ICS 35.240 L67 保 DB5305 山 市 地 方 标 准 DB 5305/T 19.4—2019 替代 DG5305/T 19.4—2017 保山市信息惠民工程综合标准 第 4 部分:网络安全域划分标准 2019 - 10 - 30 发布 保山市市场监督管理局 2019 - 11 - 01 实施 发 布 DB5305/T 19.4-2019 前    言 本标准按照GB/T 1.1—2009《标准化工作导则 第1部分：标准的结构和编写》给出的规则起草。 本标准由保山市大数据管理局提出。 本标准由保山市工业和信息化委员会归口。 本标准起草单位：保山市大数据管理局。 本标准主要起草人：刘志胡、王明超、李祖燕、丁威、罗红建、张忠信、陈秋玲。 本标准替代DG5305/T 19.4—2017。 DB5305/T 19.4-2019 保山市信息惠民工程综合标准 第 4 部分 网络安全域划分标准 1 范围 本标准规定了保山市信息惠民工程电子政务建设中基础网络的安全域划分术语和定义、安全域划分 方式、安全域划分原则、保护对象及信息资产分、系统分域保护框架、选择和调整安全措施、安全区域 划分参考，本标准适用于信息惠民工程建设中电子政务外网的安全域划分。 2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的 修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究 是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 DB5305/T 19.3-2019 保山市信息惠民工程综合标准 术语 3 术语和定义 DB5305/T 19.3-2019 确立的以及下列术语和定义适用于本标准。 3.1 网络安全域 网络安全域指同一系统内根据信息的性质、使用主体、安全目标和策略等元素的不同来划分的不同 逻辑子网戒网络，每一个逻辑区域内部有相同的安全保护需求、互相信任、具有相同的安全访问控制和 边界控制策略，且相同的网络安全域共享一样的安全策略。 3.2 信息安全等级 信息安全等级保护是我国信息安全保障工作的一项基本制度 ,国家已经颁布了一系列信息安全等 级保护的标准。 3.3 电子政务安全等级 2004 年 9 月发布的 《关于信息安全等级保护工作的实施意见》中规定信息系统的安全等级从低到 高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级，详见表 1。 1 DB5305/T 19.4-2019 表 1 电子政务系统五个安全等级的基本内容 安全 等级 等级 名称 基本描述 安全保护要求 第一级 自主保 护级 适用于一般的电子政务系统。系统遭到破坏 后对政务机构履行其政务职能、机构财产、 人员造成较小的负面影响。 参照国家标准自主进 行保护。 指导保 护级 适用于处理日常政务信息和提供一般政务服 务的电子政务系统。系统遭到破坏后对政务 机构履行其政务职能、机构财产、人员造成 中等程度的负面影响。 在主管部门的指导 下，按照国家标准自 主进行保护。 监督保 护级 适用于处理重要政务信息和提供重要政务服 务的电子政务系统。系统遭到破坏后可能对 政务机构履行其政务职能、机构财产、人员 造成较大的负面影响，可能对国家安全造成 一定程度的损害。 在主管部门的监督 下，按国家标准严格 落实各项保护措施进 行保护。 强制保 护级 适用于涉及国家安全、社会秩序、经济建设 和公共利益的重要电子政务系统。系统遭到 破坏后可能对政务机构履行其政务职能、机 构财产、人员造成严重的负面影响，可能对 国家安全造成较大损害。 在主管部门的强制监 督和检查下，按国家 标准严格落实各项措 施进行保护。 专控保 护级 适用于关系国家安全、社会秩序、经济建设 和公共利益的核心系统。系统遭到破坏后对 政务机构履行其政务职能、机构财产、人员 造成极其严重的负面影响，对国家安全造成 严重损害。 根据安全需求，由主 管部门和运营单位对 电子政务系统进行专 门控制和保护。 第二级 第三级 第四级 第五级 3.4 安全域划分 安全域划分是将电子政务系统划分为不同安全区域，分别进行安全保护的过程。 3.5 政务机构 政务机构亦称行政机构或政府机构，是行政管理活动的重要主体，是行政权力、政府职能的物质载 体。 3.6 信息资产 信息资产是由机构拥有或者控制的某事件或事物所具有的信息集，能够为机构带来未来经济利益的 信息资源。 3.7 风险评估 风险评估指在风险事件发生之前或之后（但还没有结束），该事件给人们的生活、生命、财产等各 个方面造成的影响和损失的可能性进行量化评估的工作。即，风险评估就是量化测评某一事件或事物带 来的影响或损失的可能程度。从信息安全的角度来讲，风险评估是对信息资产所面临的威胁、存在的弱 点、造成的影响，以及三者综合作用所带来风险的可能性的评估。 2 DB5305/T 19.4-2019 4 安全域划分方式 安全域划分可以采用以下两种方式实现： ——对政务机构整体进行安全域划分。在政务机构所管辖的范围内对其所拥有的所有电子政务系统 统一进行安全域划分，将整个政务机构的所有系统分为若干个安全区域。 ——在每个电子政务系统内进行安全域划分。在每个电子政务系统内部，划分为若干个安全区域。 5 安全域划分原则 5.1 系统功能和应用相似性原则 安全区域的划分要以服务电子政务应用为基本原则，根据政务应用的功能和应用内容划分不同的安 全区域。 5.2 资产价值相似性原则 同一安全区域内的信息资产应具有相近的资产价值，重要电子政务应用与一般的电子政务应用分成 不同区域。 5.3 安全要求相似性原则 在信息安全的三个基本属性方面，同一安全区域内的信息资产应具有相似的机密性要求、完整性要 求和可用性要求。 5.4 威胁相似性原则 同一安全区域内的信息资产应处在相似的风险环境中，面临相似的威胁。 6 保护对象及信息资产分 6.1 保护对象及信息资产分 保护对象是信息系统内具有相似安全保护需求的一组信息资产的组合，是从安全角度对信息系统的 描述。依据电子政务系统的功能特性、安全价值以及面临威胁的相似性，电子政务保护对象可分为计算 区域、区域边界、网络基础设施三类。电子政务保护对象及所包括信息资产如图 1 所示。 3 DB5305/T 19.4-2019 图 1 电子政务的保护对象及信息资产 电子政务保护对象 网络基础实施 计算区域 区域边界 网络资产 人员资产 物理环境资产 数据资产 应用软件资产 平台资产 主机资产 区域隔离功能 集合 6.2 保护对象分类 6.2.1 计算区域 计算区域是指由相同功能集合在一起，安全价值相近，且面临相似威胁的一组信息系统组成。计算 区域的信息资产包括：主机资产、平台资产、应用软件资产和政务数据资产等。涉及区域内的物理层、 网络层、系统层、应用软件层、数据层和业务流程层面。包含的安全属性包括所属信息资产的物理安全、 网络安全、边界安全、系统安全、应用系统安全、数据安全和业务流程安全等。计算区域可以从安全域 划分的结果得到。 6.2.2 区域边界 区域边界是指两个区域或两组区域之间的隔离功能集。边界是虚拟对象，不与具体资产对应，边界 是一组功能集合，包括边界访问控制，边界入侵检测和审计等。设计系统分域保护框架时区域边界可以 作为计算区域的一个属性进行处理。通过对各安全区域之间的连接状况分析，可以得到某个安全区域与 其它区域之间的边界。 6.2.3 网络基础设施 网络基础设施是指由相同功能集合在一起，安全价值相近，且面临相似威胁来源的一组网络系统组 成，包括由路由器、交换机和防火墙等构成的局域网或广域网，一般指区域边界之间的连接网络。某一 个安全区域或多个安全区域网络支撑平台构成了该区域的网络基础设施。 6.3 信息资产分类 电子政务保护对象所包括的各类信息资产描述包含但不限于： ——物理环境。物理环境指支撑电子政务系统的场所、所处的周边环境以及场所内保障计算机系统 正常运行的设备，包括机房、门禁、监控、电源、空调等。 ——人员资产。人员资产指与电子政务系统直接相关的人员，包括各级安全组织、安全人员、各级 管理人员、网管员、系统管理员、业务操作人员和第三方人员等。 4 DB5305/T 19.4-2019 ——网络资产。网络资产指电子政务系统网络传输环境的设备，软件和通信介质。网络资产包括路 由器、交换机、防火墙、网管、网络设备控制台等。 ——主机资产。主机资产指电子政务系统中承载业务系统和软件的计算机系统、外围系统（不含网 络设备）及其操作系统。这里的主机资产包括大型机、中型机、小型机、磁盘阵列、Unix 服 务器、Windows 服务器、工作站和终端等。 ——平台资产。平台资产主要指电子政务系统的软件平台系统，包括数据库、中间件、群件、邮件、 Web 服务器、集成开发环境和工具软件等。 ——应用软件资产。应用软件资产指为政务业务和管理应用而开发的各类应用软件及其提供的服 务。 ——数据资产。数据资产指电子政务系统所存储、传输、处理的数据对象，是电子政务系统的核心 资产。 7 系统分域保护框架 7.1 系统分域保护框架概述 系统分域保护框架是从安全角度出发，通过对各保护对象进行组合来对信息系统进行结构化处理的 方法。结构化是指通过特定的结构将问题拆分成子问题的迭代过程，其目标是更好地体现信息系统的安 全特性和安全要求。 7.2 结构化处理基本原则 7.2.1 结构化处理基本原则 进行结构化处理要按照充分覆盖、互不重叠、不需再细分等基本原则进行。 7.2.2 充分覆盖 所有子问题的总和应覆盖原问题。如果不能充分覆盖，那么解决问题的方法就可能出现遗漏，严重 影响方法的可行性。 7.2.3 互不重叠 同一级别的所有子问题都不允许出现重复，类似以下的情况不应出现在一个框架中： ——两个不同的子问题其实是同一个子问题的两种表述； ——某一个子问题其实是同一级别的另外两个子问题或多个子问题的合集。 7.2.4 不需再细分 所有子问题都应细分到不需再细分，或不可再细分的程度。 7.3 系统分域保护框架 当一个问题经过框架分析后，所有不可再细分的子问题组合构成了一个“框架” 。以安全域划分和 保护对象分类为基础，经过结构化的分解，可以将电子政务系统分解为不同类别的保护对象，形成系统 分域保护框架。图 2 描述了某个电子政务系统的系统分域保护框架的示例，包括了系统所划分出的计算 区域、区域边界、网络基础