ICS01.040.03

CCSA12

DB52

貴州省地方標(biāo)準(zhǔn)

DB52/T1541.5—2021

政務(wù)數(shù)據(jù)平臺(tái)第5部分：安全技術(shù)規(guī)范

Governmentaldataplatform—Part5:Securitytechnicalspecification

2021-08-18發(fā)布2021-12-01實(shí)施

貴州省市場監(jiān)督管理局發(fā)布

DB52/T1541.5—2021

目次

前言................................................................................II

1范圍..............................................................................1

2規(guī)范性引用文件....................................................................1

3術(shù)語和定義........................................................................1

4縮略語............................................................................2

5基本框架..........................................................................2

6要求..............................................................................4

7標(biāo)準(zhǔn)規(guī)范..........................................................................7

8運(yùn)維管理..........................................................................7

I

DB52/T1541.5—2021

前言

本文件按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起

草。

本文件是DB52/T1541的第5部分。DB52/T1541已經(jīng)發(fā)布以下部分：

——第2部分：數(shù)據(jù)歸集規(guī)范；

——第3部分：數(shù)據(jù)存儲(chǔ)規(guī)范；

——第4部分：接口規(guī)范；

——第5部分：安全技術(shù)規(guī)范；

——第6部分：面向全網(wǎng)搜索應(yīng)用的數(shù)據(jù)處理規(guī)范；

——第7部分：運(yùn)維管理規(guī)范；

——第8部分：運(yùn)營機(jī)構(gòu)服務(wù)規(guī)范。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。

本文件由貴州省大數(shù)據(jù)發(fā)展管理局提出并歸口。

本文件起草單位：貴州省機(jī)械電子產(chǎn)品質(zhì)量檢驗(yàn)檢測院、貴州中軟云上數(shù)據(jù)技術(shù)服務(wù)有限公司、云

上貴州大數(shù)據(jù)產(chǎn)業(yè)發(fā)展有限公司、貴州省信息中心、貴州省量子信息和大數(shù)據(jù)應(yīng)用技術(shù)研究院。

本文件主要起草人：劉榮飛、劉彥嘉、王珂、楊建國、黃明峰、韋超、李勇、張中、劉軍、潘偉杰、

邵建平、韓朱旸、鐘凱馨、唐昶、張洋、孫瑾、宿睿智、王靜、王世均。

II

DB52/T1541.5—2021

政務(wù)數(shù)據(jù)平臺(tái)第5部分：安全技術(shù)規(guī)范

1范圍

本文件規(guī)定了政務(wù)數(shù)據(jù)平臺(tái)安全的基本框架、要求、標(biāo)準(zhǔn)規(guī)范、管理體系等。

本文件適用于政務(wù)數(shù)據(jù)平臺(tái)（以下簡稱“平臺(tái)”）安全的規(guī)劃、建設(shè)和管理。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T18336(所有部分)信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則

GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

GB/T22240-2020信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南

GB/T28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測評(píng)要求

DB52/T1126-2016政府?dāng)?shù)據(jù)數(shù)據(jù)脫敏工作指南

DB52/T1540.6-2021政務(wù)數(shù)據(jù)安全技術(shù)規(guī)范

GB/Z20986-2007信息安全技術(shù)信息安全事件分類分級(jí)指南

3術(shù)語和定義

下列術(shù)語和定義適用于本文件。

3.1

政務(wù)數(shù)據(jù)governmentdata

政務(wù)部門及其技術(shù)支撐單位在履行職責(zé)過程中依法采集、生成、存儲(chǔ)、管理的各類數(shù)據(jù)資源。

注：根據(jù)可傳播范圍，政務(wù)數(shù)據(jù)一般包括可共享政務(wù)數(shù)據(jù)、可開放公共數(shù)據(jù)及不宜開放共享政務(wù)數(shù)據(jù)。

[來源：GB/T38664.1-2020，3.1]

3.2

政務(wù)數(shù)據(jù)平臺(tái)governmentdataplatform

依托政務(wù)云計(jì)算平臺(tái)搭建，承載政務(wù)數(shù)據(jù)并支撐數(shù)據(jù)統(tǒng)籌存儲(chǔ)、統(tǒng)籌治理、統(tǒng)籌應(yīng)用和統(tǒng)籌安全的

基礎(chǔ)信息技術(shù)平臺(tái)。

1

DB52/T1541.5—2021

3.3

網(wǎng)絡(luò)安全cybersecurity

通過采取必要措施，防范對(duì)網(wǎng)絡(luò)的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網(wǎng)絡(luò)處于

穩(wěn)定可靠運(yùn)行的狀態(tài)，以及保障網(wǎng)絡(luò)數(shù)據(jù)的完整性、保密性、可用性的能力。

[來源：GB/T22239-2019，3.1]

3.4

數(shù)據(jù)安全datasecurity

采用技術(shù)和管理措施來保護(hù)數(shù)據(jù)的保密性、完整性和可用性等。

[來源：GB/T39477-2020，3.1]

3.5

數(shù)據(jù)生命周期datalifecysle

將原始數(shù)據(jù)轉(zhuǎn)化為可用于行動(dòng)的知識(shí)的一組過程。

4縮略語

下列縮略語適用于本文件。

ACL：訪問控制列表（AccessControlLists）

CC：挑戰(zhàn)黑洞，DDoS攻擊的一種常見類型（ChallengeCollapsar）

DDoS：分布式拒絕服務(wù)攻擊（DistributedDenialofServiceattacks）

FTP：文件傳輸協(xié)議（FileTransferProtocol）

HTTP：超文本傳輸協(xié)議（HyperTextTransferProtocol）

HTTPS：超文本傳輸安全協(xié)議（HyperTextTransferProtocoloverSecureSocketLayer）

IDC：互聯(lián)網(wǎng)數(shù)據(jù)中心（InternetDataCenter）

IP：互聯(lián)網(wǎng)協(xié)議（InternetProtocol）

RDP：遠(yuǎn)程桌面協(xié)議（RemoteDisplayProtocol）

SQL：結(jié)構(gòu)化查詢語言（StructuredQueryLanguage）

SSH：安全外殼協(xié)議（SecureShell）

SSL：安全套接層（SecureSocketsLayer）

VPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork）

Web：全球廣域網(wǎng)（WorldWideWeb）

5基本框架

5.1框架

政務(wù)數(shù)據(jù)平臺(tái)安全技術(shù)框架見圖1，內(nèi)容包括物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安

全及安全標(biāo)準(zhǔn)規(guī)范、安全運(yùn)維管理。

2

DB52/T1541.5—2021

圖1政務(wù)數(shù)據(jù)平臺(tái)安全技術(shù)框架

5.2物理安全

為平臺(tái)提供機(jī)房及物理設(shè)備運(yùn)行環(huán)境的訪問控制、消防管理、電力管理、溫濕度管理等安全防護(hù)。

5.3網(wǎng)絡(luò)安全

為平臺(tái)提供網(wǎng)絡(luò)訪問控制、網(wǎng)絡(luò)入侵防護(hù)、網(wǎng)絡(luò)安全隔離、網(wǎng)絡(luò)日志審計(jì)等安全防護(hù)。

5.4主機(jī)安全

為平臺(tái)提供主機(jī)防護(hù)、端口掃描、系統(tǒng)加固、操作日志審計(jì)等安全防護(hù)。

5.5應(yīng)用安全

為平臺(tái)提供Web應(yīng)用防護(hù)、網(wǎng)頁防篡改、漏洞掃描、Web業(yè)務(wù)審計(jì)等安全防護(hù)。

5.6數(shù)據(jù)安全

為平臺(tái)提供數(shù)據(jù)生命周期安全管理、數(shù)據(jù)庫防護(hù)、數(shù)據(jù)庫審計(jì)、數(shù)據(jù)備份與恢復(fù)等安全防護(hù)。

5.7安全標(biāo)準(zhǔn)規(guī)范

為平臺(tái)安全規(guī)劃、建設(shè)、安全運(yùn)維、安全風(fēng)險(xiǎn)管理等提供標(biāo)準(zhǔn)支撐。

5.8安全運(yùn)維管理

為平臺(tái)提供安全運(yùn)維、安全評(píng)估、應(yīng)急管理等運(yùn)維管理措施。

3

DB52/T1541.5—2021

6要求

6.1物理安全

機(jī)房環(huán)境物理安全應(yīng)滿足T3機(jī)房相關(guān)要求。

注：T3機(jī)房為國際上關(guān)于IDC機(jī)房建設(shè)評(píng)級(jí)的第三級(jí)機(jī)房，即可并行維護(hù)數(shù)據(jù)中心機(jī)房，機(jī)房總體要求可提供

99.98％的可用性，每年停機(jī)時(shí)間最多為1.6小時(shí)。

6.2網(wǎng)絡(luò)安全

6.2.1網(wǎng)絡(luò)訪問控制

應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，并啟用訪問控制功能。

只允許被授權(quán)的服務(wù)和協(xié)議經(jīng)過網(wǎng)絡(luò)進(jìn)行傳輸，未經(jīng)授權(quán)的數(shù)據(jù)包將被自動(dòng)丟棄。

應(yīng)控制網(wǎng)絡(luò)流量，限制網(wǎng)絡(luò)最大流量數(shù)和網(wǎng)絡(luò)最大連接數(shù)。

應(yīng)控制網(wǎng)絡(luò)邊界，使用ACL技術(shù)對(duì)網(wǎng)絡(luò)進(jìn)行安全隔離。

6.2.2網(wǎng)絡(luò)入侵防護(hù)

在網(wǎng)絡(luò)邊界部署入侵防護(hù)設(shè)備，啟用入侵防護(hù)功能。

對(duì)常見的端口掃描、IP碎片攻擊、網(wǎng)絡(luò)蠕蟲等網(wǎng)絡(luò)掃描和網(wǎng)絡(luò)攻擊進(jìn)行阻斷。

宜部署流量清洗設(shè)備抵御各類基于網(wǎng)絡(luò)層、傳輸層及應(yīng)用層的DDoS攻擊，對(duì)惡意流量進(jìn)行攔

截和清洗處理。

6.2.3網(wǎng)絡(luò)安全隔離

通過網(wǎng)閘、物理隔離等方式，實(shí)現(xiàn)跨互聯(lián)網(wǎng)、政務(wù)外網(wǎng)、政務(wù)內(nèi)網(wǎng)等不同網(wǎng)絡(luò)區(qū)域的網(wǎng)絡(luò)安

全隔離及數(shù)據(jù)交換使用。

互聯(lián)網(wǎng)與政務(wù)外網(wǎng)跨網(wǎng)通信，宜通過網(wǎng)閘方式進(jìn)行隔離。

政務(wù)內(nèi)網(wǎng)和其他網(wǎng)絡(luò)應(yīng)通過物理方式進(jìn)行隔離。

6.2.4網(wǎng)絡(luò)日志審計(jì)

應(yīng)部署網(wǎng)絡(luò)安全審計(jì)系統(tǒng)，實(shí)現(xiàn)對(duì)所有訪問業(yè)務(wù)系統(tǒng)的行為審計(jì)。

審計(jì)內(nèi)容應(yīng)包括源IP、目的IP、是否訪問成功、端口協(xié)議等。

網(wǎng)絡(luò)日志應(yīng)留存6個(gè)月以上。

6.3主機(jī)安全

6.3.1主機(jī)防護(hù)

應(yīng)在主機(jī)上部署主機(jī)防護(hù)系統(tǒng)，啟用主機(jī)防護(hù)相關(guān)功能。

應(yīng)進(jìn)行密碼暴力破解防護(hù)，對(duì)主機(jī)操作系統(tǒng)的SSH、RDP、Telnet等端口以及FTP、MySQL、

MSSQLServer等常用程序進(jìn)行監(jiān)控。

應(yīng)支持網(wǎng)站后門檢測，對(duì)PHP、ASP、JSP、.NET、JAVA等代碼寫的代碼進(jìn)行檢測，將檢測出

來的后門進(jìn)行訪問控制和隔離操作，防止后門的再次利用。

應(yīng)支持異地登錄檢測，根據(jù)登錄情況，識(shí)別常用的登錄區(qū)域，當(dāng)出現(xiàn)其他地域嘗試登錄情況

立即預(yù)警。

6.3.2端口掃描

4

DB52/T1541.5—2021

應(yīng)定期對(duì)主機(jī)開放的端口進(jìn)行掃描，僅開放對(duì)外提供服務(wù)的端口，降低系統(tǒng)被入侵的風(fēng)險(xiǎn)。

應(yīng)對(duì)遠(yuǎn)程控制、網(wǎng)絡(luò)協(xié)同等敏感端口進(jìn)行監(jiān)控和管理。

6.3.3系統(tǒng)加固

應(yīng)定期對(duì)主機(jī)操作系統(tǒng)的安裝組件和安全配置進(jìn)行檢查，關(guān)閉無關(guān)組件和不安全服務(wù)。

應(yīng)合理設(shè)置操作系統(tǒng)密碼強(qiáng)度策略、文件及目錄權(quán)限等，及時(shí)安裝操作系統(tǒng)補(bǔ)丁。

6.3.4操作日志審計(jì)

應(yīng)定期查看主機(jī)操作日志，對(duì)異常日志進(jìn)行原因分析。

宜部署堡壘機(jī)，運(yùn)維人員通過堡壘機(jī)對(duì)服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等進(jìn)行運(yùn)維操作。

操作日志應(yīng)留存6個(gè)月以上。

6.4應(yīng)用安全

6.4.1Web應(yīng)用防護(hù)

應(yīng)部署Web應(yīng)用防火墻，啟用相關(guān)防護(hù)功能。

應(yīng)對(duì)Web應(yīng)用進(jìn)行HTTP/HTTPS訪問流量分析。

應(yīng)對(duì)SQL注入、腳本木馬、上傳漏洞等網(wǎng)絡(luò)攻擊進(jìn)行監(jiān)測和旁路攔截。

應(yīng)對(duì)Web應(yīng)用系統(tǒng)漏洞進(jìn)行分析，并及時(shí)修復(fù)漏洞。

6.4.2網(wǎng)頁防篡改

應(yīng)部署支持國產(chǎn)密碼算法的網(wǎng)頁防篡改系統(tǒng)，啟用相關(guān)功能，保護(hù)靜態(tài)區(qū)域文件和動(dòng)態(tài)區(qū)域

文件。

應(yīng)對(duì)發(fā)現(xiàn)的網(wǎng)頁內(nèi)容修改、刪除等非法操作及時(shí)預(yù)警并進(jìn)行保護(hù)。

6.4.3漏洞掃描

應(yīng)定期對(duì)Web應(yīng)用、操作系統(tǒng)、數(shù)據(jù)庫、中間件等的密碼文件、目錄和文件權(quán)限、共享文件系統(tǒng)、

系統(tǒng)漏洞等進(jìn)行掃描，并對(duì)薄弱環(huán)節(jié)及時(shí)進(jìn)行修復(fù)和處理。

6.4.4Web業(yè)務(wù)審計(jì)

應(yīng)部署Web業(yè)務(wù)安全審計(jì)系統(tǒng)，啟用安全審計(jì)功能，完整記錄Web業(yè)務(wù)系統(tǒng)的訪問行為。

業(yè)務(wù)日志應(yīng)留存6個(gè)月以上。

6.5數(shù)據(jù)安全

6.5.1數(shù)據(jù)生命周期安全管理

數(shù)據(jù)采集

.1應(yīng)明確數(shù)據(jù)采集的渠道及外部數(shù)據(jù)源，并對(duì)外部數(shù)據(jù)源的合法性進(jìn)行確認(rèn)。

.2應(yīng)明確數(shù)據(jù)采集范圍、數(shù)量和頻度，確保不收集與提供服務(wù)無關(guān)的個(gè)人信息和重要數(shù)據(jù)。

.3應(yīng)跟蹤和記錄數(shù)據(jù)采集過程，支持?jǐn)?shù)據(jù)采集操作過程的可追溯。

.4應(yīng)采用技術(shù)手段對(duì)采集數(shù)據(jù)的完整性進(jìn)行校驗(yàn)。

.5應(yīng)采用國產(chǎn)密碼算法對(duì)采集數(shù)據(jù)進(jìn)行加密，保障數(shù)據(jù)采集安全性。

數(shù)據(jù)訪問

5

DB52/T1541.5—2021

.1應(yīng)制定數(shù)據(jù)訪問策略，明確應(yīng)用系統(tǒng)、人員訪問數(shù)據(jù)時(shí)使用的賬號(hào)、權(quán)限、范圍。

.2應(yīng)對(duì)數(shù)據(jù)的違規(guī)訪問進(jìn)行識(shí)別和阻止。

.3應(yīng)對(duì)用戶進(jìn)行有效安全授權(quán)和訪問控制。

.4應(yīng)采用國產(chǎn)密碼算法對(duì)訪問人員進(jìn)行身份鑒別和身份認(rèn)證。

數(shù)據(jù)傳輸

.1用戶訪問應(yīng)用系統(tǒng)應(yīng)采用SSL加密方式，如HTTPS等。

.2用戶運(yùn)維管理接入應(yīng)采用SSL、VPN加密方式。

.3用戶訪問主機(jī)應(yīng)采用SSH方式。

.4應(yīng)對(duì)傳輸數(shù)據(jù)的完整性進(jìn)行檢測。

.5應(yīng)采用國產(chǎn)密碼算法對(duì)傳輸數(shù)據(jù)進(jìn)行加密。

數(shù)據(jù)存儲(chǔ)

.1數(shù)據(jù)存儲(chǔ)應(yīng)采用多重備份機(jī)制，當(dāng)數(shù)據(jù)因存儲(chǔ)載體（如硬盤）出現(xiàn)故障時(shí)，不會(huì)引起數(shù)據(jù)

丟失和影響系統(tǒng)正常使用。

.2應(yīng)支持?jǐn)?shù)據(jù)自動(dòng)備份和自動(dòng)還原機(jī)制，保障業(yè)務(wù)數(shù)據(jù)的可用性。

.3數(shù)據(jù)存儲(chǔ)應(yīng)采用基于國產(chǎn)密碼算法的加密方式進(jìn)行存儲(chǔ)。

數(shù)據(jù)使用

.1數(shù)據(jù)共享

.1.1共享數(shù)據(jù)的脫敏規(guī)則應(yīng)按DB52/T1126—2016的規(guī)定進(jìn)行。

.1.2對(duì)涉及隱私保護(hù)、重要敏感數(shù)據(jù)的共享，應(yīng)優(yōu)先采用服務(wù)接口方式。

.1.3應(yīng)制定數(shù)據(jù)服務(wù)接口安全控制策略，提供對(duì)數(shù)據(jù)服務(wù)接口的安全限制和安全控制措施，

如身份鑒別、授權(quán)策略、訪問控制機(jī)制、簽名、時(shí)間戳、安全協(xié)議等，并對(duì)數(shù)據(jù)服務(wù)接口調(diào)用的參數(shù)進(jìn)

行限制或過濾。

.1.4應(yīng)對(duì)數(shù)據(jù)交換兩端進(jìn)行用戶身份鑒別或設(shè)備認(rèn)證，保證數(shù)據(jù)交換兩端身份的真實(shí)性。

.1.5記錄并保存數(shù)據(jù)交換日志，數(shù)據(jù)操作行為可管可控并全程留痕，保證審計(jì)日志的完整性

和真實(shí)性，防范數(shù)據(jù)偽造、篡改或者竊取，確保任何數(shù)據(jù)泄密泄露事故及風(fēng)險(xiǎn)可追溯到相關(guān)責(zé)任單位和

責(zé)任人。

.2數(shù)據(jù)開放

.2.1開放數(shù)據(jù)的脫敏規(guī)則應(yīng)按DB52/T1126—2016的規(guī)定進(jìn)行。

.2.2應(yīng)根據(jù)數(shù)據(jù)開放的需求和目標(biāo)，按照最小授權(quán)原則，制定明確的數(shù)據(jù)開放訪問控制策略。

.2.3應(yīng)采用密碼技術(shù)進(jìn)行數(shù)據(jù)開放過程保護(hù)，采用的密碼技術(shù)應(yīng)遵循相關(guān)國家標(biāo)準(zhǔn)和行業(yè)標(biāo)

準(zhǔn)。

.2.4應(yīng)對(duì)數(shù)據(jù)開放利用情況與多源數(shù)據(jù)融合利用的風(fēng)險(xiǎn)進(jìn)行評(píng)估、預(yù)警和管理。

.2.5應(yīng)在數(shù)據(jù)開放過程中完整記錄開放日志，定期進(jìn)行安全審計(jì)。

數(shù)據(jù)銷毀

應(yīng)遵循GB/T39477-2020中6.3.4的有關(guān)要求。

6.5.2數(shù)據(jù)庫防護(hù)

6

DB52/T1541.5—2021

應(yīng)部署數(shù)據(jù)庫防火墻，啟用數(shù)據(jù)庫防護(hù)功能。

應(yīng)對(duì)SQL注入攻擊、SQL權(quán)限提升溢出攻擊、數(shù)據(jù)庫連接CC攻擊、SQL資源耗盡攻擊、數(shù)據(jù)

庫口令暴力破解等進(jìn)行檢測和阻斷。

6.5.3數(shù)據(jù)庫審計(jì)

應(yīng)部署數(shù)據(jù)庫審計(jì)系統(tǒng)，完整記錄數(shù)據(jù)庫的操作日志，并對(duì)操作日志進(jìn)行審計(jì)分析。

6.5.4數(shù)據(jù)備份與恢復(fù)

應(yīng)遵循DB52/T1540.6中7.3.2的有關(guān)要求。

7標(biāo)準(zhǔn)規(guī)范

應(yīng)建立網(wǎng)絡(luò)、平臺(tái)、數(shù)據(jù)、應(yīng)用、運(yùn)維等安全標(biāo)準(zhǔn)規(guī)范，保障平臺(tái)的安全穩(wěn)定運(yùn)行。

8運(yùn)維管理

8.1人員管理

8.1.1應(yīng)制定運(yùn)維人員儲(chǔ)備計(jì)劃，滿足運(yùn)維服務(wù)需求。

8.1.2運(yùn)維人員應(yīng)具備網(wǎng)絡(luò)、應(yīng)用、數(shù)據(jù)等安全運(yùn)維能力，并獲得國家頒發(fā)相關(guān)有效證書，如CISP。

8.1.3應(yīng)對(duì)運(yùn)維人員進(jìn)行背景審查和崗前培訓(xùn)，保障運(yùn)維人員正常履行安全運(yùn)維職責(zé)。

8.1.4應(yīng)制定年度培訓(xùn)計(jì)劃，對(duì)運(yùn)維人員進(jìn)行必要的技能、業(yè)務(wù)、安全意識(shí)等安全培訓(xùn)和能力考核。

8.1.5應(yīng)與運(yùn)維人員簽署保密協(xié)議，內(nèi)容至少包括保密范圍、保密期限等。

8.1.6應(yīng)對(duì)運(yùn)維人員賬號(hào)實(shí)行權(quán)限管理，并定期修改賬號(hào)密碼。

8.2