TCI 505-2024 智慧科研机构安全体系建设导则

TICS 01.020TCCS A00团 体 标 准T/CI505—2024智慧科研机构安全体系建设导则Guidelines fortheconstructionofsecuritysysteminsmartresearchinstitutions2024-09-18发布 2024-09-18中国国科技促会 发布11PAGE2目次前 言 Ⅱ1范围 121314225.1安全标 25.2建设则 26智慧研构全系述 3智慧研构全护对象 3智慧研构全系架 3智慧研构全色 3智慧研构全素 47智慧研构全理 5安全理系 5信息全理度 5应急应制 5人员全识训演练 67.5评价进 68智慧研构全术 68.1技术素 68.2安全能 79智慧研构全设运营 89.1工程施 89.2过程理 89.3监测警应处置 89.4灾备复 9附录A（料）慧研机安风分析 10附录B（料）慧研机安风要素 133附录C（料）慧研机安风功能 15前 言GB/T1智慧科研机构安全体系建设导则范围本文件适用于从事自主创新技术研究的智慧型科研机构的安全体系建设。包括GB/T25069-2022信息安全技术术语GB/T25069-2022界定的以及下列术语和定义适用于本文件。3.1智慧科研机构smartresearchinstitutions3.2智慧科研机构安全securityofsmartresearchinstitutions3.3智慧科研机构安全体系建设constructionofsafetysystemofsmartresearchinstitutions3.4智慧科研机构安全管理者securitymanagerofsmartresearchinstitutions智慧科研机构信息安全组织建设、机制建设，以及协调监督的实体。3.5智慧科研机构安全建设者securitybuilderofsmartresearchinstitution实施智慧科研机构信息安全工程，部署智慧科研机构安全技术防护措施的实体。1PAGEPAGE23.6securityoperationandmaintenancepersonnelofsmartresearchinstitutions负责智慧科研机构安全事件的监测、预警、响应、应急处置和恢复的实体。下列缩略语适用于本文件。ICT：信息通信技术（InformationandCommunicationsTechnology）智慧科研机构安全体系建设应遵循以下原则：共享，促进科研合导和知识传播。（责任）智慧科研机构安全保护对象分为硬件设备、软件设备、信息系统、数据资产与应用服务。信息系统指硬件设备之外的ICT1图1.智慧科研机构安全体系框架智慧科研机构安全管理者的职责包括但不限于：智慧科研机构安全建设者的职责包括但不限于：智慧科研机构安全运维者的职责包括但不限于：5/安全管理体系建设要求的主要内容：信息安全管理制度建设包括但不限于以下内容：信息安全风险评估制度；（/应急响应机制包括但不限于以下内容：人员安全意识培训要求的主要内容：智慧科研机构安全评价改进应包括但不限于以下要素。物理层物理层的安全技术包括但不限于以下内容：网络层网络层的安全技术包括但不限于以下内容：计算与存储层的安全技术包括但不限于以下内容：数据及融合服务层的安全技术包括但不限于以下内容：应用层应用层的安全技术包括但不限于以下内容：防护安全防护包括但不限于以下内容：检测安全检测包括但不限于以下内容：/响应安全防护包括但不限于以下内容：恢复安全防护包括但不限于以下内容：实现系统还原，保证智慧科研机构关键业务、专用科研软件/平台以及各项应用和对于智慧科研机构技术参考模型中各层与安全功能的对应关系参见附录C。智慧科研机构安全工程实施应包括但不限于以下安全要素：智慧科研机构安全监测预警包括但不限于以下要素：智慧科研机构应急处置包括但不限于以下要素：智慧科研机构安全灾备恢复应包括但不限于以下要素：1010附录A（资料性）智慧科研机构安全风险分析智慧科研机构安全管理风险包括但不限于以下内容。在智慧科研机构建设过程中，缺乏智慧科研机构顶层设计、总体规划与策略规程。11PAGE3听、劫持、篡改；数据库管理系统软件需求规范或设计中的无意逻辑错误可能产生设计弱点攻击者可在用系统与服务平台以及基础数据库之间的接口进行数据窃取或智慧科研机构建设与运营风险包括但不限于：附录B（资料性）智慧科研机构安全技术要素物理层的安全技术要素包括但不限于：网络层的安全技术要求包括但不限于：计算机与存储层层的安全技术要求包括但不限于：者平台管理员非授权不能访问租户存储空间；4）存储平台支持恶意代码检查和处置的能力；数据及融合服务层的安全技术要求包括但不限于：应用层的安全技术要求包括但不限于：附录C（资料性）智慧科研机构安全技术功能智慧科研机构安全功能矩阵描述了智慧科研机构技术参考各层与安全功能的对应关系，如图C.1所示：架构/功能防护检测响应恢复物理层身份鉴别境安全接入安全入侵防范……阻断与隔离升级与补丁追踪与溯源……冗余设计软件容错数据与系统备份……访问控制数据可用性数据完整性数据保密性介质安全……网络层网络环境安全网络架构 应用管理通信传输 资源管控边界防护 网络设备防护访问控制 移动终端管控……安全运行检查入侵防范恶意代码安全审计软件审核、检测……阻断与隔离升级与补丁追踪与溯源……网络冗余设计软件容错配置规则容灾备份数据容灾备份……计算与存储层计算与存储环境安全身份鉴别 接入安全介质安全……入侵防范……阻断与隔离升级与补丁追踪与溯源……数据容灾备份软件容错系统容灾备份……数据服务融合层数据安全身份鉴别 数据加密访问控制 数据脱敏剩余信息保护 数据隔离个人信息保护 数字证书……安全审计软件容错资源控制……阻断与隔离升级与补丁追踪与溯源……软件容错……应用层数据备份权限控