政务办公终端安全管理规范DB11／T 1041-2013.pdf

ICS 35.020 L70 备案号:DB11 北京市地方标准 DB11/T 1041 2013 政务办公终端安全管理规范 Security management specification for government office computer 2013-12-20发布 2014-04-01实施 北京市质量技术监督局 发布 DB11/T 1041 2013 I 目 次 前言.II 1 范围.1 2 规范性引用文件.1 3 术语、定义和缩略语.1 3.1 术语和定义.1 3.2 缩略语.1 4 安全管理原则.1 4.1 明确责任.1 4.2 综合防范.1 4.3 适度保护.1 5 安全管理要求.2 5.1 责任人员.2 5.2 软件管理.2 5.3 安全制度.2 6 软件配置基本要求.2 6.1 操作系统配置要求.2 6.2 应用软件配置要求.3 7 外围控制基本要求.4 7.1 准入控制要求.4 7.2 流量监控要求.4 附录 A（规范性附录）政务办公终端安全增强要求.6 DB11/T 1041 2013 II 前 言 本标准按照 GB/T 1.1-2009给出的规则起草。本标准由北京市经济和信息化委员会提出并归口。本标准由北京市经济和信息化委员会组织实 施。本标准起草 单位：北京信息安全 测评中心、北京市统 计局 信息 中心、北京 东祥骏昌科技有限 公 司。本标准 主 要起草人：刘海峰、钱秀槟、王春佳、黄少青、赵章界、张晓梅、梁博、李晨旸、贺海、史蓉、李晓燕。DB11/T 1041 2013 1 政务办公终端安全管理规范 1 范围 本标准规定 了 政务办公终端的安全管理原则、安全管理要求、软件配置基本要求和外围控制基本要求。本标准适用 于 政务办公终端，不 适用 于处 理 涉及国家秘密 信息的 计算机 终端。2 规范性引用文件 下列 文件 对于 本文件的应用 是必不可少 的。凡是注日期 的引用文件，仅所注日期 的 版 本适用 于 本文件。凡是不注日期 的引用文件，其最新版 本（包括所有 的 修改单）适用 于 本文件。GB/T 25069-2010 信息安全 技 术 术语 3 术语、定义和缩略语 3.1 术语和定义 GB/T 25069-2010界 定的 以及下列 术语和定义适用 于 本文件。政务办公终端 government office computer 用 于处 理 涉及 政务 工 作的 台式、便携式微型计算机 系统，不包含移动智能 终端（如掌上 电脑、智能手 机 等）。3.2 缩略语 下列 缩略语适用 于 本标准：IP 网络之间互连 的 协议 Internet Protocol MAC 介质访问 控制 Media Access Control 4 安全管理原则 4.1 明确责任 政务办公终端的 主 管 单位、运维 单位 和 使 用 者 应按照“谁 主 管 谁负 责、谁运行谁负 责、谁使 用 谁负责”的原则明确安全责任。4.2 综合防范 进行 政务办公终端安全管理 时，应全 面 综合 考虑 操作系统软件、应用软件、网络接 入、外 联 控制、安全 审 计 等各个层面 对 政务办公终端安全的 影响。4.3 适度保护 DB11/T 1041 2013 2 应 根据 政务办公终端 处 理信息的 重 要 程 度给 予相 应的保护。本标准规定 了 政务办公终端的基本安全防护要求，对 安全 有 更高 要求的政务办公终端应 符 合附录 A中对 应的安全增强要求。5 安全管理要求 5.1 责任人员 5.1.1 岗位 5.1.1.1 明确 一名 主 管 领导，负 责政务办公终端安全管理的 领导 和 协调 工 作。5.1.1.2 明确政务办公终端安全管理的责任 部门 和 岗 位，并 在部门 和 岗 位 职 责 中 明确 相 应的责任。岗位 职 责应 包含 本 单位 政务办公终端的安全配置、日 常维 护 以及 定 期 的安全 检查 工 作。5.1.2 培训 5.1.2.1 用 于 政务办公终端的软件要制定配 套 的安 装、配置 及 使 用 等 操作 手册，按 需 求组织 宣贯培训，指导 用 户正 确 使 用。5.1.2.2 结 合本 单位 信息化 工 作实 际情况，组织 内部 和外 部培训，包括 但 不限于 信息化 相关法律法 规的 宣贯、信息安全 意识培训、信息化和信息安全 常识 和基 础 技能 的 培训等。5.2 软件管理 5.2.1 根据 日 常业 务 需 求，建立 政务办公终端软件 选 用 列 表，提 供支撑业 务 开展 所必 需 的政务办公终端软件。列 表 应 包含 系统软件和应用软件 等类别，其中 系统软件 可包括 操作系统、系统 补 丁 等；应用软件 可包括 输 入 法 软件、文 档编辑 软件、文件 压 缩软件、网 页浏览 软件、邮 件 客 户 端软件、文件 阅读器、图片 查 看、媒体播放、安全防护软件 以及 打印 机 等 办公 设备驱 动 程 序 等。根据部门业 务 需 要 还 可包括 财务软件、远 程 管理软件 以及 专 用 业 务系统 客 户 端 等。5.2.2 应 依 照政务办公终端软件 选 用 列 表，采 用 正 版 软件，建立 软件 资产清 单。5.2.3 对 政务办公终端 进行 定 期 安全 漏洞扫描，并 通过 正 规 渠道获取 操作系统 及 应用软件的 补 丁 程 序。5.3 安全制度 5.3.1 信息安全 工 作 总体方针 和安全 策 略 中 应 包含 政务办公终端安全。5.3.2 对 政务办公终端软件安全管理 活 动中 重 要的管理 内 容 建立 安全管理制度；对 安全管理人员 或 操作人员 执 行 的 重 要政务办公终端软件管理操作 建立 操作规 程。5.3.3 通过 正 式有 效 的 方 式 将 管理制度和操作规 程 发布。5.3.4 建立 政务办公终端软件安 装 和 变 更 的 审 批 制度。因 工 作 需 要 在 政务办公终端 中 增 加或减 少 安 装 的软件、对 软件 进行 升级、或变 更 软件配置前，应按照 审 批 流 程进行审 核，经 审 核批 准并 备案后，由责任 部门 或 责任人 对 相关 政务办公终端实 施 软件 变 更 或 监 督 实 施 软件 变 更。变 更 完成后，应 及 时更 新 软件配置 清 单。6 软件配置基本要求 6.1 操作系统配置要求 6.1.1 安装配置 6.1.1.1 按照统 一 规则 为 政务办公终端 命 名，名 称 应 易 于 识别。DB11/T 1041 2013 3 6.1.1.2 根据 日 常业 务 需 求确定 需 要的组件和 服 务，仅 安 装支撑业 务 开展 所必 需 的系统组件和 服 务。6.1.2 账号配置 6.1.2.1 使 用 非 系统管理员 账号 作 为 日 常 办公的 账号，不 应 使 用 其 他 高 权 限 或特殊权 限 账号 进行 日 常 办公操作，不 应 将 日 常 办公用的 普通账号赋 予 系统管理员 权 限、其 他 高 权 限 或特殊权 限。6.1.2.2 删除或禁 用系统 中 的 特殊账号、无 用 账号。6.1.3 口令配置 6.1.3.1 设 置 账号 口 令 保护 机 制，不 应 使 用 空 口 令账号登 录系统。6.1.3.2 账号 口 令 应由 字母、数字 及 特殊字 符 组 成，长 度应 不少于 6位。6.1.3.3 重 要 账号 口 令 应 不少于 8位。6.1.4 日志配置 6.1.4.1 设 置系统 日 志 审 计，对 账号登 录、策 略 更 改、对 象 访问、服 务 访问、系统 事 件、账 户 管理 等行 为 进行 日 志记 录。6.1.4.2 日 志记 录的 内 容 应 包括 事 件 发 生 的 时间、主 体、客体、行 为（结 果）等。6.1.4.3 系统 日 志 保 留 时间 应 不少于 7天。6.1.5 安全配置 6.1.5.1 关 闭默认共享，明确 共享 文件 夹 的 共享 权 限。6.1.5.2 关 闭 移动 存储 介质 的 自 动 播放 功 能。6.1.5.3 禁 用 远 程 桌 面 服 务。6.1.5.4 设 置并 启 用 带 口 令 的 屏幕 保护 程 序，设 定 屏幕 保护 等 待 时间。6.1.5.5 启 用 补 丁 自 动 更 新 功 能。6.1.5.6 为 网络连接 设 置统 一、可 信的 域 名 解析 服 务 器 IP地址，并 至 少 设 置 1个 备 用的 域 名 解析 服 务 器IP地址。6.2 应用软件配置要求 6.2.1 一般要求 6.2.1.1 根据 政务办公终端软件 选 用 列 表，按照 最 小 需 求安 装 应用软件 及 相关 组件。6.2.1.2 在 政务办公终端操作系统 中 设 置 固 定的应用 程 序 安 装 目 录、数 据 临 时 存储目 录。应用 程 序 应集 中 安 装在 应用 程 序 安 装 目 录 中；对于 存 在 临 时 文件的应用 程 序，应 在 数 据 临 时 存储目 录 中 建立 独 立 的子目 录，用 于 保 存该 程 序 的 临 时 文件 或 缓存 文件。6.2.2 文档编辑软件配置 6.2.2.1 文 档编辑 软件应 设 置用 于 标 识 用 户 的基本信息。6.2.2.2 限 制文 档编辑 软件 自 动 批 量 处 理 功 能。6.2.2.3 通过 软件 自身功 能 或通过 本 机 防 火墙 限 制文 档编辑 软件 访问 外 部网络。6.2.2.4 启 用文 档 定 时 保 存功 能。6.2.3 网页 浏览器 配置 6.2.3.1 网 页浏览器 应 设 置统 一、可 信的 初始 页 面 或设 置 为空 白 页。DB11/T 1041 2013 4 6.2.3.2 设 置 下 载 文件的统 一 存储目 录，存储目 录应 为数 据 临 时 存储目 录 中 的 独 立 子目 录。6.2.3.3 设 定本 地缓存 空 间 大小，并定 期 清 理本 地缓存、历 史 记 录 以及 临 时 文件 内 容。6.2.3.4 根据需 要 建立 浏览器 插 件 或 组件 列 表。6.2.3.5 及 时 对所有下 载 资 源 进行 恶 意 代码 扫描。6.2.4 邮 件 客户 端配置 6.2.4.1 针 对不 同 的 邮 箱 账号，应 设 置 易 识别 的 账号 标 识 信息。6.2.4.2 设 置 邮 箱 账 户 的 访问 口 令，邮 箱 账 户 口 令 应 不 同 于 系统口 令，并定 期 更 新，口 令 更 新 周 期 应 不 超 过 3个 月。6.2.4.3 建立 独 立 于 应用 程 序 安 装 目 录 之 外的 独 立 目 录，用 于 存储已 接 收、已 发 送 及 分 类 保 存 的 邮 件。6.2.4.4 禁 用 或 限 制 邮 件 客 户 端软件 对 带格 式 邮 件、附件的 自 动处 理 或 显示功 能。6.2.4.5 及 时 对 邮 件附件 进行 恶 意 代码 扫描。6.2.4.6 定 期 清除、转 移 或 归 档 已收 取 的 邮 件，避免 信息 泄露。6.2.5 安全防护软件配置 6.2.5.1 设 置 为 开 机 自 动 启 动 方 式。6.2.5.2 设 置 对 本 机 数 据进行 定 期 安全 扫描。6.2.5.3 设 置 对 接 入 介质进行 自 动 安全 扫描。6.2.5.4 启 用软件 及 特 征库 的 自 动 更 新 功 能。6.2.5.5 启 用政务办公终端的防 火墙，并 以 白 名 单 的 方 式 设 置 访问 控制规则。7 外 围 控 制基本要求 7.1 准 入控 制要求 7.1.1 网 络 规 划 根据各部门 工 作 职 能 和 处 理 业 务的 重 要 程 度，划分 不 同 的 子 网，按照 方 便 管理控制和安全 隔离 的原则 为 各 子 网 分 配 IP地址段。7.1.2 网 络 准 入 设 置并 启 用政务办公终端准入控制 策 略，通过 物 理 接 入 点 或 政务办公终端 MAC地址 等 物 理 因 素，将 政务办公终端 接 入 到 指 定的 物 理 子 网 或 逻 辑 子 网 中。7.1.3 介 质 接入 设 置并 启 用 移动 存储 介质接 入控制 策 略，自 动 实 行 存储 数 据 安全性 扫描。7.2 流 量监 控 要求 7.2.1 流 量监 控 配置 设 置并 启 用 网络 流量监控 策 略，实 时 监 测 网络 带宽 使 用 等情况，能对 指 定 子 网 中 的政务办公终端 带宽 使 用 进行 限 制。7.2.2 流 量 内容分析 DB11/T 1041 2013 5 具 备 对 网络 出口、骨干链路 等关 键 部 位 网络 流量 进行 分析 的 能 力，能 根据 特 征 监 测 发 现典 型 的 网络攻击、恶 意 软件 传 播 等行 为。DB11/T 1041 2013 6 A A 附 录 A（规范性 附录）政务办公终端安全 增强 要求 A.1 四类 安全 增强 要求 说 明 A.1.1 自动化 管理 型 以 实 现自 动 化管理、提 高 政务办公终端管理 效 率 为 重 点，使 政务办公终端实 时 有 效 运行、数 据 实 时 可 用，解 决 管理政务办公终端 数 量 过 大 或 政务办公终端管理人员 过 少 等问 题。A.1.2 数据 保护 型 以 保护政务办公终端 数 据 为 重 点，使 政务办公终端用 于处 理 敏感 信息、访问 涉及 敏感 信息的 重 要系统 时，数 据 不 被 恶 意 泄露 和 篡 改，解 决 将 政务办公终端 数 据 保护性 放 在 首 位 的 情况。A.1.3 监 控审计型 以 规范政务办公终端用 户 操作 为 重 点，能及 时 发 现 安全 问 题 以及 事 后 定 位 信息安全 事 件，能 实 时 监测 政务办公终端软件 使 用 行 为，在 发 生 安全 事 件 后 能 为 管理人员提 供 有 效 的 网络访问行 为 和 内 容 审 计 记录。A.1.4 外设可控型 以 加 强政务办公终端外 设 控制 力 度 为 重 点，使 政务办公终端 在 安全、可 信、可 控的 网络 环境 中 运行。A.1.5 增强 要求 选择 政务办公终端安全管理的责任 部门 或 人员 可 根据 本 单位 的安全管理实 际需 求，在 满足 基本要求的基础 上，选 择 上 述四 类 增强要求 中 的 一类 或 几 类 安全增强要求的组合。A.2 自动化 管理 型增强 要求 A.2.1 操作系统要求 A.2.1.1 在 政务办公终端 上 安 装 同 一类 型 操作系统。A.2.1.2 在 操作系统安 装时 统 一 系统 恢复 设 置。A.2.2 终端管理系统要求 部 署 统 一 的终端管理系统，实 现 对所 管 辖 终端的 自 动 化管理。管理的 内 容 应 至 少包括：资产 管理、状态 监 测、系统 补 丁 分 发、软件安 装 管理、主机 访问 控制、远 程 管理 等。A.2.3 安全防护软件要求 设 置安全防护软件统 一 管理，实 现恶 意 代码 防范规则 库自 动、集 中、定 时更 新。A.3 数据 保护 型增强 要求 DB11/T 1041 2013 7 A.3.1 软件 维 护管理要求 定 期对 安全 域 中 的 网络 设备、政务办公终端 进行 安全 扫描，及 时 发 现 可能 的安全 隐患。A.3.2 账号安全要求 A.3.2.1 不 应 直 接使 用系统管理员 账号。A.3.2.2 多 个 用 户 不 应 共同 使 用 一个 账号登 录操作系统。A.3.2.3 账号 口 令 应 与 其 它 的 鉴 别 方 式（如动 态 口 令、数字 证书 等）配合 使 用。A.3.2.4 账号 口 令 应 包含 大 写 字母、小 写 字母、数字、特殊字 符等 四 类 字 符。A.3.2.5 账号 口 令 应定 期 更 换，更 换 周 期 应 不 超 过 3个 月。A.3.2.6 设 置口 令 延 时、尝试次 数 阈值，达 到 阈值 时 应 采取 响 应 措 施，防范 暴 力 口 令 破 解。A.3.3 系统日志要求 设 置 日 志 文件 大小 及 达 到 设 定 值 或无 存储 空 间时 的操作 方 式。A.3.4 文档编辑软件要求 A.3.4.1 禁 用文 档编辑 软件的 网络 功 能。A.3.4.2 限 制文 档编辑 软件 在 本 地 保 存 副 本 或 临 时 文件。A.3.4.3 重 要文 档设 置口 令 保护，限 制 对 文 档 的 读 写 权 限。A.3.5 网页 浏览器 要求 A.3.5.1 禁 用本 地缓存 网 页 文件。A.3.5.2 禁 用本 地自 动 保 存 用 户 账号、口 令 等 敏感 信息。A.3.6 主机 防护要求 A.3.6.1 操作系统 及 应用软件的 补 丁 程 序 在 安 装 前应 进行 测 试。A.3.6.2 统 一 安 装 恶 意 软件防范 工 具，定 期 更 新 恶 意 软件 特 征库。A.3.6.3 对 本 地 重 要文件 进行 保护，保 障 文件的保 密 性和 完 整 性。A.3.7 准 入控 制要求 A.3.7.1 对 接 入安全 域 的政务办公终端 进行 认 证，通过 验证 后方 可 使 用 网络 资 源。A.3.7.2 对 未授 权 政务办公终端 接 入 及 安全 域 内 政务办公终端 未授 权 外 联进行 限 制。A.3.7.3 能 够 对 内部网络 的 内部 用 户 未 通过 准 许私 自 联 到 外 部网络 的 行 为 进行检查。A.3.8 外设 管理要求 加 强 移动 存储 介质 的管理，检 验 接 入 介质 的合 法 性，并 进行 必 要的 审 计。A.4 监 控审计型增强 要求 A.4.1 基 础 要求 A.4.1.1 建立 独 立 于 政务办公终端的监控和 审 计 系统。DB11/T 1041 2013 8 A.4.1.2 在 核 心 交换 机 设 置端口 镜像，或采取 其 他 有 效 措 施，将 所有 网络 流量 数 据 发 送至 监控和 审 计 系统。A.4.2 策 略 设 置要求 A.4.2.1 依 照政务办公终端软件 运行需 求，设 置并 启 用软件 进程 监 测 策 略，对 违反 策 略的 行 为 进行 限制。A.4.2.2 依 照政务办公终端软件 选 用 列 表，设 置并 启 用 重 要软件 日 志 审 计 策 略，对 软件增 加、修改、删除 等 软件 变 更情况进行审 计，审 计 信息应 包括日期、时间、来 源、用 户、操作、结 果 等 要 素。A.4.2.3 设 置 审 计 数 据 保 存 应 不少于 60天，数 据 保 存 应 独 立 于 被 保护政务办公终端 之 外。A.4.3 日志 记录 要求 A.4.3.1 将 日 志记 录 通过 网络 远 程 保 存 在 外 部 日 志 服 务 器 中。A.4.3.2 日 志记 录应 包括：事 件的 日期 和 时间、用 户、事 件 类 型、事 件 是 否 成 功 及其 他 与 审 计 相关 的信息，并 对 违反 策 略的 访问行 为 及 时响 应和 处 置。A.4.3.3 审 计 记 录应 独 立 保 存，保 存 时间 应 不少于 60天。A.5 外设可控型增强 要求 设 置并 启 用政务办公终端外 联 控制 策 略，未 经 授 权 不 应 通过 任 何形 式 连接 外 部网络,不 应 使 用 USB接 口 为 手 机 等 外 部 设备 充 电，并 对 政务办公终端 未 经 授 权 的外 联行 为 进行 监 测 和 处 置。_