DB32∕T 4622.2-2023 采供血过程风险管理第2部分：献血者健康检查和血液采集风险控制规范

ICS35.240.01

CCSL67

!7,



DB32/T4617.2—2023

电子政务外网5G平面和IPv6网络

技术规范第2部分：5G平面安全要求

E⁃governmentnetwork—Technicalspecificationsof5Gplane

andIPv6networkplatform—Part2：5Gplanesecurity

requirement

2023⁃12⁃13发布2024⁃01⁃13实施

江苏省市场监督管理局发布

中国标准出版社出版

DB32/T4617.2—2023

目次

前言……………………………Ⅲ

引言………………4

1范围…………………………1

2规范性引用文件……………1

3术语和定义…………………1

4缩略语………………………1

5基本要求……………………2

6安全技术框架………………2

7终端安全……………………3

8边界安全……………………3

9监测管理……………………3

9.1安全监测………………3

9.2管理审计………………3

Ⅰ

DB32/T4617.2—2023

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

本文件是DB32/T4617《电子政务外网5G平面和IPv6网络技术规范》的第2部分。DB32/T4617已

经发布了以下部分：

——第1部分：5G平面网络建设；

——第2部分：5G平面安全要求；

——第3部分：IPv6部署要求；

——第4部分：IPv6地址及路由规划。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由江苏省政务服务管理办公室提出并归口。

本文件起草单位：江苏省大数据管理中心。

本文件主要起草人：吴中东、忻超、付勍、夏国光、曹银美、王子文、陆雨韬、黄敏、王光鑫、吴欣、汪忠瑞、

刘晓红、卢冬冬、张培勇、张泊远、赵靖雯。

Ⅲ

DB32/T4617.2—2023

引言

电子政务外网是数字政府建设的重要基础底座，是政府数字化转型的重要基础支撑。开展电子政务

外网5G平面和IPv6网络建设能够强化提升电子政务外网高效、泛在、安全的承载能力和业务保障能

力，推动各类政务应用创新发展，提高政务数字化、智能化水平。DB32/T4617《电子政务外网5G平面

和IPv6网络技术规范》是指导江苏省电子政务外网5G平面和IPv6网络建设的基础性、通用性标准，由

四个部分构成。

——第1部分：5G平面网络建设。目的在于规范和指导江苏省电子政务外网5G平面网络建设；

——第2部分：5G平面安全要求。目的在于规范和指导江苏省电子政务外网5G平面安全建设；

——第3部分：IPv6部署要求。目的在于规范和指导江苏省电子政务外网IPv6部署；

——第4部分：IPv6地址及路由规划。目的在于规范江苏省电子政务外网IPv6地址及路由规划。

Ⅳ

DB32/T4617.2—2023

电子政务外网5G平面和IPv6网络

技术规范第2部分：5G平面安全要求

1范围

本文件规定了电子政务外网（以下简称“政务外网”）5G平面的基本要求、安全技术框架、终端安全、

边界安全、监测管理要求。

本文件适用于政务外网管理机构、接入部门、设计单位对5G平面安全进行规划、建设和管理。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T22239信息安全技术网络安全等级保护基本要求

GB/T25070信息安全技术网络安全等级保护安全设计技术要求

YD/T36285G移动通信网安全技术要求

DB32/T3514.1电子政务外网建设规范第1部分：网络平台

DB32/T4617.1电子政务外网5G平面和IPv6网络技术规范第1部分：5G平面网络建设

3术语和定义

DB32/T3514.1、DB32/T4617.1界定的术语和定义适用于本文件。

4缩略语

下列缩略语适用于本文件。

DNN：数据网络名称（DataNetworkName）

IMSI：国际移动用户识别码（InternationalMobileSubscriberIdentity）

IMEI：国际移动设备标识（InternationalMobileEquipmentIdentity）

ISDN：综合业务数字网（IntegratedServicesDigitalNetwork）

MAC：媒体接入控制（MediaAccessControl）

MSISDN：移动台国际ISDN号码（MobileSubscriberISDNNumber）

SIM：用户身份模块（SubscriberIdentityModule）

SRv6：基于IPv6的段路由（SegmentRoutingoverIPv6）

TLS：安全传输层协议（TransportLayerSecurity）

UPF：用户面功能（UserPlaneFunction）

VPN：虚拟专用网络（VirtualPrivateNetwork）

5G：第五代移动通信技术（5thGeneration）

1

DB32/T4617.2—2023

5基本要求

5.1政务外网5G平面应符合GB/T22239、GB/T25070中网络安全等级保护第三级相关要求。

5.2政务外网5G平面应具备抵御各类安全风险的能力，包括但不限于：

a）防止恶意攻击；

b）及时发现、检测攻击行为，并进行处置；

c）发现重要的安全漏洞，并进行修复；

d）自身遭到损害时能够迅速恢复核心能力。

5.3政务外网5G平面应通过部署不同网络切片、政务专用UPF等方式，确保政务5G终端访问政务外

网与运营商互联网隔离。

5.4政务专用UPF设备、边界安全防护设备、5G专用接入设备和通信线路应具备冗余能力，避免单点

故障，保证系统的可用性。

5.5运营商5G网络的安全架构、安全功能以及相关安全流程等应符合YD/T3628的要求。

5.6政务外网5G平面建设应符合自主可控相关要求。

6安全技术框架

政务外网5G平面和固网平面一体化融合，5G平面安全防护体系如图1所示，包括：

a）终端安全：对接入政务外网5G平面的各类终端进行加固，实现机卡绑定和固定IP地址分配；

b）边界安全：对固移边界进行安全隔离，配置最小化安全策略，实现对5G终端接入流量的访问控

制、入侵防护和病毒防护等；

c）监测管理：对政务外网5G平面所有接入流量进行实时监测、安全审计，实现对政务外网5G平面

安全的统一管理。

图1政务外网5G平面安全防护体系

2

DB32/T4617.2—2023

7终端安全

7.1应采用政务外网专用SIM卡，满足关闭语音、关闭短信、关闭互联网访问、定向短信、定向数据访问

等安全要求。运营商应对入网的专用SIM卡进行一次认证，并使用专用DNN承载。

7.2终端IP地址应固定分配，不应配置地址转换。地址分配记录应至少保存6个月。

7.35G接入网关应能够对下联设备进行接入认证，包括Portal认证、MAC认证、802.1x认证、VPN拨

号认证等。

7.4对于敏感的业务数据访问，应采用沙箱等技术实现终端数据隔离，防止终端数据泄露。

8边界安全

8.1应部署认证服务平台对终端进行二次认证，认证内容包括DNN，SIM卡信息（IMSI、MSISDN），设

备信息（IMEI）等。

8.2应基于角色、SIM卡信息（IMSI、MSISDN）或者设备信息（IMEI）进行访问控制，授予最小访问权

限，并对终端环境进行持续检测和评估，根据评估情况动态调整其访问权限。

8.3应对非授权终端接入政务外网进行检查、限制。

8.4边界安全设备应支持对SRv6、网络切片报文的安全解析，宜支持SRv6三层转发。

8.5应检测、防止和限制从运营商网络发起的网络攻击行为。当检测到攻击行为时，应记录攻击源IP、

攻击类型、攻击目标、攻击时间。在发生严重入侵事件时，应及时告警。

8.6应对恶意代码进行检测和清除，并定期进行恶意代码库的升级与更新。

8.7应支持对TLS等常用协议加密流量进行检测，满足网络对加密流量的防护需求。

9监测管理

9.1安全监测

安全监测具体要求如下：

a）应对通过5G平面接入政务外网的业务流量进行动态监测，实现安全态势感知和安全趋势分析；

b）应对5G终端访问行为进行持续监测，分析异常情况并动态调整其访问权限；

c