互联网政务应用安全管理规定（2024）

《互联网政务应用安全管理规定》 炼石网络2024年5月 四部门发布《互联网政务应用安全管理规定》将于2024年7月1日起施行 2021年11月1日起路行 2024年5月15日中央网络安全和信息化委员会办公室、中央机构编制委员会办公室、工业和信息化部、公安部公开发布（2024年2月19日制定）），规定自2024年7月1日起施行。 《互联网政务应用安全管理规定》主要内容 各级党政机关和事业单位建设运行互联网政务应用，应当遵守本规定 境内云计算服务使用和管理 设在境内 为互联网政务应用提供服务的数据中心、云计算服务平台等应当设在境内。 党政机关建设互联网政务应用采购云计算服务 应当选取通过国家云计算服务安全评估的云平台，并加强对所采购云计算服务的使用管理。 机关事业单位互联网政务应用开发安全要求 容灾备份 外包单位安全要求 开发安全管理 机关事业单位应当合理建设或利用社会化专业灾备设施，对互联网政务应用重要数据和信总系统等进行容灾备份。 机关事业单位委托外包单位开展互联网政务应用开发和运维时，应当以合同等手段明确外包单位网络和数据安全责任，并加强日常监督管理和考核问责；督促外包单位严格按照约定使用、存储、处理数据。未经委托的机关事业单位同意，外包单位不得转包、分包合同任务，不得访问、修改、披露、利用、转让、销毁数据。 机关事业单位应当加强互联网政务应用开发安全管理，使用外部代码应当经过安全检测。建立业务连续性计划，防范因供应商服务变更等对升级改造、运维保障等带来的风险。 机关事业单位应当建立严格的授权访问机制，操作系统、致据库、机房等最高管理员权限必须由本单位在编人员专人负责，不得接自委托外包单位人员管理使用：应当按照最小必要原则对外包单位人员进行精细化授权，在授权期满后及时收回权限。 互联网政务应用相关安全要求 互联网政务应用使用内容分发网络(CDN)服务 应当要求服务商将境内用户的域名解析地址指向其境内节点，不得指向境外节点。 互联网政务应用应当使用安全连接方式访问，涉及的电子认证服务应当由依法设立的电子政务电子认证服务机构提供。 互联网政务应用应当对注册用户进行真实身份信息认证。 国家鼓励互联网政务应用支持用户使用国家网络身份认证公共服务进行真实身份信息注册 对与人身财产安全、社会公共利益等相关的互联网政务应用和电子邮件系统 应当采取多因素鉴别提高安全性，采取超时退出，限制登录失败次数、账号与终端绑定等技术手段防范账号被盗用风险，鼓励采用电子证书等身份认证措施。 关闭邮件相关功能 机关事业单位工作人员使用工作邮箱要求 工作邮箱账号 机关事业单位互联网电子邮件系统应当关闭邮件自动转发、自动下载附件功能。 机关事业单位应当建立工作邮箱账号的申请、发放、变更、注销等流程，严格账号批登记，定期开展账号清理。 基于商用密码技术对电子邮件数据存储进行安全保护 鼓励机关事业单位基于商用密码技术对电子邮件数据的存储进行安全保护。 本规定特定要求及施行时间 关基适用 本规定由中央网络安全和信息化委员会办公室、中央机构编制委员会办公室、工业和信息化部、公安部负责解释。 列入关键信息基础设施的互联网门户网站、移动应用程序、公众账号，以及电子邮件系统的安全管理工作，参照本规定有关内容执行。 本规定自2024年7月1日起施行。 政务数据安全实战防护与合规遵循实践 安全需求：内在风险、外部合规、增量价值 增量价值：“数据入表”让安全从成本走向价值 落地痛点：安全建设从网络到数据，安全和业务纽结缠绕难以改造 数据安全建设面临“两难”： ，数据保护体现为面向应用的功能型安全需求，要在应用中触合实现，但改造存量应用成本高、风险大，周期长，新应用的业务开发与安全排期也不匹配，安全机制总是萍后或缺失，而数据保护不落实，则合规风险越来越大，因泄露导致的业务风险会快速累积 产品体系：免改造平台灵活交付多重安全能力，易部署易扩展 原理：在数据动（业务体现）的控制面（关班邦于）上重建安全规则（消减风险的手段），实现安全与业务在技术上解属、能力上融合。 敏捷部署：旁路平台结合主路控制面，免改造应用拦截数据施加保护 数据已成为企业间可以交易的商品，但交易后存在“数据失控”问题困扰着数据持有者： ，数据的接收方有没有对数据进行造用？ ，对方有没有再次将数据外发给第三方？，这些数据在接收方的有效期如向控制？ 方案优势：兼容多、交付快、防护好 炼石免改造数据安全实现“一实战、双合规” 国密合规实践一站式密改套餐敏捷交付 炼石国密合规改造服务 炼石国密合规改造方案适用于政务、金融、交通、运营商、医疗、教育、工业、能源、水利等多行业客户开展商用密码应用安全性评估工作，支持关基、等保三级、政务等重要网络与信息系统“三同步、一评估”。 ①密码方案咨询 司）结合客户侧业务使命、网络架构、应用模式和编程语言交付形态：技术支持服务等，考虑从物理和环境、网络和通讯、设备和计算以用应用和数据进行密码方案设计。b）结合客户侧组织结构、安全体系、人员梯队等，老虑从密码基础知识，密码技术实现，密码工程应用等，提供密码技术体系整体规划。 密码合规整改 司）结合GB/T0054和GB/T39786中实现要求，为客户提供交付形态：集成服务方案；密码产品；密评工具箱b）可为客户提供高性能加密组件，结构化数据AOE模块，完整的密评方案，确保客户侧密评和等保工作同步；非结构化改据TFE校块：c)可为用户提供符合GB/T0028GM/T0005等标准要求的密评工具箱。 密码测评协同 交付形态：技术支持服务结合客户侧已部署密码设带情况和密码应用情况， 协助客户建立全生命周期密销管理，以及配套的密码管理制度、人员培训、技能提升等。 集中式管控，分布式保护，分阶段实施 高性能：PCT专利保护的高速国密实现，不影响业务效率 高可靠：专业密钥管理、实时离线解密，保障高可用 ·密管设备支持双机热备、两地三中心等高可而模式，根密明文不出密码卡，模块密钥明文不出密管设备工作密钥安全从平台分发到数据控制面模块，模块可绳存工作密钥后拍立运行，平台不需要实时在钱，保守策略下，当重启应用服务后，模块才需从平台更新密钥 ，密码算法是标准，密钥管理机制可靠，只要密文数据还在，一定可解密常态状态下，支持应用系统解密、支持DBA运维工具直接解密，应急情况下，支持刷库还原明文、支持实时解密明文到备用库，极端情况下，用运维工具或程序可以兜底解密 高可用：模块健壮可诊断、平台“两地三中心” 【模块可离线运行】 模块从平台获取规则后可缓存在内存中，当平台不可用也可正常运行仅当模块所在服务重启时才需要从平台集群重取规则 【模块强化健性】 以AOE插件为例，本身作为应用的一部分，无单独进程，不会死进程在没有匹配规则状态下，模块默认采用透传模式，最大限度优先业务模块经过多年研发打磨、远行实践，兼客广泛苛刻的企业级应用场景 【模块可诊断】 两地三中心各5套安全管理平台（以及KMS）组成集群，三中心的主之间实时双向同步数据，在同一中心内主从间同步数据 模块自身可记录环境、启动流程、异常事件等日志，以及告警功能针对Java等应用环境支持不停机实时诊断机制，排查潜在故障成因 工业级实现：加密机制适应企业复杂场景 炼石产品加密后，会在密文中添加密文标识，可保证明文不会被二次解密，密文不会被二次加密 在加密功能上线过程中，不可免会出现明密文混合的情况，可通过明密文标识将明文和密文区分开 ，支持密态数据库的模糊查询操作。对加密字段做特定处理，先将加密字段接照规则拆解，然后对拆解后部分分别加密处理，之后将各部分密文合成一个字段（拆解的规则可由应用定制化，通过策略管理来进行配置） 支持应用对加密策略进行定制，但加密策略确定后原则上不建议更改，为支持模糊查询会对加密字段的长度进行扩张 密码合规解析 密码测评规则 高危风险，一票否决 ·实体间未通过密码技术进行身份鉴别·未采用密码技术保证通信过程中重要数据的机密性·未采用密码技术建立安全的信息传输通道，如SSLVPN·未采用密码技术保证重要数据在存储过程中的机密性和完整性·未采用密码技术保证重要数据在传输过程中的机密性·未采用密码技术提供数据原发证据和数据接收证据（如有）·未建立密码相关管理制度，未制定密码应用解决方客、实施方案和应急处置方客，未通过评市·未采用密码技术对从外部连接到内部的设备进行认证（第四级） X 数据安全实战防护场景 基于产品与服务，事前事中事后全防护 实战防护：密码安全一体化，免改造打造数据防绕过保护 数据可见：数据分类识别，为分级管控打基础 事前防护：最小化敏感数据访问范围 可适配应用系统自带身份管理或统一IAM系航，实现结合用户身份的动态脱敏 ：可支持ABAC基于尿性的访问控制等组粒度授权 事中检测：SQL注入攻击防御 在AOE-Plugin，AOE-Proxy等模块中，可根据内置或自定义规则识别风险SQL语句针对风险SQL可做实时告警或实时阻断 事中检测：业务人员风险操作监测 免改造控制面对所有流经的业务操作进行监测，结合当的的业务上下文，判断行为是否符合正常的行为模式如果发现是异常操作和不合规操作，则进行告警甚至对提作阻断，以防止恶意操作带来的数据泄需和系统破坏 用户C2016122123:43:22下载文件产品库/详细设计/作动器总体设计图（最终）行为不符合日常工作时间行为异常执行阻断 场景举例 客户信息安全内控增强 某员工用户C有权使用单位的PLM系统，并能访问到某乙型产品中的设计数据。偶然次，此人在正常工作时间内，批量下载全套的产品数据，此时数据控制面的实时监控功能捕提到此异常行为，会立即执行阻断，并将该事件进行记录和报警。 客服人员每天需要查询高价值的大客户信息，以便提供服务，但存在过量访的内控风险，而业务应用往往缺失细拉度安全机制，通过免改造控制面的安全内控增强，可实现客服人员每天访问大客户信息的阅值，比如100条以内可正常访间，超过100条系统进行告警，超过200条会融发阻断（通过流程市批后才能访问) 记录所有访问敏感数据的行为 包括账号、时间、IP、会话、操作、对象、耗时、结果等等内容，形成包含终端用户身份的SQL日志。用户可通过日志查询数据的访问情况，在事故发生后精确溯源 炼石数据安全分类分级服务 通过调研和梳理业务系统主要数据流转和核心业务应用功能，逐步建立数据流向清单和数据应用清单，配合炼石自研数据资产扫描工具，为政企客户数据资产管理提供全景化动态化数据分类分级服务。 炼石数据安全风险监测服务 针对敏感数据安全，建立审计实施体系，完善计流程，开展审计项开展定期审计工作。 根据敏感数据识别台账，结合各业务系统影响数据安全的威助、漏洞变化趋势。并参照信息安全风险评估模型，从数据的重要性、脆弱性和威助性三要素计算敏感数据、业务系统的风险值。 炼石数据安全合规检查服务 合规评估绕数据全生命周期管理，根据用户系统数据资产重要程度及安全需求，对数据安全管理现状、技术管控能力进行评估。评估内容包括机构人员建设情况、基本制度完善情况、技术能力保障情况、数据全生命周期管控情况四个方面。 数据要素流通场景基于TEE技术的跨域数据管控 数据已成为企业间可以交易的商品，但在交易后一直存在“数据失控”的问题困扰着数据的所有者： 数据的接收方有没有对数据进行造用对方有没有再次将数据外爱给第三方？这些数括在对方的有效期如何控制？ 这些问题的实质是，数据的所有者仅赋予对方数据的使用权而非所有权，并且要按照预期约定来限制对方的使用权。 现行的做法是双方通过签订协约的方式，约束数据使用者的行为，但数的所有权实际是失控的，数据不得不共享的前提下，必须从技术上实现对合作伙伴使用数据的行为进行控制，防止数据溢用、防止数据泄露给第三方，维护数据所有者的利益。 跨域数据：基干TEE的T