第8部分：信息安全2019-10-01實施2019-10-01實施北京市市場監(jiān)督管理局發(fā)布I II 12規(guī)范性引用文件 13術語和定義 14收費系統(tǒng)信息安全保護等級 15收費系統(tǒng)信息安全技術要求 1 6DB11/T1165《收費公路聯(lián)網(wǎng)收費系統(tǒng)》分成以下幾個部分：——第1部分：系統(tǒng)構成及硬件技術要求；——第2部分：基礎數(shù)據(jù)元和編碼規(guī)則；——第3部分：收費系統(tǒng)介質(zhì)技術要求與數(shù)據(jù)格式；——第4部分：拆分與結(jié)算：——第5部分：清分結(jié)算規(guī)則；——第6部分：數(shù)據(jù)通信接口；——第7部分：數(shù)據(jù)庫設計；——第8部分：信息安全；——第9部分：應用軟件技術要求。本部分為DB11/T1165的第8部分。本部分按GB/T1.1-2009給出的規(guī)則起草。本部分由北京市交通委員會提出并歸口。本部分由北京市交通委員會組織實施。本部分的起草單位：北京市首都公路發(fā)展集團有限公司、北京云星宇交通科技股份有限公司。本部分主要起草人：張明月、徐志斌、范文江、張恒利、劉紹民、孔祥杰、畢爽、陳日強、張卿、劉剛、李少丁、劉星宇、佟樂、王剛、楊勇、朱婷婷、紀海穎、趙永忠、俞宏熙。1件。凡是不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB17859計算機信息系統(tǒng)安全保護等級保護劃分準則GB50016建筑設計防火規(guī)范標準GB50116火災自動報警系統(tǒng)設計規(guī)范GB/T22239信息安全技術信息系統(tǒng)安全等級保護基本要求GB/T25069信息安全技術術語GB/T5271.8信息技術詞匯第8部分：安全GB/T9361計算機場地安全要求DB11/T1165.1收費公路聯(lián)網(wǎng)收費系統(tǒng)第1部分：系統(tǒng)構成及硬件技術要求3術語和定義2無人值守機房包括收費所(站)機房、收費廣場機房，應滿足如下要求：b)采用阻燃材料，具備相應安全防護、防盜、防火能力；c)配置UPS設備，供電時間應不小于1小時，宜配置柴油發(fā)電機作為備用電源；f)采取防雷措施，防雷接地電阻應小于10Ω;g)機房設備接地小于4Ω,采用聯(lián)合接地時應小于1Ω。有人值守機房包括收費總中心機房、災備中心機房、收費分中心機房，應滿b)配置備用柴油發(fā)電機作為備用電源；d)符合GB50174中的防震、防風、防雨、防潮、防塵、防靜電等技術要求，設置避雷、防雷裝e)收費總中心的機房設獨立操作間，操作間采用隔離墻與主機房進行區(qū)域隔離；g)采取聯(lián)合接地，接地電阻應小于1Ω。g)符合GB/T24719中防護性要求。b)骨干網(wǎng)絡應具有自愈保護能力，宜采用環(huán)型網(wǎng)絡結(jié)構；c)收費總中心、災備中心、收費分中心、收費所(站)應劃分子網(wǎng)或網(wǎng)段，以不同的廣播域?qū)?nèi)3a)在收費總中心、災備中心和各收費分中心b)本系統(tǒng)安全域之間及以外的邊界a)聯(lián)網(wǎng)收費系統(tǒng)各層級之間應使用專網(wǎng)連接，具有防監(jiān)聽、b)只允許收費總中心、災備中心和收費分中心向收費系統(tǒng)外進行數(shù)據(jù)單向推送。b)入侵檢測系統(tǒng)應配置多層次的掃描器。a)防止IP地址被盜用或仿冒，防止用戶間的相互攻擊；b)關閉網(wǎng)絡設備不安全或不使用的服務；d)啟用網(wǎng)絡設備的登錄失敗處理功能。無人為操作時間應不超過10min,登錄失敗超過5次，應用戶安全管理包括總\分中心主機、票證主機、應用服務器、數(shù)據(jù)庫服務器、票據(jù)服務器、備份服b)數(shù)據(jù)庫系統(tǒng)，宜將數(shù)據(jù)庫訪問權限分為登錄權限、管理權限、管理員權限三種用戶權限；系統(tǒng)默認的用戶、口令等；口令至少有8位包含字母數(shù)字的密碼，有效期最長不超過三個月。b)數(shù)據(jù)庫管理系統(tǒng)宜采用用戶審計、系統(tǒng)審計、操作審計、對象審計等多種審計管理方法；5.3.3剩余信息保護45.3.4入侵防范b)應卸載主機操作系統(tǒng)中無用的組件和應用程序，關閉無用端口，禁用遠程修改注冊表功能；c)應設置操作系統(tǒng)的屏幕密碼保護，系統(tǒng)10分鐘內(nèi)無界面操作自動鎖屏；d)遠程登錄的操作系統(tǒng)賬號20分鐘內(nèi)無操作時自動斷接；e)入侵檢測系統(tǒng)應檢測主機受入侵行為，記錄入侵源IP、攻擊類型、攻擊目的、攻擊時間等，統(tǒng)資源使用等措施對主機進行保護。5.4應用安全5.4.2訪問控制b)通過規(guī)定的權限對賬戶管理系統(tǒng)進行訪問控制策略配置；d)信息資源應設置敏感標記，規(guī)定的指定用戶不能進行修改；e)根據(jù)不同級別賬戶權限，限制賬戶對具有相應級別敏感標記的數(shù)據(jù)進行操作；f)賬戶使用前先修改密碼，并定期修改。a)剩余信息包括收費系統(tǒng)的鑒別信息、收費系統(tǒng)生成的臨時文件和目錄與數(shù)據(jù)庫記錄；c)主機應對臨時文件、數(shù)據(jù)庫記錄、硬盤等剩余信息進行保護。5b)應采用密碼技術實現(xiàn)通信過程中的保密性進行數(shù)據(jù)傳輸。a)在收費系統(tǒng)開發(fā)過程中，對于所有b)對用戶輸入異常參數(shù)進行檢查，當檢測到系統(tǒng)出現(xiàn)異常時，應具備自動恢復功能；c)收費總中心、災備中心、收費分中心等數(shù)據(jù)庫服務器應采用雙機熱備的方式，切換時間小于60秒。a)實時監(jiān)控系統(tǒng)資源使用情況，當系統(tǒng)資源使用水平降低到一b)應對賬戶使用系統(tǒng)資源的最大值和最小值進行合理設置；d)通過應用中間件的相關配置，應限定最大并a)建立數(shù)字證書認證系統(tǒng)，并為收費系統(tǒng)的用戶頒發(fā)數(shù)字證書；b)結(jié)合數(shù)字證書系統(tǒng)對應用系統(tǒng)傳輸