(高清版)DB2201∕T 31-2023 政務(wù)云服務(wù)與接入安全管理規(guī)范　

2201ManagementspecificationforI本文件由長(zhǎng)春市政務(wù)服務(wù)和數(shù)字化建設(shè)管理局提出本文件主要起草單位：長(zhǎng)春市政務(wù)服務(wù)和數(shù)字化建設(shè)管理局、杭州安恒信息技術(shù)股份有限公司。本文件主要起草人：劉競(jìng)雄、丁慧東、柳羽輝、孟紅月、劉爍、冷皓、戚志軍、李艷、王正偉、1政務(wù)云服務(wù)與接入安全管理規(guī)范營(yíng)安全，以及政務(wù)云服務(wù)使用者接入政務(wù)云時(shí)的應(yīng)用安全、數(shù)據(jù)安全和GB/T25069、GB/T32400和GB/T35295界定的以及下列術(shù)語(yǔ)和定義適用于本文件。政務(wù)云服務(wù)提供者E-governmentcloudservicepr政務(wù)云服務(wù)使用者E-governmentcloudservice4縮略語(yǔ)VPN：虛擬專用網(wǎng)(VirtualPrivateNetwork)SSL：安全套接層（SecureSocketWAF：Web應(yīng)用防護(hù)系統(tǒng)（WebApplicationFirewall）25.1.1應(yīng)有授權(quán)機(jī)制，對(duì)進(jìn)出機(jī)房人員和運(yùn)維人員有審核和記錄，應(yīng)定期更新賬號(hào)和身份認(rèn)證，運(yùn)維5.1.2對(duì)生產(chǎn)網(wǎng)和非生產(chǎn)網(wǎng)應(yīng)進(jìn)行物理隔離，運(yùn)維人員應(yīng)通過(guò)安全設(shè)備登錄。5.1.3硬件環(huán)境應(yīng)符合GB/T39786的要求。5.1.4特定服務(wù)器應(yīng)具備系統(tǒng)可信和應(yīng)用可信功能，滿足云服務(wù)使用者對(duì)可信計(jì)算環(huán)境的需求。5.1.5應(yīng)定期對(duì)提供的操作系統(tǒng)和鏡像模板進(jìn)行加固。5.1.6應(yīng)提供VPN服務(wù)，以供政務(wù)云服務(wù)使用者進(jìn)行維護(hù)。5.1.7應(yīng)提供防火墻服務(wù)，對(duì)租戶實(shí)例進(jìn)行端口控制。5.1.8提供抗DDos和精細(xì)化Web應(yīng)用層資源耗盡型攻擊防護(hù)。5.1.9應(yīng)對(duì)每個(gè)租戶實(shí)例資源獨(dú)立使用，租戶實(shí)例服務(wù)器釋放后，原有磁盤和內(nèi)存空間應(yīng)數(shù)字清零。5.1.10應(yīng)將多個(gè)計(jì)算節(jié)點(diǎn)的虛擬機(jī)在系統(tǒng)層面進(jìn)行隔離。5.1.11應(yīng)對(duì)運(yùn)維平臺(tái)賬號(hào)強(qiáng)密碼統(tǒng)一管理，定期審計(jì)，人員變動(dòng)應(yīng)收回資源重新設(shè)置分配。5.1.12應(yīng)根據(jù)業(yè)務(wù)需要合理分配用戶權(quán)限，實(shí)行申請(qǐng)、使用和回收機(jī)制。5.1.13應(yīng)對(duì)政務(wù)云變更做流程化管理，具備應(yīng)急和恢復(fù)預(yù)案，定期組織專家開展攻防演練。5.2.1宜提供漏洞掃描服務(wù)并出具報(bào)告，指導(dǎo)政務(wù)云使用者進(jìn)行漏洞驗(yàn)證和漏洞修復(fù)。5.2.2應(yīng)提供代碼審計(jì)服務(wù)、Web應(yīng)用防護(hù)服務(wù)，限制爬蟲對(duì)上云業(yè)務(wù)系統(tǒng)的數(shù)據(jù)遍歷。5.2.3應(yīng)對(duì)數(shù)據(jù)庫(kù)進(jìn)行審計(jì)，提供敏感數(shù)據(jù)保護(hù)產(chǎn)品。5.2.4應(yīng)定期對(duì)數(shù)據(jù)進(jìn)行完整性掃描。5.2.5應(yīng)保證數(shù)據(jù)的高可用性，提供多副本、系統(tǒng)備份、故障熱遷移、負(fù)載均衡等多重保護(hù)。5.2.6應(yīng)提供數(shù)據(jù)傳輸、存儲(chǔ)的加密服務(wù)。5.2.7應(yīng)提供使用SSL證書相關(guān)的技術(shù)支持和幫助。5.3.1應(yīng)建立態(tài)勢(shì)感知平臺(tái)對(duì)威脅進(jìn)行分析和響應(yīng)。5.3.2應(yīng)提供主機(jī)配置核查服務(wù)并根據(jù)配置核查結(jié)果，調(diào)整防火墻策略，不應(yīng)使用高危端口。5.3.3應(yīng)提供日志審計(jì)和數(shù)據(jù)庫(kù)審計(jì)服務(wù)并定期配合完成審計(jì)。5.3.4可提供滲透測(cè)試服務(wù)。6.1.1按照政務(wù)云服務(wù)提供者漏洞掃描結(jié)果及時(shí)進(jìn)行漏洞驗(yàn)證和漏洞修復(fù)。6.1.2在系統(tǒng)部署上云前應(yīng)進(jìn)行代碼審計(jì)，并對(duì)高危漏洞進(jìn)行整改。6.1.3對(duì)業(yè)務(wù)系統(tǒng)和配置文件采取強(qiáng)加密算法進(jìn)行加密。6.1.4配合政務(wù)云服務(wù)提供者完成WAF配置時(shí)域名和證書的申請(qǐng)36.1.6在上云業(yè)務(wù)系統(tǒng)中對(duì)異常遍歷行為進(jìn)行分析6.2.3定期進(jìn)行數(shù)據(jù)校驗(yàn)，確保數(shù)據(jù)可用性和6.3.1配合政務(wù)云服務(wù)提