SL∕T 803-2020 水利网络安全保护技术规范[水利].pdf

《SL∕T 803-2020 水利网络安全保护技术规范[水利].pdf》由会员分享，可在线阅读，更多相关《SL∕T 803-2020 水利网络安全保护技术规范[水利].pdf（40页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、书 书 书C o o C p y r i g o水利水电技术标准咨询服务中心微信二维码，扫一扫信息更多、服务更快?销售分类：综合信息化中华人民共和国水利行业标准水利网络安全保护技术规范?中国水利水电出版社出版发行（北京市海淀区玉渊潭南路?号?座?）网址：?：?：?电话：（?）?）?）?（营销中心）北京科水图书销售中心（零售）电话：（?）?、）?）?、）?全国各地新华书店和相关出版物销售网点经售清淞永业（天津）印刷有限公司印刷?印?）开本?印张?千字?年?月第?版?年?月第?次印刷?书号?）?定价?元凡购买我社规程，如有缺页、倒页、脱页的，本社营销中心负责调换版权所有侵权必究?中华人民共和国水利

2、行业标准?y?y?y水利网络安全保护技术规范 水 利 网 络 安 利 全 保 护 技 水 利 安 术 安 利 全 规 安 范 络术 范?利?水?护 水 利?安 规?范 术?全 规 水?水 护 范?利 水 护?y?yC C?y发布?y?Cy?实施中华人民共和国水利部发 布书 书 书中华人民共和国水利部关于批准发布 碾压式土石坝设计规范等?项水利行业标准的公告?年第?号?中华人民共和国水利部批准 碾压式土石坝设计规范（?）等?项为水利行业标准，现予以公布。序号标准名称标准编号替代标准号发布日期实施日期日碾压式土石坝设计规范?日?日 日?日?水利水电工程进水口设计规范?日 日?日?绿色小水电评价标准

3、?日?日 日?日?水利网络安全保护技术规范?日 日?日?淤地坝技术规范?日 日?日?水利部?年日 日月?日日目?次前言?日?范围日?规范性引用文件日?术语与缩略语日?日?术语和定义日?缩略语?总体要求?日?基本原则?一般要求?水利关键信息基础设施补充要求?网络安全技术体系?日?体系架构?建设要求?安全纵深防御能力?日?基本要求?安全物理环境?安全通信网络?安全区域边界?安全计算环境日?工业控制系统扩展安全日?云与虚拟化扩展安全日?移动互联扩展安全日?物联网扩展安全日?安全监测预警能力日?日?基本要求日?安全信息采集日?威胁感知?安全应急响应能力?日?日?应急决策指挥平台?日?应急预案?应急演练

4、?应急资源?应急恢复能力?安全运营?日?基本要求?运营要素?日?安全监督检查?日?日?监督检查内容?日?监督检查方法?日?监督检查风险防控?日?关键信息基础设施增强要求?附录?（资料性）网络安全区域划分说明?附录附（资料性）检查过程?前?言根据水利技术标准制修订计划安排，按照?附?日 日?标准化工作导则?第日部分：标准化文件的结构和起草规则的要求，编制本标准。本标准共日?章和?个附录，主要技术内容有：总体要求；网络安全技术体系；安全纵深防御能力；安全监测预警能力；安全应急响应能力；安全运营；安全监督检查。本标准批准部门：中华人民共和国水利部本标准主持机构：水利部网络安全与信息化领导小组办公室本

5、标准解释单位：水利部网络安全与信息化领导小组办公室本标准主编单位：水利部信息中心本标准参编单位：海河水利委员会水利信息网络中心本标准出版、发行单位：中国水利水电出版社本标准主要起草人：詹全忠?杨?旭?张?潮?周维续?黄?锐?沈智镔?陈?岚?张?洋卢?青本标准审查会议技术负责人：朱星明?吴恒清本标准体例格式审查人：朱星明本标准在执行过程中，请各单位注意总结经验，积累资料，随时将有关意见和建议反馈给水利部国际合作与科技司（通信地址：北京市西城区白广路二条?号；邮政编码：日?；电话：?日?；电子邮箱：?），以供今后修订时参考。?书 书 书水利网络安全保护技术规范?范围?本标准规定了水利网络安全保护总

6、体要求、安全技术体系框架、安全纵深防御能力建设要求、安全监测预警能力建设要求、安全应急响应能力建设要求、安全运营要求和安全监督检查要求。本标准适用于网络安全等级保护等级为一级、二级和三级的水利网络安全保护对象的网络安全保护。?规范性引用文件下列文件中的内容通过文中的规范性引用而构成本标准必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本标准；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本标准。?信息安全技术?信息安全风险评估规范。?信息安全技术?信息系统灾难恢复规范。?信息安全技术?网络安全等级保护基本要求。?信息安全技术?网络安全等级保护定级指南。?信息安全技术?

7、网络安全等级保护安全设计技术要求。?信息安全技术?网络安全等级保护测评要求。?信息安全技术?工业控制系统安全控制应用指南。?信息安全技术?个人信息安全规范。?数据中心设计规范设?术语与缩略语设 语?术语和定义?。?、。?、。?、。?、。?界定的以及下列术语和定义适用于本标准。设 语?语?水利网络安全保护对象?由计算机及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统，主要包括水利基础信息网络、云计算平台系统、大数据应用平台资源、物联网（?）、水利工程控制系统和水利业务应用系统（含采用移动互联技术的系统）等。设 语?语。水利关键信息基础设施?一旦遭到破坏、丧失功能或

8、者数据泄露，可能严重危害国家安全、国计民生、公共利益的水利网络安全保护对象。例如：符合水利关键信息基础设施认定规则的大型水利枢纽、输水调水工程等重要基础设施的集中控制系统和水灾害防御、水资源管理等重要业务系统。设 语?语 设工业控制系统?工业生产中使用的控制系统，包括数据采集与监视控制系统（?）、分散控制系统（?）和其他较小的控制系统，如：可编程逻辑控制器（?），现已广泛应用在工业部门和关键基础设施中。?设。?。?来源：。?，?设 语?语?安全保护能力?能够抵御威胁、发现安全事件以及在遭到损害后能够恢复先前状态等的能力。来源：。?，?设 语?语 安全计算环境?对定级系统的信息进行存储、处理及实

9、施安全策略的相关部件。来源：。?，?设 语?语?安全区域边界?对定级系统的安全计算环境边界，以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关部件。来源：。?，?设 语?语?安全通信网络?对定级系统安全计算环境之间进行信息传输及实施安全策略的相关部件。来源：。?，?设 语?语?安全管理中心?对定级系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理的平台或区域。来源：。?，?设 语?语?网络安全?通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。来源：

10、。?，?设 语?语?脆弱性?可能被威胁所利用的资产或若干资产的薄弱环节。来源：。?，?设 语?语?（信息安全）风险评估?（?）?依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。来源：。?，?设 语?语?。等级测评?测评机构依据国家网络安全等级保护制度，按照有关管理规范和技术标准，对非涉及国家秘密的网络安全安全等级保护状况进行检测评估的活动。来源：。?，?设。?。?设 语?语?设网络安全应急响应

11、能力?一个组织为了应对网络安全事件的发生所做的准备，以及在事件发生后所采取的措施的及时性、有效性以及可控性等。设 语。?缩略语下列缩略语适用于本文件。?：访问控制列表（?）?：分散控制系统（?）?：拒绝服务（?）?）?：域名系统（服务）协议（?）?）?：文件传输协议（?）。（?：地理信息系统（。?（?）?：超文本传输安全协议（?）（?：工业控制系统（?）（?：物联网（?）?地址：媒体存取控制位址（?）?：微控制单元（?）?：可编程逻辑控制器（?）?：邮局协议版本（?）?：数据采集与监视控制系统（?）?：协议名（?）?：安全外壳协议（?）?：安全套接层（?）?：传输控制协议（?）?：用户数据报协

12、议（?）?）：虚拟局域网（?）?）?：网站应用防火墙（?）?总体要求?语?基本原则?水利网络安全建设应遵循以下基本原则：?）全面完整原则：在进行网络安全建设时，应遵循本文件规定，结合实际，进行完整的网络安全体系架构设计，全面覆盖所有安全要素；?）等级保护原则：应按照。?，确定各类水利网络安全保护对象的保护等级；?）同步要求原则：水利信息化项目在规划建设运行时，应将网络安全保护措施同步规划、同步建设、同步使用；?）适当调整原则：在进行网络安全建设时，可根据水利网络安全保护对象具体情况和特点，适当调整部分安全要素的建设标准；?）持续改进原则：应依据本标准和。?等国家标准规范要求持续完善网络安全体系

13、。?语。?一般要求水利网络安全建设应满足以下一般要求：?设。?。?）设备安全要求：应优先选用稳定可靠的服务器、?、?、终端等计算设备，并根据需要进行计算设备安全评估；?）软件安全要求：应优先选用稳定可靠的操作系统、?系统、组态软件、应用软件等软件，并根据需要进行软件安全评估；?）接入安全要求：可采用密码技术等保证接入网络的设备安全可信；?）安全服务要求：应与产品、服务提供者签订安全保密协议，并约定其为产品、服务提供安全维护，在规定或者约定的期限内，不应终止提供安全维护；?）容灾备份要求：应具备容灾备份措施对重要数据进行备份。?语 设?水利关键信息基础设施补充要求水利关键信息基础设施网络安全建设

14、，应满足以下补充要求：?）设备安全要求：应对重要设备进行安全审查和评估；?）软件安全要求：应对重要软件进行安全审查和评估；?）协议安全要求：应采用具备安全校验机制的通信协议，重要的服务和通信连接应采取加密技术措施；?）认证检测要求：关键设备和安全专用产品应当按照国家相关标准的强制性要求，采用安全认证或者安全检测合格的产品；?）计算环境要求：应按不低于第三级网络安全保护对象的安全计算环境要求进行设计实施；?）容灾备份要求：应具备异地容灾备份措施；?）安全验收要求：竣工验收前，宜进行网络安全专项验收。?网络安全技术体系 语?体系架构 语?语?水利行业网络安全建设应包括纵深防御、统一安全服务、威胁感

15、知预警、应急决策指挥，宜按照图构建。其中纵深防御应包括安全物理环境、安全计算环境、安全区域边界、安全通信网络等部分。G4551G4556.NAG455F:1*(*)#455F:1*#4551(*)A1)E+F55(*)A1)E+F55E+F55(*)A1)(*)A1)E+F55(*)A1)E+F55E+F55(*)A1)#4556.NA-4GL551-4GL556.NAG?0556.NAG?0551-4GL55F:1*G45G?055F:1*#45-4GL5G?05455F:1*455F:1*40F:1*A1)E+F55图?水利行业网络安全技术体系框架图?设。?。?语?语。?网络安全技术架构应

16、包括以下内容：?）应建设水利行业协同统一的网络安全服务体系，包括网络安全情报服务、灾备服务、密码服务、认证服务等；?）在安全物理环境基础上，应构建安全计算环境、安全区域边界、安全通信网络的层基础防护；?）宜构建网络安全威胁感知预警平台和网络安全应急决策指挥平台，形成贯穿所有安全活动的安全运营管理中心。语?语 设?纵深防御应建立完善合规的物理环境、计算环境、区域边界、通信网络防护。同时应针对公共的安全技术形成统一的安全服务，包括安全情报服务、灾备服务、密码服务、认证服务等?项服务。语?语?监测预警应满足下列要求：?）应建立采集流量数据、设备日志、主机日志、应用系统日志的数据采集系统；?）应对采集

17、数据进行分析，发现安全事件和潜在威胁，进行风险预警；?）宜建设水利行业网络安全大数据平台，建立数据采集标准规范，对各级节点网络安全数据和关键网络安全数据进行威胁分析；?）各级节点应建设共享交换机制，与上级节点实现关键流量数据、网络安全预警等数据交互。语?语?应急响应应满足下列要求：?）应建设行业应急决策指挥平台并制定网络安全事件相关数据交换标准；?）各级节点可建设应急决策指挥平台，管理网内网络安全资源，对网内各类风险预警进行综合研判和闭环处置，实现应急预案管理与策略编排，并应与上级应急决策指挥平台进行数据交换。语?语?安全运营应在纵深防御、监测预警、应急响应等各类安全设备（系统）的支撑下，建立

18、网络安全运营体系，识别网络安全态势，优化网络安全防御措施。语。?建设要求 语。语?应开展网络安全纵深防御能力、网络安全监测预警能力、网络安全应急响应能力建设，宜建立与之对应的网络安全运营体系。语。语。?部级建设应满足下列要求：?）应建设网络安全情报服务、灾备服务、统一密码服务、统一身份认证服务，为本级及下级网络节点提供服务共享；?）应以不低于第三级系统安全要求开展安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设，应对水利关键信息基础设施采取措施进行重点保护；?）应建设网络安全数据采集处理系统，建设威胁感知预警平台，对本级及下级网络节点的关键网络安全数据进行

19、统一分析，及时发现网络安全威胁；?）应建设网络安全应急决策指挥平台，对本级和行业内重要网络安全事件进行全流程处置指挥；?）应建立以数据为核心，网络安全资源管理为支撑，涵盖威胁预防、威胁防护、持续监测、响应处置的闭环安全运营体系；?）各下级网络节点应按最高级别网络安全保护对象相应等级保护级别安全要求开展安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设。语。语 设?流域级建设应满足下列要求：?）应在上级节点网络安全服务基础上，建设区域级网络安全情报服务、统一密码服务、统一身份认证服务，为本级及下级网络节点提供服务共享；?设。?。?）应以不低于第三级系统安全要求

20、开展安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设，应对关键信息基础设施采取措施进行重点保护；?）应建设网络安全数据采集处理系统，建设威胁感知预警平台，对本级及下级节点的网络安全数据进行统一分析，及时发现网络安全威胁，应与上级节点进行数据共享；?）应依托上级节点或自行建设网络安全应急决策指挥平台，对网内重要网络安全事件进行全流程指挥处置，应与上级节点进行数据共享；?）应建立以数据为核心，网络安全资源管理为支撑，涵盖威胁预防、威胁防护、持续监测、响应处置的闭环安全运营体系；?）各下级节点应按最高级别网络安全保护对象相应等级保护级别安全要求开展安全物理环境、

21、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设。语。语?省级建设应满足下列要求：?）可在上级节点网络安全服务基础上，建设区域级网络安全情报服务、统一密码服务、统一身份认证服务，为本级及下级单位提供服务共享；?）应以不低于第三级系统安全要求开展安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设，应对关键信息基础设施采取措施进行重点保护；?）应建设网络安全数据采集处理系统，自行或依托上级节点建设威胁感知预警平台，对本级及下级节点的网络安全数据进行统一分析，及时发现网络安全威胁，应与上级节点进行数据共享；?）应依托上级节点或自行建设网络安

22、全应急决策指挥平台，对本省（自治区、直辖市）内重要网络安全事件进行全流程指挥处置，应与上级节点进行数据共享；?）应建立以数据为核心，网络安全资源管理为支撑，涵盖威胁预防、威胁防护、持续监测、响应处置的闭环安全运营体系；?）各下级节点应按最高级别网络安全保护对象相应等级保护级别安全要求开展安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设。语。语?市县级建设应满足下列要求：?）应以不低于第二级系统安全要求开展有关的安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设；?）应建设网络安全数据采集系统，宜依托上级节点威胁感知预警平

23、台，对网络安全数据进行统一分析，及时发现网络安全威胁；?）宜依托上级节点网络安全应急决策指挥平台，对重要网络安全事件进行全流程指挥处置；?）应依托上级节点或自行建立以数据为核心，网络安全资源管理为支撑，涵盖威胁预防、威胁防护、持续监测、响应处置的闭环安全运营体系；?）各下级节点应按最高级别网络安全保护对象相应等级保护级别安全要求，开展安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设。语。语?大型（含重要中型）水利工程管理单位建设应满足下列要求：?）应在上级节点网络安全服务基础上，建设网络安全情报服务、灾备服务、统一密码服务、统一身份认证服务，可根据水利工业

24、控制系统实际情况，建设工业控制专用的网络安全情报服务、本地灾备服务、统一密码服务、身份认证服务；?）应以不低于第三级系统安全要求（含工业控制系统扩展要求）开展安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设，并对关键信息基础设施采取措施进行重点保护；?）应建设网络安全数据采集处理系统，自行或依托上级节点建设威胁感知预警平台，对网络安全数据进行统一分析，及时发现网络安全威胁，应与上级节点威胁感知预警平台进行数据?设。?。?共享；?）应依托上级节点或自行建设网络安全应急决策指挥平台，对重要网络安全事件进行全流程指挥处置，并与上级节点进行数据共享；?）应建立以数

25、据为核心，网络安全资源管理为支撑，涵盖威胁预防、威胁防护、持续监测、响应处置的闭环安全运营体系；?）不具备三级及以上网络安全保护对象的单位可参照本标准对其他级别网络安全保护对象的要求进行建设。语。语?中小型水利工程管理单位建设应满足下列要求：?）应以不低于第二级系统安全要求（含工业控制系统扩展要求）开展有关的安全物理环境、安全计算环境、安全区域边界、安全通信网络等方面的网络安全纵深防御能力建设；?）应建设网络安全数据采集系统，宜依托上级节点威胁感知预警平台，对网络安全数据进行统一分析，及时发现网络安全威胁；?）宜依托上级节点网络安全应急决策指挥平台，对重要网络安全事件进行全流程指挥处置；?）应

26、依托上级节点或自行建立以数据为核心，网络安全资源管理为支撑，涵盖威胁预防、威胁防护、持续监测、响应处置的闭环安全运营体系；?）具备三级及以上网络安全保护对象的单位，可参照本文件对大型及重要中型水利工程管理单位的网络建设要求进行建设。?安全纵深防御能力?语?基本要求?安全纵深防御能力建设基本要求应由安全物理环境、安全通信网络、安全区域边界和安全计算环境各部分组成，应根据承载网络安全保护对象的不同等级和类型情况，并按以下要求执行：?）网络安全等级保护只有一级的水利网络安全保护对象，应采用。?第一级的安全要求；?）网络安全等级保护为二级及以下的水利网络安全保护对象，应采用第二级安全要求开展安全纵深防

27、御能力建设；?）网络安全等级保护为三级的水利网络安全保护对象，应采用第三级安全要求开展安全纵深防御能力建设；?）存在工业控制系统、云计算环境、移动互联和物联网应用的，应在以上基础上分别落实工业控制系统、云与虚拟化、移动互联和物联网扩展安全要求；?）存在关键信息基础设施的，应在第三级安全要求的基础上落实关键信息基础设施扩展要求。?语。?安全物理环境?语。语?安全物理环境应包括物理位置选择、机房环境安全、物理访问控制、安全分域、防盗窃、防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、设备设施安全、电力供应、监控审计、电磁防护和灾难备份中心等方面。?语。语。?第二级要求应以承载最高网络安全保护

28、等级为第二级的保护对象，应符合。?的?级标准和。?第二级的安全要求。?语。语 设?第三级要求应以承载最高网络安全保护等级为第三级的保护对象，除符合。?中?级标准和。?第三级的安全要求外，还应符合下列要求：?）应对机房和设备间的进出访问进行控制，部署安全监控措施，进行安全巡检；?）应对专用移动存储介质进行统一管理，记录介质领用、接入使用、交回、维修、报废、销毁?设。?。?等情况。?语。语?关键信息基础设施安全除符合?要求外，还应符合下列要求：?）应对关键信息基础设施运行环境进行安全管理，确保物理环境安全可控；?）不应使用境外机构提供或位于境外的物理服务器或虚拟主机；?）应配备关键信息基础设施机房

29、周边环境的边界安全控制人员；?）工业控制系统现地设备应置于安全的物理环境中，具备防火、防风、散热、防盗、防雨等能力；?）工业控制系统现地设备环境周边应采用围墙、门禁、密码锁、视频监控、专人值守、授权访问等安全措施；?）关键设备周边应采用自动化设备识别入侵，并进行报警，实施自动响应动作；?）应对关键信息基础设施设置独立的逻辑或物理区域，并根据业务功能、设备类型等划分子区域；?）宜对关键信息基础设施配置第二道电子门禁系统；?）应对关键信息基础设施核心设备持续运行提供备用电力供应；）应对关键设备设置有专人值守的视频监控系统，定期审计监控系统记录；?）宜对网络设备、关键计算设备进行冗余配置，符合业务系

30、统持续正常运行的要求；?）工业控制系统输出设备应放置在安全区域，并对设备进行授权访问控制、设备标记和实时监控；?）宜使用自动化措施对设备的访问日志进行记录，包括访问人员、目的、时间、鉴别形式、访问设备等；?）宜设置电磁屏蔽措施。?语 设?安全通信网络?语 设 语?构成?安全通信网络应包括网络架构、传输加密、安全审计等方面。?语 设 语。?第二级要求安全通信网络第二级要求应符合。?第二级的安全要求。?语 设 语 设?第三级要求安全通信网络第三级要求除符合。?第三级安全要求外，还应符合下列要求：?）安全区域应根据业务属性划分，可划分为内部业务区、接入区、前置交换区、公众服务区、数据区和安全管理区等

31、；?）数据通信应使用符合国家要求的密码技术；?）应提供通信线路、关键网络设备、安全设备的硬件冗余；?）应基于硬件设备，对重要通信过程进行加解密运算和密钥管理；?）应将攻击监测数据和审计数据进行统一分析。?语 设 语?关键信息基础设施安全要求?语 设 语?语?网络架构安全要求除符合第三级要求外，还应符合下列要求：?）关键信息基础设施信息系统，应与其他不同等级系统之间设置技术隔离措施，实施严格访问控制策略；?设。?。?）不应将高安全等级业务系统或其功能模块，部署到低安全等级区域；属于低安全等级区域的业务系统或其功能模块，可部署于高安全等级区域，并按照高安全等级区域的保护策略进行保护；?）应提供通信

32、线路、网络设备、安全设备和关键计算设备的硬件冗余。?语 设 语?语。?传输加密安全要求除符合第三级要求外，还应符合下列要求：?）通信信道应满足关键业务处理需求；?）应对不同局域网之间的远程通信，采用密码技术进行加密传输；局域网内宜对关键、敏感数据进行加密；?）应对关键数据进行校验，保证通信信息的完整性、可用性；?）安全审计记录宜包括监测、记录系统运行状态、日常操作、故障维护、远程维护等，日志数据留存应不少于?个月。?语?安全区域边界?语?语?构成?安全区域边界构成宜符合以下要求：?）水利网络安全保护对象区域边界可分成内部边界、互联网边界、水利业务网边界、外联网边界。安全区域边界构成见图?。安全

33、区域划分方法，可参见附录?。注：内部边界是指局域网内部各个安全域或计算环境之间的边界；互联网边界是指与互联网连接的安全域或网络边界；水利业务网边界是指与水利业务网连接的安全域或网络边界；外联网边界是指与其他外部网络之间的安全域或网络边界。?）边界防护手段可包括边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计和可信验证等方面。?）水利关键信息基础设施安全区域可涉及其中一种或多种网络边界，其边界防护应依据实际情况满足对应要求。1+551*41+6565?NA+43543555+GE+65E+P5E+65E+图。?安全区域边界构成图?语?语。?第二级要求?语?语。语?安全区域边界第二级

34、要求应符合。?第二级的安全要求。?语?语。语。?内部边界安全应符合下列要求：?）应根据访问控制策略，设置进出双向的访问控制规则，默认情况下（除允许的通信外）拒绝所有通信，删除多余或无效的访问控制规则，访问控制规则数量最小化；?）应对存放集中访问控制权限或集中进行安全管理类设备或系统、认证类系统以及数据库系统边界进行网络安全审计，对重要的用户行为和重要网络安全事件进行审计。?设。?。?语?语。语 设?互联网边界安全应符合下列要求：?）应根据访问控制策略，设置进出双向的访问控制规则，默认情况下（除允许的通信外）拒绝所有通信，删除多余或无效的访问控制规则，访问控制规则数量最小化；?）应在互联网网络边

35、界，配置恶意代码防护措施；?）应在互联网网络边界进行安全审计，审计重要用户行为和重要网络安全事件；?）对审计记录应进行定期备份；?）应能检测互联网网络边界的攻击行为，并进行告警。?语?语。语?水利业务网边界安全应符合下列要求：?）应根据访问控制策略，设置进出双向的访问控制规则，默认情况下（除允许的通信外）拒绝所有通信，删除多余或无效的访问控制规则，访问控制规则数量最小化；?）应能对访问本级网络的异常网络行为进行审计和告警。?语?语。语?外联网边界安全应符合下列要求：?）应根据访问控制策略，设置进出双向的访问控制规则，默认情况下（除允许的通信外）拒绝所有通信，删除多余或无效的访问控制规则，访问控

36、制规则数量最小化；?）应在外联网边界进行安全审计，审计重要用户行为和重要网络安全事件。?语?语 设?第三级要求?语?语 设 语?安全区域边界第三级要求要求应符合。?第三级的安全要求。?语?语 设 语。?内部边界安全应符合下列要求：?）对区域边界数据流应实现基于应用协议和应用内容的监测和访问控制；?）应能对非授权设备连接到内部网络的行为进行检查与限制；?）应能对内部用户非授权连接到外部网络的行为进行检查与限制；?）应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络；?）当检测到攻击行为时，应能记录攻击源（?、攻击类型、攻击目标、攻击时间；在发生严重入侵事件时，应提供报警；?）对区域

37、边界应进行安全审计，审计每个用户的用户行为和安全事件。?语?语 设 语 设?互联网边界安全应符合下列要求：?）应在互联网边界对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新；?）宜对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析；?）应能对互联网边界数据流进行基于应用协议和应用内容的访问控制；?）当检测到攻击行为时，网络安全措施应能记录攻击源（?、攻击类型、攻击目标、攻击时间；在发生严重入侵事件时，应能报警，并宜实现自动阻断；?）对互联网边界应进行安全审计，审计用户行为和安全事件；?）网络攻击监测数据和审计数据，应进行统一分析。?语?语 设 语?水利业务网边界

38、安全应符合下列要求：?）对骨干网边界数据流，宜进行基于应用协议和应用内容的访问控制；?）当检测到攻击行为时，网络安全措施应能记录攻击源（?、攻击类型、攻击目标、攻击时间；在发生严重入侵事件时，应能报警，并宜实现自动阻断；?）对骨干网边界应进行安全审计，审计重要用户行为和安全事件；?）网络攻击监测数据和审计数据，应进行统一分析。?语?语 设 语?外联网边界安全应符合下列要求：?）应能对远程访问、访问外联网等用户行为，进行行为审计和数据分析；?）对外联网边界数据流，宜进行基于应用协议和应用内容的访问控制；?设。?。?）当检测到攻击行为时，应能记录攻击源（?、攻击类型、攻击目标、攻击时间；在发生严重

39、入侵事件时，应能报警，并宜实现自动阻断；?）对外联网边界应进行安全审计，审计用户行为和安全事件；?）网络攻击监测数据和审计数据，应进行统一分析。?语?语?关键信息基础设施安全要求?语?语?语?内部边界安全除符合第三级要求外，还应符合下列要求：?）应通过逻辑隔离或物理隔离技术，实现内部区域边界的访问控制；?）应对内部边界，设置严格的访问控制策略，访问控制策略达到端口级；?）应能对内部网络的安全事件和威胁进行安全检测，基于流量检测多种网络协议中的攻击行为。?语?语?语。?互联网边界安全除符合第三级要求外，还应符合下列要求：?）应建立不同网络安全等级系统、不同业务系统、不同区域之间的安全互联和访问控

40、制策略，策略达到端口级；?）应对不同网络安全等级系统、不同业务系统、不同区域之间的互操作、数据交换和信息流量进行严格控制，限制数据从高等级系统流向低等级系统；?）应对进出网络的数据流实现基于应用协议和应用内容的访问控制；?）应采用严格的接入控制措施，对未授权设备进行动态检测及管控，仅允许通过授权和安全评估的软硬件运行，保证系统和设备接入的可信性；?）应对不同局域网远程通信采用安全防护措施，采用密码技术对通信双方进行验证；?）应在网络边界设置业务优先级，优先保障关键信息基础设施业务运行；?）应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；?）应能对高级威胁进行安全检测，基于流量检测多

41、种网络协议中的攻击行为；?）应在互联网边界部署审计系统，收集、记录区域边界的相关安全事件，并将审计记录转换为约定格式，发送至安全威胁感知预警平台。?语?语?语 设?水利业务网边界安全除符合第三级要求外，还应符合下列要求：?）应通过逻辑隔离技术，实现骨干网边界的访问控制，访问控制策略达到（?地址级；?）应在骨干网边界检测和限制从内部发起的网络攻击行为，对网络行为进行分析，实现对网络攻击特别是未知新型网络攻击的检测和分析；当检测到攻击行为时，应记录攻击源（?、攻击类型、攻击目的、攻击时间；在发生严重入侵事件时，应提供报警和阻断；?）应能对高级威胁进行安全检测，基于流量检测多种网络协议中的攻击行为；

42、?）应在骨干网边界部署审计系统，收集、记录区域边界的相关安全事件，并将审计记录转换为约定格式，发送至安全威胁感知预警平台。?语?语?语?外联网边界安全除符合第三级要求外，还应符合下列要求：?）应在外联网边界部署防恶意代码设备，实现区域边界的病毒防护以及恶意代码防范，并维护恶意代码防护机制的升级和更新；?）应在外联网边界部署检测、防止或限制从外部发起的网络攻击行为的设备；?）应在外联网边界对网络行为进行分析，实现对网络攻击特别是未知新型网络攻击的检测和分析；当检测到攻击行为时，应记录攻击源（?、攻击类型、攻击目的、攻击时间；在发生严重入侵事件时，应能报警，并宜实现自动阻断；?）应能对高级威胁进行

43、安全检测，基于流量检测多种网络协议中的攻击行为；?）应在外联网边界部署审计系统，收集、记录区域边界的相关安全事件，并将审计记录转换为约定格式，发送至安全威胁感知预警平台。?设。?。?语?安全计算环境?语 语?防护手段?安全计算环境防护手段应包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护等方面。?语 语。?第二级要求安全计算环境除符合。?第二级安全要求外，还应符合下列要求：?）应采用集中统一管理方式，对终端计算机进行管理，统一软件下发、安装系统补丁、实施病毒库升级和病毒查杀；?）应定期开展针对终端的弱口令检查、

44、病毒查杀、漏洞修补、操作行为管理和安全审计等工作；?）应避免网站系统后台管理页面和信息暴露在互联网，应严格管控门户网站信息的发布；?）应控制邮件系统用户注册审批和员工账户注销管理，不应将工作邮件自动转发至私人或境外邮箱；应避免系统存在弱口令，避免访问钓鱼邮件；?）应对个月及其以上在线且未使用的水利网络安全保护对象采取断电、断网等下线措施；再次上线使用前，应先进行漏洞修补、病毒库更新等安全加固。?语 语 设?第三级要求安全计算环境除符合。?第三级安全要求外，还应符合下列要求：?）应设置并启用管理终端外联控制策略，对管理终端未经授权的外联行为进行监测和处置，未经授权，不应通过任何形式连接外部网络；

45、不应使用?接口，为手机等外部设备充电；?）应对重要计算设备和系统采用密码技术、生物技术等两种或两种以上组合的鉴别技术鉴别用户身份；?）应对重要计算设备的入侵或异常行为进行实时监测，并在发生严重入侵事件时，提供报警和阻断；报警和审计记录，应发送至安全威胁感知预警平台；?）应采用密码技术，对身份鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据、重要个人信息、水利工程技术数据等数据的传输和存储进行加密；?）应对网站系统进行安全审计，包括前台用户的注册、登录、关键业务操作等行为日志记录，后台内容管理用户的登录、网站内容编辑、审核及发布等行为日志记录，系统管理用户的登录、账号及权限管理等

46、系统管理操作日志记录；宜指定独立的审计管理员，负责管理审计日志；?）应提供重要数据处理系统的软硬件冗余；?）应将网络攻击监测数据和审计数据发送至安全威胁感知预警平台进行统一分析；?）在中华人民共和国境内运营中收集和产生的个人信息和重要数据，应在境内存储。?语 语?关键信息基础设施安全要求?语 语?语?基础信息资源安全除符合第三级要求外，还应符合下列要求：?）应对关键信息基础设施操作系统进行统一安全配置和安全加固，仅安装需要的组件和应用程序，关闭不需要的服务、默认共享和高危端口；?）应采用可信令牌、基于生物特征、数字证书以及其他具有相应安全强度的两种或两种以上组合机制进行用户身份鉴别，并对鉴别数

47、据进行保密性和完整性保护；?设。?。?）应对关键信息基础设施运行终端进行安全管控，设置访问控制策略，严格输入输出管理；?）应采用统一的认证、加密技术，实现对关键信息基础设施的认证和加密；?）应对关键信息基础设施服务器，部署统一的防病毒、防入侵和主机审计措施，应能及时发现漏洞、入侵行为和高级网络威胁，并在发生攻击事件时进行告警并阻断；?）应对关键基础设施的基础信息资源部署数据灾备措施；?）应对重要业务操作或异常用户操作行为形成记录清单；?）应对重要业务数据资源的操作，基于安全标记等技术实现访问控制；?）应使用自动化机制，来支持系统账户、配置库、漏洞库、补丁库、病毒库等的管理，漏洞和补丁应在经过验

48、证后及时修补。?语 语?语。?应用安全除符合第三级要求外，还应符合下列要求：?）应建立覆盖应用系统全生命周期的安全机制，基于统一身份认证服务，实现基于风险的身份鉴别、访问控制、数据加密、安全审计等安全要求；?）应对应用系统的安全性、可用性进行实时安全监测，监测内容包括内容篡改、木马植入、可用性以及网络攻击等；?）宜实现关键信息基础设施核心应用的应用级灾备建设；?）宜配置应用备用通信协议保障业务连续性。?语 语?语 设?数据安全除符合第三级要求外，还应符合下列要求：?）在数据规划和创建阶段，应实现数据的分级分类，明确数据的重要性和敏感程度；?）应采用密码技术、防泄漏技术等，保证重要数据在传输、存

49、储过程中的完整性和保密性，包括但不限于身份鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；宜根据实际情况，与水利密码基础设施对接；?）应采用数据隔离技术，建设数据交换平台，实现不同敏感程度网络之间的数据交换，增强数据在外部使用的安全性；?）应建立数据异地备份机制，并定期对备份有效性进行测试，实现业务和数据抵御地域性灾难的风险，保证数据不丢失以及业务正常恢复，有效提高业务连续性与数据安全；?）个人信息的收集、存储、使用、传输、披露应符合。?要求，严格控制重要数据的公开、分析、交换、共享和导出等关键环节，并采取加密、脱敏、去标识化等技术手段，保护敏感数据安全；?）

50、应建立业务连续性管理及容灾备份机制，重要系统和数据库应实现异地备份；安全性要求高的业务数据，宜实现数据的异地实时备份。?语?工业控制系统扩展安全?语?语?内容构成?工业控制系统扩展安全应针对工业控制系统中的现场控制和过程监控区，安全内容应包括工业控制系统的安全物理环境、安全分区原则、安全通信网络、安全区域边界、网络设备安全、工业控制设备本体安全、工业控制主机安全防护和安全计算环境等。?语?语。?第二级要求工业控制系统扩展安全应符合。?第二级的工业控制系统安全扩展要求。?语?语 设?第三级要求工业控制系统扩展安全除符合。?第三级的工业控制系统安全扩展要求外，还应?设。?。?符合下列要求：?）服务