DB43-T 2313-2022 政务信息化项目网络安全审查规范

ICS13.200CCSA90DB43DB43/T2313—2022政务信息化项目网络安全审查规范CybersecurityreviewspecificationofgovernmentaffairsinformationizeprojectsI Ⅲ 1 1 1 2 2 2 2 2 3 3 4 4 4 4 4 4 5 5 6 7 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中共湖南省委网络安全和信息化委员会办公室提出1政务信息化项目网络安全审查规范DA/T28—2018建设项目档案管理政务信息系统Governmentinformati政务信息化项目Governmentaffairsinformationiz项目设计方案Projectde在信息化项目建设过程中编制的可行性研究报告、初步设计2关键信息基础设施Criticalinformation重要信息系统Importantinformat设施、信息系统等。重要信息系统包含关键信测评服务、商用密码安全性评估服务、安全软件、安全设备及其他硬件等相关费对项目实施进行组织管理，并在项目建设过程中负总责的组3 5.1.1建设单位应对项目安全需求进行分析，并根据安全需求组织编制项目安全设计方案。安全设计方案应包含网络安全体系总体设计方案、密码应用方案、数据安全保5.1.4数据安全保护方案宜包括但不限4建设单位按照网络安全审查工作相关流程（详见附录A流程图）和相关要求，提交项目设计方案6.2.2完备性审查完成后由审查部门出具完备性审查意见并反6.2.3建设单位参照完备性审查意见补充6.3.1专业审查之前，审查部门根据实际情况选择线上6.3.2审查部门组织审查专家、建设单位代表召开线上或线下6.3.3审查可以是网络安全专项审查，也可以与立6.3.4专项审查时，建设单位介绍项目安全设计方案并就专家疑问进行答疑。审查专家依据本文件对7.1.1.2应依据GB/T22240—20207.1.1.4应准确判定系统采用的云计算、大7.1.1.5应准确判定系统中是否承载重要数据、个人信息，是否涉及数据跨组织流动、数据出境情况7.1.2.1应依据项目类型和系统的安全7.1.2.2应规划建设完善的安全管理体系，包括但不限于安全管理制度、安全管理机构、安全管理人7.1.3.2密码产品与服务的采购和使用应符7.1.4.1应依据系统建设规模、系统安全需求、系统数量合理制定安全建设费用预算、软件安全性测5 7.1.4.2重要信息系统宜制定系统上线7.1.4.6依据系统建设规模宜合理制定风险评估、上线安全检测、安全加固、网络安全培训、应急演7.1.4.7网络安全投入应按照国家相关法规标准执行，网络安全投入占信息化投入比例不宜低于7.2.5重要信息系统安全保护措施应符合国——审查结果为“通过”时，项目可按项目建设方案进行建6流程图完备性审查7）：8分为四个子表，分别对应表B.2、B.3、B.4、B.5，申请人应根据系统部署类型选）：2.此系统用户类型有___________，此系统用户数量有_4.本单位是否已明确的信息系统安全等级：□未确定5.安全等级确定方法：□本单位内部自行判断□主管单位定级指导意见□专网访问□其他______________□系统边界，对接系统有____________________□购买成熟产品1.数据内容：系统存储有哪些重要数据____________________________）：共享单位及主要共享数据类型：____________9）：□网闸(□采购□利旧）□防火墙(□采购□利旧）□WAF(□采购□利旧）□防毒墙/防病毒网关(□采购□利旧）□抗DDoS设备(□采购□利旧）□准入控制系统(□采购□利旧）□防非法外联系统(□采购□利旧）□防病毒软件企业版(□采购□利旧）□桌面终端安全软件(□采购□利旧）□服务器加固软件(□采购□利旧）□其它_________(□采购□利旧）□数据库审计(□采购□利旧）□网页防篡改(□采购□利旧）□数据脱敏系统(□采购□利旧）□DLP数据防泄漏系统(□采购□利旧）□安全审计系统(□采购□利旧）□安全监控系统(□采购□利旧）□堡垒机(□采购□利旧）□漏洞扫描(□采购□利旧）□安全管理平台(□采购□利旧）□上网行为管理(□采购□利旧）□入侵检测系统IDS(□采购□利旧）□蜜罐(□采购□利旧）□其它___________(□采取的安全措施2.项目总预算：_______万元，网络安全预算：_______万元，网络安全预算所占比例：____区域之间是否采用隔离措施:□是，实现方式为______________□否□新建，实现方式为_____________□否），□是，加密算法是_________）：□新建，实现方式为_____________）：□否□新建，实现方式为_____________如有外联，外联单位有_______，是否所有外联边界均有防火墙：□新建□利旧□否□新建，实现方式为_____________□利旧，实现方式为_____________□源端口、目的端口和协议等进行检查□对进出网络的数据流实现基于应用协议和应用内容的访问控制）：□新建，实现方式为_____________□新建，实现方式为_____________入侵检测设备是否能在发生严重事件时提供报警：□是□否是否有检测、防止或限制从内部发起的网络攻击行□新建，实现方式为_____________入侵检测设备是否能在发生严重事件时提供报警：□是□否□新建，实现方式为_____________入侵检测设备是否能在发生严重事件时提供报警：□是□否□新建，实现方式为_____________□否□新建，实现方式为_____________服务器使用的操作系统为________□新建，实现方式为_____________□利旧，实现方式为_____________）：□有相关安全基线加固方案，实现方式为_____________□其他_________□否□是□否双因子鉴别功能：□有，实现方式为______□无数据加密存储功能：□有，实现方式为______□无数据加密传输功能：□有，实现方式为______□无□利旧原有堡垒机□利旧原有安全管理平台□其他_________□否□新建监控系统□新建安全管理平台中有集中监控功能□其他_________□其他_________□使用已有日志审计系统□使用已有安全管理平台中的日志集中收集分析功能□其他_________是否建设安全管理中心：□是，实现方式为__________□否是否划分安全管理区域：□是，实现方式为______□新建，实现方式为_____________□利旧，实现方式为_____________1.是否有数据采集的安全手段：□是，实现方式为_____________2.是否有数据传输的安全手段：□是，实现方式为_____________□否3.是否有数据存储的安全手段：□是，实现方式为_____________□否4.是否有数据处理的安全手段：□是，实现方式为_____________□否5.是否有数据交换的安全手段：□是，实现方式为_____________□否6.是否有数据销毁的安全手段：□是，实现方式为_____________□否□新建，使用密码技术为________□利旧，使用密码技术为________□是□否）：2.此系统用户类型有___________，此系统用户数量有_4.本单位是否已明确信息系统安全等级：□未确定□5.安全等级确定方法：□本单位内部自行判断□主管单位定级指导意见□专网访问□其他______________□外联边界，外联单位有____________________□系统边界，对接系统有____________________□上级统一下发□购买成熟产品1.数据内容：系统存储有哪些重要数据____________________________）：共享单位及主要共享数据类型：____________）：□网闸(□采购□利旧□托管方提供）□防火墙(□采购□利旧□托管方提供）□防病毒软件企业版(□采购□利旧□托管方提供）□桌面终端安全软件(□采购□利旧□托□数据库审计(□采购□利旧□托管方提供）□网页防篡改(□采购□利旧□托管方提供）□数据脱敏系统(□采购□利旧□托管方提供）□DLP数据防泄漏系统(□采购□利旧□托管□堡垒机(□采购□利旧□托管方提供）□漏洞扫描(□采购□利旧□托管方提供）□采取的安全措施2.项目总预算：_______万元，网络安全预算：_______万元，网络安全预算所占比例：____托管的机房的物理位置是否位于中国境内：□是□否机房（含整体网络）的安全保护等级是：□第二级□第三级□第四级□尚未定级□是，实现方式为______________□否□是□否），）：）： □新建，实现方式为_____________□利旧，实现方式为_____________□源端口、目的端口和协议等进行检查□根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力□对进出网络的数据流实现基于应用协议和应用内容的访问控制）：□新建，实现方式为_____________□新建，实现方式为_____________□新建，实现方式为_____________□托管方提供，实现方式为_____________□否入侵检测设备是否能在发生严重事件时提供报警：□是□否）：入侵检测设备是否能在发生严重事件时提供报警：□是□否入侵检测设备是否能在发生严重事件时提供报警：□是□否□新建，实现方式为_____________□托管方提供，实现方式为_____________□否服务器使用的操作系统为________□新建，实现方式为_____________）：□新建，实现方式为_____________□有相关安全基线加固方案，实现方式为_____________□自行进行安全基线加固□其他_________□否双因子鉴别功能：□有，实现方式为__________□无数据加密存储功能：□有，实现方式为______□无数据加密传输功能：□有，实现方式为______□无□新购置堡垒机□新购置安全管理平台有设备集中管理功能□其他_________□利旧原有堡垒机□利旧原有安全管理平台□其他_________□使用托管方堡垒机□使用托管方安全管理平台已有的集中管理功能□否□新建监控系统□新建安全管理平台中有集中监控功能□其他_________□利旧原有监控系统□利旧安全管理平台中有集中监控功能□其他_________□使用托管方监控系统□使用托管方安全管理平台已有是否建设安全管理中心：□是，实现方式为__________□否是否划分安全管理区域：□是，实现方式为______1.是否有数据采集的安全手段：□是，实现方式为_____________2.是否有数据传输的安全手段：□是，实现方式为_____________□否3.是否有数据存储的安全手段：□是，实现方式为_____________□否4.是否有数据处理的安全手段：□是，实现方式为_____________□否5.是否有数据交换的安全手段：□是，实现方式为_____________□否6.是否有数据销毁的安全手段：□是，实现方式为_____________□否□新建，使用密码技术为__________□利旧，使用密码技术为__________□托管方提供，使用密码技术为______□是□否）：2.此系统用户类型有___________，此系统用户数量有_4.本单位是否已明确信息系统安全等级：□未确定□5.安全等级确定方法：□本单位内部自行判断□主管单位定级指导意见□专网访问□其他______________□系统边界，对接系统有____________________□购买成熟产品1.数据内容：系统存储有哪些重要数据____________________________）：共享单位及主要共享数据类型：____________）：□防火墙(□采购□利旧□政务云提供）□入侵检测/防御(□采购□利旧□政务云提供）□数据库审计(□采购□利旧□政务云提供）□网页防篡改(□采购□利旧□政务云提供）□数据脱敏系统(□采购□利旧□政务云提供）□DLP数据防泄漏系统(□采购□利旧□政务□采取的安全措施2.项目总预算：_______万元，网络安全预算：_______万元，网络安全预算所占比例：____□是□否），）：□新建，实现方式为_____________□否）：□新建，实现方式为_____________□是，实现方式为_____________是否能在发生严重事件时提供报警：□是□否□是，实现方式为_____________是否能在发生严重事件时提供报警：□是□否□是，实现方式为_____________服务器使用的操作系统为________）：□新建，实现方式为_____________□有相关安全基线加固方案，实现方式为_____________□其他_________□否双因子鉴别功能：□有，实现方式为______□无数据加密存储功能：□有，实现方式为______□无数据加密传输功能：□有，实现方式为______□无□新建监控系统□新建安全管理平台中有集中监控功能□其他_________□利旧原有监控系统□利旧安全管理平台中有集中监控功能□其他_________□否是否建设安全管理中心：□是，实现方式为__________□否是否划分安全管理区域：□是，实现方式为______□利旧，实现方式为_____________1.是否有数据采集的安全手段：□是，实现方式为_____________2.是否有数据传输的安全手段：□是，实现方式为_____________□否3.是否有数据存储的安全手段：□是，实现方式为_____________□否4.是否有数据处理的安全手段：□是，实现方式为_____________□否5.是否有数据交换的安全手段：□是，实现方式为_____________□否6.是否有数据销毁的安全手段：□是，实现方式为_____________□否□新建，使用密码技术为__________□利旧，使用密码技术为__________□政务云提供，使用密码技术为______ ）：2.此系统用户类型有___________，此系统用户数量有_4.本单位是否已明确信息系统安全等级：□未确定□5.安全等级确定方法：□本单位内部自行判断□主管单位定级指导意见□专网访问□其他______________□购买成熟产品1.数据内容：系统存储有哪些重要数据_______________________________）：共享单位及主要共享数据类型：____________）：□网闸(□采购□利旧）□防火墙(□采购□利旧）□WAF(□采购□利旧）□防毒墙/防病毒网关(□采购□利旧）□抗DDoS设备(□采购□利旧）□准入控制系统(□采购□利旧）□防非法外联系统(□采购□利旧）□防病毒软件企业版(□采购□利旧）□桌面终端安全软件(□采购□利旧）□服务器加固软件(□采购□利旧）□其它_________(□采购□利旧）□数据库审计(□采购□利旧）□网页防篡改(□采购□利旧）□数据脱敏系统(□采购□利旧）□DLP数据防泄漏系统(□采购□利旧）□安全审计系统(□采购□利旧）□安全监控系统(□采购□利旧）□堡垒机(□采购□利旧）□漏洞扫描(□采购□利旧）□安全管理平台(□采购□利旧）□上网行为管理(□采购□利旧）□采取的安全措施2.项目总预算：_______万元，网络安全预算：_______万元，网络安全预算所占比例：____区域之间是否采用隔离措施:□新建，实现方式为_____________□是□否），）：□新建，实现方式为_____________）：□否□新建，实现方式为_____________□利旧，实现方式为_____________□新建，实现方式为_____________□利旧，实现方式为_____________）：□新建，实现方式为_____________入侵检测设备是否能在发生严重事件时提供报警：□是□否）：□新建，实现方式为_____________入侵检测设备是否能