效劳体系12平安管理体系1、适用范围具体适用范围：省电子政务网核心网络；与省电子政务网相联接的厅局级单位的网络地市电子政务网、县级政务网；省、市、县各级的党委、政府、人大、政协、法院、检察院的与各级政务网相联接的网络。本标准适用于湖北省电子政务外网的网络系统、应用系统以及直接相联的信息系统的平安建设湖北省电子政务外网的定位非涉密的信息系统；根据公通字[2007]43号?信息平安等级保护管理方法?、?信息系统平安等级保护根本要求?；参照第三级的要求制定。平安信任体系：PKI及身份认证系统安全管理体系运维服务体系数据容灾与恢复网络

平安

系统

平安

应用

平安

机房物理线路平安4、平安总体架构安全信任体系：PKI及身份认证系统安全管理体系运维服务体系数据容灾与恢复网络

安全

系统

安全

应用

安全

机房物理线路安全平安管理体系是整个平安架构的根底，使平安问题可控可管；以平安技术为核心的技术措施(包括机房及物理线路平安、网络平安、系统平安、应用平安等)；平安信任体系建设：包括PKI及身份认证系统；数据容灾与恢复：后备保障措施，对付重大灾难性事件的网络系统重建；运行维护支持效劳：作为外部支撑条件，使平安问题能够及时有效地解决。5、机房及物理线路平安电子政务网络的根底设施主要是指对存放、支撑网络设备运行的物理环境设施及物理线路。机房平安物理线路平安6、网络平安平安域划分及原那么边界划分及保护策略路由交换平安防火墙网闸入侵检测

抗DDoS攻击虚拟专用网〔VPN〕平安日志流量管理网络监控与审计访问控制平安域划分平安域划分原那么针对网络内部不同的业务部门及应用系统平安需求，对其进行平安域规划，并按照这些平安功能需求设计和实现相应的平安隔离保护措施。主要分为：省级电子政务网的平安域市、县〔市、区〕级电子政务网的平安域网络平安边界划分及保护策略总策略允许高平安级别的平安域访问低级别的平安域限制低级别的平安域访问高平安级别的平安域不同平安域内局部区进行平安防护，做到平安可控几类边界省电子政务核心局域网与外部联接边界省直部门网络中心与电子政务网接入边界市州核心局域网与外部联接边界市州部门接入单位与市州电子政务网边界区县政务网接入边界省电子政务核心局域网与外部联接边界

——与会聚设备边界边界策略平安级别较高的区域平安级别较低的区域边界平安措施逻辑隔离；身份认证与授权；访问控制；流量管理；监控管理；访问审计；抗攻击；病毒过滤。Internet省电子政务核心局域网省电子政务核心局域网与外部联接边界

——与互联网的边界省电子政务核心局域网与外部联接边界

——与互联网的边界与互联网的边界应符合以下要求：应部署逻辑隔离措施，主要是防火墙隔离；允许互联网用户访问互联网门户网站相关效劳器的对外开放效劳；允许互联网移动办公公务员通过平安认证网关访问公务员门户网站，对于特殊需求可让其访问应用支撑效劳区的局部开放效劳、与其相关的业务系统效劳和相关的托管效劳；禁止访问与其不相关的应用和业务效劳；禁止互联网用户访问电子政务网络系统；关闭网络病毒相关端口，无特殊需要，禁止开放；应对进出省电子政务核心局域网的数据流进行监控、分析和审计；阻止网络协议数据包通过，但是可以以文件或任务形式完成信息传递；应阻止来自互联网的各种攻击。外网省级平台接入单位内部网络门户服务器前置服务器接入路由器防火墙接入单位DMZ交换机各部门网络与省级网络平台边界外网省级平台接入单位内部网络门户服务器前置服务器接入路由器防火墙接入单位DMZ交换机部署前置效劳器；部署防火墙设备；来自省级平台的访问请求，只允许访问前置效劳器；允许省直部门内部用户访问省级平台相关资源；根据需要开放防火墙的端口〔最小化原那么〕；不容许动态端口，不允许超过3个连续TCP/UDP端口，由电子政务办根据提交的网络应用情况开放接入防火墙端口；未上应用系统单位防火墙采取从严的平安策略，只开放HTTP、FTP、MAIL、PING和其它业务端口；关闭网络病毒相关端口，无特殊需要，禁止开放。其它平安策略。外网省级平台接入单位内部网络门户效劳器前置效劳器接入路由器防火墙接入单位DMZ交换机物理隔离设备〔网闸〕增加隔离网闸；接入单位平安级别差距较大〔高和低〕；接入单位网络平安级别要求较高，非涉密网的重要的网络采用此方式；用于数据摆渡。外网省级平台接入单位内部网络门户效劳器前置效劳器接入路由器防火墙接入单位DMZ交换机物理断开方式；特殊部门的网络。7、系统平安身份识别与认证帐户管理主机系统配置管理漏洞发现与补丁管理内核加固病毒防护桌面平安管理系统备份与恢复系统监控与审计访问控制系统平安主要内容通过合理地设置系统配置、效劳、权限、减少平安弱点。禁止不必要的应用及效劳，严格管理操作系统及应用软件的安装与使用；定期进行漏洞扫描，及时更新操作系统平安补丁，消除系统内核漏洞与后门；安装主机加固软件，强制进行权限分配，保证对系统的资源〔包括数据与进程〕的访问符合规定的主机平安策略，防止主机权限被滥用；建立账户管理制度，负责系统账号的登记造册、用户名分配、初始口令分配、用户权限分配、系统资源分配、注销等，并定期检查系统中的帐户分配情况，以及帐户权限设置的正确性；用户登录系统时应当进行身份鉴别，并对此过程进行记录；应对每台计算机设备实施有效地接入〔准入〕管理、资产管理和平安管理；能够对计算机终端状态、行为以及事件的管理与审计；终端设备行为与策略监控；终端设备的漏洞及补丁管理；应进行非法外联监控。病毒防护在结构上架设两级防病毒管理中心，采用三层体系架构方式。两级病毒管理中心指在省信息中心建立一个省级一级系统中心，在其下属各市州分别建立二级系统中心；三层体系架构指防病毒系统整体架构应具有管理控制中心、管理控制台、杀病毒客户端的三层结构。8、应用平安数据库平安邮件平安Web效劳平安应用系统平安平安要求应用平安要求身份识别与认证；访问权限设置与控制；数据备份；应用审计；垃圾邮件的防护，主页防篡改。应用平安－－审计具备应用审计、数据库审计功能；对数据、文件的删除和修改等行为进行监控审计，记录对数据库的操作，复原事件过程；能够记录事件源、事件发生的时间、事件操作结果、操作者的用户标识、IP地址、MAC地址和主机名等；当发生关键事件时，能够自动报警；SOX法案：“审计审计员〔以及相应的公司〕必须保存七年之内所有与审计有关的记录，其中包括电子记录〞；2021年6月28日，财政部、证监会、审计署、银监会、保监会联合发布了?企业内部控制根本标准?。9、数据容灾与恢复DB42/T450.3—2021湖北省电子政务根底设施标准第3局部：数据中心与容灾备份中心10、平安信任体系DB42/T452－2021湖北省电子政务数字证书技术应用标准11、平安运维效劳体系信息平安风险评估工作应急效劳平安监控与管理效劳其他平安效劳信息平安风险评估：是指依据国家有关信息平安技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等平安属性进行科学评价的过程，它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据平安事件发生的可能性和负面影响的程度来识别信息系统的平安风险。描述资产、脆弱性〔弱点〕、威胁和风险。威胁：可能对资产或单位造成损害的事故的潜在原因。脆弱性：资产或资产中能被威胁利用的弱点。风险：由于系统存在的脆弱性，人为或自然的威胁导致平安事件发生的可能性及其造成的影响。它由平安事件发生的可能性及其造成的影响这两种指标来衡量。黑客漏洞信息系统网站被篡改的可能性信息平安评估的三大作用明确信息系统的平安现状，从而明晰单位的平安需求。确定信息系统的主要平安风险，并选择防止、降低、接受等风险处置措施。指导信息系统平安技术体系与管理体系的建设，制定网络和系统的平安策略及平安解决方案，从而指导信息系统平安技术体系与管理体系的建设。信息平安风险评估工作对象：网络结构网络系统及设备应用系统管理制度人员意识与技能平安产品和技术应用状况平安事件处理能力方法：平安管理审计工具扫描网络架构评估应用系统评估主机设备和平台平安配置检查渗透测试和分析信息平安风险评估工作工具：网络脆弱性扫描工具网络负载分析工具压力测试工具入侵检测工具网络管理工具输出：资产评估报告脆弱性评估报告风险评估报告平安策略建议书平安方案建议书应急效劳应急响应的要求：设立应急响应中心合理安排应急响应人员；应针对各种可能情况制定合理的应急响应预案；确定应急事件的风险优先次序。对于高风险的应急事件，优先制定应急预案；完善应急预案所需的备用资源，包括备用的软件、设备以及人员；每种应急事件建立应急响应流程；按照应急预案应经常进行演练。其他平安效劳定期平安巡检方案平安加固效劳平安信息通告效劳平安培训12、平安管理体系建立平安组织机构湖北省电子政务网应建立信息平安领导小组，该小组是信息平安的最高决策机构。信息平安领导小组内应明确指定专人负责信息平安工作，应急处理工作，平安保卫工作。信息平安管理机构是负责信息平安的职能部门。各市州、各区县电子政务网均应成立信息平安领导小组，对湖北省电子政务信息平安领导小组负责

平安系统建设管理平安方案设计平安产品采购和使用(a)、应确保平安产品采购和使用符合国家的有关规定；(b)、确保密码产品采购和使用符合国家密码主管部门的要求。平安效劳商选择三个平安标准DB42/T451—2021湖北电子政务权限管理与登录技术标准DB42/T452－2021湖北省电子政务数字证书技术应用标准DB42/T462－2021湖北省电子政务外网平安体系建设标准根底、框架、体系身份〔机构、个人、设备、应用〕如何进入、权限是什么数字证书数字证书是一种权威的电子文档，用于证明在网络上进行信息交流及政务活动的各主体〔如人、设备等〕的身份。数字证书是PKI技术的关键要素，在PKI体系中，每个实体都有一对互相匹配的密钥：公钥和私钥。公钥用于加密或验证签名，私钥用于解密或签名。数字证书的作用〔1〕身份认证数字证书包括的主要内容有：证书拥有者的个人信息、公钥、公钥的有效期、颁发数字证书的CA、CA的数字签名等。所有上网双方经过相互验证数字证书后，不用再担忧对方身份的真伪，可以放心的与对方进行交流或授予相应的资源访问权限。〔2〕加密传输信息无论是文件、批文、还是合同、票据、协议、标书等，都可以经过加密后在Internet上传输，发送方用接收方的公钥对报文进行加密，接收方用自己的私钥进行解密，得到报文明文。〔3〕数字签名抗否性借助数字证书的数字签名来实现。数字签名不同书面签名的数字图像，而是在私有密钥控制下对报文本身进行密码变化形成的。数字签名能实现报文的防伪造和防抵赖。目次1范围2标准性引用文件3术语、定义和缩略语4数字证书格式5政务数字证书应用接口6政务数字证书业务规那么附录A:根本域说明附录B：扩展域说明附录C：政务数字证书模板1、范围本标准规定了政务数字证书的通用格式，规定了证书的格式和模板，对数字证书的应用体系和接口功能函数进行了定义，同时简要描述了数字证书的业务规那么，以及数字证书注册机构和受理点的建设，是湖北省电子政务数字证书应用的依据。适用于电子认证效劳机构、数字证书认证系统及相关产品的供给商、应用开发商的设计和开发。本标准适用于应用部门在湖北省电子政务的办公、社会管理和公共效劳等政务活动，也可适用于电子商务应用。3、术语、定义和缩略语CACertificationAuthority证书认证机构

负责创建和分配证书，受用户信任的权威机构。用户可以选择该机构为其创建密钥。PKIPublicKeyInfrastructure公钥基础设施

支持公钥管理体制的基础设施，提供鉴别、加密、完整性和不可否认性服务。KMC密钥管理中心（KMC）KeyManagementCentre密钥管理中心。主要负责数字证书用户密钥的生成和管理，解决系统密钥和数字证书用户密钥自产生到最终销毁的整个生命周期中的相关问题。GADC政务数字证书GovernmentAffairDigitalCertificate用来标识电子政务参与方真实身份的数字证书，根据参与方的不同类别分为认证机构证书、政务个人证书、政务机构证书、政务设备证书、政务服务器证书、政务应用系统证书、政务代码签名证书RARegistrationAuthority证书注册机构

RA是CA的组成部分，对证书申请的业务受理审核子系统概称为RA4、数字证书格式数字证书根本格式4、数字证书格式根本域由如下局部组成：·版本Version·序列号SerialNumber·签名算法SignatureAlgorithm·颁发者Issuer·有效期Validity·主体Subject·主体公钥信息SubjectPublicKeyInfo·颁发者唯一标识符IssuerUniqueID·主体唯一标识符SubjectUniqueID扩展项机构密钥标识符AuthorityKeyIdentifier·主体密钥标识符SubjectKeyIdentifier·密钥用法KeyUsage·扩展密钥用途ExtendedKeyUsage·私有密钥使用期PrivateKeyUsagePeriod·证书策略CertificatePolicies·策略映射PolicyMappings·主体替换名称SubjectAlternativeName·颁发者替换名称IssuerAlternativeName·主体目录属性SubjectDirectoryAttributes·根本限制BasicConstraints·名称限制NameConstraints·策略限制PolicyConstraints·证书撤销列表分发点CRLDistributionPoints·限制任意策略InhibitAnyPolicy·最新证书撤销列表FreshestCRL·机构信息访问AuthorityInformationAccess·主体信息访问SubjectInformationAccess4、数字证书格式数字证书根本格式分别介绍：认证机构证书；政务个人证书；政务机构证书；政务设备证书；政务效劳器证书；政务应用系统证书；政务代码签名证书。5、政务数字证书应用接口－数字证书应用体系结构5、政务数字证书应用接口－数字证书应用体系结构政务数字证书支持多种应用方式，可利用CA提供的数字证书应用程序接口进行定制开发，实现登录和身份认证等根本应用，也可应用已有标准协议和标准中间件。政务数字证书应用接口位于应用系统和政务数字证书之间，应用程序通过调用政务数字证书应用接口实现身份认证、实现信息的保密性、完整性和不可否认性；政务数字证书应用接口通过标准接口，在密码设备中实现具体的密码运算和密钥使用。6、政务数字证书业务规那么6.1政务数字证书签发RA业务管理员使用证书登录到RA系统的业务终端，查询并审核系统的申请记录。审核通过的信息将发送到证书认证机构的CA系统，CA系统签发证书并返回给RA系统供终端实体下载。6.2政务数字证书使用涉及到身份认证、数据传输、平安邮件、数据交换活动，通过本标准的应用接口与相关技术协议支持数字证书。涉及到各级政务门户的身份认证和登录应支持数字证书。在湖北省电子政务中，涉及到跨部门或跨市州的应用系统应使用数字证书。涉及到部门内部和市州内部系统宜使用数字证书。6.4政务数字证书载体对于政务设备证书、效劳器证书和应用系统证书，载体为设备硬盘或加密硬件设备。对于政务个人证书、机构证书和代码签名证书，载体为USBKey。注册机构和受理点在PKI体系中的位置证书注册机构逻辑结构图受理点逻辑图结构政务数字证书使用情况数字证书已经应用于省电子政务门户公务员平安登录和身份认证，以及省行政许可事项管理系统、省公众诉求信息处理系统、省固定资产投资工程管理系统、省企业投资工程备案管理系统和局部省直单位OA系统。还可应用于网上报税、网上工商营业执照年检、网上组织机构代码证年检、网上社保申报、企业实名认证和网上招投标等。三个平安标准DB42/T451—2021湖北电子政务权限管理与登录技术标准DB42/T452－2021湖北省电子政务数字证书技术应用标准DB42/T462－2021湖北省电子政务外网平安体系建设标准根底、框架、体系身份〔机构、个人、设备、应用〕如何进入、权限是什么

设备系统应用1（读写改）应用2（读写改）应用3（读写改）系统管理员√√

操作人员

√

开发人员

√

√

一般公务人员

√

处级公务人员

√√

厅局级公务人员

√√√错综复杂的访问关系：结构1范围2标准性引用文件3术语和定义4缩略语5访问控制体系框架6身份认证与登录机制7权限管理根底设施8访问控制附录A:基于角色的属性管理附录B：权限管理的体系结构1、范围本标准适用于：权限管理系统的设计、建设和检测，对于特殊需求的应用系统，可根据具体的业务需求和情况进行灵活配置。3、术语和定义；4、缩略语AAAttributeAuthority属性授权机构通过发布属性证书来分配权限的认证机构，也称属性管理机构。ADFAccesscontrolDecisionFunction访问控制判决功能对访问请求，使用访问控制策略规则而做出访问控制判决。ARAAttributeRegistrationAuthority属性注册机构由AA委派和授权，鉴别属性证书申请者，为申请者向AA提供属性证书签发申请，处理属性证书的业务请求PMCPrivilegeManagementCenter权限管理中心提供属性证书申请和管理、权限分配和管理、属性证书发布和管理的认证机构。PMIPrivilegeManagementInfrastructure权限管理基础设施支持授权服务的综合基础设施，与公钥基础设施有着密切的联系SOASourceofAuthority源机构为资源的权限验证者所信任的、位于顶层的分配权限的属性授权机构。5、访问控制体系框架－－整体框架登录机制身份认证PMI权限管理访问控制用户身份信息管理CA5、访问控制体系框架－－整体框架登录机制身份认证PMI权限管理访问控制用户身份信息管理CA访问控制的根底是登录机制和授权管理。访问控制整体框架以PMI作为网络信任体系根底设施，采用基于角色的访问控制模型，向用户或应用程序提供登录效劳和权限管理效劳，提供用户身份到应用授权的映射技术，提供与实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权访问控制机制，简化具体应用系统的开发与维护。5、访问控制体系框架－－权限管理体系框架访问请求访问控制执行单元AEF目标资源访问控制判决单元ADF执行访问请求定制策略签发属性证书属性权威AA环境信息策略规划库目标资源平安管理属性证书库源机构SOA权限委托委托AA进行权限管理申请AA代理功能6、身份认证与登录机制

6.1身份认证根据平安性要求确定登录机制是否采用身份认证。对于公众访问的互联网上的电子政务应用系统，不强制要求采用身份认证登录。在政务外网内的应用系统应直接或通过单点登录支持湖北省公务员数字证书的认证。

6.2登录机制集成到各级政务门户的应用系统应支持单点登录〔SingleSign-On，SSO〕。单点登录由单点登录认证效劳器提供效劳。该效劳器可单独部署，也可部署于省级或市级政务门户。6.3登录接口应用系统与单点登录认证效劳器之间的接口标准、参数、格式等。