T-ZISIA 01-2024 自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)框架

L70/84I前言 2規(guī)范性引用文件 3術(shù)語和定義 4縮略語 25概述 5.1安全工作特點 5.2安全目標(biāo) 5.3框架結(jié)構(gòu) 6通用要求 47自身安全防御 57.1基礎(chǔ)硬件安全 7.2基礎(chǔ)軟件安全 7.3應(yīng)用軟件安全 7.4云計算平臺安全 68專業(yè)安全防護 78.1通信網(wǎng)絡(luò)安全防護 78.2區(qū)域邊界安全防護 78.3計算環(huán)境安全防護 78.4網(wǎng)絡(luò)安全運營 9安全風(fēng)險管控 79.1風(fēng)險降低 9.1.1備份與恢復(fù) 9.1.2響應(yīng)與處置 9.2風(fēng)險轉(zhuǎn)移 9.2.1網(wǎng)絡(luò)安全保險 89.2.2其他風(fēng)險轉(zhuǎn)移方式 10框架模塊間的協(xié)同關(guān)系 910.1內(nèi)置安全機制 910.2內(nèi)生安全機制 10.3網(wǎng)絡(luò)彈性保障 參考文獻 I本文件按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任。本文件由中關(guān)村網(wǎng)絡(luò)安全與信息化產(chǎn)業(yè)聯(lián)盟提出并歸口。本文件起草單位：奇安信科技集團股份有限公司、北京源堡科技有限公司、中關(guān)村網(wǎng)絡(luò)安全與信息化產(chǎn)業(yè)聯(lián)盟、麒麟軟件有限公司、飛騰信息技術(shù)有限公司、北京可信華泰信息技術(shù)有限公司、中電(海南)聯(lián)合創(chuàng)新研究院有限公司、北方工業(yè)大學(xué)、軟極網(wǎng)絡(luò)技術(shù)（北京）有限公司、中電云計算技術(shù)有限公司、清華大學(xué)網(wǎng)絡(luò)科學(xué)與網(wǎng)絡(luò)空間研究院。本文件主要起草人：吳云坤、紀(jì)勝龍、鄭新華、陳曉峰、常凱翔、王海洋、梁露露、毛慶梅、靳佑鼎、張大朋、戰(zhàn)茅、羅洪毅、楊有桂、杜君、王炎玲、鄭世普、程永靈、楊偉萍、楊光燦、魏淑華、劉立、張海彬、趙志娟、王占群、于晴、鄒冬、徐明偉、孫東紅、胡偉平。為實現(xiàn)科技自立自強，支持我國數(shù)字化轉(zhuǎn)型，我國實施了信息技術(shù)應(yīng)用創(chuàng)新工程，布局自主創(chuàng)新型信息技術(shù)產(chǎn)品的研制與應(yīng)用工作，已經(jīng)實現(xiàn)了基礎(chǔ)硬件、基礎(chǔ)軟件、應(yīng)用軟件、網(wǎng)絡(luò)安全、云計算平臺等產(chǎn)品的國產(chǎn)替代。自主創(chuàng)新型信息技術(shù)產(chǎn)品主要應(yīng)用在政務(wù)、金融、能源等關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)，自主創(chuàng)新型網(wǎng)絡(luò)安全保障要求比普通網(wǎng)絡(luò)高，但是，自主創(chuàng)新型信息技術(shù)產(chǎn)品的安全性還沒有得到充分考驗，而且性能普遍比國際主流產(chǎn)品低。這就要求我們基于自主創(chuàng)新型信息技術(shù)產(chǎn)品構(gòu)建自主創(chuàng)新型網(wǎng)絡(luò)時，不能簡單的沿用傳統(tǒng)的網(wǎng)絡(luò)安全建設(shè)方法，而是要采用系統(tǒng)工程方法，將安全與計算深度融合，將產(chǎn)品與服務(wù)緊密結(jié)合，實現(xiàn)安全能力協(xié)同，基于性能并不高的信息技術(shù)產(chǎn)品實現(xiàn)更高的安全防護能力。自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)將形成一個標(biāo)準(zhǔn)體系，本標(biāo)準(zhǔn)是標(biāo)準(zhǔn)體系的頂層標(biāo)準(zhǔn)，規(guī)定了自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)的框架和各部分基本要求；針對框架的關(guān)鍵部分和重點要求，將制訂專項標(biāo)準(zhǔn)。專項標(biāo)準(zhǔn)將根據(jù)技術(shù)發(fā)展和產(chǎn)業(yè)需求，逐項制訂并發(fā)布，從而不斷豐富完善自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)標(biāo)準(zhǔn)體系。1自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)框架本文件給出了自主創(chuàng)新型網(wǎng)絡(luò)安全的框架，包括通用要求、自身安全防御、專業(yè)安全防護、安全風(fēng)險管控以及框架模塊間的協(xié)同關(guān)系。本文件適用于指導(dǎo)組織基于自主創(chuàng)新型信息技術(shù)產(chǎn)品構(gòu)建和運營網(wǎng)絡(luò)安全體系，也可供自主創(chuàng)新型信息技術(shù)產(chǎn)品研制單位、測評單位、管理機構(gòu)等相關(guān)方參考使用。2規(guī)范性引用文件下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T20272信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求GB/T20273信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求GB/T20988信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求GB/T24363信息安全技術(shù)信息安全應(yīng)急響應(yīng)計劃規(guī)范GB/T25069信息安全技術(shù)術(shù)語GB/T29765信息安全技術(shù)數(shù)據(jù)備份與恢復(fù)產(chǎn)品技術(shù)要求與測試評價方法GB/T29828-2013信息安全技術(shù)可信計算規(guī)范可信連接架構(gòu)GB/T30283信息安全技術(shù)信息安全服務(wù)分類與代碼GB/T35273信息安全技術(shù)個人信息安全規(guī)范GB/T36630.1信息安全技術(shù)信息技術(shù)產(chǎn)品安全可控評價指標(biāo)第1部分：總則GB/T36957信息安全技術(shù)災(zāi)難恢復(fù)服務(wù)要求GB/T38645信息安全技術(shù)網(wǎng)絡(luò)安全事件應(yīng)急演練指南GB/T39786-2021信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求GB/T43269信息安全技術(shù)網(wǎng)絡(luò)安全應(yīng)急能力評估準(zhǔn)則GB/T43696網(wǎng)絡(luò)安全技術(shù)零信任參考體系架構(gòu)GB/T43698網(wǎng)絡(luò)安全技術(shù)軟件供應(yīng)鏈安全要求GM/T0002SM4分組密碼算法GM/T0003SM2橢圓曲線公鑰密碼算法GM/T0004SM3密碼雜湊算法GM/T0005隨機性檢測規(guī)范T/ZISIA02-2024自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)安全可信啟動設(shè)計要求T/ZISIA03-2024自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)計算基礎(chǔ)環(huán)境安全要求T/ZISIA04-2024自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)可信計算技術(shù)要求3術(shù)語和定義GB/T25069中界定的以及下列術(shù)語和定義適用于本文件。23.1自主創(chuàng)新型autonomousandinnovative信息技術(shù)產(chǎn)品的核心技術(shù)由國內(nèi)生產(chǎn)廠商自主掌握，供應(yīng)鏈不受其他國家實體的控制，且符合信息技術(shù)產(chǎn)品安全可控評價標(biāo)準(zhǔn)的屬性。3.2安全可控controllabilityforsecurity信息技術(shù)產(chǎn)品具備的保證其應(yīng)用數(shù)據(jù)支配權(quán)、產(chǎn)品控制權(quán)、產(chǎn)品選擇權(quán)等不受損害的屬性。[來源:GB/T36630.1-2018,3.2]3.3攻擊面管理attacksurfacemanagement持續(xù)發(fā)現(xiàn)、分析、監(jiān)控和評估內(nèi)部和外部所有資產(chǎn)以發(fā)現(xiàn)潛在暴露面、攻擊向量和數(shù)字風(fēng)險，并進行優(yōu)先排序、響應(yīng)處置的過程。3.4自主創(chuàng)新型網(wǎng)絡(luò)autonomousandinnovativecybersystem由自主創(chuàng)新型的信息技術(shù)產(chǎn)品構(gòu)成的計算機應(yīng)用系統(tǒng)，包括終端、服務(wù)器、云、工控系統(tǒng)、物聯(lián)網(wǎng)系統(tǒng)等計算平臺，以及與計算平臺關(guān)聯(lián)的基礎(chǔ)硬件、基礎(chǔ)軟件和應(yīng)用軟件等資源。3.5網(wǎng)絡(luò)彈性cyberresilience系統(tǒng)能夠預(yù)測、抵御、恢復(fù)、適應(yīng)對抗條件、壓力、攻擊或者破壞的能力。3.6內(nèi)置安全build-insecurity自主創(chuàng)新型的信息技術(shù)產(chǎn)品通過自身架構(gòu)、功能模塊和運行機制設(shè)計而形成的安全防護機制。3.7網(wǎng)絡(luò)安全保險cybersecurityinsurance財產(chǎn)保險的一種，承保因發(fā)生網(wǎng)絡(luò)安全事件所造成的經(jīng)濟損失以及需承擔(dān)的法定賠償責(zé)任。注：網(wǎng)絡(luò)安全保險屬于廣義的財產(chǎn)保險范疇，數(shù)字資產(chǎn)等無形資產(chǎn)可作為該險種的保險標(biāo)的。3.8內(nèi)生安全intrinsicsecurity自主創(chuàng)新型的網(wǎng)絡(luò)安全產(chǎn)品與其他自主創(chuàng)新型的信息技術(shù)產(chǎn)品通過數(shù)據(jù)共享、功能協(xié)同而形成的安全防護機制。3.9可信計算trustedcomputing一種主動防御技術(shù)，計算的同時進行安全防護，計算全程可測可控，不被干擾，使計算結(jié)果總是與預(yù)期一致。4縮略語ARP：地址解析協(xié)議（AddressResolutionProtocol）CPU：中央處理器(CentralProcessingUnit)I/O：輸入/輸出(Input/Output)LSM：Linux安全模塊(LinuxSecurityModule)SDK：軟件開發(fā)工具包(SoftwareDevelopmentKit)TCM：可信密碼模塊(TrustedCryptographyModule)TSB：可信軟件基(TrustedSoftwareBase)3TPCM：可信平臺控制模塊(TrustedPlatformControlModule)5概述5.1安全工作特點自主創(chuàng)新型網(wǎng)絡(luò)是基于自主創(chuàng)新型信息技術(shù)產(chǎn)品構(gòu)建，相比于非自主創(chuàng)新型網(wǎng)絡(luò)，自主創(chuàng)新型網(wǎng)絡(luò)安全防護工作具有以下特點：a)自主創(chuàng)新型網(wǎng)絡(luò)一般應(yīng)用于關(guān)鍵信息基礎(chǔ)設(shè)施，安全防護要求高；b)自主創(chuàng)新型產(chǎn)品還沒有經(jīng)過大范圍、長時間的應(yīng)用驗證，潛在的安全漏洞多；c)自主創(chuàng)新型網(wǎng)絡(luò)安全產(chǎn)品的計算性能相對較低，導(dǎo)致自主創(chuàng)新型網(wǎng)絡(luò)安全產(chǎn)品的防御能力相對較弱；d)自主創(chuàng)新型信息技術(shù)產(chǎn)品可以植入更多安全能力，從而提升自主創(chuàng)新型信息技術(shù)產(chǎn)品的安全防護能力；e)自主創(chuàng)新型安全產(chǎn)品可以與其他自主創(chuàng)新型信息技術(shù)產(chǎn)品進行信息交互，實現(xiàn)安全能力協(xié)同；f)網(wǎng)絡(luò)安全運營團隊可以了解自主創(chuàng)新型信息技術(shù)產(chǎn)品的特點，從而實施針對性的技術(shù)服務(wù)；g)自主創(chuàng)新型網(wǎng)絡(luò)應(yīng)用單位可以將網(wǎng)絡(luò)安全防護情況反饋給自主創(chuàng)新型產(chǎn)品研制單位，從而支持自主創(chuàng)新型產(chǎn)品進行相應(yīng)的升級完善。5.2安全目標(biāo)自主創(chuàng)新型網(wǎng)絡(luò)安全的目標(biāo)包括：a)基于自主創(chuàng)新型信息技術(shù)產(chǎn)品構(gòu)建，消除產(chǎn)品存在“后門”、供應(yīng)鏈不可控等安全風(fēng)險；b)通過計算與安全深度融合、產(chǎn)品與服務(wù)結(jié)合、安全能力協(xié)同等措施，提升網(wǎng)絡(luò)安全防護能力；c)通過安全運營與安全風(fēng)險管控等措施，保障自主創(chuàng)新型網(wǎng)絡(luò)安全穩(wěn)定運行，降低網(wǎng)絡(luò)安全風(fēng)險。5.3框架結(jié)構(gòu)自主創(chuàng)新型網(wǎng)絡(luò)安全框架表示自主創(chuàng)新型網(wǎng)絡(luò)安全體系的結(jié)構(gòu)及其相互關(guān)系，包括自身安全防御、專業(yè)安全防護、安全風(fēng)險管控三個部分，如下圖所示。a)自身安全防御表示信息技術(shù)產(chǎn)品本身具備的安全防護能力，主要由相關(guān)產(chǎn)品提供者在研發(fā)生產(chǎn)階段實現(xiàn)的安全防御機制構(gòu)成，包括基礎(chǔ)硬件安全、基礎(chǔ)軟件安全、應(yīng)用軟件安全以及云計算平臺安全等要求；b)專業(yè)安全防護表示自主創(chuàng)新型網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)所提供的安全保障能力，防范外部的網(wǎng)絡(luò)威脅，保障自主創(chuàng)新型網(wǎng)絡(luò)不被入侵或破壞，主要包括通信網(wǎng)絡(luò)、區(qū)域邊界、計算環(huán)境三個層面的安全防護，以及安全運營；c)安全風(fēng)險管控表示在風(fēng)險無法絕對消除、安全事故不可避免發(fā)生的情況下，實施風(fēng)險降低和風(fēng)險轉(zhuǎn)移措施，以保證自主可控網(wǎng)絡(luò)所承載業(yè)務(wù)的可用性、連續(xù)性。4自主創(chuàng)新型網(wǎng)絡(luò)安全框架自主創(chuàng)新型網(wǎng)絡(luò)安全框架中各安全要素應(yīng)能夠進行協(xié)同，在應(yīng)對網(wǎng)絡(luò)威脅的實踐中發(fā)揮整體作用，實現(xiàn)縱深防御，保障網(wǎng)絡(luò)彈性。a)自身安全防御各要素應(yīng)實現(xiàn)能力協(xié)同，降低或消除網(wǎng)絡(luò)安全威脅帶來的風(fēng)險，實現(xiàn)內(nèi)置安全；b)專業(yè)安全防護機制應(yīng)與自身安全防御機制相互配合，識別網(wǎng)絡(luò)安全威脅、阻斷網(wǎng)絡(luò)攻擊行為、消除網(wǎng)絡(luò)威脅載體等，實現(xiàn)內(nèi)生安全；c)自身安全防御、專業(yè)安全防護、安全風(fēng)險管控三部分互相配合，實現(xiàn)對網(wǎng)絡(luò)攻擊的預(yù)測、防護、抵受、恢復(fù)和適應(yīng)，提高網(wǎng)絡(luò)彈性。6通用要求對自主創(chuàng)新型網(wǎng)絡(luò)及其組成部分的通用要求包括：a）自主創(chuàng)新型網(wǎng)絡(luò)的安全體系應(yīng)與業(yè)務(wù)體系同步規(guī)劃、同步建設(shè)、同步運營；b）應(yīng)符合相關(guān)國家標(biāo)準(zhǔn)的基本安全要求，在整體上至少應(yīng)符合GB/T22239中第三級的要求；c）應(yīng)根據(jù)T/ZISIA03-2024要求，建立安全的計算基礎(chǔ)環(huán)境；d）應(yīng)基于國產(chǎn)化軟硬件產(chǎn)品構(gòu)建；e）應(yīng)使用國產(chǎn)密碼算法執(zhí)行加解密功能，在整體上應(yīng)符合GB/T39786-2021中第三級的要求；f）應(yīng)保障自主創(chuàng)新型網(wǎng)絡(luò)核心產(chǎn)品的供應(yīng)鏈安全，根據(jù)GB/T43698要求開展軟件供應(yīng)鏈安全監(jiān)測和風(fēng)險評估；g）宜基于網(wǎng)絡(luò)靶場對自主創(chuàng)新型信息技術(shù)產(chǎn)品進行安全性測試和自主可控能力測試；5h）宜按照GB/T43696要求建立零信任架構(gòu)，對自主創(chuàng)新型網(wǎng)絡(luò)的應(yīng)用進行身份鑒別和訪問控制；i）宜對每項行為記錄日志；j）各部分安全能力宜對外提供調(diào)用接口或其他協(xié)同方式；k）宜進行統(tǒng)一數(shù)據(jù)采集，然后提供給有相同數(shù)據(jù)分析需求的各功能模塊進行分析，避免重復(fù)采集；l）各部分宜將安全防護結(jié)果數(shù)據(jù)在自主創(chuàng)新型網(wǎng)絡(luò)內(nèi)部進行共享。7自身安全防御7.1基礎(chǔ)硬件安全基礎(chǔ)硬件包括但不限于CPU、內(nèi)存、固件、I/O設(shè)備、固態(tài)硬盤等產(chǎn)品，它們提供了計算平臺運行所需的基本計算和運行能力。常見基礎(chǔ)硬件的安全能力要求包括但不限于：a)CPU安全機制：1)支持密碼加速引擎，具備專用的硬件密碼加速引擎或密碼加速指令，支持國產(chǎn)商用密碼算法，并具備專用的物理隨機源以產(chǎn)生標(biāo)準(zhǔn)隨機數(shù)；2)支持可信執(zhí)行環(huán)境，支持將硬件資源隔離成安全資源和普通資源，包括但不限于處理器核、系統(tǒng)總線、存儲資源、外圍設(shè)備等，支持安全內(nèi)存加密，防止敏感數(shù)據(jù)泄漏；3)支持安全可信啟動，啟動流程應(yīng)符合T/ZISIA02-2024所規(guī)定的要求。b)內(nèi)存安全機制：1)支持內(nèi)存劃分成安全域和默認(rèn)域，且非安全請求不能訪問安全域內(nèi)存；2)支持內(nèi)存加密。c)固件安全機制：1)支持固件內(nèi)容校驗；2)支持固件版本檢查；3)支持固件備份。d)I/O設(shè)備安全機制：1)支持I/O設(shè)備安全屬性；2)I/O設(shè)備設(shè)置成安全設(shè)備時，只有安全訪問請求才可以訪問該設(shè)備。7.2基礎(chǔ)軟件安全基礎(chǔ)軟件包括但不限于操作系統(tǒng)、中間件、數(shù)據(jù)庫等產(chǎn)品，為硬件提供管理和控制的功能，同時為上層系統(tǒng)應(yīng)用提供運行環(huán)境及基礎(chǔ)，協(xié)調(diào)并管理底層計算資源。常見基礎(chǔ)軟件的安全能力要求包括但不限于：a)操作系統(tǒng)自有安全機制：1)應(yīng)符合安全可靠測評要求；2)應(yīng)滿足GB/T20272第三級以上要求；3)應(yīng)內(nèi)置國家電子認(rèn)證根CA的根證書；4)在硬件支持的前提下，應(yīng)支持CPU內(nèi)置安全功能；5)應(yīng)支持防止ARP欺騙攻擊；6)應(yīng)支持GM/T0002、GM/T0003和GM/T0004中規(guī)定的密碼算法；7)應(yīng)支持隨機數(shù)生成，隨機數(shù)質(zhì)量通過GM/T0005中的符合性測試；8)應(yīng)提供LSM統(tǒng)一訪問控制安全框架；9)宜支持靜態(tài)文件度量和動態(tài)內(nèi)存度量，保障特定文件及內(nèi)存中運行程序的完整性；10)宜支持機密計算框架，提供機密計算SDK，能接入一種以上可信執(zhí)行環(huán)境；611)宜支持內(nèi)核完整性保護，保障內(nèi)核不被非授權(quán)改變；12)宜提供內(nèi)核模塊加載黑名單機制；13)宜支持系統(tǒng)管理員、安全管理員、審計管理員分權(quán)管理。b)中間件安全機制：應(yīng)符合GB/T22239中第三級的安全通用要求中安全計算環(huán)境的基本要求；c)數(shù)據(jù)庫安全機制：數(shù)據(jù)庫管理系統(tǒng)及其管理數(shù)據(jù)庫對象應(yīng)符合GB/T20273-2019中規(guī)定的要求。7.3應(yīng)用軟件安全應(yīng)用軟件是計算平臺的最上層功能載體，直接為用戶提供功能與服務(wù)，使用戶能夠完成特定的任務(wù)和操作。應(yīng)用軟件的安全能力要求包括但不限于：a)采用安全編碼實踐，避免常見的安全漏洞，如緩沖區(qū)溢出、代碼注入等，所有代碼應(yīng)受第三方權(quán)威代碼檢測機構(gòu)認(rèn)證；b)應(yīng)符合GB/T35273標(biāo)準(zhǔn)規(guī)定的個人信息安全的基本要求；c)應(yīng)符合GB/T22239中第三級的安全通用要求中安全計算環(huán)境的基本要求與其他關(guān)于應(yīng)用軟件安全的基本要求；d)應(yīng)用軟件應(yīng)只能訪問其需要的資源，并限制對系統(tǒng)關(guān)鍵部分的訪問；e)對敏感數(shù)據(jù)進行加密存儲，并使用安全的傳輸協(xié)議，保護數(shù)據(jù)在傳輸和存儲過程中的安全性；f)對用戶輸入進行嚴(yán)格驗證和過濾，以防止惡意輸入導(dǎo)致的安全漏洞；g)記錄用戶操作、系統(tǒng)事件和安全相關(guān)信息，以便進行安全審計和故障排查；h)確保應(yīng)用軟件能夠及時接收并應(yīng)用安全更新，以保持應(yīng)用軟件的安全性；i)及時修復(fù)發(fā)現(xiàn)的安全漏洞，通過更新版本或補丁來提高應(yīng)用軟件的安全性。7.4云計算平臺安全云計算平臺安全能力要求包括但不限于以下內(nèi)容：a)云計算平臺符合自主創(chuàng)新型要求，包括但不限于以下內(nèi)容：1)云平臺管理軟件為自主研發(fā)，核心模塊具備自主知識產(chǎn)權(quán)；2)宿主機、虛擬機以及云平臺操作系統(tǒng)均運行國產(chǎn)操作系統(tǒng)，或具備自主知識產(chǎn)權(quán)；3)云平臺所使用的服務(wù)器和運維終端應(yīng)為國產(chǎn)化產(chǎn)品。b)云平臺的宿主機在硬件及固件等方面進行可信安全增強，基于可信根對物理服務(wù)器、云服務(wù)器、裸金屬等計算設(shè)備進行可信驗證；c)具備容器鏡像安全能力，在容器構(gòu)建和部署階段，采用密碼學(xué)、可信計算、容器集群等技術(shù)，實現(xiàn)容器鏡像簽名驗簽、容器鏡像部署的準(zhǔn)入控制、可信容器部署異常告警，防止軟件和硬件的供應(yīng)鏈攻擊；d)具備容器運行時的安全防護能力，對運行時容器的漏洞進行掃描，對容器內(nèi)運行程序的異常行為進行檢測，對容器系統(tǒng)和容器文件進行訪問控制，對惡意入侵的行為進行檢測和阻斷等；e)通過云安全中心對云上安全事件進行統(tǒng)一的管理和處置，同時利用云上大數(shù)據(jù)和AI的能力進行高級威脅分析，識別未知攻擊和安全風(fēng)險；f)具備數(shù)據(jù)分類分級、數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)水印等保護能力，實現(xiàn)對云平臺以及業(yè)務(wù)數(shù)據(jù)的安全防護；對敏感數(shù)據(jù)進行完整性和保密性的加密保護，并設(shè)置訪問控制和審計機制，記錄數(shù)據(jù)的使用和操作，防止數(shù)據(jù)泄露；g)具備數(shù)據(jù)安全風(fēng)險檢測和風(fēng)險事件處置能力，對云上數(shù)據(jù)訪問和數(shù)據(jù)操作的異常行為進行全流程監(jiān)控和審計，對數(shù)據(jù)泄露風(fēng)險進行及時響應(yīng)處置；h)具備可視化能力展示云平臺的全局?jǐn)?shù)據(jù)安全風(fēng)險態(tài)勢；7i)云計算平臺的基本安全能力，應(yīng)符合GB/T22239中第三級的安全通用要求與云計算安全擴展要8專業(yè)安全防護8.1通信網(wǎng)絡(luò)安全防護自主創(chuàng)新型網(wǎng)絡(luò)各部分進行通信時，應(yīng)合理設(shè)計網(wǎng)絡(luò)架構(gòu)，通過密碼技術(shù)保證數(shù)據(jù)的完整性和保密性，并對通信設(shè)備進行可信驗證，應(yīng)符合GB/T22239中第三級關(guān)于安全通信網(wǎng)絡(luò)的要求。8.2區(qū)域邊界安全防護應(yīng)在自主創(chuàng)新型網(wǎng)絡(luò)的區(qū)域邊界采取一定的安全措施實現(xiàn)對邊界內(nèi)部的保護，包括但不限于授權(quán)接入、訪問控制、入侵防范等內(nèi)容，應(yīng)符合GB/T22239中第三級關(guān)于安全區(qū)域邊界的要求。8.3計算環(huán)境安全防護應(yīng)對自主創(chuàng)新型網(wǎng)絡(luò)區(qū)域邊界內(nèi)部的計算設(shè)備，實施身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范等控制措施，應(yīng)符合GB/T22239中第三級關(guān)于安全計算環(huán)境的要求。8.4網(wǎng)絡(luò)安全運營自主創(chuàng)新型網(wǎng)絡(luò)安全運營的要求包括：a)應(yīng)建立安全管理中心，對自主創(chuàng)新型網(wǎng)絡(luò)的安全情況進行集中管控，應(yīng)符合GB/T22239中第三級關(guān)于安全管理中心的要求；b)自主創(chuàng)新型網(wǎng)絡(luò)安全運維工作應(yīng)符合GB/T22239中第三級關(guān)于安全運維管理的要求；c)在建設(shè)安全運營體系過程中無法覆蓋所有安全要素時，應(yīng)根據(jù)GB/T30283中規(guī)定的類別，針對性地引入專業(yè)的安全服務(wù)；d)宜開展攻擊面管理（ASM）能力建設(shè)，重點關(guān)注資產(chǎn)識別、攻擊面識別、風(fēng)險分析、收斂和驗證以及持續(xù)監(jiān)控能力。9安全風(fēng)險管控9.1風(fēng)險降低9.1.1備份與恢復(fù)備份與恢復(fù)的要求包括：a)應(yīng)對自主創(chuàng)新型網(wǎng)絡(luò)、業(yè)務(wù)、業(yè)務(wù)系統(tǒng)及數(shù)據(jù)等資產(chǎn)建立完善的備份與恢復(fù)機制；b)應(yīng)能夠?qū)π枰獋浞莸闹匾獦I(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件等進行識別，并進行相應(yīng)備份和恢復(fù)的規(guī)劃和實施，其中：1)備份與恢復(fù)的規(guī)劃應(yīng)根據(jù)GB/T20988-2007進行需求的確定與策略的制定；2)備份與恢復(fù)的實施應(yīng)符合GB/T22239中第三級關(guān)于備份和恢復(fù)管理的要求；3)對于采購的備份與恢復(fù)服務(wù)，服務(wù)提供方應(yīng)符合GB/T36957-2018中規(guī)定的關(guān)于災(zāi)難恢復(fù)服務(wù)的要求；4)對于采購的備份與恢復(fù)產(chǎn)品，應(yīng)符合GB/T29765-2021中規(guī)定的備份與恢復(fù)產(chǎn)品技術(shù)要求；5)宜基于云災(zāi)備平臺對存儲在云計算平臺上的業(yè)務(wù)數(shù)據(jù)和關(guān)鍵應(yīng)用系統(tǒng)進行備份和恢復(fù)。9.1.2響應(yīng)與處置響應(yīng)與處置的要求包括：8a)應(yīng)結(jié)合自身業(yè)務(wù)架構(gòu)，進行風(fēng)險分析，并針對不同風(fēng)險場景、風(fēng)險等級制定安全應(yīng)急響應(yīng)計劃，開展網(wǎng)絡(luò)安全事件應(yīng)急演練。其中：1)安全應(yīng)急響應(yīng)計劃的制定應(yīng)符合GB/T24363-2009中的規(guī)范，以及GB/T22239中第三級關(guān)于應(yīng)急預(yù)案管理的要求；2)網(wǎng)絡(luò)安全事件應(yīng)急演練應(yīng)參考GB/T38645-2020中給出的指南開展。b)應(yīng)根據(jù)法律法規(guī)、政策監(jiān)管要求，依據(jù)GB/T43269-2023中的評估準(zhǔn)則建立相應(yīng)等級的網(wǎng)絡(luò)安全應(yīng)急能力；c)在響應(yīng)與處置安全事件過程中應(yīng)實施的措施包括但不限于：1)攻擊測繪：對網(wǎng)絡(luò)威脅和攻擊者發(fā)起追蹤溯源，分析并發(fā)現(xiàn)更多威脅情報，為安全防御體系的迭代充實情報基礎(chǔ)；2)審計核查：對安全事件開展復(fù)盤分析，通過日志分析推演攻擊路徑，發(fā)現(xiàn)攻擊遺留痕跡；3)防御迭代：基于攻擊測繪、審計核查或其他響應(yīng)處置工作的結(jié)果，對現(xiàn)有系統(tǒng)及網(wǎng)絡(luò)的安全防御體系進行迭代，包括但不限于升級防護技術(shù)、擴充威脅情報庫、重構(gòu)安全防護體系、修補系統(tǒng)或網(wǎng)絡(luò)缺陷等。9.2風(fēng)險轉(zhuǎn)移9.2.1網(wǎng)絡(luò)安全保險自主創(chuàng)新型網(wǎng)絡(luò)運營單位可購買網(wǎng)絡(luò)安全保險作為風(fēng)險轉(zhuǎn)移的手段，用于對無法絕對消除的、無法預(yù)測的網(wǎng)絡(luò)安全風(fēng)險進行兜底，通過經(jīng)濟補償?shù)男问綔p少安全風(fēng)險所造成的負(fù)面影響。網(wǎng)絡(luò)安全保險的應(yīng)用過程包括以下內(nèi)容：a)開展量化風(fēng)險評估。由保險人委托第三方服務(wù)方對被保險人開展網(wǎng)絡(luò)安全風(fēng)險評估，以貨幣損失為量化單位，評估出不同威脅場景下的經(jīng)濟損失情況，為保險核保提供直接參考依據(jù)。評估內(nèi)容包括但不限于：1)評估網(wǎng)絡(luò)資產(chǎn)分布情況；2)評估安全脆弱性情況；3)評估安全控制措施實施情況；4)評估資產(chǎn)及其相關(guān)業(yè)務(wù)的貨幣化價值；5)評估業(yè)務(wù)的網(wǎng)絡(luò)安全風(fēng)險偏好，決策安全風(fēng)險控制體系的關(guān)注點；6)處置評估過程中識別的風(fēng)險，降低風(fēng)險水平。b)開展保險期間風(fēng)險監(jiān)測。在投保評估、核保流程結(jié)束后，網(wǎng)絡(luò)安全保險生效。被保險人除正常開展日常網(wǎng)絡(luò)安全運營工作外，可采用第三方服務(wù)方的保險期間安全服務(wù)，加強網(wǎng)絡(luò)安全風(fēng)險管控，包括但不限于以下內(nèi)容：1)定期網(wǎng)絡(luò)安全風(fēng)險監(jiān)測；2)釣魚郵件演練；3)遠(yuǎn)程滲透測試。c)開展出險后評估定損。發(fā)生網(wǎng)絡(luò)安全事件后，除應(yīng)急響應(yīng)、備份恢復(fù)等風(fēng)險降低措施外，被保險人應(yīng)及時向保險人報案，配合開展安全事件鑒定與損失分析工作，為保險理賠提供直接參考依據(jù)，包括但不限于以下內(nèi)容：1)安全事件鑒定。對所發(fā)生的網(wǎng)絡(luò)安全事件進行分析、還原及技術(shù)評估；2)損失調(diào)查分。通過技術(shù)手段收集安全事件對組織造成影響的證據(jù)，以支持保險人進行損失評估。9.2.2其他風(fēng)險轉(zhuǎn)移方式9除網(wǎng)絡(luò)安全保險外，自主創(chuàng)新型網(wǎng)絡(luò)運營單位可通過以下方式實現(xiàn)網(wǎng)絡(luò)安全風(fēng)險轉(zhuǎn)移：a)安全服務(wù)外包。將網(wǎng)絡(luò)安全職能和責(zé)任外包給專業(yè)第三方服務(wù)商，包括但不限于安全運營中心、安全服務(wù)提供商等。通過外包，可以將網(wǎng)絡(luò)安全管理風(fēng)險的責(zé)任轉(zhuǎn)移給轉(zhuǎn)移團隊，同時獲得更好的專業(yè)安全保障；b)合同和條款約束。在與供應(yīng)商、合作伙伴和客戶簽訂合同時，可通過合同條款將網(wǎng)絡(luò)安全責(zé)任和風(fēng)險轉(zhuǎn)移給對方。例如，在合同中約定對方承擔(dān)數(shù)據(jù)泄露或供應(yīng)鏈安全漏洞造成的損失責(zé)任；c)分散和多元化。通過在多個地理位置、多個供應(yīng)商、多個信息系統(tǒng)之間分散關(guān)鍵業(yè)務(wù)與數(shù)據(jù)，明確網(wǎng)絡(luò)安全責(zé)任的分擔(dān)，通過多方共同承擔(dān)風(fēng)險，達到分散并轉(zhuǎn)移自身風(fēng)險的目的。10框架模塊間的協(xié)同關(guān)系10.1內(nèi)置安全機制自主創(chuàng)新型網(wǎng)絡(luò)依賴于各類計算平臺及其相關(guān)的基礎(chǔ)硬件、基礎(chǔ)軟件、應(yīng)用軟件等資源的安全能力共同構(gòu)建安全防御的底線，各組件的安全能力相互聯(lián)動，降低自主創(chuàng)新型網(wǎng)絡(luò)安全風(fēng)險。a)操作系統(tǒng)與CPU、應(yīng)用軟件的安全能力協(xié)同1)操作系統(tǒng)具備安全啟動功能，啟動過程中固件、加載器、內(nèi)核等應(yīng)通過啟動完整性校驗后操作系統(tǒng)才能正常啟動；2)操作系統(tǒng)支持CPU硬件密碼運算與隨機數(shù)生成等功能，提供標(biāo)準(zhǔn)接口供應(yīng)用程序調(diào)用；3)操作系統(tǒng)提供安全中心等安全能力統(tǒng)一管理模塊，能夠統(tǒng)一展示基礎(chǔ)硬件、其他基礎(chǔ)軟件的安全狀態(tài)，管理各模塊的安全能力；4)操作系統(tǒng)采用簽名驗證等方式確保應(yīng)用軟件的來源可靠性；5)操作系統(tǒng)提供程序完整性校驗技術(shù)，對操作系統(tǒng)的系統(tǒng)文件、系統(tǒng)目錄進行保護，防止未授權(quán)修改、刪除；6)操作系統(tǒng)提供統(tǒng)一的系統(tǒng)安全SDK接口，包括但不限于LSM安全模塊接口、密碼基礎(chǔ)設(shè)施接口、安全管控類接口、安全審計接口、身份認(rèn)證接口、應(yīng)用防護接口、網(wǎng)絡(luò)防護接口、安全接口授權(quán)等，應(yīng)支持機密計算框架，提供機密計算SDK，能接入1種以上可信執(zhí)行環(huán)境。b)可信計算體系可信計算體系應(yīng)以可信計算節(jié)點安全為基礎(chǔ)，構(gòu)成由可信安全管理中心支撐下的計算環(huán)境安全、區(qū)域邊界安全、通信網(wǎng)絡(luò)安全所組成的三重防護體系結(jié)構(gòu)：1)可信計算節(jié)點應(yīng)建立計算部件和防護部件并存的雙體系架構(gòu)，從可信根開始到基礎(chǔ)硬件、到基礎(chǔ)軟件、再到應(yīng)用軟件，逐級度量、逐級認(rèn)證，將信任擴展至整個自主創(chuàng)新型網(wǎng)絡(luò)中，并采取防護措施，確保計算資源的完整性和計算行為的可預(yù)期性，詳細(xì)要求見T/ZISIA04-2024；2)可信連接，應(yīng)符合GB/T29828-2013中規(guī)定的要求；3)可信安全管理中心基于可信數(shù)據(jù)提供統(tǒng)一服務(wù)，提供可信狀態(tài)評估支撐可信連接，基于可信日志數(shù)據(jù)進行數(shù)據(jù)分析等；能夠通過安全管理員對系統(tǒng)中的安全策略進行配置，包括安全參數(shù)的設(shè)置，主體、客體進行統(tǒng)一安全標(biāo)記，對主體進行授權(quán)，配置可信驗證策略等；4)可信云計算平臺包括但不限于物