DB1310T 344-2024数字乡村 数据中心网络数据安全管理规范

1310本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定坊分公司、中国电信集团有限公司廊坊分公司、中国广电数字乡村数据中心网络数据安全管理规范据安全要求、安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理。GB/T22239信息安全技术网络安全等级GB/T43697数据安全技术数据分类GB/T25069和GB/T43697界定的以及下列术语和定义适用于本文件。3.13.2筑物的一部分，包括主机房、辅助区、支持区和行政3.3为保障数据中心设备正常运行服务的配电系统、制冷系统、弱电监控系统、消防系统3.4用于防止非法入侵存放IT设备区域的防盗门、门禁、监控、安保3.53.6根据数据性质分为生产数据、个人数据、个人敏3.73.8数据在存储器（硬盘、磁带、光盘等）上处于静止状态3.93.104.2完整性4.3可用性5.1.5.1机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火。5.1.5.2机房及相关的工作房间和辅助房应采5.1.5.3应对机房划分区域管理，区域和5.1.6.1应采取措施防止雨水通5.1.6.2应采取措施防止机房内水蒸气结5.1.6.3应安装对水敏感的检测仪表或元件，5.1.7.2应采取措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等。5.1.8.1应设置温湿度自动调节设施，使机房温湿度的变化在5.1.8.2温湿度自动调节设施宜设置备用设施，维护或5.1.9.1应在机房供电线路上配置稳压器和过电压防护设备。5.1.9.2应提供短期备用电力供应，至少满足设备在断电情况下的正常运行要求。5.1.9.3应设置冗余或并行的电5.1.10.1电源线和通信线缆应隔离铺设，避免相互干扰。应采取符合国家档案管理和电子数据管理规定的措施，应对不同安全敏感级别的数据采用差异化安全存储，并做好6.1.1.3应划分不同的网络区域，并按照方便管理和6.1.1.4应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术6.1.1.5应提供通信线路、关键网络设备和6.1.2.1应采用校验技术或密码技术保证通信过程中数据的完整6.1.2.2应采用密码技术保证通信过程中数据的保6.2.1.1应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。6.2.1.2应能够对非授权设备私自联到内部网络的行为进行检查或限6.2.1.3应能够对内部用户非授权联到外部网络的行为进行检查或限6.2.1.4应限制无线网络的使用，保证无线网6.2.2.1应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受6.2.2.3应删除冗余或无效的访问控制规则，优化访问控制列表，6.2.2.4应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出。6.2.2.5应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能6.2.2.6应对进出网络的数据流实现6.2.3.1应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。6.2.3.2应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。6.2.3.3应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析。6.2.4.1应在关键网络节点处对恶意代码进行检测和清除，并维护6.2.4.2应在关键网络节点处对垃圾邮件进行检测和防护，并维护6.2.5.1应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重6.2.5.2应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。6.2.5.3应能对远程访问的用户行为、访问互联网的用户行为6.3.1.1应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求6.3.1.2应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自6.3.1.3当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。6.3.2.1应对登录的用户分配账户和6.3.2.3应及时删除或停用多余的、过期的账户，避免共享账户的存6.3.2.4应授予管理用户所需的6.3.2.5应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。6.3.2.6访问控制的粒度应达到主体为用户级6.3.2.7应对重要主体和客体设置安全标记，并控制6.3.3.1应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。6.3.3.2应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。6.3.3.3应对审计进程进行保护，防止未经授权的6.3.4.3应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制。6.3.4.4应提供数据有效性检验功能，保证通过入机接口输入或通过通信接口输入的内容符合系统设6.3.4.5应能发现可能存在的已知漏洞，并在6.3.4.6应能够检测到对重要节点进行入侵的行为，应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其6.3.7.1应采用校验技术或密码技术保6.3.7.2应采用校验技术或密码技术保6.3.8.1应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数6.3.8.2应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别教据、重要业务数6.3.9.2应提供异地实时备份功能，利用通信6.3.9.3应提供重要数据处理系统的热冗余，保证系统的高可用6.3.10.1应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除。6.3.10.2应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。6.3.11.1应仅采集和保存业务必需的用户个人信6.4.1.1应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并6.4.1.2应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配6.4.2.1应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并6.4.2.2应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略6.4.3.1应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并6.4.3.2应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统6.4.4.1应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控。6.4.4.2应能够建立一条安全的信息传输路径6.4.4.3应对网络链路、安全设备、网络设备6.4.4.4应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符6.4.4.5应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理。6.4.4.6应能对网络中发生的各类安全事件进行识别、报警和分7.1数据应依据重要程度以及发生丢失、泄露、篡改等事件的影响范围和程度进行分级分类管理。应7.2数据安全采集要求确需向境外提供的，应当按照国家数据出境相关法律法规谨慎7.2.3应对数据的合规性、完善性和真实性进行确认，应跟踪和记录数据收集过程，保障数据收集过7.3数据安全使用7.3.1应采取访问控制措施，确保相关工作人员只能访问职责所需的最少数据；对用户个人信息应当严格保密，任何人不得泄露、篡改或者毁损，不得出售或者非法向他7.3.2数据使用或披露前，涉及个人敏感信息的，应采用数据脱敏技术，确保开发测试环境中的数据7.3.3应记录对数据进行操作的人员、时间、地点、事项7.3.5应建立用户数据安全管控机制，设定安全管理策略，提供多用户之间的资源及应用7,4数据安全销毁7.4.1应建立针对敏感数据相关业务失效、用户退出服务、节点失效、过多备份、数据使用和试用结7.4.2应落实安全销毁措施，敏感数据需要进行销毁时，必须使用有效的数据销毁方法进行处理，对7.4.3针对逻辑销毁操作，需要为不同数据的存储方式制定相异的逻辑销毁方法，并确保数据的多个介质进行登记、审批、交接。严禁非法挪用存储介质，避免数据被违规留存或还7.5.1应将数据安全检查纳入年度信息安全检查工作要求中，并定期开展检查，检查范围包括业务数7.5.2应将数据安全教育纳入年度信息安全培训计划，对各岗位工作人员开展数据安全教育，提升全7.5.3应事前制定数据泄露排查方案，事中组织分析和排查，事后制定修补计划，减少数据泄露事件7.5.4应建立数据泄露事件分级处理数据安全事件产生重大影响的，安全责任部门将按照相关法律法规和工作人员违规行为处理办法等规8.2管理制度8.3制定和发布8.3.1应指定或授权专门的部门或人员负责安全管理制度的制定。8.4评审修订应定期为安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制9.1.2应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定9.1.3应设立系统管理员、审计管理9.2.1应配备一定数量的系统管理员、9.3授权和审批9.3.1应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等。9.3.2应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审9.4沟通合作9.4.1应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会9.4.2应加强与网络安全职能部门、各类供应商、业界专9.5.1应定期进行常规安全检查，检查内容包括系统日常运行、系9.5.2应定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的9.5.3应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结10.1人员录用10.2人员离岗件设备.10.3安全意识教育和培训10.3.1应对各类人员进行安全意10.3.2应针对不同岗位制定不同的培训计划，对安全基础知识、10.4外部人员访问管理10.4.1应在外部人员物理访问受控区11.1.1应以书面的形式说明保护对象的安全保护11.2安全方案设计11.2.1应根据安全保护等级选择基本安全措施，依据风险分析的11.2.2应根据保护对象的安全保护等级及与其他须特别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技术相关内容，并形成11.2.3应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和11.3产品采购和使用11.3.2应确保密码产品与服务的采购和使用符合11.4自行软件开发11.4.1应将开发环境与实际运行环境物理分开，11.4.6应对程序资源库的修改、更新、发布进行授权11.5外包软件开发11.6工程实施11.6.1应指定或授权专门的部门或11.7测试验收11.8系统交付11.8.1应制定交付清单，并根据交付清单对所交接的11.9等级测评11.10服务供应商选择12.1.2应建立机房安全管理制度，对12.2资产管理12.2.2应根据资产的重要程度对资产进行标识管理，根据资产的12.2.3应对信息分类与标识方法12.3介质管理12.4设备维护管理12.4.1应对各种设备（包括备份和冗余设备）线路等指定专门的部门12.4.3信息处理设备应经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其12.5漏洞和风险管理12.5.1应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能12.6网络和系统安全管理12.6.1应划分不同的管理员角色进行网络和系统的运维管理，明12.6.2应指定专门的部门或人员进行账户管理，对申请账户、建立账12.6.4应制定重要设备的配置和操作手册，依据手册对设备12.6.5应详细记录运维操作日志，包12.6.6应指定专门的部门或人员对日12.6.10应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网12.7恶意