ICS33.040.40

CCSL78

1310

廊坊市地方標準

DB1310/T344—2024

數(shù)字鄉(xiāng)村數(shù)據(jù)中心網(wǎng)絡數(shù)據(jù)安全管理規(guī)范

2024-06-28發(fā)布2024-07-28實施

廊坊市市場監(jiān)督管理局發(fā)布

DB1310/T344—2024

前言

本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規(guī)則》的規(guī)定

起草。

本文件由中共廊坊市委網(wǎng)絡安全和信息化委員會辦公室提出。

本文件起草單位：潤澤科技發(fā)展有限公司、中國聯(lián)合網(wǎng)絡通信有限公司廊坊分公司、中共廊坊市安

次區(qū)委網(wǎng)絡安全和信息化委員會辦公室、廊坊市發(fā)展和改革委員會、中國移動通信集團河北有限公司廊

坊分公司、中國電信集團有限公司廊坊分公司、中國廣電河北網(wǎng)絡股份有限公司廊坊市分公司。

本文件主要起草人：劉順海、李笠、馬群、張中華、郭睿、趙志濱、劉欣羽、高繼偉、張海付、張

健飛、李時、焦躍振、張建平、李曉英。

I

DB1310/T344—2024

數(shù)字鄉(xiāng)村數(shù)據(jù)中心網(wǎng)絡數(shù)據(jù)安全管理規(guī)范

1范圍

本文件規(guī)定了數(shù)據(jù)中心網(wǎng)絡數(shù)據(jù)安全管理的總則、靜態(tài)數(shù)據(jù)安全要求、傳輸數(shù)據(jù)安全要求、使用數(shù)

據(jù)安全要求、安全管理制度、安全管理機構、安全管理人員、安全建設管理和安全運維管理。

本文件適用于數(shù)據(jù)中心網(wǎng)絡數(shù)據(jù)安全管理。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T22239信息安全技術網(wǎng)絡安全等級保護基本要求

GB/T25069信息安全技術術語

GB/T43697數(shù)據(jù)安全技術數(shù)據(jù)分類分級規(guī)則

3術語和定義

GB/T25069和GB/T43697界定的以及下列術語和定義適用于本文件。

數(shù)據(jù)

任何以電子或者其他方式對信息的記錄。

數(shù)據(jù)中心

為集中放置的電子信息設備提供運行環(huán)境的建筑場所，可以是一棟或幾棟建筑物，也可以是一棟建

筑物的一部分，包括主機房、輔助區(qū)、支持區(qū)和行政管理區(qū)等。

設施設備

為保障數(shù)據(jù)中心設備正常運行服務的配電系統(tǒng)、制冷系統(tǒng)、弱電監(jiān)控系統(tǒng)、消防系統(tǒng)等系統(tǒng)。

物理安全

用于防止非法入侵存放IT設備區(qū)域的防盜門、門禁、監(jiān)控、安保等設施。

1

DB1310/T344—2024

網(wǎng)絡設備

服務器、集線器、交換機、網(wǎng)橋、路由器、網(wǎng)關、網(wǎng)絡接口卡、無線接入點、打印機和調制解調器、

光纖收發(fā)器、光纜等連接到網(wǎng)絡中的物理實體。

數(shù)據(jù)分類

根據(jù)數(shù)據(jù)性質分為生產(chǎn)數(shù)據(jù)、個人數(shù)據(jù)、個人敏感數(shù)據(jù)。

數(shù)據(jù)生命周期

數(shù)據(jù)生命周期是數(shù)據(jù)從創(chuàng)建、存儲、使用、分享、歸檔、到數(shù)據(jù)使用壽命結束數(shù)據(jù)銷毀的全過程。

靜態(tài)數(shù)據(jù)

數(shù)據(jù)在存儲器（硬盤、磁帶、光盤等）上處于靜止狀態(tài)或單獨存放狀態(tài)，數(shù)據(jù)未處于讀取狀態(tài)。

傳輸數(shù)據(jù)

傳輸數(shù)據(jù)是在數(shù)據(jù)被使用前獲取的方式，如網(wǎng)絡傳輸、移動存儲，數(shù)據(jù)處于讀取狀態(tài)，無法查看和

編輯。

使用數(shù)據(jù)

使用數(shù)據(jù)是已經(jīng)被解密在審閱、編輯中數(shù)據(jù)。

4總則

機密性

確保只有獲得授權的訪問請求才可以獲得指定數(shù)據(jù)的訪問或控制權。

完整性

確保數(shù)據(jù)在整個生命周期中不會受到篡改或破壞。

可用性

確保合法用戶對數(shù)據(jù)的獲取與使用能夠得到保障。

5靜態(tài)數(shù)據(jù)安全要求

2

DB1310/T344—2024

安全物理環(huán)境

5.1.1物理位置選擇

場地應選擇在具有防震、承重、防風、防雨等能力的建筑內(nèi)。

5.1.2物理訪問控制

機房出入口應安排專人值守或配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。

5.1.3防盜竊和防破壞

應設置機房防盜報警系統(tǒng)或設置有專人值守的視頻監(jiān)控系統(tǒng)。

5.1.4防雷擊

應采取措施防止感應雷，例如設置防雷保安器或過壓保護裝置等。

5.1.5防火

5.1.5.1機房應設置火災自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火。

5.1.5.2機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料。

5.1.5.3應對機房劃分區(qū)域管理，區(qū)域和區(qū)域之間設置隔離防火措施。

5.1.6防水和防潮

5.1.6.1應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透。

5.1.6.2應采取措施防止機房內(nèi)水蒸氣結露和地下積水的轉移與滲透。

5.1.6.3應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。

5.1.7防靜電

5.1.7.1應采用防靜電地板或地面并采用必要的接地防靜電措施。

5.1.7.2應采取措施防止靜電的產(chǎn)生，例如采用靜電消除器、佩戴防靜電手環(huán)等。

5.1.8溫濕度控制

5.1.8.1應設置溫濕度自動調節(jié)設施，使機房溫濕度的變化在設備運行允許的范圍之內(nèi)。

5.1.8.2溫濕度自動調節(jié)設施宜設置備用設施，維護或故障時不影響設備正常使用。

5.1.9電力供應

5.1.9.1應在機房供電線路上配置穩(wěn)壓器和過電壓防護設備。

5.1.9.2應提供短期備用電力供應，至少滿足設備在斷電情況下的正常運行要求。

5.1.9.3應設置冗余或并行的電力電纜線路為計算機系統(tǒng)供電。

5.1.10電磁防護

5.1.10.1電源線和通信線纜應隔離鋪設，避免相互干擾。

5.1.10.2應對關鍵設備實施電磁屏蔽。

制度管理要求

3

DB1310/T344—2024

5.2.1法律法規(guī)

應采取符合國家檔案管理和電子數(shù)據(jù)管理規(guī)定的措施，防止信息泄露、毀損、遺失或篡改。

5.2.2存儲期限

應明確數(shù)據(jù)存儲的保存期限，重要信息應至少保存五年。其它各類數(shù)據(jù)應按照相關法律法規(guī)、標準

規(guī)范和業(yè)務特點，確定數(shù)據(jù)的保存期限。

5.2.3數(shù)據(jù)遷移

應根據(jù)實際需要采用綜合的技術管控手段，要求實現(xiàn)水印及防拷貝等方式，以實現(xiàn)敏感數(shù)據(jù)的防泄

密和跟蹤。

5.2.4數(shù)據(jù)安全分級

應對不同安全敏感級別的數(shù)據(jù)采用差異化安全存儲，并做好加密算法、脫密方法的安全性保護。

5.2.5安全授權

應加強對存儲數(shù)據(jù)的物理區(qū)域（如機房、維護中心）的管理，采用相應的控制手段，記錄并留存詳

細記錄，外來人員進入該區(qū)域應有內(nèi)部人員全程陪同。

6傳輸數(shù)據(jù)安全要求

安全通信網(wǎng)絡

6.1.1網(wǎng)絡架構

6.1.1.1應保證網(wǎng)絡設備的業(yè)務處理能力滿足業(yè)務高峰期需要。

6.1.1.2應保證網(wǎng)絡各個部分的帶寬滿足業(yè)務高峰期需要。

6.1.1.3應劃分不同的網(wǎng)絡區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡區(qū)域分配地址。

6.1.1.4應避免將重要網(wǎng)絡區(qū)域部署在邊界處，重要網(wǎng)絡區(qū)域與其他網(wǎng)絡區(qū)域之間應采取可靠的技術

隔離手段。

6.1.1.5應提供通信線路、關鍵網(wǎng)絡設備和關鍵計算設備的硬件冗余，保證系統(tǒng)的可用性。

6.1.2通信傳輸

6.1.2.1應采用校驗技術或密碼技術保證通信過程中數(shù)據(jù)的完整性。

6.1.2.2應采用密碼技術保證通信過程中數(shù)據(jù)的保密性。

6.1.3可信驗證

可基于可信根對通信設備的系統(tǒng)引導程序、系統(tǒng)程序、重要配置參數(shù)和通信應用程序等進行可信驗

證，并在應用程序的關鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性受到破壞后進行報警，并將驗

證結果形成審計記錄送至安全管理中心。

安全區(qū)域邊界

6.2.1邊界防護

4

DB1310/T344—2024

6.2.1.1應保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設備提供的受控接口進行通信。

6.2.1.2應能夠對非授權設備私自聯(lián)到內(nèi)部網(wǎng)絡的行為進行檢查或限制。

6.2.1.3應能夠對內(nèi)部用戶非授權聯(lián)到外部網(wǎng)絡的行為進行檢查或限制。

6.2.1.4應限制無線網(wǎng)絡的使用，保證無線網(wǎng)絡通過受控的邊界設備接入內(nèi)部網(wǎng)絡。

6.2.2訪問控制

6.2.2.1應在網(wǎng)絡邊界或區(qū)域之間根據(jù)訪問控制策略設置訪問控制規(guī)則，默認情況下除允許通信外受

6.2.2.2控接口拒絕所有通信。

6.2.2.3應刪除冗余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化。

6.2.2.4應對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許/拒絕數(shù)據(jù)包進出。

6.2.2.5應能根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力。

6.2.2.6應對進出網(wǎng)絡的數(shù)據(jù)流實現(xiàn)基于應用協(xié)議和應用內(nèi)容的訪問控制。

6.2.3入侵防范

6.2.3.1應在關鍵網(wǎng)絡節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡攻擊行為。

6.2.3.2應在關鍵網(wǎng)絡節(jié)點處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡攻擊行為。

6.2.3.3應采取技術措施對網(wǎng)絡行為進行分析，實現(xiàn)對網(wǎng)絡攻擊特別是新型網(wǎng)絡攻擊行為的分析。

6.2.3.4當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目標、攻擊時間，在發(fā)生嚴重入侵事

件時應提供報警。

6.2.4代碼防范

6.2.4.1應在關鍵網(wǎng)絡節(jié)點處對惡意代碼進行檢測和清除，并維護惡意代碼防護機制的升級和更新。

6.2.4.2應在關鍵網(wǎng)絡節(jié)點處對垃圾郵件進行檢測和防護，并維護垃圾郵件防護機制的升級和更新。

6.2.5安全審計

6.2.5.1應在網(wǎng)絡邊界、重要網(wǎng)絡節(jié)點進行安全審計，審計覆蓋到每個用戶，對重要的用戶行為和重

要安全事件進行審計。審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審

計相關的信息。

6.2.5.2應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等。

6.2.5.3應能對遠程訪問的用戶行為、訪問互聯(lián)網(wǎng)的用戶行為等單獨進行行為審計和數(shù)據(jù)分析。

6.2.6可信驗證

可基于可信根對邊界設備的系統(tǒng)引導程序、系統(tǒng)程序、重要配置參數(shù)和邊界防護應用程序等進行可

信驗證，并在應用程序的關鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性受到破壞后進行報警，并

將驗證結果形成審計記錄送至安全管理中心。

安全計算環(huán)境

6.3.1身份鑒別

6.3.1.1應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求

并定期更換。

5

DB1310/T344—2024

6.3.1.2應具有登錄失敗處理功能，應配置并啟用結束會話、限制非法登錄次數(shù)和當?shù)卿涍B接超時自

動退出等相關措施。

6.3.1.3當進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽。

6.3.1.4應采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，

且其中一種鑒別技術至少應使用密碼技術來實現(xiàn)。

6.3.2訪問控制

6.3.2.1應對登錄的用戶分配賬戶和權限。

6.3.2.2應重命名或刪除默認賬戶，修改默認賬戶的默認口令。

6.3.2.3應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。

6.3.2.4應授予管理用戶所需的最小權限，實現(xiàn)管理用戶的權限分離。

6.3.2.5應由授權主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則。

6.3.2.6訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數(shù)據(jù)庫表級。

6.3.2.7應對重要主體和客體設置安全標記，并控制主體對有安全標記信息資源的訪問。

6.3.3安全審計

6.3.3.1應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計。

審計記錄應包括事件的日期和時間、用戶、事件類理、事件是否成功及其他與審計相關的信息。

6.3.3.2應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等。

6.3.3.3應對審計進程進行保護，防止未經(jīng)授權的中斷。

6.3.4入侵防范

6.3.4.1應遵循最小安裝的原則，僅安裝需要的組件和應用程序。

6.3.4.2應關閉不需要的系統(tǒng)服務、默認共享和高危端口。

6.3.4.3應通過設定終端接入方式或網(wǎng)絡地址范圍對通過網(wǎng)絡進行管理的管理終端進行限制。

6.3.4.4應提供數(shù)據(jù)有效性檢驗功能，保證通過入機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設

定要求。

6.3.4.5應能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過充分測試評估后，及時修補漏洞。

6.3.4.6應能夠檢測到對重要節(jié)點進行入侵的行為，并在發(fā)生嚴重入侵事件時提供報警。

6.3.5惡意代碼防范

應采用免受惡意代碼攻擊的技術措施或主動免疫可信驗證機制及時識別入侵和病毒行為，并將其

有效阻斷。

6.3.6可信驗證

可基于可信根對計算設備的系統(tǒng)引導理序、系統(tǒng)程序，重要配置參教和應用程序等進行可信驗證，

并在應用程序的關鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性受到破壞后進行報警，并將驗證結

果形成審計記錄送至安全管理中心。

6.3.7數(shù)據(jù)完整性

6

DB1310/T344—2024

6.3.7.1應采用校驗技術或密碼技術保證重要數(shù)據(jù)在傳輸過輸中的完數(shù)性，包括但不限于鑒別數(shù)據(jù)、

重要業(yè)務數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等。

6.3.7.2應采用校驗技術或密碼技術保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、

重要業(yè)務教據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等。

6.3.8數(shù)據(jù)保密性

6.3.8.1應采用密碼技術保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務數(shù)

據(jù)和重要個人信息等。

6.3.8.2應采用密碼技術保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別教據(jù)、重要業(yè)務數(shù)

據(jù)和重要個人信息等。

6.3.9數(shù)據(jù)備份恢復

6.3.9.1應提供重要數(shù)據(jù)的本地數(shù)據(jù)備份與恢復功能。

6.3.9.2應提供異地實時備份功能，利用通信網(wǎng)絡將重要數(shù)據(jù)實時備份至備份場地。

6.3.9.3應提供重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性。

6.3.10剩余信息保護

6.3.10.1應保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除。

6.3.10.2應保證存有敏感數(shù)據(jù)的存儲空間被釋放或重新分配前得到完全清除。

6.3.11個人信息保護

6.3.11.1應僅采集和保存業(yè)務必需的用戶個人信息。

6.3.11.2應禁止未授權訪問和非法使用用戶個人信息。

安全管理中心

6.4.1系統(tǒng)管理

6.4.1.1應對系統(tǒng)管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并

對這些操作進行審計。

6.4.1.2應通過系統(tǒng)管理員對系統(tǒng)的資源和運行進行配置、控制和管理，包括用戶身份、系統(tǒng)資源配

置、系統(tǒng)加載和啟動、系統(tǒng)運行的異常處理、數(shù)據(jù)和設備的備份與恢復等。

6.4.2審計管理

6.4.2.1應對審計管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作，并

對這些操作進行審計。

6.4.2.2應通過審計管理員對審計記錄進行分析，并根據(jù)分析結果進行處理，包括根據(jù)安全審計策略

對審計記錄進行存儲、管理和查詢等。

6.4.3安全管理

6.4.3.1應對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并

對這些操作進行審計。

7

DB1310/T344—2024

6.4.3.2應通過安全管理員對系統(tǒng)中的安全策略進行配置，包括安全參數(shù)的設置，主體、客體進行統(tǒng)

一安全標記，對主體進行授權，配置可信驗證策略等。

6.4.4集中管理

6.4.4.1應劃分出特定的管理區(qū)域，對分布在網(wǎng)絡中的安全設備或安全組件進行管控。

6.4.4.2應能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡中的安全設備或安全組件進行管理。

6.4.4.3應對網(wǎng)絡鏈路、安全設備、網(wǎng)絡設備和服務器等的運行狀況進行集中監(jiān)測。

6.4.4.4應對分散在各個設備上的審計數(shù)據(jù)進行收集匯總和集中分析，并保證審計記錄的留存時間符

合法律法規(guī)要求。

6.4.4.5應對安全策略、惡意代碼、補丁升級等安全相關事項進行集中管理。

6.4.4.6應能對網(wǎng)絡中發(fā)生的各類安全事件進行識別、報警和分析。

7使用數(shù)據(jù)安全要求

數(shù)據(jù)應依據(jù)重要程度以及發(fā)生丟失、泄露、篡改等事件的影響范圍和程度進行分級分類管理。應

符合GB/T22239的要求。

數(shù)據(jù)安全采集要求

7.2.1應具備合法、正當?shù)哪康模鞔_收集最少的數(shù)據(jù)和最低的頻率，存儲在境內(nèi)；如因業(yè)務需要，

確需向境外提供的，應當按照國家數(shù)據(jù)出境相關法律法規(guī)謹慎處理。

7.2.2各部門應主動及時采取措施予以更正或者刪除，切實保障數(shù)據(jù)提供方的知情權、同意權等權利。

當數(shù)據(jù)提供方提出刪除或更正等要求，應采取措施予以滿足。

7.2.3應對數(shù)據(jù)的合規(guī)性、完善性和真實性進行確認，應跟蹤和記錄數(shù)據(jù)收集過程，保障數(shù)據(jù)收集過

程的可追溯性。

數(shù)據(jù)安全使用

7.3.1應采取訪問控制措施，確保相關工作人員只能訪問職責所需的最少數(shù)據(jù)；對用戶個人信息應當

嚴格保密，任何人不得泄露、篡改或者毀損，不得出售或者非法向他人提供。

7.3.2數(shù)據(jù)使用或披露前，涉及個人敏感信息的，應采用數(shù)據(jù)脫敏技術，確保開發(fā)測試環(huán)境中的數(shù)據(jù)

脫敏使用，對外披露數(shù)據(jù)應進行脫敏處理。數(shù)據(jù)脫敏技術包括展示屏蔽、匿名化、偽名化、去標識化等。

7.3.3應記錄對數(shù)據(jù)進行操作的人員、時間、地點、事項等信息。

7.3.4應對數(shù)據(jù)操作人員實行權限管理，對批量導出、復制、銷毀信息實行審查，并采取防泄密措施。

7.3.5應建立用戶數(shù)據(jù)安全管控機制，設定安全管理策略，提供多用戶之間的資源及應用隔離。

7.3.6敏感數(shù)據(jù)相關操作應經(jīng)過審批，并詳細記錄過程與結果日志。

數(shù)據(jù)安全銷毀

7.4.1應建立針對敏感數(shù)據(jù)相關業(yè)務失效、用戶退出服務、節(jié)點失效、過多備份、數(shù)據(jù)使用和試用結

束等情況下的數(shù)據(jù)銷毀管理制度、辦法和機制。

7.4.2應落實安全銷毀措施，敏感數(shù)據(jù)需要進行銷毀時，必須使用有效的數(shù)據(jù)銷毀方法進行處理，對

于已刪除敏感信息，應采用可靠技術手段保證信息不可被還原，并做好效果驗證。

7.4.3針對邏輯銷毀操作，需要為不同數(shù)據(jù)的存儲方式制定相異的邏輯銷毀方法，并確保數(shù)據(jù)的多個

8

DB1310/T344—2024

副本被相同處理；針對物理銷毀操作，應對銷毀后的U盤、磁帶、硬盤、光盤、閃存、固態(tài)硬盤等存儲

介質進行登記、審批、交接。嚴禁非法挪用存儲介質，避免數(shù)據(jù)被違規(guī)留存或還原。

7.4.4應對數(shù)據(jù)銷毀過程進行日志記錄，包括執(zhí)行時間、參與人員、處理方式等。

數(shù)據(jù)安全監(jiān)管和檢查

7.5.1應將數(shù)據(jù)安全檢查納入年度信息安全檢查工作要求中，并定期開展檢查，檢查范圍包括業(yè)務數(shù)

據(jù)操作、數(shù)據(jù)運行運維、數(shù)據(jù)安全管理及數(shù)據(jù)審計等。

7.5.2應將數(shù)據(jù)安全教育納入年度信息安全培訓計劃，對各崗位工作人員開展數(shù)據(jù)安全教育，提升全

員數(shù)據(jù)安全意識水平。

7.5.3應事前制定數(shù)據(jù)泄露排查方案，事中組織分析和排查，事后制定修補計劃，減少數(shù)據(jù)泄露事件

再次發(fā)生的可能性。

7.5.4應建立數(shù)據(jù)泄露事件分級處理機制。數(shù)據(jù)泄露排查至少應包括泄露數(shù)據(jù)分析、泄露途徑分析、

泄露事件排查，以及提交排查報告等關鍵環(huán)節(jié)。

7.5.5發(fā)生數(shù)據(jù)泄露等數(shù)據(jù)安全事件時，各部門應第一時間報告相關部門，并提交數(shù)據(jù)泄露事件報告。

數(shù)據(jù)安全事件產(chǎn)生重大影響的，安全責任部門將按照相關法律法規(guī)和工作人員違規(guī)行為處理辦法等規(guī)

定追究相關負責人責任。

8安全管理制度

安全策略

應制定網(wǎng)絡安全工作的總體方針和安全策略，闡明機構安全工作的總體目標、范圍、原則和安全框

架、應急處置等。

管理制度

8.2.1應對安全管理活動中的各類管理內(nèi)容建立安全管理制度。

8.2.2應對管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程。

8.2.3應形成由安全策略、管理制度、操作規(guī)程，記錄表單等構成的全面的安全管理制度體系。

制定和發(fā)布

8.3.1應指定或授權專門的部門或人員負責安全管理制度的制定。

8.3.2安全管理制度應通過正式、有效的方式發(fā)布，并進行版本控制。

評審修訂

應定期為安全管理制度的合理性和適用性進行論證和審定，對存在不足或需要改進的安全管理制

度進行修訂。

9安全管理機構

崗位設置

9.1.1應成立指導和管理網(wǎng)絡安全工作的委員會或領導小組，其最高領導由單位主管領導擔任或授權。

9

DB1310/T344—2024

9.1.2應設立網(wǎng)絡安全管理工作的職能部門，設立安全主管、安全管理各個方面的負責人崗位，并定

義各負責人的職責。

9.1.3應設立系統(tǒng)管理員、審計管理員和安全管理員等崗位，并定義部門及各個工作崗位的職責。

人員配置

9.2.1應配備一定數(shù)量的系統(tǒng)管理員、審計管理員和安全管理員等。

9.2.2應配備專職安全管理員，不可兼任。

授權和審批

9.3.1應根據(jù)各個部門和崗位的職責明確授權審批事項、審批部門和批準人等。

9.3.2應針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項建立審批程序，按照審批程序執(zhí)行審

批過程，對重要活動建立逐級審批制度。

9.3.3應定期審查審批事項，及時更新需授權和審批的項目、審批部門和審批人等信息。

溝通合作

9.4.1應加強各類管理人員、組織內(nèi)部機構和網(wǎng)絡安全管理部門之間的合作與溝通，定期召開協(xié)調會

議，共同協(xié)作處理網(wǎng)絡安全問題。

9.4.2應加強與網(wǎng)絡安全職能部門、各類供應商、業(yè)界專家及安全組織的合作與溝通。

9.4.3應建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息。

審核和檢查

9.5.1應定期進行常規(guī)安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況。

9.5.2應定期進行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術措施的有效性、安全配置與安全策略的

一致性、安全管理制度的執(zhí)行情況等。

9.5.3應制定安全檢查表格實施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報告，并對安全檢查結

果進行通報。

10安全管理人員

人員錄用

10.1.1應指定或授權專門的部門或人員負責人員錄用。

10.1.2應對被錄用人員的身份、安全背景、專業(yè)資格或資質等進行審查，對其所具有的技術技能進行

考核。

10.1.3應與被錄用人員簽署保密協(xié)議，與關鍵崗位人員簽署崗位責任協(xié)議。

人員離崗

10.2.1應及時終止離崗人員的所有訪問權限，取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬

件設備.

10.2.2應辦理嚴格的調離手續(xù)，并承諾調離后的保密義務后方可離開。

安全意識教育和培訓

10

DB1310/T344—2024

10.3.1應對各類人員進行安全意識教育和崗位技能培訓，并告知相關的安全責任和懲戒措施。

10.3.2應針對不同崗位制定不同的培訓計劃，對安全基礎知識、崗位操作規(guī)程等進行培訓。

10.3.3應定期對不同崗位的人員進行技能考核。

外部人員訪問管理

10.4.1應在外部人員物理訪問受控區(qū)域前先提出書面申請，批準后由專人全程陪同，并登記備案。

10.4.2應在外部人員接入受控網(wǎng)絡訪問系統(tǒng)前先提出書面申請，批準后由專人開設賬戶、分配權限，

并登記備案。

10.4.3外部人員離場后應及時清除其所有的訪問權限。

10.4.4獲得系統(tǒng)訪問授權的外部人員應簽署保密協(xié)議，不得進行非授權操作，不得復制和泄露任何敏

感信息。

11安全建設管理

定級和備案

11.1.1應以書面的形式說明保護對象的安全保護等級及確定等級的方法和理由。

11.1.2應組織相關部門和有關安全技術專家對定級結果的合理性和正確性進行論證和審定。

安全方案設計

11.2.1應根據(jù)安全保護等級選擇基本安全措施，依據(jù)風險分析的結果補充和調整安全措施。

11.2.2應根據(jù)保護對象的安全保護等級及與其他須特別保護對象的關系進行安全整體規(guī)劃和安全方

案設計，設計內(nèi)容應包含密碼技術相關內(nèi)容，并形成配套文件。

11.2.3應組織相關部門和有關安全專家對安全整體規(guī)劃及其配套文件的合理性和正確性進行論證和

審定，經(jīng)過批準后才能正式實施。

產(chǎn)品采購和使用

11.3.1應確保網(wǎng)絡安全產(chǎn)品采購和使用符合國家的有關規(guī)定。

11.3.2應確保密碼產(chǎn)品與服務的采購和使用符合國家密碼管理主管部門的要求。

11.3.3應預先對產(chǎn)品進行選型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單。

自行軟件開發(fā)

11.4.1應將開發(fā)環(huán)境與實際運行環(huán)境物理分開，測試數(shù)據(jù)和測試結果受到控制。

11.4.2應制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準則。

11.4.3應制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼。

11.4.4應具備軟件設計的相關文檔和使用指南，并對文檔使用進行控制。

11.4.5應保證在軟件開發(fā)過程中對安全性進行測試，在軟件安裝前對可能存在的惡意代碼進行檢測。

11.4.6應對程序資源庫的修改、更新、發(fā)布進行授權和批準，并嚴格進行版本控制。

11.4.7應保證開發(fā)人員為專職人員，開發(fā)人員的開發(fā)活動受到控制、監(jiān)視和審查。

外包軟件開發(fā)

11.5.1應在軟件交付前檢測其中可能存在的惡意代碼。

11

DB1310/T344—2024

11.5.2應保證開發(fā)單位提供軟件設計文檔和使用指南。

11.5.3應保證開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門和隱蔽信道。

工程實施

11.6.1應指定或授權專門的部門或人員負責工程實施過程的管理。

11.6.2應制定安全工程實施方案控制工程實施過程。

11.6.3應通過第三方工程監(jiān)理控制項目的實施過程。

測試驗收

11.7.1應制定測試驗收方案，并依據(jù)測試驗收方案實施測試驗收，形成測試驗收報告。

11.7.2應進行上線前的安全性測試，并出具安全測試報告，安全測試報告應包含密碼應用安全性測試

相關內(nèi)容。

系統(tǒng)交付

11.8.1應制定交付清單，并根據(jù)交付清單對所交接的設備、軟件和文檔等進行清點。

11.8.2應對負責運行維護的技術人員進行相應的技能培訓。

11.8.3應提供建設過程文檔和運行維護文檔。

等級測評

11.9.1應定期進行等級測評，發(fā)現(xiàn)不符合相應等級保護標準要求的及時整改。

11.9.2應在發(fā)生重大變更或級別發(fā)生變化時進行等級測評。

11.9.3應確保測評機構的選擇符合國家有關規(guī)定。

服務供應商選擇

11.10.1應確保服務供應商的選擇符合國家的有關規(guī)定。

11.10.2應與選定的服務供應商簽訂相關協(xié)議，明確整個服務供應鏈各方需履行的網(wǎng)絡安全相關義務。

11.10.3應定期監(jiān)督、評審和審核服務供應商提供的服務，并對其變更服務內(nèi)容加以控制。

12安全運維管理

環(huán)境管理

12.1.1應指定專門的部門或人員負責機房安全，對機房出入進行管理，定期對機房供配電、空調、溫

濕度控制、消防等設施進行維護管理。

12.1.2應建立機房安全管理制度，對有關物理訪問、物品進出和環(huán)境安全等方面的管理作出規(guī)定。

12.1.3應不在重要區(qū)域接待來訪人員，不隨意放置含有敏感信息的文件和移動介質等。

資產(chǎn)管理

12.2.1應編制并保存與保護對象相關的資產(chǎn)清單，包括資產(chǎn)責任部門、重要程度和所處位置等內(nèi)容。

12.2.2應根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標識管理，根據(jù)資產(chǎn)的價值選擇相應的管理措施。

12.2.3應對信息分類與標識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進行規(guī)范化管理。

12

DB1310/T344—2024

介質管理

12.3.1應將介質存放在安全的環(huán)境中，對各類介質進行控制和保護，實行存儲環(huán)境專人管理，并根據(jù)

存檔介質的目錄清單定期盤點。

12.3.2應對介質在物理傳輸過程中的人員選擇、打包、交付等情況進行控制，并對介質的歸檔和查詢

等進行登記記錄。

設備維護管理

12.4.1應對各種設備（包括備份和冗余設備）線路等指定專門的部門或人員定期進行維護管理。

12.4.2應建立配套設施、軟硬件維護方面的管理制度，對其維護進行有效的管理，包括明確維護人員

的責任、維修和服務的審批、維修過程的監(jiān)督控制等。

12.4.3信息處理設備應經(jīng)過審批才能帶離機房或辦公地點，含有存儲介質的設備帶出工作環(huán)境時其

中重要數(shù)據(jù)應加密。

12.4.4含有存儲介質的設備在報廢或重用前，應進行完全清除或被安全覆蓋，保證該設備上的敏感數(shù)

據(jù)和授權軟件無法被恢復重用。

漏洞和風險管理

12.5.1應采取必要的措施識別安全漏洞和隱患，對發(fā)現(xiàn)的安全漏洞和隱患及時進行修補或評估可能

的影響后進行修補。

12.5.2應定期開展安全測評，形成安全測評報告，采取措施應對發(fā)現(xiàn)的安全問題。

網(wǎng)絡和系統(tǒng)安全管理

12.6.1應劃分不同的管理員角色進行網(wǎng)絡和系統(tǒng)的運維管理，明確各個角色的責任和權限。

12.6.2應指定專門的部門或人員進行賬戶管理，對申請賬戶、建立賬戶、刪除賬戶等進行控制。

12.6.3應建立網(wǎng)絡和系統(tǒng)安全管理制度，對安全策略、賬戶管理、配置管理、日志管理、日常操作、

升級與打補丁、口令更新周期等方面作出規(guī)定。

12.6.4應制定重要設備的配置和操作手冊，依據(jù)手冊對設備進行安全配置和優(yōu)化配置等。

12.6.5應詳細記錄運維操作日志，包括日常巡檢工作、運行維護記錄、參數(shù)的設置和修改等內(nèi)容。

12.6.6應指定專門的部門或人員對日志、監(jiān)測和報警數(shù)據(jù)等進行分析、統(tǒng)計，及時發(fā)現(xiàn)可疑行為。

12.6.7應嚴格控制變更性運維，經(jīng)過審批后才可改變連接、安裝系統(tǒng)組件或調整配置參數(shù)，操作過程

中應保留不可更改的審計日志，操作結束后應同步更新配置信息庫。

12.6.8應嚴格控制運維工具的使用，經(jīng)過審批后才可接入進行操作，操作過程中應保留不可更改的審

計日志，操作結束后應刪除工具中的敏感數(shù)據(jù)。

12.6.9應嚴格控制遠程運維的開通，經(jīng)過審批后才可開通遠程運維接口或通道，操作過程中應保留不

可更改的審計日志，操作結束后立即關閉接口或通道。

12.6.10應保證所有與外部的連接均得到授權和批準，應定期檢查違反規(guī)定無線上網(wǎng)及其他違反網(wǎng)絡

安全策略的行為。

惡意代碼防范管理

12.7.1應提高所有用