《核能行业网络安全等级保护实施指引 第2部分：云计算安全扩展要求》（征求意见稿）

1GB/T22239-2019信息安全技术网络安全等级保护基本GB/T22240-2020信息安全技术网络安全等级保护定级GB/T25058-2019信息安全技术网络安全等级保护实施GB/T25070-2019信息安全技术网络安全等级保护安全设计技术GB/T39786-2021信息安全技术信息系统密码应用基本HABD-004/02核安保导则核设HABD-004/03核安保导则核设施网络安TCNEA006.4-2021核电厂无线通JR/T0071.2-2020金融行业3.1移动互联mobilecomm采用无线通信技术将移动终端接入有线网络的过程。[GB/T22239—2019,定义3.9]移动终端是指在移动业务中使用的终端设备，包括智能手机、平板电脑、个人电脑等通用终端和专用终端设备。[GB/T22239—2019,定义3.10]3.3移动应用软件mobileap针对移动终端开发的应用软件。[GB/T22239—2019,定义3.13]23.4无线接入网关wirelessaccessg部署在无线网络与有线网络之间，对有线网络进行安全防护的设备。[GB/T22239—2019,定义3.12]3.5无线接入设备wirelessaccess采用无线通信技术将移动终端接入有线网络的通信设备。[GB/T22239—2019,定义3.11]3.6移动终端管理系统mobiledevicemanagement用于进行移动终端设备管理、应用管理和内容管理的专用软件，包括客户端软件和服务端[GB/T22239—2019,定义3.14]运行的程序与系统之间的隔离空间，程序对系统所做的修改，都不会真正地去触及系统，从而避免程序对设备的其它程序和数据造成永久性的修改或造成破坏。结合核能行业单位安全分区实际情况，用于接收或处理运行维修密切相关数据的专用网络，安全层级介于生产控制网络和管理办公区之间。例如实时数据管理网络。根据核能行业单位业务和安全需求，限定使用范围的专用移动终端。4缩略语4G:第四代移动通信技术（4thGenerationMobileCommunicationTechnol5G:第五代移动通信技术（5thGenerationMobileCommunicationTe15.1移动互联等级保护对象采用移动互联技术等级保护对象与传统等级保护对象的区别在于移动终端可以通过无线方式接入5.2移动互联技术等级保护要素25.3移动互联技术等级保护对象定级5.4移动互联技术增强性安全要求参见GB/T22239-2019《信息安全技术网络安全等级保护基本b)应避免系统无线信号对核能行业单位在用的仪控、电气等设备产生电磁干扰，具体要求应参照TCNEA006.4-2021核电厂无线通信系统技术与管理规范第4部分：电磁兼容b)应保证无线接入网关和无线接入设备的带宽满足业务高峰期需要。（新增）d)单位生产管理专网如需使用移动互联技术，宜建立内部专用无线不低于所访问业务系统等保定级的安全隔离措施。;e)单位管理办公网络如建立无线通信，应根据工作需要建立专网，与a)应保证无线通信过程中数据的保密性；（新增）a)应保证单位有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备和边界网络位字符并且由数字、字母和特殊字符两种或两种以上进行组合；（增强）a)应能够检测到非授权无线接入设备和非授权移动终端的a)应对移动终端登录、移动终端管理系统登录及其他系统级应用登录进行身份鉴别；（新增）；（c)用户身份鉴别信息丢失或失效时，应采用鉴别信息重置或其他技术措施保证系统安全新4a)应保证移动终端安装、注册并运行终端管理客户端软件；（新增）b)应只允许可靠证书签名的应用软件安装和运行。b)应限制用户或进程对移动终端系统资源的最大使用限度，防止移动终端被提权；（新增）c)应具有应用软件权限控制功能，应能控制应用软件对移动终端中资源的访问；（新增）；（b)应能够发现用户权限异常改变的情况；（新增）；（a)应启用移动终端安全审计功能，对终端用户重要操作及重要安全事件进行审计；（新增）b)移动终端审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；（新增）c)应对移动终端审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。（新移动终端应安装防恶意代码软件，并定期进行恶意代码扫描，及时更新防恶意参见GB/T22239-2019《信息安全技术网5a)应对移动互联安全设备运维操作人员执行的日常维护操作建立操作规程，维护操作行为应通过中间机，并能对这些操作进行审计。（增强）应对单位内部员工和驻场协作单位人员进行移动互联安全风险意识教育，并告知相关的安全责任和惩戒措施。（增强）a)应根据等级保护对象的安全保护等级同步进行移动互联安全方案设计，设计的安全防护等级c)应委托第三方机构对移动应用软件的安全性进行测试，测试内容包括防反编译测试、组件安a)应要求实施人员按照“同时设计、同时施工、同时投产使用”要求，同步开展系统工程实施6a)应确保移动终端在报废或重用前应进行完全清除或被安全覆盖，确保该设备上b)应避免系统无线信号对单位在用的仪控、电气等设备产生电磁干扰增强）c)应避免系统无线信号覆盖到核能行业单位（以下简称单位）工作区域外新增）a)应保证无线接入网关和设备的处理能力满足业务高峰期需要；（新增）c)单位管理办公网络如建立无线通信，应根据工作需要建立无线专网，与其他网络之间边界设置不低于需访问业务系统的安全级。a)应在移动终端和移动管理服务器之间建立安全的信息传输通道，并进行双向认证；（新增）b)应保证无线通信过程中数据的完整性和保密性新增）；（7a)应保证单位有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备和边界网络且由数字、字母和特殊字符两种或两种以上进行组合；（增强）d)应在有线网络与无线网络边界根据访问控制策略设置访问控制规则，默认情况下，除允许通信外，拒绝所有通信新增）f)应能够检测并阻断非授权无线接入设备或非授a)应对移动终端用户登录、移动终端管理系统登录及其他系统级应用登录进行身份鉴别新；（c)用户身份鉴别信息丢失或失效时，应采用鉴别信息重置或其他技术措施保证系统安全新d)应对同一用户选择两种或两种以上的鉴别技术来进行身份鉴别。如静态口令结合动态口令，8b)应只允许指定证书签名的应用软件安装和运行；；（c)应根据单位人员情况，对访问无线网络的角色分类授权，至少应包含：无线网络管理、内部；（b)应能够发现用户权限异常改变的情况；（新增）c)移动终端应用软件应对软件接口进行保护，防止其他应用对客户端应用软件接口进行非授权；（e)应能发现系统移动终端、无线接入设备、无线接入网关设备可能存在；（f)移动终端应用软件的代码应使用代码加壳、代码混淆、检测调试器等手段对客户端应用软件；（b)移动终端审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；（新增）c)应对移动终端审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等新9a)应支持移动业务应用软件仅运行在沙箱内，防止被恶意代码攻击。（新增）a)应确保核能行业工作相关移动应用软件数据文件所在的存储空间，被释放或重新分配前可得；（b)应对移动终端访问行业单位的下载数据采取沙箱等安全措施，终端退出应用后，删除相关数参见GB/T22239-2019《信息安全技术应对移动互联安全设备运维操作人员执行的日常维护操作建立操作规程，维护操应设立移动互联管理员等岗位，并定义其工作岗位的职责。（新增）应指定专人负责单位内移动终端设备的管理。（新b)应对移动终端管理服务端管理员进行专项安全意识教育和岗位技能培训，并告知相关的安全a)应根据移动终端需要访问的系统的的安全保护等级选择移动互联安全措施，依据风险分析的；（b)应根据安全保护等级进行移动互联安全方案设计，并纳入系统总体方案设计新增）移动c)应组织相关部门和安全专家对系统移动互联安全方案设计进行论证和审定，经过批准后才能b)应保证移动终端安装、运行的应用软件已通过第三方安全检测机构检测认证。c)应要求应用软件开发使用的工具来源可靠；（新增）a)应要求实施人员按照“同时设计、同时施工、同时投产使用”要求，同步开展系统工程实施d)应委托第三方检测机构对移动应用软件的安全性进行测试，测试内容包括防反编译测试、组a)应编制并保存单位配发的定制移动终端资产清单，包括资产责任部门、重要程度和使用人等b)应根据资产的重要程度对单位配置的定制平板电脑等移动终端进行标识管理；（新增）c)根据数据的信息敏感度制定分级的数据安全策略，通过基于设备和应用的安全策略，保证内a)应确保定制移动终端在报废或重用前应进行完全清除或被安全覆盖，确保该设备上的敏感数；（b)应在移动终端设备丢失后对工作相关的数据进行远程擦除。（新增）a)应记录和保存移动终端基本配置信息，包括操作系统、软件组件版本、移动终；（核能行业移动互联应