1 ICS 03.080.99 CCS A 01 DB3305 浙 江 省 湖 州 市 地 方 标 准 DB3305/T 253—2022 物联中台安全管理规范 Internet of Things Platform Security Management Standard 2022 - 12 - 7发布 2022 - 12 - 9实施 湖州市市场监督管理局 发布 DB3305/T 253—2022 I 目次 前言 ................................ ................................ ................. II 1 范围 ................................ ................................ ................ 1 2 规范性引用文件 ................................ ................................ ...... 1 3 术语和定义 ................................ ................................ .......... 1 4 缩略语 ................................ ................................ .............. 1 5 终端安全 ................................ ................................ ............ 1 6 传输安全 ................................ ................................ ............ 2 7 平台安全 ................................ ................................ ............ 2 DB3305/T 253—2022 II 前言 本标准旨在指导湖州市物联中台物联感知体系规划、建设及改造，夯实全域感知的基础。 本标准编写原则：遵循国家感知终端有关法律法规，保证本文档内容能适用于物联中台建设需求， 规范终端接入、数据转发以及安全等相关活动。 本文件由 湖州市大数据发展管理局 提出并归口。 本文件起草单位： 湖州市大数据发展管理局、 湖州市数据服务中心 、 湖州市吴兴区大数据服务中心、 湖州市南浔区大数据服务中心、德清县大数据发展管理局、长兴县大数据发展管理局、安吉县大数据发 展管理局、 湖州南太湖产业集聚区管理委员会、 湖州经济技术开发区管理委员会、 湖州市标准化研究院、 中移物联网有限公司、中国移动通信集团浙江有限公司湖州分公司 。 本文件主要起草人： 蔡丰、笪猛霄、马红斌、陈玮萍、许彪、范俊 、梅勇、张加林、姚朔舟、冯凌、 张建勇、 杨志杰、茅恒达、陆一鸣、秦琪波、吕一品、潘健、沈一雄、钱建国、卢浩、朱阳、敬威、朱 云杰、郑京天、王硕。 DB3305/T 253—2022 1 物联中台安全管理规范 1 范围 本文件规定了物联中台 相关的终端安全、传输安全、平台安全等相关内容。 本文件适用于物联中台 相关网络信息安全建设，可作为 感知终端、物联中台、物联网应用等物联网 场景网络信息安全参考 。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中， 注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 22239 -2019 信息安全技术 网络安全等级保护基本要求 GB/T 36951 -2018 信息安全技术 物联网感知终端应用安全技术要求 3 术语和定义 下列术语和定义适用于本文件。 3.1 物联中台 Internet of Things Platform 物联中台是一个集成了设备管理、消息订阅等能力的一体化软件系统。它向下实现各类感知终端统 一接入和集中管理，向上面向第三方应用系统提供数据推送以及 API接口服务，实现物联数据统一标准 汇聚以及多方共享。 3.2 网络安全 cybersecur ity 通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于 稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。 [GB/T 22239 -2019，定义3.1] 4 缩略语 下列缩略语适用于本文件。 GRE：通用路由封装（ Generic Routing Encapsulation ） IP：网际互连协议（ Internet Protocol ） IPSec：互联网安全协议（ Internet Protocol Security ） L2TP：第二层隧道协议（ Layer Two Tunneling Protocol ） 5 终端安全 DB3305/T 253—2022 2 5.1 终端物理安全 物联网终端选址时，应 满足GB∕T 36951-2018确立的下列选址要求 ： ——在防盗窃防破坏、防水防潮、防极端温度等方面满足部署的要求； ——在信号防干扰、防屏蔽、防阻挡等方面满足部署环境的要求。 5.2 终端软件安全 物联网终端在软件安全方面，应 满足下列要求 ： ——仅安装经授权的软件； ——按照策略进行软件补丁更新和升级，且保证所更新的数据是来源合法的和完整的； ——安装满足业务安全功能需求的软件并正确配置及使用； ——确保维护单位对终端固件安全漏洞具备基础的检测和响 应能力； ——应兼容安全插件、安全 SDK等，应具备安全基线检查及配置能力。 5.3 终端接入安全 在接入物联中台时，终端应 满足下列要求 ： ——能向接入网络证明其网络身份，具备唯一且可靠的网络身份标识； ——在采用插卡方式进行网络身份鉴别时，应采取措施防止卡片被拔除或替换； ——应保证密钥存储和交换安全； ——对于可通过用户口令直接登录的终端，需确保用户口令的复杂度符合相关规定； ——能通过安全接入网关控制终端的安全接入，进行身份认证和访问控制，阻断终端安全攻击，按 照相关规范记录和上传安全日志。 5.4 网络访问控制 终端接入物联中台时，应具备如下能力： ——可禁用业务需求以外的通信端口； ——可设置网络访问控制策略，限制非必要主体对终端的网络访问。 6 传输安全 6.1 传输保密性 6.1.1 终端接入物联中台时，应确保传输数据的保密性。 6.1.2 应运用GRE、L2TP、IPSec等技术实现 APN接入，保证传输网络高可靠、高安全、可管理，实现 端到端的安全保障及身份认证。 6.2 传输安全审计 对于边缘计算平台与物联中台、物联中台与其他第三方平台之间进行的敏感数据交互时，应对数据 来源、数据去向、授权记录等进行存证。 7 平台安全 7.1 安全物理环境 7.1.1 部署平台的机房场地应选择在 具有防震、防风和防雨等能力的建筑内，机房场地应避免设在建 DB3305/T 253—2022 3 筑物的顶层或地下室，否则应加强防水和防潮措施。 7.1.2 部署平台的机房应具备物理访问控制能力、防盗窃和防破坏能力、防火防雷击能力、防水和防 潮能力、防静电能力、温湿度控制能力、电力供应保障能力、电磁防护能力。 7.2 安全通信网络 7.2.1 网络架构 7.2.1.1 应保证网络设备的业务处理能力满足业务高峰期需要。 7.2.1.2 应保证网络各个部分的带宽满足业务高峰期需要。 7.2.1.3 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址。 7.2.1.4 应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间 应采取可靠的技术 隔离手段。 7.2.1.5 应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。 7.3 安全计算环境 7.3.1 身份鉴别 7.3.1.1 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求 并定期更换。 7.3.1.2 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自 动退出等相关措施。 7.3.1.3 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。 7.3.1.4 应采用口令、密码技术等技术对用户进行身份鉴别 。 7.3.2 访问控制 7.3.2.1 应对登录的用户分配账户和权限。 7.3.2.2 应重命名或删除默认账户，修改默认 账户的默认口令。 7.3.2.3 应及时删除或停用多余的、过期的账户，避免共享账户的存在。 7.3.2.4 应授予管理用户所需的最小权限，实现管理用户的权限分离。 7.3.2.5 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。 7.3.2