当前位置：文档之家 › 北京市移动电子政务安全技术规范

北京市移动电子政务安全技术规范

  • 格式：doc
  • 大小：394.50 KB
  • 文档页数：17

北京市移动电子政务安全技术规范（试行）北京市经济和信息化委员会北京通信信息协会二〇一〇年八月目录1范围 (1)2规范性引用文件 (1)3缩略语 (2)4概述 (2)4.1移动电子政务安全防护范围 (2)4.2移动电子政务安全防护内容 (3)4.2.1管理平台安全防护 (3)4.2.2通信平台安全防护 (3)4.2.3委办局业务系统安全防护 (3)4.2.4移动终端安全防护 (3)5管理平台安全技术要求 (4)5.1物理安全要求 (4)5.2计算环境安全要求 (4)5.3区域边界安全要求 (4)5.4通信网络安全要求 (5)5.5安全管理要求 (5)6委办局业务系统安全技术要求 (6)6.1主机安全要求 (6)6.2边界安全要求 (7)7移动终端安全技术要求 (8)7.1系统安全要求 (8)7.2防病毒、木马要求 (9)7.2.1安装监测安全要求 (9)7.3网络安全要求 (9)7.3.1数据网络安全要求 (9)7.3.2通信接口与端口安全要求 (9)7.3.3短信网络安全要求 (10)7.4数据安全要求 (10)7.4.1PIM（个人信息管理）安全要求 (10)7.4.3身份认证与权限控制要求 (11)7.4.4数据保障安全要求 (11)7.5防失窃安全要求 (11)7.5.1丢失设备防泄密安全要求 (11)7.5.2设备找回机制要求 (12)7.6防垃圾信息要求 (12)7.6.1来电黑名单功能 (12)7.6.2短信黑名单功能 (12)7.6.3VIP短信加密功能 (12)8通信平台安全技术要求 (12)8.1边界安全 (12)8.2业务安全 (13)前言本规范主要内容包括北京移动电子政务安全防护范围和内容、管理平台安全技术要求、委办局业务系统安全技术要求、通信平台安全技术要求和移动终端安全技术要求等内容，是北京市移动电子政务安全规划和建设的技术依据。

随着移动电子政务平台的建设，本规范将被不断补充和完善。

北京市移动电子政务安全技术要求1范围本规范规定了移动电子政务相关的管理平台、通信平台、委办局业务系统以及移动终端的安全技术要求。

本规范适用于北京市移动电子政务的安全设计和建设。

2规范性引用文件下列文件中的条款通过本规范的引用而成为本规范的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本规范，然而，鼓励根据本规范达成协议的各方研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本规范。

⏹《GB 17859-1999 计算机信息系统安全保护划分准则》⏹《GB/T24856-2009 信息安全技术信息系统等级保护安全设计技术要求》⏹《GBT 22240-2008信息安全技术_信息系统安全等级保护定级指南》⏹《GBT 22239-2008 信息安全技术_信息系统安全等级保护基本要求》⏹《北京DB11/T 254.1-2004证书数字证书规范第1部分：格式》⏹《北京DB11/T 254.2-2004证书数字证书规范第2部分：应用接口》⏹《电子政务信息安全等级保护实施指南》⏹《北京市党政机关计算机网络与信息安全管理办法》（京办发［2001］27号文）⏹《北京市信息化工作领导小组关于加强信息安全保障工作的实施意见》（京办发[2004]3号）⏹《北京市党政机关信息系统安全测评规范》（DB11/T 171-2002）3缩略语4概述4.1移动电子政务安全防护范围北京市移动电子政务安全防护范围包括移动终端、通信平台、管理平台以及委办局业务系统。

北京市移动电子政务安全防护范围如图1所示。

图1 北京市移动电子政务安全防护范围移动终端：移动电子政务用户持有的移动终端，包括手机、移动执法设备等。

通信平台：电信运营商为移动电子政务提供的通信网络，包括基础通信系统、业务管理系统、服务接口等。

管理平台：承载包括AAA认证服务系统等移动电子政务管理系统的基础设施平台。

政务外网：即北京市电子政务外网。

目前政务外网已施行相关的安全防护措施。

不在本方案的保护范围之内。

未来，随着业务发展的需要，将在移动电子政务平台上建设移动政务共享域。

该共享域构建在北京移动电子政务平台之上，集中管理存放共享数据，共享域不属于任一委办局。

委办局业务系统：包括实现移动办公、移动执法、公众服务等业务功能的应用系统。

移动电子政务安全防护内容4.2移动电子政务安全防护内容移动电子政务安全防护内容如下：4.2.1管理平台安全防护主要针对移动电子政务管理平台，从物理安全、计算环境安全、区域边界安全、通信网络安全以及安全管理方面进行安全防护。

4.2.2通信平台安全防护主要针对运营商提供的通信网络，从边界安全、业务安全进行安全防护。

4.2.3委办局业务系统安全防护主要针对各委办局业务系统，从边界安全和网络安全方面进行安全防护。

4.2.4移动终端安全防护主要针对用户持有的移动终端，从身份鉴别、系统安全、数据完整性和保密性等方面进行安全防护。

5管理平台安全技术要求5.1物理安全要求移动电子政务物理安全应满足信息系统安全等级保护第三级系统物理安全要求。

具体参见《信息安全技术信息系统安全等级保护基本要求》GB/T 22239—2008 第7.1.1章节。

5.2计算环境安全要求北京市移动电子政务管理平台计算环境是指管理平台中AAA系统、网络实名接入认证系统以及与这些系统相关提供支撑的设施等。

针对这些计算环境应该满足以下安全技术要求：1.应严格限制承载移动电子政务的管理系统主机的操作系统、数据库系统的用户权限并进行权限合理分配，并限制不同用户对系统文件和数据库表等客体的访问权限。

2.应启用承载移动电子政务的管理系统主机的操作系统审计功能，对安全事件相关的用户、资源、时间、类型和结果等信息进行记录。

3.应启用承载移动电子政务的管理系统主机的数据库审计功能，对用户、数据库表、时间等信息进行记录。

4.应对承载移动电子政务的管理系统主机的操作系统、数据库系统的安全事件集中存储、管理和关联分析。

5.应对承载移动电子政务的管理系统主机进行恶意代码防护，保证程序的可信执行。

5.3区域边界安全要求北京市移动电子政务的管理平台外部边界包括管理平台与通信平台之间的边界、管理平台与北京市政务外网之间边界，其内部边界包括管理平台通信网络和管理系统计算环境之间的边界。

针对这些边界应该满足以下安全要求：1.在管理平台与通信平台之间的边界，管理平台与北京市政务外网之间边界应设置边界访问控制设备，并制定边界访问控制策略，屏蔽无关的服务。

2.应对由管理平台接入北京市政务外网的用户身份发起鉴权认证，验证用户身份的合法性，保证授权用户能够接入北京市政务外网。

3.应对不同类型的用户实现不同的鉴权方式。

例如：对手机终端和监控终端分别实现不同的鉴权方式。

4.在管理平台内应实现入侵检测机制，实现对网络入侵行为的监测和报警。

5.应该在管理平台与通信平台之间建立防范资源耗尽控制机制，防范DOS/DDOS攻击，实现对网络带宽的合理利用，。

6.应在管理平台与政务外网之间建立恶意代码监测和防范机制，禁止带有恶意代码的数据进入管理平台。

5.4通信网络安全要求北京市移动电子政务管理平台通信网络指实现支撑管理平台中管理系统运行的基础网络设施。

针对该通信网络应满足以下安全要求：1.移动电子政务系统中的短信服务器部署在通信网络，应保证短信服务器的可用性，其信息发布的真实性。

2.网络设备处理能力应具备冗余空间，满足流量高负荷时需求，不能由于设备配置不够而导致网络全部或者局部瘫痪。

3.应该在管理平台与通信平台之间建立防范资源耗尽控制机制，防范DOS/DDOS攻击，实现对网络带宽的合理利用，。

5.5安全管理要求北京市移动电子政务管理平台应实现统一安全管理，确保能够及时发现网络和系统存在的安全隐患并进行处置。

应该满足以下安全管理要求：1.应通过系统管理员对网络和系统进行统一的配置、控制和管理，监控网络和系统状态。

应通过系统管理员对移动电子政务的用户实现统一身份管理，包括用户信息管理和鉴权认证管理。

系统管理员应进行严格的身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计。

2.应通过安全管理员对计算机终端、网络设备和安全设备配置统一的安全策略。

安全管理员应进行严格的身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并进行审计。

3.应通过安全审计员对分布在系统各个组成部分的安全审计机制进行集中管理，包括根据安全审计策略对审计记录进行分类；提供按时间段开启和关闭相应类型的安全审计机制；对各类审计记录进行存储、管理和查询等。

应对审计记录进行分析，并根据分析结果进行处理；安全审计员应进行严格的身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作。

6委办局业务系统安全技术要求6.1主机安全要求1.应严格限制承载委办局业务系统的主机操作系统、数据库系统的用户权限并进行权限合理分配，并限制不同用户对系统文件和数据库表等客体的访问权限。

2.应启用承载委办局业务系统的主机操作系统审计功能，对安全事件相关的用户、资源、时间、类型和结果等信息进行记录。

3.应启用承载委办局业务系统的主机数据库审计功能，对用户、数据库表、时间等信息进行记录。

4.在确认兼容性的前提下，及时为操作系统、应用系统打补丁。

并应进行周期性的安全检查与安全加固。

5.应对承载委办局业务系统的主机进行恶意代码防护，有效保证程序可信执行。

6.应保证委办局业务系统具备安全审计模块并开启审计功能，对特定安全事件相关的用户、访问资源、时间和结果等信息进行记录。

7.应对委办局业务系统建立本地数据存储备份机制，提供异地数据备份功能。

8.应保证委办局业务系统具备会话安全管理功能，严格管理用户与应用程序之间的会话安全，防止重放攻击。

9.应对移动终端访问委办局业务系统提供身份鉴权，确保主体身份的合法性和真实性；10.应采用密码技术对委办局业务系统通过网络传输的业务数据信息进行加密，防止非法窃听。

6.2边界安全要求北京市委办局业务系统边界，是指委办局业务系统所处安全域的边界。

委办局业务系统所在安全域为移动业务网络，分别于政务外网和非移动业务网络连接。

针对这两类边界应满足以下安全要求：1.委办局业务应用按是否允许被移动终端访问而分为移动业务应用和固网业务应用。

2.在移动业务系统与隔离，禁止外部网络对内部网络的配置操作；禁止外部网络非授权源地址对委办局业务系统主机的访问。

3.应该在边界建立恶意代码监测和防范机制，以防止恶意代码入侵委办局业务系统。

4.在边界应设置边界访问控制设备，禁止外部网络对内部网络的配置操作；禁止外部网络非授权源地址对委办局业务系统主机的访问。

5.应该在边界部署网关型恶意代码监测和入侵防范设备，并保持恶意代码和入侵特征库的及时更新。

合集下载

北京市经济和信息化委员会关于做好信息技术服务外包安全管理工作的通知-京经信委函[2013]203号

北京市经济和信息化委员会关于做好信息技术服务外包安全管理工作的通知-京经信委函[2013]203号

北京市经济和信息化委员会关于做好信息技术服务外包安全管理工作的通知正文：---------------------------------------------------------------------------------------------------------------------------------------------------- 北京市经济和信息化委员会关于做好信息技术服务外包安全管理工作的通知（京经信委函〔2013〕203号）市委、市政府各部、委、办、局，各区、县信息化主管部门，各有关单位：近年来，本市电子政务以及其他重要领域发生了多起由于忽视信息技术服务外包安全管理导致的信息安全事件，造成了较大的经济损失和社会影响。

信息技术服务外包是指信息化项目或工程的建设使用单位以签订合同的方式，将本单位的信息化项目或工程的咨询、招标代理、监理、软件测评、系统集成、运行维护、安全集成、安全测评、灾备、应急等委托非本单位所属的专业机构承担的活动。

开展信息技术服务外包，可以使信息化项目或工程的建设使用单位更好地利用信息化手段开展工作，但由于信息技术外包服务机构往往存在背景复杂、人员流动性大、内部管理不规范等问题，如果监管不到位，必将会面临巨大的安全风险，甚至威胁本市的经济发展、社会稳定、公众利益乃至国家安全。

为规范本市信息技术服务外包的安全管理，降低或避免由于信息技术服务外包的安全管理不到位带来的失控或信息泄露等安全风险，根据《关于大力推进信息化发展和切实保障信息安全的若干意见》（国发〔2012〕23号）、《关于加强信息安全管理体系认证安全管理的通知》（工信部联协〔2010〕394号）、《加强政府部门信息技术外包服务安全管理》（工信部2011年第21号公告）和《党政机关计算机网络与信息安全管理办法》（京办发〔2001〕27号）等政策文件要求以及落实2010年市长办公会的有关精神，现结合本市实际情况就有关事项通知如下：一、明确信息技术服务外包安全管理工作的职责分工市经济信息化委负责本市信息技术服务外包安全管理工作的指导和监督。

电子政务 标准规范

电子政务 标准规范

电子政务标准规范电子政务是指政府利用信息技术手段，为公民、企业和政府部门提供更加高效、便捷、透明的政务服务的一种新型政务形式。

随着信息技术的飞速发展，电子政务已经成为政府工作的重要组成部分，对于提高政府管理效率、优化公共服务、促进社会经济发展起到了重要作用。

而电子政务的标准规范则是保障电子政务系统正常运行和服务质量的重要保障。

首先，电子政务的标准规范应包括系统安全标准。

政府部门在建设和运行电子政务系统时，必须确保系统的安全性，防范各类网络攻击和信息泄露。

因此，电子政务系统应当符合国家相关的网络安全标准，采取有效的安全防护措施，保障政府信息和公民信息的安全。

其次，电子政务的标准规范还应包括信息互通标准。

在不同政府部门之间，信息的互通共享是电子政务的基础。

因此，电子政务系统应当遵循统一的信息互通标准，确保各个部门之间的信息可以互相传递和共享，避免信息孤岛的现象，提高政府工作效率。

另外，电子政务的标准规范还应包括服务质量标准。

政府提供的电子政务服务应当符合一定的服务质量标准，包括服务响应时间、服务稳定性、服务可用性等方面的要求。

只有保证了服务质量，才能够让公民和企业真正感受到电子政务带来的便利和效益。

此外，电子政务的标准规范还应包括信息公开标准。

政府部门在提供电子政务服务的过程中，应当遵循信息公开的原则，将相关政务信息向社会公开，确保政府工作的透明度和公开性，让公民和企业能够及时了解政府的工作进展和相关信息。

最后，电子政务的标准规范还应包括隐私保护标准。

政府在收集和使用公民个人信息时，必须遵循相关的隐私保护标准，保护公民的个人隐私不受侵犯，确保公民在使用电子政务服务时的信息安全。

总之，电子政务的标准规范是电子政务建设和运行的重要保障，只有严格遵循相关标准规范，才能够保障电子政务系统的安全稳定运行，提高政府管理效率，优化公共服务，促进社会经济发展。

希望各级政府部门能够高度重视电子政务的标准规范建设，推动电子政务建设迈上新的台阶。

北京市电子政务运维管理规范

北京市电子政务运维管理规范

北京市电子政务运维管理规范
一、前言
北京市作为中国的首都，电子政务建设一直处于国内领先水平。

为了更好地保障政府各级各部门电子政务系统的正常运行，制定了本《北京市电子政务运维管理规范》，旨在规范电子政务系统的运维管理工作，提高系统的稳定性和安全性。

二、运维团队建设
1.1 运维团队的组建
1.2 运维人员的资质要求
1.3 运维人员的技术培训
三、运维管理体系
2.1 运维管理责任制度
2.2 运维工作流程
2.3 运维服务水平要求
四、运维设备管理
3.1 设备采购管理
3.2 设备配置管理
3.3 设备维护管理
五、安全管理
4.1 系统安全防护
4.2 安全事件应急处理
4.3 安全漏洞管理
六、数据管理
5.1 数据备份管理
5.2 数据迁移管理
5.3 数据存储管理
七、性能监测
6.1 系统性能监测
6.2 系统性能优化
6.3 故障预警处理
八、服务质量评估
7.1 服务质量考核指标7.2 服务质量评估方法
7.3 服务质量改进措施
九、创新发展
8.1 运维技术创新
8.2 运维管理模式创新
8.3 运维工作流程优化
十、总结
在电子政务领域，规范的运维管理工作是保障系统稳定运行和信息安全的重要保障。

北京市电子政务运维管理规范的制定和实施，将进一步提高政府部门的电子化管理水平，为实现信息化建设目标提供有力支持。

希望各级各部门认真执行相关规范要求，不断完善电子政务系统的运维管理工作，为推动政府工作现代化不断作出新的贡献。

DB11_T1041-2013政务办公终端安全管理规范

DB11_T1041-2013政务办公终端安全管理规范

ICS 35.020L70备案号:40354-2014 DB11 北京市地方标准DB11/T 1041—2013政务办公终端安全管理规范Security management specification for government office computer 2013-12-20发布2014-04-01实施目次前言 (II)1 范围 (1)2 规范性引用文件 (1)3 术语、定义和缩略语 (1)3.1 术语和定义 (1)3.2 缩略语 (1)4 安全管理原则 (1)4.1 明确责任 (1)4.2 综合防范 (1)4.3 适度保护 (1)5 安全管理要求 (2)5.1 责任人员 (2)5.2 软件管理 (2)5.3 安全制度 (2)6 软件配置基本要求 (2)6.1 操作系统配置要求 (2)6.2 应用软件配置要求 (3)7 外围控制基本要求 (4)7.1 准入控制要求 (4)7.2 流量监控要求 (4)附录A（规范性附录）政务办公终端安全增强要求 (6)前言本标准按照GB/T 1.1-2009给出的规则起草。

本标准由北京市经济和信息化委员会提出并归口。

本标准由北京市经济和信息化委员会组织实施。

本标准起草单位：北京信息安全测评中心、北京市统计局信息中心、北京东祥骏昌科技有限公司。

本标准主要起草人：刘海峰、钱秀槟、王春佳、黄少青、赵章界、张晓梅、梁博、李晨旸、贺海、史蓉、李晓燕。

II政务办公终端安全管理规范1 范围本标准规定了政务办公终端的安全管理原则、安全管理要求、软件配置基本要求和外围控制基本要求。

本标准适用于政务办公终端，不适用于处理涉及国家秘密信息的计算机终端。

2 规范性引用文件下列文件对于本文件的应用是必不可少的。

凡是注日期的引用文件，仅所注日期的版本适用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 25069-2010 信息安全技术术语3 术语、定义和缩略语3.1 术语和定义GB/T 25069-2010界定的以及下列术语和定义适用于本文件。