ICS點擊此處添加ICS號

CCS點擊此處添加CCS號

團體標準

T/CPUMTXXXX—XXXX

智慧營區(qū)安全要求

Wisdomcamp—Securityrequirements

（草案）

在提交反饋意見時，請將您知道的相關(guān)專利連同支持性文件一并附上。

版權(quán)所有歸屬于該標準的發(fā)布機構(gòu)，除非有其他規(guī)定，否則未經(jīng)許可，此發(fā)行物及其章節(jié)

不得以其他形式或任何手段進行復(fù)制、再版或使用，包括電子版，影印件，或發(fā)布在互聯(lián)網(wǎng)及內(nèi)部網(wǎng)絡(luò)

等。使用許可可于發(fā)布機構(gòu)獲取。

XXXX-XX-XX發(fā)布XXXX-XX-XX實施

中國和平利用軍工技術(shù)協(xié)會發(fā)布

T/CPUMTXXXX—XXXX

智慧營區(qū)安全要求

1范圍

本文件規(guī)定了智慧營區(qū)信息系統(tǒng)安全保密建設(shè)的基本要求、安全保密架構(gòu)、防護要求、防護等級調(diào)

整變更等安全要求。

本文件適用于部隊或項目單位智慧營區(qū)信息安全設(shè)計工作，為智慧營區(qū)管理人員、工程技術(shù)人員等

進行信息安全建設(shè)提供管理和技術(shù)參考。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T2887—2011計算機場地通用規(guī)范

GB/T22239—2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求

GB/T34942—2017信息安全技術(shù)云計算服務(wù)安全能力評估方法

3術(shù)語和定義

GB/T22239—2019、GB/T34942—2017界定的以及下列術(shù)語和定義適用于本文件。

3.1

營區(qū)camp

位置固定、界線明確、建有供軍隊單位住用的房屋，并由軍隊單位組織管理的區(qū)域。

注：營區(qū)由營房建筑、給排水設(shè)施、供電設(shè)施、供暖設(shè)施、綠化設(shè)施、環(huán)保設(shè)施、消防設(shè)施、場地、營區(qū)道路等組

成，按住用單位性質(zhì)分為機關(guān)、部隊、院校、科研院（所）、醫(yī)院（療養(yǎng)院）、后方倉庫和機場、碼頭，以及

干部休養(yǎng)所、海外維和等軍事單位營區(qū)；按使用功能分為軍事行政區(qū)和家屬生活區(qū)兩部分。

[來源：中國大百科全書·軍事有修改]

3.2

智慧營區(qū)wisdomcamp

綜合運用云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動互聯(lián)、人工智能、數(shù)字孿生、虛擬現(xiàn)實等先進信息技術(shù)，

構(gòu)建物理空間、信息空間和認知空間有機銜接的營區(qū)環(huán)境，并通過智能化感知、控制、管理、互動反饋、

數(shù)據(jù)分析和多維全景展示等手段，為營區(qū)人員提供任何時間、任何地點的資源獲取和服務(wù)。

[來源：GB/T36342—2018，3.2，有修改]

3.3

智慧營區(qū)信息系統(tǒng)wisdomcampinformationsystem

基于智能感知、識別、分析、控制等技術(shù)，通過新建、改造、集成營區(qū)各類基礎(chǔ)設(shè)施，融合相關(guān)功

能系統(tǒng)和信息資源，構(gòu)建形成集信息全域感知、數(shù)據(jù)融合共享、信息應(yīng)用支撐、智能輔助決策等功能于

一體，以營區(qū)日常管理為主要內(nèi)容的計算機信息系統(tǒng)。

注：按層次可分為系統(tǒng)、分系統(tǒng)（子系統(tǒng)）、功能模塊和功能點位。

3.4

物聯(lián)感知網(wǎng)IoTsensingnetwork

通過多種感知設(shè)備把營區(qū)實體與網(wǎng)絡(luò)連接起來，并按約定協(xié)議進行信息交換和通信，以實現(xiàn)智能化

識別、定位、跟蹤、監(jiān)控、管理和服務(wù)的一種網(wǎng)絡(luò)。

[來源：GB/T33745—2017，2.1.1，有修改]

1

T/CPUMTXXXX—XXXX

3.5

物理隔離physicalisolation

被隔離網(wǎng)絡(luò)與網(wǎng)絡(luò)，網(wǎng)絡(luò)和設(shè)備之間沒有有線或無線實體連接，雙方數(shù)據(jù)導(dǎo)入導(dǎo)出不存在任何事前

協(xié)商交換的邏輯關(guān)系。

3.6

邏輯隔離logicisolation

被隔離雙方之間的數(shù)據(jù)交換在保證有線或無線連接的情況下，通過事先協(xié)商的邏輯關(guān)系，僅被要求

的信息可以傳輸。

3.7

可信根rootoftrust

始終以預(yù)期的方式運行的單元。是系統(tǒng)的可信基點，也是實施安全控制的基點。

注：完整的可信根集至少具有一組最小的功能，以便能夠描述影響平臺可信度量的平臺特性。

[來源：GB/T29829—2022,3.22]

4縮略語

下列縮略語適用于本標準。

HTTPS：超文本傳輸安全協(xié)議（HypertextTransferProtocolSecure）

MAC：媒體訪問控制（MediaAccessControl）

SSH：安全外殼協(xié)議（SecureShell）

TC：瘦客戶機（ThinClient）

VPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork）

5基本要求

通過“人防、技防、物防”手段的綜合運用，以及與智慧營區(qū)信息系統(tǒng)安全防護管理分系統(tǒng)建設(shè),

實現(xiàn)對網(wǎng)內(nèi)安全防護資源的統(tǒng)一管理調(diào)度、安全策略的統(tǒng)一制發(fā)、安全態(tài)勢的統(tǒng)一撐控和異常情況的實

時告警、安全問題的聯(lián)動處置、違規(guī)行為的審計追溯，確保系統(tǒng)安全、穩(wěn)定、可靠運行。

a)科學(xué)性

從智慧營區(qū)信息系統(tǒng)建設(shè)需求出發(fā)，從嚴把控系統(tǒng)建設(shè)規(guī)模，強化穩(wěn)定性、安全性設(shè)計，同時基于

系統(tǒng)安全防護等級要求，科學(xué)選配網(wǎng)絡(luò)安全防護設(shè)備，合理組織網(wǎng)絡(luò)安全策略運用，力爭通過網(wǎng)絡(luò)化思

維理念、實用化防護技術(shù)的落地，打造規(guī)模有限、安全可保、應(yīng)用便捷的安全應(yīng)用系統(tǒng)。

b)安全性

嚴格落實軍隊網(wǎng)絡(luò)安全管理規(guī)定，抓好網(wǎng)絡(luò)安全和跨網(wǎng)域信息傳輸安全防護設(shè)計，按規(guī)定層級組織

好系統(tǒng)安全防護設(shè)計評審和系統(tǒng)建設(shè)完成后的安全檢測評估，以及日常應(yīng)用管理工作，全面落實系統(tǒng)全

生命周期安全管理要求，適時開展安防技術(shù)應(yīng)用與系統(tǒng)功能迭代。

c)可行性

安全設(shè)備加裝和策略運用與系統(tǒng)防護等級相適應(yīng)、與用戶需求相匹配，不片面追求安全設(shè)備軟硬件

配置的高指標，不降低網(wǎng)絡(luò)響應(yīng)速度、不改變用戶使用習(xí)慣，確保實用、管用、好用。

6安全保密架構(gòu)

安全保密架構(gòu)應(yīng)按T/CPUMTAAAA中的要求。

7防護要求

7.1概述

計算機信息系統(tǒng)安全防護通常劃分為五個等級。

2

T/CPUMTXXXX—XXXX

a)一級。辦理與工作無關(guān)事項、存儲處理傳輸公開信息的信息系統(tǒng)。

b)二級。辦理與日常工作有一定關(guān)聯(lián)事項、存儲處理傳輸內(nèi)部信息的信息系統(tǒng)。

c)三級。辦理日常業(yè)務(wù)事項、存儲處理傳輸秘密級信息的信息系統(tǒng)。

d)四級。辦理重要業(yè)務(wù)事項、存儲處理傳輸機密級信息的信息系統(tǒng)。

e)五級。辦理核心業(yè)務(wù)事項、存儲處理傳輸絕密級信息的信息系統(tǒng)。

不同的防護等級，需不同的軟硬件安全保密設(shè)備配置和不同的安全保密策略運用。智慧營區(qū)信息系

統(tǒng)是以物聯(lián)感知應(yīng)用為重點，相對獨立的營區(qū)日常管理信息系統(tǒng)，存儲、處理、傳輸?shù)臄?shù)據(jù)均為營區(qū)有

限范圍的內(nèi)部信息。

本文件將作為智慧營區(qū)信息系統(tǒng)安全防護的基本形態(tài)，按二級防護等級要求從物理（電磁）安全、

感知安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)安全、應(yīng)用安全、用戶安全、安全管理等方面提出基本安全保密

要求，并為后續(xù)可能進行的防護等級調(diào)整奠定基礎(chǔ)。

7.2物理(電磁)安全

7.2.1機房環(huán)境

具有溫濕度控制和防塵、防靜電、防水、防火、防雷電，以及穩(wěn)定電力供應(yīng)、人員出入管控等措施。

7.2.2設(shè)備選用

符合國家或軍隊國產(chǎn)自主可控要求；服務(wù)器、存儲器、終端、網(wǎng)絡(luò)設(shè)備等，根據(jù)用戶需求選用軍隊

或地方目錄內(nèi)產(chǎn)品；云計算、大數(shù)據(jù)系統(tǒng)產(chǎn)品和安全網(wǎng)關(guān)、防火墻等安全防護產(chǎn)品應(yīng)通過軍隊或地方權(quán)

威機構(gòu)測評認證。

7.2.3電磁安全

信息設(shè)備與非信息設(shè)備單獨供電，不能單獨供電時采取濾波隔離措施。

7.3感知安全

7.3.1設(shè)備選用

物聯(lián)網(wǎng)設(shè)備應(yīng)選用國產(chǎn)品牌，相關(guān)安全防護產(chǎn)品應(yīng)通過國家或軍隊權(quán)威機構(gòu)測評認證。

7.3.2設(shè)備接入

感知終端接入應(yīng)具備接入控制、協(xié)議變換、身份標識和鑒別功能。

7.3.3安全區(qū)劃分

感知層、傳輸層、應(yīng)用層應(yīng)單獨劃分安全區(qū)，各安全區(qū)之間采取相應(yīng)訪問控制措施，保證跨越安全

區(qū)的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進行通信。

7.3.4網(wǎng)絡(luò)應(yīng)用

具備身份認證、授權(quán)控制、角色管理和日志審計等功能。

7.3.5端口配置

應(yīng)禁用網(wǎng)絡(luò)設(shè)備空閑端口，感知終端Wi-Fi、藍牙等冗余無線模塊。

7.3.6訪問控制

感知安全應(yīng)設(shè)置訪問控制，具體應(yīng)符合下列要求：

a)應(yīng)在防火墻和物聯(lián)感知安全接入網(wǎng)關(guān)之間按需設(shè)置嚴格的訪問控制規(guī)則；

b)應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表。

7.3.7威脅監(jiān)控

3

T/CPUMTXXXX—XXXX

應(yīng)在感知層、傳輸層、應(yīng)用層等交換節(jié)點采取非法入侵監(jiān)控措施，對惡意通信與代碼實現(xiàn)深度包檢

測。

7.3.8數(shù)據(jù)存儲

物聯(lián)感知數(shù)據(jù)存儲應(yīng)單獨劃分安全區(qū)域。

7.3.9安全管理

具備入網(wǎng)設(shè)備類型、數(shù)量監(jiān)控統(tǒng)計、網(wǎng)上傳輸消息、指令等異常發(fā)現(xiàn)、鑒別、報警等功能。

7.4網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全應(yīng)符合下列要求：

a)智慧營區(qū)信息系統(tǒng)與營區(qū)辦公、業(yè)務(wù)網(wǎng)等邏輯隔離，相關(guān)數(shù)據(jù)通過防火墻等協(xié)議控制達成；

與地方政務(wù)網(wǎng)等物理隔離，相關(guān)數(shù)據(jù)傳輸按軍地協(xié)調(diào)機制辦理；

b)智慧營區(qū)信息系統(tǒng)可按工作性質(zhì)劃分若干個安全區(qū)域，服務(wù)器（含物理機和虛擬機）應(yīng)單獨

劃設(shè)，大數(shù)據(jù)系統(tǒng)服務(wù)器除單獨劃分安全區(qū)域外，還應(yīng)分開設(shè)置系統(tǒng)管理端口和應(yīng)用端口；

c)交換機端口與用戶計算機MAC地址綁定，同時封控空閑端口，嚴格控制外部設(shè)備接入；

d)網(wǎng)絡(luò)出口加裝防火墻以及入侵檢測、漏洞掃描、安全審計等設(shè)備，關(guān)閉不需要的服務(wù)、默認

共享和高危端口；并按規(guī)定制發(fā)使用安全策略，對網(wǎng)絡(luò)邊界和服務(wù)器區(qū)域攻擊行為、違規(guī)行

為采取監(jiān)視、報警、審計和控制處理措施；

e)云計算系統(tǒng)的管理網(wǎng)、資源層和應(yīng)用層之間，以及不同虛擬資源集群之間應(yīng)邏輯隔離，禁止

虛擬機通過網(wǎng)絡(luò)訪問宿主機資源；

f)云計算系統(tǒng)云主機、服務(wù)器層面采取進程級訪問關(guān)系監(jiān)控與管理措施。

7.5系統(tǒng)安全

系統(tǒng)安全應(yīng)符合下列要求：

a)云主機、服務(wù)器、虛擬機安裝并更新主機一體化安全防御軟件，終端設(shè)備安裝并及時更新網(wǎng)

絡(luò)版防病毒軟件及病毒庫；物理機、虛擬機操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件等基礎(chǔ)軟件

應(yīng)有較完備的售后技術(shù)支持與服務(wù)；

b)服務(wù)器、終端應(yīng)安裝主機安全管理類軟件，使用電子鑰匙登錄，禁用外聯(lián)設(shè)備端口，監(jiān)控外

設(shè)使用、網(wǎng)絡(luò)訪問、文件操作等行為；

c)數(shù)據(jù)庫訪問操作及數(shù)據(jù)導(dǎo)入、導(dǎo)出和共享應(yīng)按最小化知悉原則進行，且有身份認證、授權(quán)控

制、監(jiān)控統(tǒng)計、日志審計等措施。

7.6數(shù)據(jù)安全

數(shù)據(jù)安全應(yīng)符合下列要求：

a)不存儲、處理和傳輸秘密、機密、絕密級信息；

b)具有重要數(shù)據(jù)的備份與恢復(fù)能力；

c)具有虛擬機遷移過程的數(shù)據(jù)完整性保護能力，及時清除虛擬機內(nèi)存和存儲空間回收時的數(shù)據(jù)，

具備虛擬機與計算、存儲、網(wǎng)絡(luò)等物理資源之間的綁定或限定能力；

d)數(shù)據(jù)資產(chǎn)應(yīng)進行分類分級存放。

1)數(shù)據(jù)采集應(yīng)有數(shù)據(jù)真實性鑒別、惡意代碼防護、安全標簽標注等安全措施；

2)數(shù)據(jù)清洗應(yīng)采取完整性保護等措施，保證重要數(shù)據(jù)清洗和轉(zhuǎn)換前后的一致性；

3)數(shù)據(jù)整編、分析應(yīng)有完整性保護、分類處理等安全措施；

4)數(shù)據(jù)推送應(yīng)有安全監(jiān)測、隱私保護等安全措施；

5)數(shù)據(jù)共享應(yīng)對共享數(shù)據(jù)來源分布、用戶使用、策略設(shè)置、平臺調(diào)用等采取身份認證、授

權(quán)控制、日志審計、監(jiān)控統(tǒng)計等安全措施。

7.7應(yīng)用安全

4

T/CPUMTXXXX—XXXX

應(yīng)符合下列要求：

a)應(yīng)用系統(tǒng)軟件應(yīng)及時安裝補丁程序，更新升級包應(yīng)經(jīng)過安全性測試；

b)基于可信根對應(yīng)用系統(tǒng)軟件進行可信驗證，可信性受到破壞后報警；

c)云平臺管理員、云服務(wù)方僅在各自權(quán)限范圍內(nèi)收集審計數(shù)據(jù)；

d)虛擬機作為服務(wù)提供給用戶使用時(如云桌面)，應(yīng)符合相應(yīng)安全等級要求；

e)大數(shù)據(jù)平臺輔助工具或服務(wù)組件應(yīng)及時安裝補丁程序，應(yīng)用訪問應(yīng)有身份認證、授權(quán)控制、

和日志審計措施。

7.8用戶（終端）安全

應(yīng)符合下列要求：

a)身份鑒別

1)系統(tǒng)平臺和相關(guān)設(shè)備應(yīng)對登錄的管理用戶進行身份標識和鑒別，身份標識應(yīng)具有唯一性，

身份鑒別口令應(yīng)滿足8位及以上，由大小寫字母、特殊字符、數(shù)字四種字符類型的三種

及以上組成；

2)用戶（服務(wù)）端應(yīng)啟用強制密碼復(fù)雜度審核功能，啟用登錄失敗處理功能，配置并啟用

結(jié)束會話、限制非法登錄次數(shù)，登錄連接超時自動退出等相關(guān)措施；

3)當(dāng)進行遠程登陸管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中泄漏，包括

HTTPS、SSH、VPN等；

b)用戶計算機應(yīng)安裝防病毒軟件并及時升級，發(fā)現(xiàn)病毒應(yīng)及時查殺，查殺無效時應(yīng)斷開網(wǎng)絡(luò)并

向網(wǎng)絡(luò)管理部門報告；

c)用戶計算機應(yīng)根據(jù)需要安裝補丁程序,關(guān)閉冗余系統(tǒng)服務(wù)和端口，禁用Wi-Fi、紅外、藍牙等

無線模塊，且應(yīng)具備阻斷和非法連接互聯(lián)網(wǎng)告警能力；

d)云計算系統(tǒng)專用客戶端(TC終端)應(yīng)進行定制，操作系統(tǒng)應(yīng)按照最小化原則進行裁減，卸載冗

余模塊和服務(wù)，禁用冗余硬件接口；

e)云平臺管理員僅能訪問授權(quán)的云平臺資源，設(shè)置不同虛擬機之間訪問控制策略，在使用、管

理云計算資源時應(yīng)經(jīng)過身份認證，禁止設(shè)置超級管理員權(quán)限賬號或其他特權(quán)用戶；

f)具備對云平臺管理員網(wǎng)絡(luò)管理行為的審計能力；

g)系統(tǒng)訪問控制

1)對登錄管理用戶分配賬戶和權(quán)限，關(guān)鍵業(yè)務(wù)系統(tǒng)訪問控制設(shè)置單點登錄策略；

2)及時刪除或停用多余、過期賬戶；

3)禁