ICS 35.240.01 YZ A 90 备案号：50662—2015 中华人民共和国邮政行业标准 YZ/T0152—2016 邮政业信息系统安全等级保护基本要求 Basic requirements of classified protection for postal industry information system 2016-11-02发布 2017-02-01实施 国家邮政局 发布 YZ/T0152—2016 目 次 前言 引言 III 1 范围 2规范性引用文件 3术语和定义 4邮政业信息系统安全保护能力 4.1安全保护能力 4.2 基本安全要求的四种类型 5第一级基本要求 5.1技术要求 5.2管理要求 6第二级基本要求 6.1技术要求 6.2管理要求 11 7第三级基本要求 技术要求 7.1 15 7.2 管理要求 8第四级基本要求， 29 8.1技术要求·. 29 8.2管理要求· 36 9第五级基本要求· 43 附录A（规范性附录） 基本要求的选择和使用· 44 参考文献 45 YZ/T0152—2016 前言 本标准按照CB/T1.1一2009给出的规则起草。 本标准由国家邮政局提出。 本标准出全国邮政业标准化技术委员会（SAC/TC462）归口。 本标准起草单位：顺丰速运有限公司、深圳职业技术学院。 本标准主要起草人：田民、刘新凯、谢朝海、黄鹏程、熊莹、潘盛合、彭波、刘玉霞、林苏毅、龙军。 YZ/T0152—2016 引言 依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组 关于加强信息安全保障工作的意见》（中办发[2003】27号）、《关于信息安全等级保护工作的实施意见》 本标准是邮政业信息系统安全等级保护相关系列标准之一。 本标准传承了GB/T22239一2008以安全保护能力为目标、分级保护的基本编制思路。结合邮政 全要求的基础上，增加了邮政业增强保护类P的安全要求，并参考行业内一些企事业单位的实践经验， 对部分控制项进行了细化。 YZ/T0152—2016 邮政业信息系统安全等级保护基本要求 1范围 要求。 本标准适用于邮政业信息系统的安全建设、安全检查和监督管理。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 信息技术词汇第8部分：安全（GB/T5271.8—2001,idtIS0/IEC2382 GB/T 5271.8 8:1998) 邮政业术语 GB/T10757—2011 GB17859—1999 计算机信息系统安全保护等级划分准则 GB/T22240—2008 信息安全技术信息系统安全等级保护定级指南 GB/T22239—2008 信息安全技术信息系统安全等级保护基本要求 GB/T28448—2012 信息安全技术信息系统安全等级保护测评要求 GB/T28449—2012 信息安全技术信息系统安全等级保护测评过程指南 GB/Z28828—2012 信息安全技术公共及商用服务信息系统个人信息保护指南 YZ/T0142—2015 邮政业信息系统安全等级保护定级指南 3术语和定义 CB/T5271.8、CB178591999和YZ/T01122015界定的以及下列术语和定义适用于本文件。 3.1 业务移动终端businessmobileterminal 邮政行业在提供寄递服务及实施行业管理等过程中使用的智能手机、平板电脑、手持终端等移动 设备。 4邮政业信息系统安全保护能力 4.1 安全保护能力 不同安全保护等级的信息系统应具备与其安全等级相适应的基本安全保护能力。邮政业信息系统 各级安全保护能力要求见表1。 YZ/T0152—2016 表1邮政业信息系统各级安全保护能力要求 求 级别代码 别 要 （1)能够防护系统免受来自个人的、拥有很少资源的威胁源发起的恶意攻 第一级安全保护能力 击、一般的自然灾难，以及其他相当危害程度的威胁所造成的关键资源损害； 1 (2）在系统遭到损害后，能够恢复部分功能 （1)能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起 的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的重要 2 第二级安全保护能力 资源损害； （2）了解系统的安全状态，能够发现重要的安全漏洞和安全事件； （3)在系统遭到损害后，能够在一段时间内恢复部分功能 (1)能够在统一安全策略下，防护系统免受来自外部有组织的团体、拥有较 为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难，以及其他相当 3 第三级安全保护能力 危害程度的威胁所造成的主要资源损害； (2）能够发现安全漏洞和安全事件，评估系统的安全状态； (3）在系统遭到损害后，能够较快恢复绝大部分功能 (1)能够在统一安全策略下，防护系统免受来自国家级别的、敌对组织的、 拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难，以及其他相当危 4 第四级安全保护能力 害程度的威胁所造成的资源损害； (2）能够发现安全漏洞和安全事件，实时动态评估系统的安全状态； （3）在系统遭到损害后，能够迅速恢复所有功能 第五级安全保护能力 5 略 4.2基本安全要求的四种类型 基本安全要求分为技术要求和管理要求两大类。技术类安全要求主要通过在信息系统中部署软硬 件并正确配置其安全功能来实现：管理类安全要求主要通过控制各种角色的活动，并对制度、流程、记录 等方面作出规定来实现。 技术要求和管理要求根据保护内容的不同分为四种类型，具体类型见表2。其中，字母表示安全要 求的类型数字表示适用的安全保护等级。各类安全要求的选择和使用见附录A， 表2基本安全要求的四种类型 类型代码 安全要求的类型名称 用途 s 信息安全类 主要用于保障业务信息安全 A 服务保证类 主要用于保障保证系统服务安全 G 通用安全保护类 适用于保障业务信息安全与系统服务安全 P 邮政业增强保护类 邮政业特有的要求，适用于保障业务信息安全与系统服务安全 YZ/T0152—2016 5第一级基本要求 5.1技术要求 5.1.1物理安全 5.1.1.1物理访问控制（G1) 机房出入应安排专人负责，控制、鉴别和记录进入机房的人员。 5.1.1.2 防盗窃和防破坏（G1) a) 应将主要设备放置在机房内； b）应将设备或主要部件进行固定，并设置明显的不易除去的标记 5.1.1.3防雷击(G1) 机房建筑应设置避雷装置。 5.1.1.4防火(G1) 机房应配置灭火设备。 5.1.1.5防水和防潮（G1） a）应对穿过机房墙壁和楼板的水管增加保护措施； b）应防止雨水通过机房窗户、屋顶和墙壁渗透。 5.1.1.6温湿度控制（G1） 机房的温、湿度应控制在设备运行所要求的范围之内。 5.1.1.7电力供应（A1） 应在机房供电线路上配置稳压器和过电压防护设备。 5.1.2 网络安全 5.1.2.1 结构安全（G1) a) 关键网络设备的业务处理能力应满足基本业务需要； b) 接入网络和核心网络的带宽应满足基本业务需要； c) 应绘制与当前运行情况相符的网络拓扑结构图。 2访问控制(G1） 5.1.2.2 a) 应在网络边界设置访问控制设备，启用访问控制功能； b) 应根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许或拒绝 相关数据包出入； 应通过访问控制列表允许或拒绝用户访问系统资源，控制粒度至少为用户组。 5.1.2.3 3网络设备防护（G1） a) 应对登录网络设备的用户进行身份鉴别； b) 应具有登录失败处理功能，可采取结束会话、限制非法登录次数和网络登录连接超时自动退出 等措施； c） 对网络设备进行远程管理时，应采取措施防止用户鉴别信息在网络传输过程中被窃听。 5.1.33 主机安全 5.1.3.1身份鉴别(S1) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别