TCOSOCC 007-2024 信息安全技術(shù) 網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪安全要求

Informationsecuritytechnology-Securityrequire 2 2 3 3 3 4 4 5 5 6 6 6 7 7 2 7本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定江盛邦（北京）網(wǎng)絡(luò)安全科技股份有限公司、類信息通信技術(shù)基礎(chǔ)設(shè)施之上的人造空間，用以支撐人們?cè)谠摽臻g中開展各類與信息通信技術(shù)相關(guān)的需動(dòng)態(tài)測(cè)量，對(duì)信息資產(chǎn)進(jìn)行測(cè)繪就顯得尤1信息安全技術(shù)網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪安全要求本文件適用于個(gè)人、組織、機(jī)構(gòu)、企業(yè)實(shí)施網(wǎng)絡(luò)空間資產(chǎn)測(cè)構(gòu)建在信息通信技術(shù)基礎(chǔ)設(shè)施之上的人造空間，用以支撐人們?cè)谠摽臻g中開展各類與信息通信技網(wǎng)絡(luò)空間中某機(jī)構(gòu)所擁有的一切可能被潛在攻擊網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪cyberspacesur4資產(chǎn)測(cè)繪安全框架2應(yīng)用安全要求應(yīng)用安全要求安全保障要求運(yùn)行與維護(hù)業(yè)務(wù)連續(xù)性安全保障要求運(yùn)行與維護(hù)業(yè)務(wù)連續(xù)性機(jī)構(gòu)和人員管理制度管理制度3a)網(wǎng)絡(luò)空間資產(chǎn)數(shù)據(jù)涉及不同敏感程度時(shí)，應(yīng)建立分級(jí)存儲(chǔ)機(jī)制；b)各級(jí)測(cè)繪數(shù)據(jù)應(yīng)根據(jù)其分級(jí)設(shè)立相適宜的加密、備份及接入機(jī)制；c)在中華人民共和國(guó)境內(nèi)實(shí)施資產(chǎn)測(cè)繪過(guò)程中所收集的個(gè)人信息及其他重要測(cè)繪數(shù)據(jù)，在境內(nèi)進(jìn)行存儲(chǔ)，并選用國(guó)產(chǎn)化存儲(chǔ)設(shè)備。存儲(chǔ)環(huán)境應(yīng)確保安全，必要時(shí)應(yīng)物理斷網(wǎng)。5.1.4測(cè)繪數(shù)據(jù)過(guò)程安全資產(chǎn)數(shù)據(jù)測(cè)繪過(guò)程應(yīng)符合下列安全要求：a)測(cè)繪過(guò)程中，測(cè)繪單位及個(gè)人應(yīng)保守相關(guān)秘密，確保測(cè)繪結(jié)果的安全；b)應(yīng)確保數(shù)據(jù)在傳輸、存儲(chǔ)、處理等環(huán)節(jié)的安全性。5.1.5測(cè)繪數(shù)據(jù)個(gè)人信息安全在數(shù)據(jù)涉及到個(gè)人信息的情況下，應(yīng)遵循《中華人民共和國(guó)個(gè)人信息保護(hù)法》等相關(guān)法律法規(guī)，合法合規(guī)地處理相應(yīng)數(shù)據(jù)。5.2資產(chǎn)數(shù)據(jù)處理5.2.1數(shù)據(jù)分析資產(chǎn)數(shù)據(jù)分析應(yīng)在數(shù)據(jù)所有方授權(quán)的情況下實(shí)施，并對(duì)所獲取的網(wǎng)絡(luò)空間資產(chǎn)數(shù)據(jù)進(jìn)行敏感檢測(cè)、分級(jí)處理，進(jìn)行有限度的關(guān)聯(lián)分析等。5.2.2敏感數(shù)據(jù)處理網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪活動(dòng)過(guò)程中獲取的數(shù)據(jù)，若涉及客戶資料、技術(shù)資料、個(gè)人信息等高價(jià)值敏感數(shù)據(jù)，應(yīng)及時(shí)停止測(cè)繪活動(dòng)并上報(bào)管理機(jī)構(gòu)備案，所獲取敏感數(shù)據(jù)應(yīng)及時(shí)封存或銷毀。對(duì)于用戶方拒絕被披露的資產(chǎn)信息，應(yīng)停止進(jìn)行測(cè)繪和收集。5.2.3脫敏處理應(yīng)對(duì)網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪活動(dòng)中獲取的必要敏感數(shù)據(jù)進(jìn)行處理。數(shù)據(jù)處理包括脫敏過(guò)程，如數(shù)據(jù)庫(kù)隱去用戶手機(jī)號(hào)、通信地址、網(wǎng)絡(luò)身份標(biāo)識(shí)、服務(wù)記錄等需要脫敏的字段。5.2.4溯源處理應(yīng)建立記錄日志，記錄操作人員、時(shí)間、設(shè)備及網(wǎng)絡(luò)等信息，確保網(wǎng)絡(luò)空間數(shù)據(jù)處理過(guò)程可回退可溯源。5.2.5數(shù)據(jù)銷毀資產(chǎn)測(cè)繪數(shù)據(jù)在數(shù)據(jù)所有方明確授意等情況下，應(yīng)采取測(cè)繪數(shù)據(jù)銷毀措施，以確保數(shù)據(jù)無(wú)法被恢復(fù)和用于未經(jīng)授權(quán)的目的，防止敏感信息的泄露。6資產(chǎn)測(cè)繪應(yīng)用安全要求6.1資產(chǎn)管理與保護(hù)應(yīng)對(duì)網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪活動(dòng)中獲取的資產(chǎn)數(shù)據(jù)建立資產(chǎn)檔案。資產(chǎn)檔案應(yīng)包含數(shù)據(jù)的基本信息、統(tǒng)計(jì)信息、數(shù)據(jù)目錄、數(shù)據(jù)血緣，以及數(shù)據(jù)質(zhì)量等信息。6.1.2分類分級(jí)應(yīng)對(duì)網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪活動(dòng)中獲取的資產(chǎn)數(shù)據(jù)進(jìn)行分類分級(jí)管理，并滿足下列要求：a)根據(jù)獲取來(lái)源分類，可將測(cè)繪數(shù)據(jù)分為公共數(shù)據(jù)、用戶數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、公司數(shù)據(jù)；b)根據(jù)敏感程度，可將數(shù)據(jù)分為絕密、機(jī)密、秘密、內(nèi)部公開、外部公開等級(jí)別；c)應(yīng)對(duì)不同類別的數(shù)據(jù)進(jìn)行清楚無(wú)歧義的定義，明確分類分級(jí)標(biāo)準(zhǔn)；45a)具備資產(chǎn)關(guān)聯(lián)基礎(chǔ)庫(kù)，支持資產(chǎn)多維度分注：掛圖作戰(zhàn)是通過(guò)直觀的圖表形式,將計(jì)劃的實(shí)施方案、工作流程和執(zhí)行進(jìn)度等內(nèi)容呈現(xiàn)出來(lái)，用于指導(dǎo)計(jì)劃具b)具備資產(chǎn)多關(guān)鍵角度的關(guān)聯(lián)分析能力；c)支持資產(chǎn)的分層畫像和動(dòng)態(tài)分析，資產(chǎn)動(dòng)態(tài)可視化。b)具備復(fù)雜場(chǎng)景下的能力即時(shí)調(diào)度機(jī)制、實(shí)現(xiàn)對(duì)各類能力進(jìn)a)具備資產(chǎn)漏洞信息、威脅情報(bào)、風(fēng)險(xiǎn)預(yù)警等數(shù)據(jù)庫(kù)；b)具備風(fēng)險(xiǎn)情報(bào)數(shù)據(jù)的融合、處理、分析等能力。c)支持對(duì)資產(chǎn)數(shù)據(jù)等進(jìn)行報(bào)送，應(yīng)滿足法律法規(guī)要求，事先取得相關(guān)部門批準(zhǔn)。e)支持建立網(wǎng)絡(luò)空間地圖系統(tǒng)，具備有效標(biāo)識(shí)和深度感知資產(chǎn)狀態(tài)的能力。67(資料性)網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪實(shí)踐A.1網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪實(shí)踐網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪通常包含5個(gè)遞進(jìn)步驟：在線狀態(tài)確定、設(shè)備指紋生成、服務(wù)指紋生成、應(yīng)用指紋生成和架構(gòu)邏輯表示，網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪時(shí)間如圖A.1所示。業(yè)務(wù)應(yīng)用后Wordpress用友04、金媒財(cái)務(wù)設(shè)備型號(hào)中間件服務(wù)協(xié)議層應(yīng)用備案信息硬件設(shè)備居路由器、服務(wù)器、防火墻、攝像頭應(yīng)用類型應(yīng)用開發(fā)框架應(yīng)用騙碼語(yǔ)言應(yīng)用域名信啟網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪過(guò)程標(biāo)準(zhǔn)服務(wù)端口設(shè)備品牌操作系統(tǒng)版本在線離線設(shè)備類型圖A.1網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪實(shí)踐——在線狀態(tài)確定：通過(guò)主動(dòng)請(qǐng)求，確認(rèn)設(shè)備處于在線或離線狀態(tài)?！O(shè)備指紋生成：獲取設(shè)備的設(shè)備類型、操作系統(tǒng)版本、設(shè)備型號(hào)、設(shè)備品牌等信息，形成資產(chǎn)的設(shè)備指紋畫像?！?wù)指紋生成：獲取資產(chǎn)的被準(zhǔn)服務(wù)端口、非常用端口、不合規(guī)端口等各類型端口的開放情況，形成資產(chǎn)的服務(wù)端口畫像?！獞?yīng)用指紋生成：通過(guò)主動(dòng)請(qǐng)求和被動(dòng)流量分析，獲取資產(chǎn)的