ICS 35.080 CCS L 73 山 14 西 省 地 方 标 准 DB 14/T 2546—2022 政府网站集约化平台 安全基本要求 2022 - 09 - 30 发布 2022 - 12 - 30 实施 山西省市场监督管理局  发 布 DB 14/T 2546—2022 目 次 前言 .................................................................................. II 1 范围 ................................................................................ 3 2 规范性引用文件 ...................................................................... 3 3 术语和定义 .......................................................................... 3 4 安全物理环境 ........................................................................ 3 5 网络安全 ............................................................................ 4 6 安全防护 ............................................................................ 4 7 数据备份与恢复 ...................................................................... 6 I DB 14/T 2546—2022 前 言 本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件由山西省政务信息管理局提出、组织实施和监督检查。 本文件由山西省市场监督管理局对标准的组织实施情况进行监督检查。 本文件由山西省电子政务信息标准化技术委员会归口。 本文件主要起草单位：山西省人民政府办公厅政务信息中心、山西省信息产业技术研究院有限公司。 本文件主要起草人：杨勇斌、张青云、申利华、上官学奎、刘宁、郭自强、马瑾男、张颖、徐卉、 温静、刘东航、王忠民、王渊、邢玮琦。 II DB 14/T 2546—2022 政府网站集约化平台 安全基本要求 1 范围 本文件规定了政府网站集约化平台的安全物理环境、网络安全、安全防护、数据备份与恢复相关安 全基本要求。 本文件适用于省、市、县（区）政府网站集约化平台的建设。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 2887计算机场地通用规范 GB/T 9361计算机场地安全要求 GB/T 22240-2020信息安全技术信息系统安全保护等级定级指南 GB/T 25070-2019信息安全技术信息系统等级保护安全设计技术要求 GB/T 28454-2020信息技术 安全技术 入侵检测和防御系统（IDPS）的选择、部署和操作 3 术语和定义 下列术语和定义适用于本文件。 3.1 政府网站 各级政府及其部门、派出机构和承担行政职能的事业单位在互联网上开办的，具有信息发布、解读 回应、办事服务、互动交流等功能的网站。 3.2 政府网站集约化平台 通过统一标准体系、统一技术平台、统一安全防护、统一运维监管、集中管理信息数据、集中提供 内容服务，将一定范围内的政府网站集中到一起，形成资源优化融合、平台整合安全、数据互认共享、 管理统筹规范的政府网站一体化平台。 3.3 政府网站统一信息资源库 指通过一定规则对政府网站信息资源进行统一入库存储、维护管理、监管分析，并对外提供信息汇 聚、数据转换、交换共享等服务的资源管理平台。 4 安全物理环境 安全物理环境包括但不限于： a) 机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录出入人员； 3 DB 14/T 2546—2022 b) c) d) e) f) g) 5 应将设备或主要部件进行固定，并设置明显的不易除去的标识； 应将各类机柜、设施和设备等通过接地系统安全接地； 机房应设置灭火设备； 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； 应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内； 应在机房供电线路上配置稳压器和过电压防护设备。 网络安全 5.1 网络结构 网络结构包括但不限于： a) 政府网站集约化平台如采用主机托管或主机租用方式建设运行，应选择由当地政府集中建设 的信创数据中心； b) 政府网站集约化平台使用的信创云计算服务，应按照 GB/T 31167 要求提供计算资源、存储资 源、网络资源，实现与其他政务租户、非政务租户资源的安全隔离； c) 政府网站集约化平台的网站服务程序、后台管理程序、数据库系统应分网络区域分开部署。 5.2 网络性能 网络性能包括但不限于： a) 政府网站集约化平台对外提供服务的互联网独享带宽应不低于 100Mbps/200Mbps。共享带宽条 件下，网站互联网出口 HTTP/HTTPS 协议带宽应不低于 100Mbps/200Mbps； b) 政府网站集约化平台应采用负载均衡、分布式部署等方式实现多条互联网接入链路之间、多 应用服务器之间、多数据库服务器之间等的负载均衡。 6 安全防护 6.1 入侵安全防范 入侵安全防范包括但不限于： a) 应遵循最小安装的原则，仅安装需要的组件和应用程序； b) 应关闭不需要的系统服务、默认共享和高危端口； c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制； d) 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设 定要求； e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞； f) 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。 6.2 数据库安全 数据库安全包括但不限于： a) 应选择国产安全数据库，并对数据库系统进行安全加固； b) 数据库系统应遵循最小安装原则，仅安装应用必需的服务、组件等； 4 DB 14/T 2546—2022 c) d) e) f) 6.3 应及时修改数据库系统的默认密码或将默认账号锁定、删除，按照相应的基线配置要求对数 据库系统进行配置。口令应由大小写字母、数字及特殊字符组成。普通用户的口令长度不宜 短于 10 个字符，系统管理员用户的口令长度不宜短于 12 个字符，且每一个月至少修改一次； 应按照最小权限原则设计数据库角色和权限，并将相应账号分配给对应的用户，避免账号共 用和权限滥用； 应支持用户设定仅允许服务器从 VPC 内部访问数据库服务； 应提供白名单设置功能，用户可以设置 IP 白名单，仅允许指定源 IP 访问用户的数据库实例 服务。 安全审计 安全审计包括但不限于： a) 在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要 安全事件进行审计； b) 针对网站前台用户的注册、登录、关键业务操作等行为日志进行记录，内容包括但不限于用 户姓名、手机号码、注册时间、注册地址、登录时间、登录地址、操作用户信息、操作时间、 操作内容及操作结果等； c) 针对网站后台内容管理用户的登录、网站内容编辑、审核及发布等行为进行日志记录，内容 包括但不限于用户登录时间、登录地址以及编辑、审核及发布等行为发生时的用户信息、时 间、地址、内容和结果等； d) 针对网站及网站系统管理用户的登录、账号及权限管理等系统管理操作进行日志记录，内容 包括但不限于网站用户登录时间、登录地址以及管理操作对象、操作内容、操作结果等； e) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信 息； f) 对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； g) 能对远程访问的用户行为等单独进行行为审计和数据分析。 6.4 身份鉴别 身份鉴别包括但不限于： a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求 并定期更换； b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自 动退出等相关措施； c) 应采用口令、密码技术、生物特征识别技术等两种或两种以上组合的鉴别技术对用户进行身 份鉴别，且其中一种鉴别技术应使用密码技术来实现。 6.5 网页防篡改 网页防篡改包括但不限于： a) 应提供必要的防篡改服务，保证网站页面安全； b) 应能够对网页文件被访问时进行完整性检查包括但不限于静态网页文件（HTML/CSS 文件）、 图像文件（GIF/JPG/PNG/BMP 文件）、动态脚本文件（ASP/JSP/PL/PHP 文件）、多媒体文件 （WAV/MP3/ FLS/MPEG 文件）、二进制可执行实体（CGI/DLL/EXE 文件）、其他所有可以在 URL 中访问/下载的文件； 5 DB 14/T 2546—2022 c) d) e) 6.6 应能够对网站所有待写入文件、待发布文件进行检测、扫描以及审查，包括但不限于文件类 型、网页外链、动态脚本、文字等； 对被篡改页面应及时进行隔离，禁止访问并发出警告； 应提供必要的风险预警与应急响应，并对篡改事件进行详细记录。 其他安全防护要求 其他安全防护要求包括但不限于： a) 定期进行安全演练； b) 应修改或删除默认账户，修改默认账户的默认口令 c) 应及时删除离职人员账户； d) 应对重要功能开展源代码备份工作。 7 数据备份与恢复 数据备份与恢复包括但不限于： a) 应提供重要数据的本地数据备份与恢复功能； b) 应提供异地备份功能，利用通信网络将重要数据备份至备份场地； c) 应提供重要数据处理系统的热冗余，保证系统的高可用性； d) 政府网站及统一信息资源库的应用程序、系统数据（用户信息、发布信息等）、配置数据（网 站应用、操作系统、数据库及网络、安全设备的配置信息等）及审计日志等宜定期进行备份， 应每周进行一次完全备份、每 3 个