跨境电商服装企业云服务技术要求

ICS35.240.01

CCSL67

团体标准

T/XXXXXXX—XXXX

跨境电商服装企业云服务技术要求

Technicalrequirementsforcloudservicesofcross-bordere-commerceclothing

enterprises

草案版次选择

在提交反馈意见时，请将您知道的相关专利连同支持性文件一并附上。

XXXX-XX-XX发布XXXX-XX-XX实施

  发布

T/XXXXXXX—XXXX

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。

本文件由××××提出。

本文件由××××归口。

本文件起草单位：

本文件主要起草人：

II

T/XXXXXXX—XXXX

跨境电商服装企业云服务技术要求

1范围

本文件规定了跨境电商服装企业云服务的术语和定义、要求、安全性、软件测试要求。

本文件适用于跨境电商服装企业云服务技术要求。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB8566计算机软件开发规范

GB/T15532计算机软件测试规范

GB/T16260.1软件工程产品质量第1部分：内部质量

GB/T16260.2软件工程产品质量第1部分：外部质量

GB/T16260.3软件工程产品质量第1部分：内部质量

GB/T25000.51系统与软件工程系统与软件质量要求和评价

3术语和定义

下列术语和定义适用于本文件。

3.1

跨境电商网络服务平台crossbordere-commercenetworkserviceplatform

将电子商务企业或个人、支付企业、监管场所经营人、物流企业通过基于大数据跨境电商网络服务

平台，实现企业数据接入、规范申报要求，通过接口对接，实现企业与海关相关管理平台的数据交换。

4要求

4.1功能要求

4.1.1平台支持跨境电商直购进口、直购出口、1210进口、1210出口、四种业务同时开展。

4.1.2平台支持9610进/出口管理包括：数据导入、订单管理、运单管理、支付/收款单管理、清单管

理、进口入库（入库明细单管理）、进口销单、清单总分单、出口运抵单、出口离境单、汇总申请单。

4.1.3平台支持和电商企业对接、物流企业对接、支付企业对接、落地配妥投信息对接、场站系统对

接、国际贸易单一窗口、电子口岸分接点、园区管理系统、查验分拣系统。

4.1.4系统响应时间，日超操作保存申报1~2S，数据综合查询不超过5S。

4.1.5系统用户授权，系统可满足1000~6000用户使用。

4.1.6订单、支付单、清单支持多种对接方式：手工录入、EXCEL导入、Webservice、ftp、API多

种接口满足不同平台对接。

4.1.7申报海关统一版通道支持多种方式：国际贸易单一窗口、电子口岸二级节点、TCS通道、东方

口岸数据交换客户端、Axway。

4.2性能要求

平台性能应符合表1的规定。

表1性能要求

序号项目指标要求

1

T/XXXXXXX—XXXX

序号项目指标要求

1数据安全关键业务数据加密传输，保证数据安全。

2系统扩展性模块化设计、便于功能扩展、升级维护；预留扩展接口，便于二次开发。

3系统响应时间日超操作保存申报1~2s，数据综合查询不超过5s。

4用户访问量系统可满足1000~6000用户使用。

5故障时间系统业务：7*24h，无障碍运行：分析系统全年故障＜25min

5安全性

5.1网络安全

系统除了利用网络系统管理工具外，还采用了下列技术中的一种或多种组合：

a)防火墙技术。利用隔离控制技术，在内部网络和外部网络之间设置屏障，阻止对内部信息资

源的非法访问。

b)入侵检测技术。采用实时的入侵检测技术进行记录证据，并采取相应的防护手段，如跟踪和

恢复、断开网络连接等。

c)内部网的安全保障技术。采用认证、授权、用户注册和VLAN技术。

d)服务器的安全保障技术。利用操作系统本身所带有的安全机制，制定完善的安全策略，对重

要的服务器启动审计功能。

e)数据的安全保障技术。对外进行信息交换时，采用信息加密和信息确认的手段来确保信息的

安全，同时还需要考虑数据备份的措施。

5.2数据安全

5.2.1数据安全主要在数据存储、访问、处理等各环节采取的安全措施，包括用户授权、数据加密、

冗余存储备份等。

5.2.2对于所有的监测数据导入都要进行安全性的严格限定，除了权限能够分配外，监测数据在导入

前由用户确保正确性，导入时记录导入人员及导入时间，另外只有经过审核后导入的数据才能真正进入

应用。

5.2.3所有用户登录系统须使用ukey，ukey内置平台统一发放的CA证书，为平台提供可操作的日志

记录和可追溯性。

5.3应用安全

5.3.1平台采用分层设计理念，将信息接受处理，数据存储、应用管理、发布服务等分层设计，确保

应用系统安全。

5.3.2平台的监测信息应参照国家相关标准和规范的要求，制定信息管理制度，加剧数据的审定，防

止数据的篡改、删除，以保证数据的安全。

5.3.3平台应提供基于CA证书的USBKey的身份认证机制，对不同的用户提供分级权限管理，对关

键的操作提供日志记录，确保综合信息平台使用的保密性、认证性、完整性和可追溯性。

5.4操作系统安全

应保障平台赖以运行的操作系统运行环境的安全，应对现有操作系统的安全问题进行安全防护，实

现对操作系统管理权限的约束，杜绝操作系统管理员权限丢失给综合信息平台带来的致命影响，杜绝因

操作系统的强制访问控制，提升主机操作系统的安全防护等级到等级防护三级要求，必须做到安全防护

手段与操作系统的兼容性，从而保证平台的稳定运行。

6软件测试

6.1测试要求及原则

6.1.1测试要求

测试项目如下：

2

T/XXXXXXX—XXXX

a)文档查阅：在被检项目资料中查阅被检项目的相关信息。

b)操作验证：在系统的界面和工具中，执行、验证和确认系统实现的安全功能。

c)人工查看：人工查看系统中与安全相关的配置工具和配置信息，验证和确认系统实现的安全

功能。

d)工具查看：使用特定的测试工具对后台数据库、配置文件内容、加密数据等相关安全内容进

行验证和确认。

e)渗透测试：利用攻击工具或通过人工操作的方式攻击系统,验证相关安全机制是否可靠。

6.1.2测试原则

测试原则如下：

a)客观性和公正性原则。虽然测评工作不能完全摆脱个人主张或判断，但测评人员应当没有偏

见，在最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方式

和解释，实现测评活动。

b)可重复性和可再生性原则。任何人执行测评，依照同样的要求，使用同样的测评方式，对每

个测试方法过程的重复执行应该得到同样的结果。可再现性和可重复性的区别在于，前者与

不同测评者测评结果的一致性有关，后者与同一测评者测评结果的一致性有关。

c)结果完善性原则。测评所产生的结果应当是良好的判断和对测试项的正确理解。测评过程和

结果应当服从正确的测评方法，以确保其满足了测试项的要求。

6.2功能测试

在模拟环境条件下，根据第4章的内容，逐条检查平台的功能。

6.3性能测试

在模拟环境条件下，根据第4章的内容，逐条检查平台的功能。

6.4安全性测试

6.4.1访问控制

应采用“操作验证”的方法，验证系统是否提供访问控制措施，具体措施有哪些，自主访问

控制的力度如何，且是否依据安全策略控制用户对客体（如文件和数据库中的数据）的访问。

应采用“人工查看”的方法，确认系统自主访问控制的覆盖范围是否包括与信息安全直接相

关的主体、客体及他们之间的操作，自主访问控制的力度是否达到主体为用户级，客体为文件、数据库

表级（如数据库、视图、存储过程等）。

应采用“人工查看”、“操作验证”的方法，确认系统是否有对授权主体进行系统功能操作，

并对数据访问权限进行了设置，验证系统权限分离功能是否有效，并查看特权用户的权限是否分离（如

将系统管理员、安全员和审计员的权限分离），权限之间是否相互制约。

应采用“人工查看”的方法，查看系统是否有限制默认用户访问权限的功能，并已配置使用。

应采用“人工查看”、“操作验证”的方法，通过用不同权限的用户登录，查看其权限是否

受到应用系统的限制，验证系统权限分离功能是否有效。

6.4.2安全审计

应采用“人工查看”的方法，确认系统是否设置安全审计。询问应用系统对事件进行审计的

选择要求和策略是什么，对审计日志的处理方式有哪些，并确认其当前审计范围是否覆盖到每个用户。

应采用“人工查看”的方法，查看其审计策略是否覆盖系统内重要的安全相关事件，例如，

用户标识与鉴别、自主访问控制的所有操作记录、重要用户行为（如用超级用户命令改变用户身份，删

除系统表）、重要系统命令的使用（如删除客体）等。

应采用“人工查看”、“操作验证”的方法，验证审计记录信息是否包括事件发生的日期与

时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结

果等内容。

3

T/XXXXXXX—XXXX

应采用“人工查看”、“操作验证”的方法，验证审计跟踪设置是否定义了审计跟踪极限的

阈值，当存储空间被耗尽时，能否采取必要的保护措施，例如，报警并导出、丢弃未记录的审计信息、

暂停审计或覆盖以前的审计记录等。

应采用“人工查看”、“操作验证”的方法，通过非法终止审计功能或修改其配置，验证审

计功能是否受到保护，并以某个系统用户试图删除、修改或覆盖审计记录，测试安全审计的保护情况与

要求是否一致。

6.4.3数据完整性

应采用“人工查看”、“操作验证”的方法，验证系统在传输过程中是否有完整性保证措施，

具体措施有哪些。

应采用“人工查看”、“操作验证”的方法，验证是否检测到系统管理数据、鉴别信息和用

户数据在操作过程中完整性受到破坏，如果有相关信息，查看其配置如何。

6.4.4数据保密性

应采用“人工查看”、“工具查看”的方法，查看系统中的数据库管理系统的鉴别信息、敏

感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其

他保护措施实现存储保密性。

应采用“人工查看”的方法，验证系统采用的密码算法和密钥是否符合国家密码管理规定。

应采用“渗透测试”的方法，通过用嗅探工具获取系统传输数据报，查看其是否采用加密或

其他有效措施实现传输保密性。

4

T/XXXXXXX—XXXX

目次

前言........................................................................................................................................................................II

1范围...................................................................................................................................................................1

2规范性引用文件..............................................................................................................................................1

3术语和定义......................................................................................................................................................1

4要求...................................................................................................................................................................1

5安全性...............................................................................................................................................................2

6软件测试..........................................................................................................................................................2

I

T/XXXXXXX—XXXX

跨境电商服装企业云服务技术要求

1范围

本文件规定了跨境电商服装企业云服务的术语和定义、要求、安全性、软件测试要求。

本文件适用于跨境电商服装企业云服务技术要求。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB8566计算机软件开发规范

GB/T15532计算机软件测试规范

GB/T16260.1软件工程产品质量第1部分：内部质量

GB/T16260.2软件工程产品质量第1部分：外部质量

GB/T16260.3软件工程产品质量第1部分：内部质量

GB/T25000.51系统与软件工程系统与软件质量要求和评价

3术语和定义

下列术语和定义适用于本文件。

3.1

跨境电商网络服务平台crossbordere-commercenetworkserviceplatform

将电子商务企业或个人、支付企业、监管场所经营人、物流企业通过基于大数据跨境电商网络服务

平台，实现企业数据接入、规范申报要求，通过接口对接，实现企业与海关相关管理平台的数据交换。

4要求

4.1功能要求

4.1.1平台支持跨境电商直购进口、直购出口、1210进口、1210出口、四种业务同时开展。

4.1.2平台支持9610进/出口管理包括：数据导入、订单管理、运单管理、支付/收款单管理、清单管

理、进口入库（入库明细单管理）、进口销单、清单总分单、出口运抵单、出口离境单、汇总申请单。

4.1.3平台支持和电商企业对接、物流企业对接、支付企业对接、落地配妥投信息对接、场站系统对

接、国际贸易单一窗口、电子口岸分接点、园区管理系统、查验分拣系统。

4.1.4系统响应时间，日超操作保存申报1~2S，数据综合查询不超过5S。

4.1.5系统用户授权，系统可满足1000~6000用户使用。

4.1.6订单、支付单、清单支持多种对接方式：手工录入、EXCEL导入、Webservice、ftp、API多

种接口满足不同平台对接。

4.1.7申报海关统一版通道支持多种方式：国际贸易单一窗口、电子口岸二级节点、TCS通道、东方

口岸数据交换客户端、Axway。

4.2性能要求

平台性能应符合表1的规定。

表1性能要求

序号项目指标要求

1

T/XXXXXXX—XXXX

序号项目指标要求

1数据安全关键业务数据加密传输，保证数据安全。

2系统扩展性模块化设计、便于功能扩展、升级维护；预留扩展接口，便于二次开发。

3系统响应时间日超操作保存申报1~2s，数据综合查询不超过5s。

4用户访问量系统可满足1000~6000用户使用。

5故障时间系统业务：7*24h，无障碍运行：分析系统全年故障＜25min

5安全性

5.1网络安全

系统除了利用网络系统管理工具外，还采用了下列技术中的一种或多种组合：

a)防火墙技术。利用隔离控制技术，在内部网络和外部网络之间设