(高清版)DB43∕T 2570-2023 林業(yè)信息化安全規(guī)范　

43I 2 2 8 9 本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》12規(guī)范性引用文件GB/T18019信息技術(shù)包過濾防火墻安全技術(shù)GB/T18020信息技術(shù)應(yīng)用級(jí)防火墻安全技術(shù)GB/T18794.3信息技術(shù)開放系統(tǒng)互連開放系統(tǒng)安全框架第3部分：訪問控制框架GB/T20269信息安全技術(shù)信息系統(tǒng)安全管理要求GB/T20275信息安全技術(shù)入侵檢測(cè)系統(tǒng)技術(shù)要求和測(cè)試GB/T20281信息安全技術(shù)防火墻技術(shù)要求和測(cè)試評(píng)價(jià)GB/T20282信息安全技術(shù)信息系統(tǒng)安全工程管理要求GB/T20988信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范GB/T20984信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本GB/T35273信息安全技術(shù)個(gè)人信息安全規(guī)范GB/T25069、GB/T35273界定的以24物理安全4.1出入口控制4.6防靜電4.7溫濕度控制機(jī)房應(yīng)設(shè)置必要的溫、濕度控制設(shè)施。溫濕度控制應(yīng)符合GB/T2887的要求?？諝庹{(diào)節(jié)應(yīng)符合GB/T5網(wǎng)絡(luò)安全應(yīng)繪制完整的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，有相應(yīng)的網(wǎng)絡(luò)配置表，包含設(shè)備IP地址等主要信息5.2防火墻34對(duì)林業(yè)數(shù)據(jù)分級(jí)時(shí)充分考慮數(shù)據(jù)的敏感性來確定林業(yè)數(shù)據(jù)的級(jí)別。第三級(jí)（高敏感發(fā)生安全事件后對(duì)影響對(duì)象第二級(jí)和第三級(jí)數(shù)據(jù)應(yīng)符合GB/T2223應(yīng)配備數(shù)據(jù)安全崗位人員，明確各崗位工作職責(zé)，細(xì)化日常√√應(yīng)明確單位各部門人員的安全責(zé)任，建立數(shù)據(jù)√√應(yīng)定期針對(duì)數(shù)據(jù)安全崗位人員開展數(shù)據(jù)安全培訓(xùn)，培訓(xùn)內(nèi)√√應(yīng)定期針對(duì)所有崗位人員開展數(shù)據(jù)安全培訓(xùn)，培訓(xùn)內(nèi)容應(yīng)考√√√√5應(yīng)對(duì)數(shù)據(jù)相關(guān)崗位人員選用進(jìn)行背景、資質(zhì)審查、技能考核√√√√√節(jié)的工作，管控可能存在的數(shù)據(jù)安全風(fēng)險(xiǎn)。制度流程管應(yīng)明確各級(jí)數(shù)據(jù)安全管理范圍，制定符合業(yè)務(wù)戰(zhàn)略的，√√應(yīng)依據(jù)國家和湖南省關(guān)于數(shù)據(jù)安全的要求，制定數(shù)據(jù)安據(jù)采集、傳輸存儲(chǔ)、加工、共享、開放、銷毀各環(huán)√√開展合規(guī)管理，應(yīng)持續(xù)識(shí)別法律法規(guī)并轉(zhuǎn)化為數(shù)據(jù)安全√應(yīng)制定數(shù)據(jù)安全的管理流程，考慮數(shù)據(jù)分級(jí)、數(shù)據(jù)共享√√√√√√√在組織架構(gòu)、技術(shù)架構(gòu)或者業(yè)務(wù)服務(wù)發(fā)生重大變化時(shí)，應(yīng)√應(yīng)明確數(shù)據(jù)采集原則、目的與用途、范圍與方式、周期√√應(yīng)對(duì)數(shù)據(jù)源、數(shù)據(jù)采集的環(huán)境、設(shè)施、技術(shù)采取必要√√應(yīng)采用滿足數(shù)據(jù)傳輸安全策略的安全控制措施，如安全√√應(yīng)提供數(shù)據(jù)備份與恢復(fù)功能，考慮數(shù)據(jù)存儲(chǔ)√√√√6應(yīng)實(shí)施數(shù)據(jù)用戶身份標(biāo)識(shí)與鑒別、數(shù)據(jù)訪問控√√√√應(yīng)依據(jù)數(shù)據(jù)使用目的建立訪問控制機(jī)制，限定用戶可訪√√應(yīng)具備數(shù)據(jù)脫敏支持工具或服務(wù)組件，根據(jù)需要√√√√√應(yīng)對(duì)數(shù)據(jù)共享過程記錄日志，及時(shí)清除共享√√√√應(yīng)采用數(shù)據(jù)加密、安全通道等安全措施保護(hù)數(shù)據(jù)√涉及個(gè)人信息的數(shù)據(jù)開放內(nèi)容，應(yīng)根據(jù)業(yè)務(wù)對(duì)個(gè)人信√√應(yīng)具備對(duì)異常或高風(fēng)險(xiǎn)數(shù)據(jù)訪問行為的智能√采用可靠技術(shù)手段及時(shí)銷毀符合銷毀條件的數(shù)據(jù)，√√應(yīng)通過規(guī)范運(yùn)營管控工作，控制日常數(shù)據(jù)安全風(fēng)與審計(jì)、數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估、數(shù)據(jù)安全事件與應(yīng)急管理，運(yùn)√√√√應(yīng)對(duì)存量或新采集的數(shù)據(jù)進(jìn)行分級(jí)，將數(shù)據(jù)√√√√應(yīng)按照業(yè)務(wù)需求和安全策略為用戶配置合理的數(shù)據(jù)權(quán)限√√√√√√√√應(yīng)嚴(yán)格執(zhí)行數(shù)據(jù)重要操作（如批量修改、拷貝、下載等√√√應(yīng)建立數(shù)據(jù)安全監(jiān)審機(jī)制，對(duì)系統(tǒng)日志進(jìn)行分析，及時(shí)√√應(yīng)對(duì)系統(tǒng)日志進(jìn)行統(tǒng)一收集與關(guān)聯(lián)分析，對(duì)數(shù)據(jù)安√7表5數(shù)據(jù)安全運(yùn)營管控要求(續(xù))估應(yīng)定期開展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，評(píng)估的內(nèi)容考慮數(shù)據(jù)平√√√√數(shù)據(jù)安全事件與宜制定數(shù)據(jù)安全應(yīng)急預(yù)案，明確數(shù)據(jù)安全事件(√√宜向相關(guān)人員培訓(xùn)數(shù)據(jù)安全應(yīng)急預(yù)案，并定期開展演練，宜根據(jù)演練的結(jié)果√√8d)應(yīng)按照已確定的安全等級(jí)對(duì)已建成的信息系統(tǒng)定期進(jìn)行風(fēng)險(xiǎn)評(píng)估和等級(jí)測(cè)評(píng)，符合GB/T99人員安全管理他