DB54T 0420-2024 大數(shù)據(jù)中心 安全管理規(guī)范

ICS35.24054CCSL7854西 藏 自 治 區(qū) 地 方 標(biāo) 準(zhǔn)DB54/T0420—2024大數(shù)據(jù)中心 安全管理規(guī)范2024-11-18發(fā)布 2024-12-18實(shí)施西藏自治區(qū)市場監(jiān)督管理局??發(fā)布DB54/T0420—2024DB54/T0420—2024PAGE\*ROMANPAGE\*ROMANII目 次前言 II范圍 1規(guī)范性引用文件 1術(shù)語、定義和縮略語 1總體要求 2目標(biāo) 2原則 2職責(zé) 2物理安全 2物理安全管理 2物理區(qū)域安全 3物理設(shè)備安全 3信息安全 4信息系統(tǒng)安全 4網(wǎng)絡(luò)安全 4消防安全 4安全風(fēng)險(xiǎn)與應(yīng)急 4監(jiān)督與改進(jìn) 5安全工作監(jiān)督 5安全工作改進(jìn) 5參考文獻(xiàn) 6前 言本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1草。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識別專利的責(zé)任。本文件由西藏自治區(qū)經(jīng)濟(jì)和信息化廳（自治區(qū)數(shù)據(jù)管理局）提出并歸口。（自治區(qū)數(shù)據(jù)管理局責(zé)任公司、國家工業(yè)信息安全發(fā)展研究中心。青、賀赟、李云志、蔡長亮、杜洪濤、欒燕、陶煒。DB54/T0420DB54/T0420—2024PAGEPAGE3大數(shù)據(jù)中心安全管理規(guī)范范圍本文件適用于西藏自治區(qū)大數(shù)據(jù)中心的日常安全管理。規(guī)范性引用文件（包括所有的修改單）適用于本文件。GB/T22080信息技術(shù)安全技術(shù)信息安全管理體系要求GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求GB/T25058信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)實(shí)施指南GB/T25069信息安全技術(shù)術(shù)語GB/T31496信息技術(shù)安全技術(shù)信息安全管理體系實(shí)施指南YD_T_2949 電信互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC）安全生產(chǎn)管理要求術(shù)語、定義和縮略語術(shù)語和定義GB/T25069界定的以及下列術(shù)語和定義適用于本文件。安全 security對于某一系統(tǒng)，據(jù)以獲得保密性、可用性、可核查性、真實(shí)性以及可靠性的性質(zhì)。[來源：GB/T25069-2022,3.1]安全機(jī)制 securitymechanism實(shí)現(xiàn)安全功能，提供安全服務(wù)的基本方法。[來源：GB/T25069-2022,3.11]縮略語下列縮略語適用于本文件。UPS：不間斷電源（UninterruptedPowerSupply）總體要求目標(biāo)通過建立安全機(jī)制，制定安全管理制度，實(shí)施技防、人防等措施，確保公共數(shù)據(jù)中心穩(wěn)定、有序、安全運(yùn)行，保障大數(shù)據(jù)中心在數(shù)據(jù)采集、存儲、處理、傳輸、服務(wù)過程中的安全。原則在開展大數(shù)據(jù)中心安全管理工作中，應(yīng)遵循以下原則：職責(zé)明確安全管理制度中應(yīng)明確安全管理活動中的有關(guān)責(zé)任主體及其職責(zé)。合法合規(guī)算機(jī)信息系統(tǒng)安全等級保護(hù)要求。確保安全管理制度要求采取的措施應(yīng)能夠有效保障數(shù)據(jù)中心的物理安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全?？勺匪菘蓪徲?jì)應(yīng)記錄安全管理活動中各項(xiàng)操作的相關(guān)信息，并保證記錄不可篡改、可追溯。職責(zé)大數(shù)據(jù)中心在建立安全機(jī)制、制定安全管理制度時(shí)，可參考GB/T31496-2015和GB/T22080-2016相關(guān)規(guī)定要求，明確以下活動的責(zé)任主體并明確應(yīng)采取的措施：物理安全防護(hù)保護(hù)數(shù)據(jù)中心設(shè)備設(shè)施防火、防盜、防損毀、防電磁干擾等。數(shù)據(jù)安全防護(hù)保護(hù)數(shù)據(jù)中心擁有的數(shù)據(jù)防丟失、防泄密、防篡改、防非授權(quán)訪問等。網(wǎng)絡(luò)安全防護(hù)保護(hù)數(shù)據(jù)中心在數(shù)據(jù)傳輸中防竊取、防篡改，以及信息系統(tǒng)防入侵等。安全機(jī)制運(yùn)行統(tǒng)籌安全管理活動，制定安全管理制度，實(shí)施相關(guān)防護(hù)措施。更新優(yōu)化定期組織大數(shù)據(jù)中心安全機(jī)制和管理制度實(shí)施成效評價(jià)，識別存在的風(fēng)險(xiǎn)，有針對性地完善改進(jìn)，不斷提升安全管理水平。物理安全物理安全管理衛(wèi)管理制度，并監(jiān)督實(shí)施：功能區(qū)域安全等級劃分、邊界劃分；人員出入授權(quán)審批和門禁管理；外來人員訪問陪同策略；防火防盜設(shè)施管理；易燃易爆品防控管理；周邊社會環(huán)境信息收集與安全防控制度；周邊自然環(huán)境災(zāi)害信息收集與安全防控制度等。物理區(qū)域安全應(yīng)防止對環(huán)境區(qū)域的非授權(quán)物理訪問、損壞和干擾，采取包括但不限于以下措施：物理安全邊界定義和使用安全邊界來保護(hù)關(guān)鍵、敏感設(shè)施。物理入口控制通過保衛(wèi)管理和門禁管理保障人員出入權(quán)限受控。辦公及機(jī)房設(shè)施辦公及機(jī)房設(shè)施的安全保護(hù)措施。外界和環(huán)境威脅的安全防護(hù)措施應(yīng)設(shè)計(jì)和應(yīng)用物理保護(hù)以防自然災(zāi)害、惡意攻擊和意外。機(jī)房區(qū)域工作規(guī)程宜建立機(jī)房區(qū)域工作規(guī)程。交接區(qū)域的控制措施交接區(qū)域的控制措施以防止物理設(shè)備設(shè)施和安全區(qū)域的未授權(quán)物理訪問、損壞和干擾。物理設(shè)備安全（全及業(yè)務(wù)的中斷，采取包括但不限于以下措施：設(shè)備安置和保護(hù)控制應(yīng)安置或保護(hù)設(shè)備，以減少由環(huán)境威脅和危險(xiǎn)所造成的各種風(fēng)險(xiǎn)以及未授權(quán)訪問的機(jī)會。支持性設(shè)施應(yīng)保護(hù)設(shè)備使其免于由支持性設(shè)施的失效而引起的電源故障和其他中斷。布纜安全應(yīng)保證傳輸數(shù)據(jù)或支持信息服務(wù)的電源布纜和通信布纜免受竊聽、干擾或損壞。設(shè)備維護(hù)應(yīng)予以正確地維護(hù)，以確保其持續(xù)的可用性和完整性。資產(chǎn)的移動設(shè)備、信息或軟件在授權(quán)之前不應(yīng)帶出中心區(qū)域。組織場所外的設(shè)備與資產(chǎn)安全應(yīng)對組織場所外的資產(chǎn)采取安全措施，要考慮工作在組織場所外的不同風(fēng)險(xiǎn)。設(shè)備的安全處置或再利用冊軟件已被刪除或安全地重寫。無人值守的用戶設(shè)備用戶應(yīng)確保無人值守的用戶設(shè)備有適當(dāng)?shù)谋Ｗo(hù)。清理桌面和屏幕策略應(yīng)針對紙質(zhì)和可移動存儲介質(zhì)，采取清理桌面策略；應(yīng)針對信息處理設(shè)施，采用清理屏幕策略。信息安全信息系統(tǒng)安全并采取必要的信息安全控制措施，包括但不限于以下措施：時(shí)鐘同步控制措施；惡意軟件控制措施（計(jì)算機(jī)病毒防護(hù)；各類各層次系統(tǒng)的用戶訪問控制措施；口令管理控制措施；網(wǎng)絡(luò)訪問控制措施；網(wǎng)絡(luò)隔離控制措施；信息備份與恢復(fù)策略；日志保護(hù)控制措施；運(yùn)行軟件控制措施。重點(diǎn)針對大數(shù)據(jù)中心管轄的IT略和維護(hù)流程制度，按要求實(shí)施并定期記錄、定期檢查。網(wǎng)絡(luò)安全GB/T22239-2019和GB/T25058-2019相應(yīng)等級有關(guān)要求和GB/T39786-2021GB/T43207-2023消防安全應(yīng)參考YD/T2949-2015的消防法規(guī)和安全生產(chǎn)法規(guī)要求：機(jī)房環(huán)境和設(shè)施設(shè)備安全管理圍繞基礎(chǔ)動力設(shè)施設(shè)備、發(fā)電機(jī)組、UPS設(shè)備、蓄電池、空調(diào)設(shè)備、防雷接地系統(tǒng)、動力及環(huán)境監(jiān)控系統(tǒng)，制定安全作業(yè)細(xì)則并實(shí)施。消防系統(tǒng)安全管理圍繞消防系統(tǒng)安全和用電安全，制定安全管理規(guī)范和安全作業(yè)細(xì)則并實(shí)施。安全管理制度及流程齊套及備品備件、儀器儀表及工器具管理，制定制度清單和管理流程規(guī)范，并監(jiān)督實(shí)施。安全風(fēng)險(xiǎn)與應(yīng)急面向大數(shù)據(jù)中心日常運(yùn)行，應(yīng)制定安全風(fēng)險(xiǎn)管理與應(yīng)急措施，并按要求實(shí)施：風(fēng)險(xiǎn)管理除或控制風(fēng)險(xiǎn)的影響。溫度熱點(diǎn)管理宜關(guān)注各類設(shè)施的發(fā)熱情況，了解發(fā)熱特征，制定持續(xù)觀測、記錄、分析和預(yù)警的制度。建立應(yīng)急預(yù)案——應(yīng)建立、實(shí)施和保持有效的業(yè)務(wù)影響分析與風(fēng)險(xiǎn)評估流程；評價(jià)；重性，制定應(yīng)急預(yù)案和快速恢復(fù)機(jī)制。應(yīng)急演練練報(bào)告，內(nèi)容包括輸出結(jié)果、建議和實(shí)施改進(jìn)的措施。監(jiān)督與改進(jìn)安全工作監(jiān)督相關(guān)措施的有效性，并識別可能存在的安全風(fēng)險(xiǎn)。評估內(nèi)容包括但不限于以下：根據(jù)中心內(nèi)外部環(huán)境變化，識別存在的安全風(fēng)險(xiǎn)；對安全防護(hù)相關(guān)的日志進(jìn)行審計(jì)，評估相關(guān)防護(hù)措施的有效性；對上一次評估以來安全機(jī)制運(yùn)行情況進(jìn)行評估，評價(jià)運(yùn)行有效性；對上一次評估以來出現(xiàn)的安全事故及原因進(jìn)行分析，評價(jià)采取的整改措施是否有效。安全工作改進(jìn)已有的問題進(jìn)行糾正，對潛在風(fēng)險(xiǎn)進(jìn)行預(yù)防或規(guī)避。安全文化理念。參 考 文 獻(xiàn)GB17859-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則GB/T9361-2011計(jì)算機(jī)場地安全要求GB/T25069-2022信息安全技術(shù)術(shù)語DB43/T2422.8-2022政務(wù)服務(wù)中心管理規(guī)范第8部分：政務(wù)服務(wù)平臺建設(shè)與管理DB23/