SN-T 5562.8-2023 海關(guān)實(shí)驗(yàn)室數(shù)字化管理規(guī)范 第8部分：安全管理

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載1 2ICS03.20.0學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載1 2CCSA00中華人民共和國(guó)出入境檢驗(yàn)檢疫行業(yè)標(biāo)準(zhǔn)8SN/T

5562.—20238海關(guān)實(shí)驗(yàn)室數(shù)字化管理規(guī)范

8

:

ii

i t i

iii

i t i

iiPart8:Securtymanagementi-

- -

--

- -

-中華人民共和國(guó)海關(guān)總署 發(fā)

布學(xué)ｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)兔兔ｗ下載學(xué)ｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)兔兔ｗ下載學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8SN/T5562.—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8前 言本文件按照

GB/T1.標(biāo)準(zhǔn)化工作導(dǎo)則 第1部分:標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件是SN/T5562《海關(guān)實(shí)驗(yàn)室數(shù)字化管理規(guī)范》的第8部分。SN/T5562已經(jīng)發(fā)布了以下部分:———第1部分:總則;———第2部分:組織管理;———第3部分:數(shù)據(jù)管理;———第4部分:架構(gòu)管理;———第5部分:數(shù)據(jù)控制和信息管理;———第6部分:數(shù)據(jù)分析管理;———第7部分:服務(wù)方管理;———第8部分:安全管理。請(qǐng)注意本文件的某些內(nèi)容可能涉及專(zhuān)利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專(zhuān)利的責(zé)任。本文件由中華人民共和國(guó)海關(guān)總署提出并歸口。本文件起草單位:廣州海關(guān)技術(shù)中心、漳州海關(guān)綜合技術(shù)服務(wù)中心、番禺職業(yè)技術(shù)學(xué)院、北京三維天地科技股份有限公司、中國(guó)電子口岸數(shù)據(jù)中心廣州分中心、深圳海關(guān)信息中心、廣州海成電子科技有限公司。本文件主要起草人:張彥彬、陳泳、劉世明、蘇楊、李靜、周錦順、李志勇、劉丹、席靜、林子旭、林俊偉、朱亞豐、熊猛杰、包先雨、陳炳穎、何王福、鄭俊超、梁茵茵。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8SN/T5562.—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8引 言為規(guī)范海關(guān)實(shí)驗(yàn)室數(shù)字化管理,提高實(shí)驗(yàn)室的數(shù)字化管理水平,擬制定SN/T5562《海關(guān)實(shí)驗(yàn)室數(shù)字化管理規(guī)范》推動(dòng)海關(guān)實(shí)驗(yàn)室數(shù)字化管理的規(guī)范化,確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理的原則和要求,擬由八個(gè)部分構(gòu)成?！?部分:總則。目的在于確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理的總體原則和要求?！?部分:組織管理。目的在于確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理過(guò)程中的組織建設(shè)、組織結(jié)構(gòu)管理、人員管理的組織管理要求?！?部分:數(shù)據(jù)管理。目的在于確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理過(guò)程中的數(shù)據(jù)編碼、數(shù)據(jù)分類(lèi)、數(shù)據(jù)交換、數(shù)據(jù)存儲(chǔ)及維護(hù)的數(shù)據(jù)管理要求?！?部分:架構(gòu)管理。目的在于確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理過(guò)程中的可為未來(lái)一定時(shí)期內(nèi)各種資源和信息系統(tǒng)建設(shè)提供整體性、長(zhǎng)期性的發(fā)展規(guī)劃建議和指導(dǎo)的架構(gòu)管理要求。———第5部分:數(shù)據(jù)控制和信息管理。目的在于確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理過(guò)程中的數(shù)據(jù)控制、信息管理、持續(xù)改進(jìn)的數(shù)據(jù)控制和信息管理要求?！?部分:數(shù)據(jù)分析管理。目的在于確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理過(guò)程中的數(shù)據(jù)分析基本要求、數(shù)據(jù)分析指標(biāo)管理、數(shù)據(jù)分析過(guò)程、數(shù)據(jù)分析技術(shù)與方法、數(shù)據(jù)分析結(jié)果應(yīng)用的數(shù)據(jù)分析管理要求。———第7部分:服務(wù)方管理。目的在于確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理過(guò)程中的服務(wù)方選擇、服務(wù)過(guò)程管理、服務(wù)評(píng)價(jià)與持續(xù)改進(jìn)、關(guān)鍵點(diǎn)控制、服務(wù)方管理數(shù)字化的服務(wù)方管理要求?！?部分:安全管理。目的在于確立適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理過(guò)程中的實(shí)驗(yàn)室常規(guī)安全、網(wǎng)絡(luò)安全、系統(tǒng)安全和數(shù)據(jù)安全管理的安全管理要求。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8SN/T5562.—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8海關(guān)實(shí)驗(yàn)室數(shù)字化管理規(guī)范第8部分:安全管理1

范圍本文件規(guī)定了海關(guān)實(shí)驗(yàn)室數(shù)字化過(guò)程中的安全管理要求。本文件適用于海關(guān)實(shí)驗(yàn)室數(shù)字化建設(shè)和管理過(guò)程中的實(shí)驗(yàn)室常規(guī)安全、網(wǎng)絡(luò)安全、系統(tǒng)安全和數(shù)據(jù)安全管理。2

規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中,注日期的引用文件,僅該日期對(duì)應(yīng)的版本適用于本文件;不注日期的引用文件,其最新版本(包括所有的修改單)適用于本文件。GB19489

實(shí)驗(yàn)室生物安全通用要求1GB/T27476.—2014

檢測(cè)實(shí)驗(yàn)室安全 第1部分:總則1HS/T22—2018

海關(guān)信息化術(shù)語(yǔ)1SN/T5562. 海關(guān)實(shí)驗(yàn)室數(shù)字化管理規(guī)范 第1部分:總則13

術(shù)語(yǔ)和定義1GB19489、GB/T27476.、HS/T22—2018和SN/T5562.界定的術(shù)語(yǔ)和定義適用于本文件。14

總體原則海關(guān)實(shí)驗(yàn)室宜建立安全體系,保障“生產(chǎn)安全、生物安全、質(zhì)量安全和數(shù)據(jù)安全”。海關(guān)實(shí)驗(yàn)室數(shù)字化過(guò)程中的安全管理,可包括實(shí)驗(yàn)室常規(guī)安全、網(wǎng)絡(luò)安全、系統(tǒng)安全和數(shù)據(jù)安全管理。5

安全管理15. 實(shí)驗(yàn)室常規(guī)安全1 1115.. 實(shí)驗(yàn)室的設(shè)備、設(shè)施、環(huán)境、人員和生產(chǎn)過(guò)程安全應(yīng)遵守

GB/T27476.—2014中第5章的 111求,涉及實(shí)驗(yàn)室生物安全通用要求應(yīng)遵守

GB19489的規(guī)定。125.. 實(shí)驗(yàn)室宜使用安全管理相關(guān)信息系統(tǒng),保障實(shí)驗(yàn)室管理的相關(guān)安全管理規(guī)定的規(guī)范有效實(shí)施和12落地,從人員、設(shè)備設(shè)施、樣品、試劑耗材、檢驗(yàn)過(guò)程等方面實(shí)現(xiàn)實(shí)驗(yàn)室日常安全管理、應(yīng)急處置管理、生產(chǎn)安全管理和質(zhì)量安全管理。135.. 實(shí)驗(yàn)室應(yīng)保持常態(tài)化關(guān)注實(shí)驗(yàn)室安全相關(guān)的法律、法規(guī)、規(guī)章和政府部門(mén)規(guī)定,及時(shí)更新管理制13度并嚴(yán)格執(zhí)行。1學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8SN/T5562.—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載825. 網(wǎng)絡(luò)安全221225.. 實(shí)驗(yàn)室應(yīng)遵守海關(guān)網(wǎng)絡(luò)安全相關(guān)管理規(guī)定,明確網(wǎng)絡(luò)安全工作領(lǐng)導(dǎo)機(jī)構(gòu)和部門(mén)職責(zé)分工。21225.. 實(shí)驗(yàn)室應(yīng)利用技術(shù)手段監(jiān)測(cè)、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)和網(wǎng)絡(luò)安全事件,定期開(kāi)展安全檢測(cè),防范計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害海關(guān)網(wǎng)絡(luò)安全的行為。235.. 實(shí)驗(yàn)室應(yīng)建立網(wǎng)絡(luò)安全應(yīng)急管理工作機(jī)制并發(fā)布應(yīng)急預(yù)案,明確網(wǎng)絡(luò)安全事件處理流程、職責(zé)23和人員,加強(qiáng)網(wǎng)絡(luò)安全應(yīng)急力量建設(shè)和應(yīng)急資源儲(chǔ)備,應(yīng)定期組織應(yīng)急演練。245.. 實(shí)驗(yàn)室宜定期開(kāi)展實(shí)驗(yàn)室人員的網(wǎng)絡(luò)安全教育培訓(xùn),并對(duì)網(wǎng)絡(luò)安全相關(guān)崗位人員加強(qiáng)網(wǎng)絡(luò)安全24技能培訓(xùn)。255.. 實(shí)驗(yàn)室應(yīng)在內(nèi)網(wǎng)、對(duì)外接入局域網(wǎng)、互聯(lián)網(wǎng)間進(jìn)行隔離和訪問(wèn)控制,不同等級(jí)網(wǎng)絡(luò)安全域間應(yīng)當(dāng)25采取嚴(yán)格的訪問(wèn)控制措施和邊界防護(hù)手段。265.. 實(shí)驗(yàn)室信息系統(tǒng)用戶(hù)應(yīng)當(dāng)簽訂網(wǎng)絡(luò)安全承諾書(shū),承諾遵守網(wǎng)絡(luò)安全管理制度及相關(guān)安全規(guī)26范,不得破壞實(shí)驗(yàn)室信息系統(tǒng)的安全穩(wěn)定運(yùn)行,不得發(fā)布或者傳播法律、行政法規(guī)、海關(guān)及本實(shí)驗(yàn)室規(guī)定禁止發(fā)布或者傳播的信息,不得盜取數(shù)據(jù)、破壞系統(tǒng),不得非法出售或者非法向他人提供關(guān)鍵敏感信息或數(shù)據(jù)。275.. 實(shí)驗(yàn)室采購(gòu)重要網(wǎng)絡(luò)產(chǎn)品或者服務(wù)時(shí),應(yīng)要求服務(wù)方簽訂安全保密協(xié)議,明確要求不得設(shè)置惡27意程序或者后門(mén),不得泄露、擴(kuò)散、轉(zhuǎn)讓建設(shè)服務(wù)過(guò)程中獲知的海關(guān)相關(guān)信息,承擔(dān)漏洞修復(fù)等安全保密責(zé)任義務(wù),并對(duì)責(zé)任義務(wù)履行情況進(jìn)行監(jiān)督。35. 系統(tǒng)安全3315.. 信息系統(tǒng)建設(shè)應(yīng)遵守海關(guān)安全開(kāi)發(fā)規(guī)范。3132335.. 信息系統(tǒng)開(kāi)發(fā)測(cè)試環(huán)境與實(shí)際運(yùn)行環(huán)境應(yīng)物理分離,加強(qiáng)信息系統(tǒng)開(kāi)發(fā)環(huán)境安全管理。32335.. 應(yīng)根據(jù)信息系統(tǒng)安全等級(jí)要求,建立信息系統(tǒng)身份認(rèn)證和權(quán)限控制機(jī)制,根據(jù)權(quán)限或保密的級(jí)別選擇合適的身份認(rèn)證手段,并做好范圍、期限權(quán)限的授權(quán)管理,授權(quán)人員變更管理,海關(guān)單位外部人員授權(quán)管理。定期對(duì)信息系統(tǒng)賬號(hào)的管理及使用情況進(jìn)行檢查。345.. 信息系統(tǒng)上線運(yùn)行前應(yīng)通過(guò)代碼安全審查、漏洞掃描及惡意代碼檢測(cè),并要求系統(tǒng)建設(shè)服務(wù)方34提供安全檢測(cè)報(bào)告、軟件源代碼、測(cè)試或者維護(hù)接口清單等內(nèi)容。應(yīng)定期進(jìn)行信息系統(tǒng)的漏洞掃描和配置核查,及時(shí)處置存在的高風(fēng)險(xiǎn)漏洞和嚴(yán)重配置問(wèn)題,嚴(yán)格限制存在高風(fēng)險(xiǎn)漏洞和嚴(yán)重配置問(wèn)題的信息系統(tǒng)和信息化設(shè)備上線運(yùn)行。45. 數(shù)據(jù)安全4415.. 實(shí)驗(yàn)室應(yīng)建立覆蓋數(shù)據(jù)采集、存儲(chǔ)、傳輸、使用、處理和銷(xiāo)毀等實(shí)驗(yàn)室數(shù)據(jù)全生命周期的數(shù)據(jù)安4142全管理體系,防范和控制數(shù)據(jù)安全風(fēng)險(xiǎn),采取科學(xué)有效的技術(shù)手段和組織措施保障數(shù)據(jù)安全。425.. 應(yīng)對(duì)信息系統(tǒng)使用、產(chǎn)生的介質(zhì)或數(shù)據(jù)進(jìn)行安全存儲(chǔ)管理,注意防火、防高溫、防震、防磁、防靜電及防盜。435..應(yīng)按海關(guān)數(shù)據(jù)安全相關(guān)管理規(guī)定,對(duì)數(shù)據(jù)進(jìn)行分級(jí)分類(lèi),并根據(jù)實(shí)際情況的變化及時(shí)對(duì)數(shù)據(jù)級(jí)43別進(jìn)行調(diào)整,并建立嚴(yán)格的保密保管制度。445.. 應(yīng)定義數(shù)據(jù)備份策略,實(shí)施數(shù)據(jù)備份管理,適宜時(shí)定期進(jìn)行備份恢復(fù)測(cè)試,以確保系統(tǒng)出現(xiàn)數(shù)據(jù)44誤刪除、病毒感染、自然災(zāi)害等故障后能夠及時(shí)恢復(fù)數(shù)據(jù),保證系統(tǒng)運(yùn)行。45465.. 應(yīng)對(duì)檢測(cè)報(bào)告等系統(tǒng)中的敏感數(shù)據(jù)、關(guān)鍵信息,進(jìn)行數(shù)據(jù)加密管理。例如,采用電子簽名技術(shù)確4546保數(shù)據(jù)的合法性和完整性。應(yīng)當(dāng)對(duì)互聯(lián)網(wǎng)傳入的文件進(jìn)行安全檢測(cè)與控制,并進(jìn)行日志記錄,防范惡意代碼攻擊。對(duì)已發(fā)生信息安全問(wèn)題的信息系統(tǒng),應(yīng)重新評(píng)估對(duì)應(yīng)系統(tǒng)的實(shí)驗(yàn)室