信息安全技术政府联网计算机终端安全管理基本要求

信息安全技术政府联网计算机终端安全管理基本要求

国家标准 GB/T32925一2016 信息安全技术政府联网计算机终端 安全管理基本要求 nformationseeurityteehmoogy一Basieseurityrequirementsfornetwurkeul computertermimalofgovermment 2016-08-29发布 2017-03-01实施 国家质量监督检验检疫总局 发布 国家标准化管理委员会国家标准
GB/T32925一2016 10.3备份管理 l0.4信息安全事件管理 10.5监督检查 10.6例外处置 附录A规范性附录政府联网计算机终端安全增强要求 附录B(资料性附录政府联网计算机终端安全管理制度要素
GB/T32925一2016 前 言 本标准按照GB/T1.1一2009给出的规则起草 本标准由工业和信息化部提出 本标准由全国信息安全标准化技术委员会(SAC/TC260)归口 本标准起草单位:北京信息安全测评中心,国家计算机网络应急技术处理协调中心、科学院软 件研究所、铁路总公司运输局信息化部、黑龙江省信息安全测评中心、北京市石景山区经济和信息 化委员会北京朋创天地科技有限公司,黄山市委市政府信息办公室、北京市统计局计算中心 本标准主要起草人;刘海峰、钱秀槟、王春佳,赵章界、张晓梅、梁博、李晨肠、贺海、孙永生、舒敏、 苏璞睿、刘刚,黄俊强,王燕春、李晓勇、曹卫东,王晓路,强情、王希忠、宋超臣、卢跃庆,史蓉 m
GB/T32925一2016 引 言 本标准是GB/T29245一2012《信息安全技术政府部门信息安全管理基本要求)框架下的政府部 门信息安全保障标准体系的组成部分,用于指导各级政府部门对所管辖范围内联网计算机终端的管理 和安全检查工作,使其具备一定的安全防护能力 本标准可与各种具体的计算机终端应用场景、操作系 统和应用教软件的配置指南配合使用 另外,政府部门可根据自身工作特点,按照“综合防护"“适度保护” 的原则选择使用,在满足基本要求的基础上,选择执行附录A中的增强安全要求,以进一步提高本部门 联网计算机终端的安全防护水平
GB/T32925一2016 信息安全技术政府联网计算机终端 安全管理基本要求 范围 本标准规定了政府部门联网计算机终端的安全要求 本标准适用于政府部门开展联网计算机终端安全配置、使用、维护与管理工作 规范性引用文件 下列文件对于本文件的应用是必不可少的 凡是注日期的引用文件,仅注日期的版本适用于本文 件 凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件 信息安全技术信息系统安全等级保护基本要求 GB/T222392008 (GB/T25069-201o信息安全技术术语 GB/T292452012信息安全技术政府部门信息安全管理基本要求 术语和定义 GB/T250692010界定的以及下列术语和定义适用于本文件 3.1 计算机终端computerterminal 供个人日常办公使用的能独立进行数据处理及提供网络服务访问的台式微型计算机系统、便携微 型计算机系统、瘦客户机系统或虚拟终端系统等,不包含智能移动终端如掌上电脑、智能移动电话等 3.2 联网networked 联接政府部门非涉密办公局域网 缩略语 下列缩略语适用于本文件 B1OS;基本输人输出系统(BasicInputOutputsystem) CPU;中央处理器(CentralProcessingUnit) IP;网络之间互连的协议(InternetProtocol) MAC;介质访问控制(MediaAccessControl USB;通用串行总线(UniversalSeerialBus) 计算机终端安全总体要求 5.1安全策略制定 联网计算机终端的安全策略应是本单位总体信息安全策略的重要组成部分,并为单位的信息安全
GB/T32925一2016 总体目标服务 安全策略的制定应从人员管理、资产管理、软件管理,接人安全、运行安全、BIOS配置 要求等方面综合考虑 5.2 安全防护要求 处理或保存敏感程度较低数据的联网计算机终端,如处理一般性公文或访问无敏感信息的政务系 统等的联网计算机终端,安全防护应满足本标准正文所提出的安全基本要求;保存或处理较敏感信息的 联网计算机终端,如处理敏感公文,访问有敏感信息的政务系统,发布门户网站信息的联网计算机终端 或GB/T222392008规定的三级以上信息系统中的计算机终端,在满足本标准正文要求的基础上,还 应满足附录A所规定的增强要求 5.3文件管理要求 应将与联网计算机终端安全管理和支撑日常维护工作的各类软硬件使用相关的规范、流程、操作指 导书等制定成文件(文件需考虑要素可参见附录B) 文件应通过正式有效的方式发布,并确保计算机 终端管理和使用人员能够获取,理解和执行 人员管理要求 6.1 角色和责任 6.1.1应按照GB/T29245一2012中第3章的要求,明确信息安全主管领导、指定信息安全管理机构、 配备专职或兼职信息安全员.将计算机终端的信息安全管理纳人职责范围,建立健全计算机终端信息安 全管理的责任制和工作机制 6.1.2应按照GB/T29245一2012中4.3要求,指定专职或兼职资产管理人员,负责计算机终端相关资 产的管理 6.1.3承担计算机终端安全管理工作的专职或兼职信息安全员,应由政府部门在编或长期聘用人员担 任,且接受过培训(见6.2.3)并经过考核 信息安全员应满足互备要求 6.2岗位管理与培训 6.2.1应按照GB/T29245一2012中4.2a)的要求,建立健全岗位信息安全责任制度,明确信息安全员 和计算机终端使用人员在计算机终端方面的信息安全责任;信息安全员和计算机终端使用人员应签订 信息安全与保密协议,明确信息安全与保密责任 6.2.2应按照GB/T29245一2012中4.,2b)的要求,制定并执行人员离岗离职信息安全管理规定 人员 离职应终止或调整该人员使用的计算机终端访问各种资源的权限、清理或隔离该计算机终端上存储的 数据信息,并应在签署的信息安全保密承诺书中涵盖计算机终端相关保密要求 ,加强对信息安全员和计算机终端使用人员的信息 6.2.3应按照GB/T292452012中第7章的要求， 安全教育培训,提高信息安全意识,掌握信息安全防护基本技能 培训内容包括但不限于信息化相关法 律法规、信息安全意识、信息化和信息安全常识和基础技能、计算机软件安装、计算机软件安全配置及安 全使用等;培训频次应不低于每年一次 应对信息安全员定期考核 6.2.4政府部门长期聘用人员在计算机终端安全管理方面的要求应等同于政府部门本单位人员 6.3临时访问人员管理 6.3.1临时访问人员要访问政府部门内部信息系统,应使用政府部门专用的计算机终端设备 应对临 时人员的访问行为进行监控和审计 6.3.2临时访问人员自带的计算机终端接人办公局域网要履行审批手续,批复中要明确允许接人的子
GB/T32925一2016 网,并对接人子网的人员加强管理 资产管理要求 7.1采购 7.1.1应按照GB/29245一2012中4.4的要求,采购安全可控的计算机终端及其配套的软硬件产品 7.1.2应选择安全可控的安全防护类软件,如恶意代码防范软件、本机防火墙等 7.1.3采购计算机终端运维服务,应满足GB/T29245一2012中4.5的要求 7.1.4定制开发的软件安装到联网计算机终端之前,应由信息安全管理机构组织源代码安全审查 7.2登记与使用维护 7.2.1资产管理人员应按照GB/T29245一2012中4.3的要求建立并维护计算机终端软硬件资产清 单,并根据资产清单定期进行盘点 硬件资产清单中应包含硬件设备的名称,编号、品牌型号,采购时 间、领用人或存放位置、领用时间等信息;软件资产清单应包含软件名称、版本号、采购时间、开发方名 称,用途或使用人等信息 7.2.2计算机终端因维修或其他原因带离办公区城时,应根据所存储数据的安全属性,由终端使用人 员采取数据备份、数据清除等措施,并履行登记手续,确保重要数据安全 在重新接人办公局域网前,应 由信息安全员进行安全性检查 7.2.3资产管理人员应按照GB/T292452012中5.7的要求对移动存储介质进行集中统一管理,并 记录介质领用,交回、维修、报废、销毁等情况 移动存储介质使用人员应定期清理移动存储介质,避免 长期保存数据信息 7.2.4发生计算机终端或移动存储介质数据丢失或损坏时,应由信息安全员或信息安全管理机构进行 数据恢复;需要送外部做数据恢复时,应经信息安全主管领导书面同意,并选择可信的数据恢复专业 机构 7.3报废与停用 7.3.1应按照GB/T29245一2012中4.3的要求,对计算机终端,移动存储介质等资产的报废统一管 理,报废前应做好数据备份和清除,必要时可拆除硬盘、存储卡等数据存储介质 保存敏感信息的废弃 存储介质,应由政府部门指定的有资质的机构进行回收处理 7.3.2软件授权使用时限到期,失去使用价值报废等情况下,应办理停用,并从计算机终端中卸载 软件管理要求 8.1软件安装 8.1.1应根据计算机终端支撑业务开展的需求,建立并维护计算机终端软件选用列表 软件选用列表 可包含系统软件应用软件和安全防护软件等类别 其中系统软件包括操作系统、系统补丁等;应用软 件包括网页浏览软件、邮件客户端软件、文档编辑软件、输人法软件、文件阅读软件,图片查看软件、媒体 播放软件等,还可包括财务软件、远程管理软件和专用业务系统客户端等;安全防护软件包括恶意代码 防护软件,本机防火墙等 应按照各计算机终端的实际需求,从计算机终端软件选用列表中选择安装操作系统,应用软件 8.1.2 及相关组件,安全防护软件等,并由信息安全管理机构负责统一安装 8.1.3应规定应用软件的安装目录和数据存储目录,数据存储目录应独立于系统分区
GB/T32925一2016 8.2操作系统配置管理 8.2.1应使用非系统管理员账号作为日常办公的账号,不应使用其他高权限或特殊权限账号进行日常 办公操作,不应将日常办公用的普通账号赋予系统管理员权限、其他高权限或特殊权限 应删除或禁用 系统中的特殊账号、临时账号 8.2.2应设置操作系统账号口令保护机制,不应使用空口令登录系统;口令应由字母、数字及特殊字符 组成,长度不小于8位;应设置账户锁定值,并设置登录失败次数超过阀值后的安全策略;应设置口令 更新周期.口令更新周期不应超过3个月 8.2.3应设置并启用带口令的屏幕保护程序,设定屏幕保护等待时间 8.2.4应关闭默认共享,确需共享的应按照最小权限原则明确共享文件夹的共享权限 8.2.5应关闭对移动存储介质的自动播放功能 8.2.6应关闭不必要的端口和服务 应限制远程管理服务 如确有需要开启远程管理服务,应对远程接人的账号、地址范围等进行 8.2.7 限制 8.2.8应设置时钟同步,统一联网计算机终端的时钟 8.2.9应为网络连接设置统一,可信的域名解析服务器IP地址,并至少设置1个备用的域名解析服务 器IP地址 8.3应用软件配置管理 8.3.1网页浏览器 对网页训览器的要求包括 a)应设置统一,可信的初始页面或将初始页设置为空白页; b)应根据需要建立网页浏览器插件或组件列表,不应随意安装网页浏览器插件和组件; 应禁用网页浏览器自动加载应用程序的功能 d)应设置下载文件的统一存储目录,存储目录应为数据存储目录中的独立子目录; 应设定本地缓存空间大小,并定期清理本地缓存.Cookie.历史记录以及临时文件内容 8.3.2邮件客户端软件系统 对邮件客户端软件系统的要求包括 a)针对不同的邮箱账号,应设置易识别的账号标识信息 b应按照GB/T29245一2012中5.5的要求,设置邮箱账号访问口令 邮箱账号访问口令由字 母、数字及特殊字符等组成长度不小于8位 邮箱账号访问口令应不同于操作系统口令,并 定期更新,更新周期不应超过3个月 应建立独立于邮件客户端软件安装目录之外的邮件保存目录,邮件保存目录应为数据存储目 录中的独立子目录 d)应禁用或限制邮件客户端软件系统对带格式邮件,附件的自动处理或显示功能 应定期清理保存在邮件服务器上的邮件信息,定期清除、转移或归档计算机终端上的邮件 8.3.3文档编辑软件 对文档编辑教件的要求包括 应设置用于标识用户的基本信息 a b)应限制文档编辑软件自动批量处理功能
GB/T32925一2016 应通过软件自身功能或通过本机防火墙限制文档编辑软件访问外部网络 d)应启用文档定时保存功能 8.4安全防护软件配置管理 8.4.1恶意代码防范软件设置为开机自动启动方式 设置对本机数据进行定期安全扫描 8.4.2 设置对浏览器,邮件客户端软件、即时通讯软件等方式下载的资源进行安全扫描 8.4.3 8.4.4设置对接人介质进行自动安全扫描 8.4.5启用软件及特征库的自动更新功能 8.4.6应启用本机防火墙,并以白名单的方式设置访问控制规则 接入安全要求 网络接入 9.1 9.1.1应建立计算机终端接人网络的审批制度 g.1.2应根据各内设部门的工作职能和处理业务的重要程度,划分不同的子网,并制定各子网间的访 问规则和策略 g.1.3应制定对计算机终端在网络上的统一命名规则,名称应易于识别 9.1.4应设置并启用网络接人控制策略,通过实名接人认证、限制物理接人点,IP地址与MAC地址绑 定等措施,将接人的计算机终端限定在指定的物理子网或逻辑子网中 g.1.5应将临时访问人员自带的计算机终端,接人经过批准的子网中,并在接人网络前对其采取病毒 木马检测和清除措施 9.1.6应限制计算机终端通过无线方式接人办公局域网 如确有需要通过无线方式接人,应采取权限 限制、设置接人口令,使用安全协议等手段加强保护 应限制远程接人的计算机终端数量,接人方式,访问范围等 9.1.7 9.2介质接入 9.2.1应对介质接人实行统一管理,进行接人控制并记录介质使用情况 9.2.2按照GB/T29245-2012中5.7的要求,介质接人计算机终端前,应查杀病毒,木马等恶意代码 运行安全要求 10 10.1统一管理 10.1.1应制定计算机终端软件安装和变更审批制度,对软件安装和变更进行统一管理 因工作需要 增加、减少安装软件或对软件进行升级及其他配置变更前,应按照审批流程进行审核;审核批准并备案 后,由责任部门或责任人对相关计算机实施软件变更或监督实施软件变更,同时更新软件配置清单 10.1.2应按照GB/T29245一2012中5.6的要求,采用集中统一管理方式对联网计算机终端进行管 理,统一软件下发、漏洞扫描、补丁安装、病毒库升级和病毒查杀等 10.2监控审计 10.2.1操作系统审计 本项要求包括
GB/T32925一2016 应设置操作系统日志审计,对账号登录、策略更改、对象访问、服务访问、系统事件,账户管理等 行为进行日志记录 日志记录的内容应包括事件发生的时间,主体,客体、行为(结果)等 安全防护软件应启用日志审计,对攻击事件拦截、病毒查杀等行为进行记录 日志记录的内容 应包括时间、事件类别,事件描述,操作处理等 应设置审计日志保留时间不少于7天,并设置审计日志文件大小,文件达到设定值或无存储空 间时的操作方式 应由信息安全员定期对计算机终端的审计日志进行审查 10.2.2流量监控 应监测网络带宽使用情况,并能对指定计算机终端的带宽使用进行限制 10.2.3软件漏洞扫描 应对计算机终端进行定期安全漏洞扫描,并通过正规渠道获取操作系统及应用软件的补丁程序 10.3备份管理 10.3.1应定期备份重要数据 10.3.2本机备份时应保存在不同的磁盘分区 10.3.3介质备份时应使用专用的存储介质 10.3.4需要异地备份时,应由专人管理维护 10.3.5应定期检查备份数据的可用性、完整性 10.4信息安全事件管理 10.4.1应按照GB/T292452012中第6章的要求,建立健全信息安全应急工作机制 10.4.2应建立计算机终端发生数据丢失,木马病毒感染等安全事件报告和事件响应机制,并制定文件 描述报告和响应的流程、职责和处置权限 10.4.3应保留信息安全事件发生状况,所采取的措施和处理结果等的记录 10.4.4应按照GB/T29245一2012中4.2d)的要求对信息安全责任事故进行查处 10.5监督检查 10.5.1信息安全管理机构应按照GB/T292452012中第7章的要求,每年至少对计算机终端进行 次定期的信息安全检查,并向计算机终端使用者通报信息安全检查结果 10.5.2信息安全管理机构应根据安全检查结果,完善相关的安全管理制度和技术防护措施,提高计算 机终端的安全防护能力 10.6例外处置 10.6.1当联网计算机终端暂时不能满足部分安全要求,可以申请例外处置,经信息安全主管领导批准 后进行例外处置并备案 10.6.2例外处置申请应至少包含计算机终端编号、型号、配置、使用人、申请例外处置的原因、不能满 足的要求、临时处理方法,例外处置期限、整改措施、整改期限、整改责任人等 10.6.3信息安全员应对例外处置及整改情况进行监督,并向信息安全主管领导汇报 S
GB/T32925一2016 附 录A 规范性附录 政府联网计算机终端安全增强要求 A.1BOs配置要求 要求包括 a)开机时应启动身份鉴别机制,并设置安全的口令长度和复杂度; b 应限制硬件资源使用,包括软驱,硬盘、内存,USB设备、,网卡和CPU等; e应启用硬盘写保护; d)应限制由外部设备.如U盘、光驱、软驱等引导驱动计算机终端 A.2软件管理要求 A.2.1操作系统 本项要求包括: 终端为多人共用时,应为不同的人员设立不同的眼户,并根据最小权限原则分配权限 b) 操作系统的账号口令应包含大写字母、小写字母、数字、特殊字符等四类字符,且账号口令应与 其他的鉴别方式(如动态口令、数字证书等)配合使用; 操作系统补丁程序在安装前应进行测试 A.2.2应用软件 A.2.2.1 -般要求 本项要求包括 a)应以软件选用列表为基础,建立计算机终端可执行程序“白名单”,通过终端管理系统、安全防 护软件等技术手段阻止非“白名单”软件的安装和运行 b应用软件补丁程序在安装前应进行测试; 应定期检查计算机终端软件正版化的情况,卸载非授权使用软件 A.2.2.2网页浏览器 要求包括 a 应禁用网页浏览器缓存功能; b应禁用网页浏览器自动保存用户名和密码等表单信息功能 A.2.2.3邮件客户端软件系统 应配置连接邮件服务器的方式,确保数据加密传输 A.2.2.4文档编辑软件 要求包括 应禁用文档编辑软件的网络功能; a
GB/T32925一2016 b应限制文档编辑软件在本地保存副本或临时文件; 应对重要文档应设置口令保护,限制对文档的读写 c d应开启文档编辑软件的安全功能,不运行不明的插件和编程功能 A.2.3安全防护软件 应安装统一的恶意代码防范软件 A.3接入安全要求 A.3.1 网络接入 要求包括 应对接人办公局域网的计算机终端进行认证,通过认证后方可使用网络资源; a b)应对办公局域网内计算机终端的外联进行限制 应能够对内部网络用户未经准许联到外部网络的行为进行检查 c A.3.2介质接入 要求包括 a)接人联网计算机终端的移动存储介质应支持加密功能; b) 应能检查接人的移动存储介质的合法性， 应限制使用联网计算机终端的USB接口为手机等外部设备充电 c) A.4运行安全要求 监控审计 A.4.1 要求包括 a)应依照联网计算机终端软件运行需求,启用并配置软件进程监测策略,对违反策略的行为进行 处置; 应依照联网计算机终端软件选用列表,启用并配置软件审计策略,对软件的增加、修改、删除等 变更操作进行审计; 应通过集中监控审计系统对联网计算机终端网络行为进行安全监控和审计,审计日志数据保 存时间应不低于60天; 应能对移动存储介质接人联网计算机终端的行为进行审计 A.4.2趋势跟踪 应进行联网计算机终端的安全趋势跟踪,以便及时发现安全风险并进行处置
GB/T32925一2016 附 录 B 资料性附录 政府联网计算机终端安全管理制度要素 政府部门在制定文件化的联网计算机终端安全管理制度时,可包含如下要素,这些要素可以包含在 机构的整体安全制度体系中,也可针对联网计算机终端单独制定,可以是一个制度文件,也可以由多个 制度文件分别规范 a)联网计算机终端安全基本策略(是机构安全策略的一部分); b 计算机终端安全管理的职责和工作机制 岗位信息安全责任,明确信息安全员和计算机终端使用人员的信息安全与保密责任 d 信息安全培训要求; 人员离岗离职信息安全管理规定、长期外协或外聘人员管理规定、临时访问人员管理 e 计算机终端软件安装审批制度、计算机终端软件列表; 计算机终端的运维、监控、审计、备份等要求 计算机终端的安装和使用规程;内容可包含;操作系统配置操作规程、系统重装和恢复指导书、 应用软件配置指导书等; 计算机终端相关资产的管理要求 内容可包含;计算机终端及相关设备维修时的数据保护要 求,存储介质处理要求、移动存储介质使用登记备案要求,计算机终端相关资产清单等; 信息安全事件时的报告和响应流程、职责和处置权限; k定期对联网计算机终端进行安全检查和通报的要求; 计算机终端例外处置程序

政府联网计算机终端安全管理基本要求GB/T32925-2016

随着互联网的不断发展，政府部门逐渐实现了信息化、网络化的管理。然而，由于信息系统规模庞大、复杂性高、网络攻击手段多样等问题，政府部门的信息安全面临着严峻的挑战。因此，为了保障政府信息系统的安全，保护国家利益，提高政府信息化管理水平，制定《政府联网计算机终端安全管理基本要求》（以下简称《要求》）就显得尤为必要。

一、《要求》的背景与意义

《要求》是由中国国家标准化管理委员会发布的一个标准规范，它的出台旨在规范政府联网计算机终端的安全管理，推动政府信息化管理工作的深入发展，达到保障政府信息安全的目的。

二、《要求》的内容和主要特点

《要求》主要包括以下几个方面的内容：

1. 政府联网计算机终端的硬件、软件、网络环境要求；
2. 政府联网计算机终端的安全配置要求；
3. 政府联网计算机终端的安全管理要求；
4. 政府联网计算机终端的日志记录和审计要求；
5. 政府联网计算机终端的异常处理和应急响应要求。

其主要特点如下：

1. 注重实用性，强调标准化、统一性；
2. 风险管理导向，注重防范措施、安全技术；
3. 强调责任落实，要求明确责任、加强监管。

三、关键问题与解决思路

在实施《要求》过程中，需要注意以下关键问题：

1. 政府联网计算机终端的漏洞管理：制定完善的漏洞管理制度，及时修补漏洞，减少安全风险；
2. 政府联网计算机终端的人员管理：加强对从业人员的培训和监管，提高其安全意识和防范能力；
3. 政府联网计算机终端的日志记录：建立完善的日志记录系统，及时发现、分析和处理安全事件。

四、总结

《要求》的出台标志着我国政府信息化建设进入了一个新的阶段。它不仅是保障政府信息系统安全的必要措施，也是推动政府信息化工作的重要举措。在实施过程中，需要根据本标准的规定，制定具体的安全管理制度，加强对政府联网计算机终端的安全管理，提高政府信息化水平和国家信息安全保障能力。

总之，《政府联网计算机终端安全管理基本要求》是一项非常重要的标准规范，它为政府部门的信息安全提供了有力保障。同时，我们也应该认识到，制定标准只是第一步，真正实现安全需要各个相关方共同努力，不断完善安全技术和管理体系，确保政府联网计算机终端的安全可控。

信息安全技术政府联网计算机终端安全管理基本要求的相关资料

和信息安全技术政府联网计算机终端安全管理基本要求类似的标准