DB32T-政务“一朵云”安全管理体系规范 第1部分：安全运行监测编制说明

《政务“一朵云”安全管理体系规范第1部分：安全运行监测》（征求意见稿）编制说明一、目的意义党的二十大报告中提出“必须坚定不移贯彻总体国家安全观”，中共中央、国务院印发的《数字中国建设整体布局规划》将“筑牢可信可控的数字安全屏障”列为强化数字中国的关键能力之一，提出切实维护网络安全，完善网络安全法律法规和政策体系。网络安全法第五章监测预警与应急处置中明确提出负责关键信息基础设施安全保护工作的部门应当建立健全本行业、本领域的网络安全监测预警和信息通报制度，并按照规定报送网络安全监测预警信息。政务云是我省承载政务应用、政务数据等的基础算力底座，随着政务信息化不断发展，信息系统集约上云部署，数据加快汇聚归集，随之而来的对于政务云等基础设施运行管理与安全防护难度加大，易遭受攻击面广，受安全攻击影响大。全省政务“一朵云”建设方案对政务云安全体系建设提出更高要求，政务云面对的网络安全形势和态势愈加严峻、紧迫，亟需建立健全科学高效的主动监测预警体系，规范运行和管理，进一步加强和完善全省安全运行一体协同联动工作机制。当前，在政务云领域与安全运行监测方面相关的标准规范仍是空白，因此，加快制定全省政务云安全运行监测标准，一方面是顺应国家对数字政府高质量建设的要求，另一方面也是对国家标准化建设的有力落实。二、任务来源本标准文件由江苏省大数据管理中心申报。2023年8月，江苏省市场监督管理局发布《省市场监管局关于下达2023年度江苏省地方标准项目计划的通知》，批准《电子政务外网安全管理体系规范》立项，标准项目承担单位为江苏省大数据管理中心。标准编制启动后，根据新一轮机构改革调整设置情况，听取政府数字化转型各方专家和设区市意见建议，进一步明确标准制定目标和适用范围，增强标准的针对性和实操性。为使标准内容更加准确符合指导全省政务云安全运行的实际定位，将标准名称修改为《政务“一朵云”安全管理体系规范》。本次立项的《政务“一朵云”安全管理体系规范》共有3个部分，本标准文件是第1部分“安全运行监测”，标准的编制周期为1年。三、编制过程本标准主要编制工作过程如下：成立标准编制小组2023年3月，省大数据管理中心成立标准编写小组，基于前期预研，结合江苏实际情况和政务云场景，撰写标准立项申请书、项目建议书，提交省市监局；2023年9月，项目任务下达后，沟通明确标准研制背景、研制周期、任务分工等内容。确定标准章节框架2023年10月，标准编制小组搭建了章节框架，包括总体要求、基本原则、基本要求、资产监测、风险监测、可用性监测、安全事件监测、重保与应急、安全协同、安全检查、供应链安全、运行效果评价、安全审计、安全管理等，并根据需求变化及时调整、更新。研究分析相关资料2023年11月­12月，标准编制小组通过汇总分析百余份国家、行业、江苏省级法律法规、政策文件、标准规范等，提炼政务云基础设施安全运行监测工作重点，编制运行监测规范要求，形成标准初稿。进行多轮增减调整2024年1月-4月，标准编制小组对标准内容进行逐条审阅，结合江苏省政务云建设实际情况及与省大数据管理中心内、外部专家多轮沟通讨论意见，开展23轮增减调整，优化运行监测具体细节，更贴合江苏省政务云实际需求。开展充分沟通研讨2024年5月-6月，标准研制小组共组织召开8次专门研讨会议，以及标准研制小组内部的数十次线上线下讨论会议，广泛吸纳相关意见。标准编制小组按照收到的意见，补充查找相关资料，进一步修订运行监测规范描述，规范标准格式，并开展多次讨论会议等，持续修订完善标准。吸纳的内部专家意见包括：增加政务云出入口可用性监测要求，增加设备设施故障事件监测要求，优化横向协同、纵向协同相关要求，增补网信办1小时上报制要求，强调主动防御能力等方面。四、主要内容和技术指标确立本文件深入总结、分析国家、行业以及江苏省发布的政策中有关政务云基础设施安全运行监测的要求，规定了政务云基础设施安全运行监测工作的总体要求、基本原则、基本要求、资产监测、风险监测、可用性监测、安全事件监测等内容，为政务云管理机构开展政务云基础设施安全运行管理工作提供指导。本文件以运行监测为切面，梳理省政务云涉及的两类对象，7类资产，结合国家法律法规、政务行业网络安全政策及网信办等监管单位要求，明确11项运行监测工作，统筹体系化、主动防御、平战融合理念，推动政务云基础设施安全保障落实。五、与法律法规和相关标准的关系本文件遵循《网络安全法》、《数据安全法》、《个人信息保护法》、《密码法》、《网络安全等级保护条例》、《关键信息基础设施安全保护条例》、《商用密码管理条例》等国家相关法律法规要求，参照《省政府办公厅关于印发江苏省政务“一朵云”建设总体方案的通知》等国家、行业、地方数字政府相关政策，引用《信息安全技术云计算服务安全能力要求》（GB/T31168-2023）、《信息安全技术关键信息基础设施安全保护要求》（GB/T39204-2022）、《国家电子政务外网安全监测体系技术规范与实施指南》（GW0203-2014）等国家、行业标准、地方标准内容，整理归纳出政务云基础设施安全运行监测规范要求。六、作为推荐性或强制性标准的建议建议作为推荐性标准发布实施。七、预期效果及贯彻实施标准的要求、措施等建议《政务“一朵云”安全管理体系规范第1部分安全运行监测》的编制与实施有助于加强政务云等基础设施安全管理，持续提升安全运行监测能力和水平，提高安全风险预判、应对、处置能力，保障政务云基础设施及云上承载信息系统安全稳定运行，支撑数字政府建设高质量发展。《政务“一朵云”安全管理体系规范第1部分安全运行监测》标准的使用对象为江苏省内政务云管理机构、使用部门和相关云服务商。标准发布以后将对标准使用单位进行培训、宣贯，对标准进行全面解读、推广；各标准使