《智慧科研機(jī)構(gòu)安全體系建設(shè)導(dǎo)則》征求意見稿

智慧科研機(jī)構(gòu)安全體系建設(shè)導(dǎo)則本標(biāo)準(zhǔn)從規(guī)定了智慧科研機(jī)構(gòu)安全體系建設(shè)的術(shù)語和定義、體系的構(gòu)成、體系建設(shè)的基本原則和目標(biāo)、體系建設(shè)的基本要求、建設(shè)流程。本標(biāo)準(zhǔn)適用于從事自主創(chuàng)新技術(shù)研究的智慧型科研機(jī)構(gòu)的安全體系建設(shè)。2規(guī)范性引用文件下列文件中對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T25069-2010信息安全技術(shù)術(shù)語GB/T25070-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求標(biāo)準(zhǔn)3術(shù)語和定義GB/T25069-2010界定的以及下列術(shù)語和定義適用于本文件。3.1智慧研究機(jī)構(gòu)SmartResearchInstitutions基于知識(shí)構(gòu)筑的智慧化組織，其組織、決策、運(yùn)營(yíng)、市場(chǎng)營(yíng)銷、管理和科研生產(chǎn)模式是以知識(shí)應(yīng)用為基礎(chǔ)，以創(chuàng)新驅(qū)動(dòng)發(fā)展為目的，具有自學(xué)習(xí)、自成長(zhǎng)、自優(yōu)化、自適應(yīng)的特征，是支撐我國(guó)科研院所未來自主創(chuàng)新的核心科研組織。3.2智慧研究機(jī)構(gòu)安全SecurityOfSmartResearchInstitutions在智慧研究機(jī)構(gòu)中對(duì)信息的保密性、完整性和可用性的保持，以及依此提供的信息安全、網(wǎng)絡(luò)安全和運(yùn)行安全。3.3智慧研究機(jī)構(gòu)安全體系建設(shè)ConstructionOfSafetySystemForScientificResearchInstitutions智慧科研機(jī)構(gòu)安全體系建設(shè)是指通過建立健全的安全管理制度、技術(shù)防范體系和應(yīng)急響應(yīng)機(jī)制，確?？蒲袡C(jī)構(gòu)的信息安全，網(wǎng)絡(luò)安全和運(yùn)行安全。3.4智慧研究機(jī)構(gòu)安全管理者SecurityManagerofSmartResearchInstitutions智慧科研機(jī)構(gòu)信息安全組織建設(shè)、機(jī)制建設(shè)，以及協(xié)調(diào)監(jiān)督的實(shí)體。3.5智慧研究機(jī)構(gòu)安全建設(shè)者SecurityBuilderforSmartResearchInstitutions智慧科研機(jī)構(gòu)信息安全工程實(shí)施，部署智慧研究機(jī)構(gòu)安全技術(shù)防護(hù)措施的實(shí)體。3.6智慧研究機(jī)構(gòu)安全運(yùn)維者ConstructionOfSafetySystemForScientificResearchInstitutions負(fù)責(zé)智慧科研機(jī)構(gòu)安全事件的監(jiān)測(cè)、預(yù)警、響應(yīng)、應(yīng)急處置和恢復(fù)的實(shí)體。4縮略語下列縮略語適用于本文件。5智慧科研機(jī)構(gòu)安全目標(biāo)圍繞智慧科研機(jī)構(gòu)安全保護(hù)對(duì)象，智慧科研機(jī)構(gòu)安全提供者、安全管理者、智慧科研機(jī)構(gòu)建設(shè)者、智慧科研機(jī)構(gòu)安全運(yùn)維者等安全角色相互協(xié)作，實(shí)現(xiàn)以下安全目標(biāo)：a)保證智慧科研機(jī)構(gòu)信息系統(tǒng)安全運(yùn)行，尤其是保證重要關(guān)鍵信息系統(tǒng)的可用性和可靠性；b)保證智慧科技機(jī)構(gòu)的數(shù)據(jù)資產(chǎn)的真實(shí)性、保密性、完整性、可用性和可靠性；c)保證智慧科研機(jī)構(gòu)應(yīng)用和服務(wù)的可用性、可靠性和可核查性；d)保證智慧科技機(jī)構(gòu)整體安全的合理性、魯棒性和可擴(kuò)展性。6智慧科研機(jī)構(gòu)安全體系概述智慧科研機(jī)構(gòu)安全體系建設(shè)是指通過建立健全的安全管理制度、技術(shù)方法體系和應(yīng)急響應(yīng)機(jī)制，確?？蒲袡C(jī)構(gòu)的信息安全、網(wǎng)絡(luò)安全和運(yùn)行安全，并且審核信息安全職能（責(zé)任）部門制定的信息安全管理策略、工作流程和各種規(guī)章制度，監(jiān)督信息安全措施的落實(shí)和執(zhí)行，領(lǐng)導(dǎo)信息安全檢查工作。6.1智慧科研機(jī)構(gòu)安全保護(hù)的對(duì)象智慧科研機(jī)構(gòu)安全保護(hù)對(duì)象分為硬件設(shè)備、軟件設(shè)備、信息系統(tǒng)、數(shù)據(jù)資產(chǎn)與應(yīng)用服務(wù)。硬件設(shè)備是智慧科研機(jī)構(gòu)中具有獨(dú)立工作能力的信息采集或處理設(shè)備，包括終端、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器等。軟件設(shè)備是服務(wù)于智慧科研機(jī)構(gòu)的工具和業(yè)務(wù)應(yīng)用系統(tǒng)等。信息系統(tǒng)指應(yīng)用服務(wù)、數(shù)據(jù)資產(chǎn)、硬件設(shè)備之外的ICT基礎(chǔ)服務(wù)，為科研機(jī)構(gòu)提供網(wǎng)絡(luò)、存儲(chǔ)、計(jì)算等基礎(chǔ)資源服務(wù)，包括虛擬化平臺(tái)和云服務(wù)等。數(shù)據(jù)資產(chǎn)是智慧科研機(jī)構(gòu)收集、存儲(chǔ)、傳輸、處理和產(chǎn)生的各種電子數(shù)據(jù)。應(yīng)用服務(wù)是應(yīng)用系統(tǒng)提供的數(shù)據(jù)共享服務(wù)及數(shù)據(jù)服務(wù)和數(shù)據(jù)計(jì)算服務(wù)等。6.2智慧科研機(jī)構(gòu)安全體系框架智慧科研機(jī)構(gòu)安全體系框架是實(shí)現(xiàn)智慧科研機(jī)構(gòu)安全目標(biāo)的參考模型，由智慧科研機(jī)構(gòu)的安全保護(hù)對(duì)象、安全要素、安全角色及其相互關(guān)系組成，如圖1所示。其中安全要素包含安全管理、安全技術(shù)、安全建設(shè)、安全運(yùn)營(yíng)和配套安全產(chǎn)品及工具等方面。6.3智慧科研機(jī)構(gòu)安全角色6.3.1智慧科研機(jī)構(gòu)安全管理者智慧科研機(jī)構(gòu)安全管理者的職責(zé)包括但不限于：a)制定智慧科研機(jī)構(gòu)安全管理機(jī)制；b)制定智慧科研機(jī)構(gòu)安全人才培養(yǎng)和安全意識(shí)教育計(jì)劃；c)為智慧科研機(jī)構(gòu)建設(shè)者、安全運(yùn)營(yíng)者提供指導(dǎo)和必要支持。d)定期開展智慧科研機(jī)構(gòu)安全應(yīng)急演練活動(dòng)；e)及時(shí)報(bào)告安全威脅信息與安全事件；6.3.2智慧科研機(jī)構(gòu)安全建設(shè)者智慧科研機(jī)構(gòu)安全建設(shè)者的職責(zé)包括但不限于：a)實(shí)施智慧科研機(jī)構(gòu)安全工程建設(shè)；b)部署有效的智慧科研機(jī)構(gòu)安全防護(hù)措施；c)測(cè)試智慧科研機(jī)構(gòu)信息工程建設(shè)安全建設(shè)方案；d)定期對(duì)智慧科研機(jī)構(gòu)安全建設(shè)方案進(jìn)行評(píng)審和改進(jìn)；6.3.3智慧科研機(jī)構(gòu)安全運(yùn)維者智慧科研機(jī)構(gòu)安全運(yùn)維者的職責(zé)包括但不限于：a)負(fù)責(zé)智慧科研機(jī)構(gòu)安全運(yùn)行與維護(hù)管理；b)監(jiān)測(cè)智慧科研機(jī)構(gòu)安全風(fēng)險(xiǎn)，分析安全態(tài)勢(shì)；c)發(fā)現(xiàn)智慧科研機(jī)構(gòu)安全事件和脆弱性、防范、阻斷網(wǎng)絡(luò)攻擊；d)應(yīng)急處置智慧科研機(jī)構(gòu)安全風(fēng)險(xiǎn)與安全事件；e)制定、評(píng)估并修訂智慧科研機(jī)構(gòu)安全事件應(yīng)急預(yù)案；f)實(shí)現(xiàn)對(duì)惡意行為的取證和追蹤溯源；g)保證災(zāi)后智慧科研機(jī)構(gòu)信息系統(tǒng)快速恢復(fù)正常運(yùn)轉(zhuǎn)狀態(tài)；h)有效控制智慧科研機(jī)構(gòu)安全事件造成的負(fù)面影響。6.3.4智慧科研機(jī)構(gòu)安全提供者a)設(shè)計(jì)開發(fā)安全產(chǎn)品與應(yīng)用，并提供維護(hù)技術(shù)服務(wù)；b)按照智慧科研機(jī)構(gòu)安全管理策略部署安全技術(shù)措施；c)協(xié)助智慧科研機(jī)構(gòu)安全建設(shè)者進(jìn)行工程建設(shè)，提供安全產(chǎn)品、服務(wù)及技術(shù)服務(wù)支持；d)協(xié)助智慧科研機(jī)構(gòu)安全運(yùn)營(yíng)者完成應(yīng)急恢復(fù)及調(diào)查取證，提供安全產(chǎn)品、服務(wù)及技術(shù)支持。6.4智慧科研機(jī)構(gòu)安全要素智慧科研機(jī)構(gòu)安全管理主要包括管理制度建設(shè)、應(yīng)急響應(yīng)機(jī)制、人員安全意識(shí)培訓(xùn)、教育培訓(xùn)和演練等。智慧科研機(jī)構(gòu)安全技術(shù)由智慧科研機(jī)構(gòu)服務(wù)提供者研究、開發(fā)和設(shè)計(jì)應(yīng)用，在物理層、網(wǎng)絡(luò)通信層、計(jì)算與存儲(chǔ)層、數(shù)據(jù)及服務(wù)融合層以及智慧應(yīng)用層五個(gè)層次分別部署安全技術(shù)防御措施，應(yīng)對(duì)智慧科研機(jī)構(gòu)安全風(fēng)險(xiǎn)。智慧科研機(jī)構(gòu)安全建設(shè)與運(yùn)營(yíng)主要包括信息安全工程實(shí)施和安全運(yùn)營(yíng)。智慧科研機(jī)構(gòu)信息安全工程實(shí)施是指信息系統(tǒng)/設(shè)備開發(fā)、采購(gòu)、集成、組件、配置及測(cè)試。智慧科研機(jī)構(gòu)安全運(yùn)營(yíng)是對(duì)信息系統(tǒng)運(yùn)行狀態(tài)的維護(hù)、監(jiān)測(cè)，對(duì)安全事件的報(bào)告、應(yīng)急處置、恢復(fù)，確保并維持智慧科研機(jī)構(gòu)的各項(xiàng)業(yè)務(wù)安全有序運(yùn)行。7智慧科研機(jī)構(gòu)安全管理7.1信息安全管理制度建設(shè)信息安全管理制度建設(shè)包括但不限于以下內(nèi)容：a)應(yīng)建立安全保衛(wèi)制度；b)應(yīng)建立保密管理制度；c)應(yīng)建立信息安全風(fēng)險(xiǎn)評(píng)估制度；d)應(yīng)建立規(guī)范的信息安全管理流程。7.2應(yīng)急響應(yīng)機(jī)制應(yīng)急響應(yīng)機(jī)制包括但不限于以下內(nèi)容：a)安全事件應(yīng)急預(yù)案及其有效性評(píng)估；b)應(yīng)急處置機(jī)制；c)安全事件教育培訓(xùn)；d)應(yīng)急智慧體系。7.3人員安全意識(shí)培訓(xùn)和演練人員安全意識(shí)培訓(xùn)要求的主要內(nèi)容：a)加強(qiáng)對(duì)科研人員的教育培訓(xùn)，提高他們的信息安全意識(shí)和安全技能，增強(qiáng)他們的安全責(zé)任干和風(fēng)險(xiǎn)意識(shí)。b)定期組織演練，提高科研人員在面對(duì)安全事件時(shí)的應(yīng)變能力。7.4安全管理體系建設(shè)安全管理體系建設(shè)要求的主要內(nèi)容：8.4內(nèi)生安全a)建立健全的安全管理體系，包括安全組織架構(gòu)、安全管理流程、安全培訓(xùn)計(jì)劃等，確保安全管理工作的有效開展。b)制定信息安全總體策略，明確機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等內(nèi)容，其安全體系也應(yīng)圍繞其總體策略建設(shè)。8智慧科研機(jī)構(gòu)安全技術(shù)技術(shù)防范體系建設(shè)與網(wǎng)絡(luò)安全防護(hù)包括但不限于以下內(nèi)容：8.1物理層提供基礎(chǔ)的安全保障對(duì)實(shí)驗(yàn)室、辦公場(chǎng)所、網(wǎng)絡(luò)設(shè)備等物理場(chǎng)所進(jìn)行安全控制，避免設(shè)備被破壞、數(shù)據(jù)被泄露等情況的發(fā)生。8.2網(wǎng)絡(luò)層提供安全的通信信道a)局域網(wǎng)b)廣域網(wǎng)c)互聯(lián)網(wǎng)等。8.3系統(tǒng)層提供技術(shù)支持和防護(hù)措施a)軟件b)硬件c)計(jì)算與存儲(chǔ)1）數(shù)據(jù)內(nèi)容、數(shù)據(jù)與服務(wù)融合資源的防護(hù)措施；2）數(shù)據(jù)存儲(chǔ)安全；3）基礎(chǔ)軟件安全，包括但不限于操作系統(tǒng)、數(shù)據(jù)庫、中間件和資源管理軟件的安全。d)通信網(wǎng)絡(luò)1）科研網(wǎng)絡(luò)應(yīng)支持資源分層隔離安全2）不同保護(hù)等級(jí)的業(yè)務(wù)應(yīng)分區(qū)域進(jìn)行保護(hù)3）應(yīng)支持細(xì)粒度網(wǎng)絡(luò)層安全策略訪問控制e)智慧應(yīng)用1）智慧應(yīng)用的可靠性和可擴(kuò)展性；2）應(yīng)用軟件、職能終端、網(wǎng)站等防護(hù)措施；f)數(shù)據(jù)安全及通信網(wǎng)絡(luò)安全1）物理或虛擬計(jì)算資源安全；2）物理或存儲(chǔ)資源安全；3）身份鑒別；4）訪問控制；a)可獲得性1）軟硬件基礎(chǔ)設(shè)施資源應(yīng)可持續(xù)獲得2）軟硬件維護(hù)與安全支持服務(wù)應(yīng)可持續(xù)獲得b)安全可控1）軟件資源應(yīng)遵從安全規(guī)范開發(fā)2）硬件設(shè)備應(yīng)支持可信啟動(dòng)3）軟硬件及算法模塊無后門4）重要網(wǎng)絡(luò)環(huán)境CPU、OS、服務(wù)應(yīng)符合安全可靠測(cè)評(píng)要求c)安全韌性1）IT架構(gòu)無單點(diǎn)故障風(fēng)險(xiǎn)2）網(wǎng)絡(luò)應(yīng)遵從服務(wù)分層與分區(qū)域隔離3）產(chǎn)品部件應(yīng)具備一定故障恢復(fù)能力4）產(chǎn)品部件宜具備初步入侵感知、阻斷能力（密碼爆破、輸入校驗(yàn)等）d)安全功能配置1）產(chǎn)品材料應(yīng)包含安全配置說明2）應(yīng)支持配置文件備份與還原3）配置項(xiàng)應(yīng)默認(rèn)為安全選項(xiàng)4）應(yīng)支持弱口令防范機(jī)制、審計(jì)機(jī)制8.5高價(jià)值資產(chǎn)安全智慧科研機(jī)構(gòu)場(chǎng)所存在高價(jià)值專用設(shè)備、高性能通用與專用計(jì)算能力、機(jī)密科研實(shí)驗(yàn)與成果數(shù)據(jù)，宜在分層防御的基礎(chǔ)上需針對(duì)此類高價(jià)值資產(chǎn)進(jìn)行安全增強(qiáng)保護(hù)。a)算力安全1）支持算力運(yùn)行狀態(tài)監(jiān)控2）支持大規(guī)模算力節(jié)點(diǎn)認(rèn)證管li63）支持機(jī)密計(jì)算能力b)數(shù)據(jù)安全1）支持敏感數(shù)據(jù)混淆與脫敏能力2）科研成果數(shù)據(jù)如大模型微調(diào)與權(quán)重?cái)?shù)據(jù)使用增強(qiáng)的訪問控制3）參考“3+2+1”數(shù)據(jù)安全備份機(jī)制，側(cè)重隔離獨(dú)立保存4）存儲(chǔ)與網(wǎng)絡(luò)支持重要數(shù)據(jù)勒索防范機(jī)制c)密碼安全1）使用證書進(jìn)行設(shè)備與算力節(jié)點(diǎn)認(rèn)證2）密碼技術(shù)產(chǎn)品符合密碼測(cè)評(píng)安全要求3）對(duì)重要數(shù)據(jù)進(jìn)行加密存儲(chǔ)d)設(shè)備安全1）專用設(shè)備應(yīng)隔離部署2）支持物理與網(wǎng)絡(luò)訪問控制3）具備緊急關(guān)停等熔斷機(jī)制8.6事件響應(yīng)層提供監(jiān)測(cè)預(yù)警和處理安全事件安全監(jiān)控和預(yù)警應(yīng)包括但不限于以下內(nèi)容：a)按照《國(guó)家網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案》的規(guī)定進(jìn)行預(yù)警分級(jí)、監(jiān)測(cè)預(yù)警、預(yù)警研判及預(yù)警響應(yīng)與解除；b)基礎(chǔ)硬件設(shè)備的監(jiān)測(cè)監(jiān)控；c)漏洞和惡意代碼識(shí)別、修補(bǔ)和防范機(jī)制；d)安全態(tài)勢(shì)感知。整體安全態(tài)勢(shì)感知應(yīng)整合各類應(yīng)用服務(wù)與設(shè)備告警日志、關(guān)鍵流量，進(jìn)行安全分析，防范單點(diǎn)繞過，發(fā)現(xiàn)隱藏的威脅。1）應(yīng)具備網(wǎng)絡(luò)設(shè)備的安全資產(chǎn)全景、風(fēng)險(xiǎn)現(xiàn)狀、入侵事件及處置狀態(tài)的統(tǒng)一呈現(xiàn)2）應(yīng)支持與多元感知數(shù)據(jù)來源對(duì)接3）應(yīng)支持對(duì)收集的日志與事件進(jìn)行查詢、管理4）應(yīng)具備運(yùn)維入侵感知能力，可對(duì)接審計(jì)能力，及時(shí)發(fā)現(xiàn)口令暴力破解、異常登錄行為、非法賬號(hào)創(chuàng)建等行為5）宜支持基于資產(chǎn)的風(fēng)險(xiǎn)管理與配置核查6）應(yīng)支持高級(jí)威脅分析7）宜支持安全事件的處置閉環(huán)8.7安全服務(wù)層提供專業(yè)的安全服務(wù)安全服務(wù)包括但不限于業(yè)務(wù)上線安全檢測(cè)、安全基線檢查、安全配置加固，安全鏡