ICS 35.030 CCS L 80
中华人民共和国国家标准
GB/T 31506—2022 代替GB/T31506—2015
信息安全技术 政务网站系统安全指南Information security technology—
Security guidelines for website system of government affairs
2022-04-15发布
2022-11-01实施
国家市场监督管理总局
发 布
国家标准化管理委员会
GB/T 31506—2022
信息安全技术 政务网站系统安全指南
1 范围
本文件给出了在对政务网站系统实施安全防护时可采取的安全技术措施和安全管理措施。本文件适用于指导政务部门开展网站系统安全防护工作，也可作为对政务网站系统实施安全监督管理和评估检查时的参考。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 8566—2007 信息技术 软件生存周期过程GB/T 25069 信息安全技术 术语
GB/T 30998—2014 信息技术 软件安全保障规范GB/T 31168 信息安全技术 云计算服务安全能力要求
GB/T 32925—2016 信息安全技术 政府联网计算机终端安全管理基本要求GB/T 33562—2017 信息安全技术 安全域名系统实施指南GB/T 35273—2020 信息安全技术 个人信息安全规范GB/T 36637—2018 信息安全技术 ICT供应链安全风险管理指南GB/T 37002—2018 信息安全技术 电子邮件系统安全技术要求GB/T 37729—2019 信息技术 智能移动终端应用软件（APP）技术要求GB/T 38249—2019 信息安全技术 政府网站云计算服务安全指南GB/T 38645—2020 信息安全技术 网络安全事件应急演练指南GB/T39477—2020 信息安全技术 政务信息共享 数据安全技术要求GB/T 39786—2021 信息安全技术 信息系统密码应用基本要求GB 50174—2017 数据中心设计规范3 术语和定义
GB/T 25069界定的以及下列的术语和定义适用于本文件。3.1
政务网站系统 website system of government affairs
政务部门为对外发布政务信息、提供在线服务、开展互动交流等建立的网站应用系统及支撑其运行的物理环境、网络环境、软硬件及产生和发布的信息等组成的信息系统。3.2
云计算平台 cloud computing platform
云服务商提供的云基础设施及其上的服务软件的集合。【来源：GB/T 31167—2014，3.7】
4 缩略语
下列缩略语适用于本文件。
API：应用程序编程接口（Application Programming Interface）APP：移动互联网应用程序（Mobile Internet Application）CDN：内容分发网络（Content Delivery Network）CPU：中央处理器（Central Processing Unit）DDoS：分布式拒绝服务（Distributed Denial of Service）DNS：域名系统（Domain Name System）FTP：文件传输协议（File Transfer Protocol）
HTTPS：超文件传输安全协议（Hypertext Transfer Protocol Secure）HTTP：超文本传输协议（Hypertext Transfer Protocol）IDC：互联网数据中心（Internet Data Center）IP：互联网协议（Internet Protocol）
IPSec：互联网协议安全（Internet Protocol Security）IT：互联网技术（Internet Technology）MAC：介质访问控制层（Media Access Control）PV：页面浏览量（Page View）
SFTP：安全文件传送协议（Secret·File Transfer Protocol）SQL：结构化查询语言（Structured Query Language）SSH：安全外壳协议（Secure Shell）SSL：安全套接层（Secure Sockets Layer）UPS：不间断电源（Uninterruptible Power System）VLAN：虚拟局域网（Virtual Local Area Network）VPN：虚拟专用网（Virtual Private Network）WWW：万维网（World Wide Web）
5 概述
5.1 安全目标及防护措施5.1.1 安全目标
政务网站系统由于其代表政务部门的特殊属性，与普通网站相比更容易遭到来自互联网的攻击。攻击者为了破坏政务形象、干扰政务工作秩序或窃取政务部门敏感信息，可能采用Web应用攻击、拒绝服务攻击、暴力破解攻击、上传恶意木马等方式，实现篡改网页、中断服务、窃取信息、控制网站及感染访问用户等攻击目标。因此，政务网站系统的安全防护工作应重点实现以下目标：a） 提升网页防篡改及监测、恢复能力，降低网页被篡改的安全风险；b） 提高抵抗拒绝服务攻击的能力及系统可用性，降低网站服务中断的风险；c） 提高人侵防护能力，强化数据安全管控措施，降低网站敏感信息泄露的安全风险；d） 构建纵深防御体系，降低网站被恶意控制的风险；e）采取网站防假冒措施，降低网站被仿冒的安全风险。5.1.2 安全措施概述
根据政务网站系统的结构组成（见附录A），结合对政务网站系统的安全风险分析，政务网站系统的安全防护措施应包括安全技术措施（包括安全管理中心）和安全管理措施两个部分，针对构成政务网站系统结构的基础设施层、信息资源层、应用和访问层等层面存在的脆弱性，分层给出相应的安全技术措施，其中应用访问安全、信息资源安全和基础设施安全中的相关内容共同构成网站系统中计算环境的安全保障措施。安全管理中心是通过技术措施配合管理手段共同建立主动防御能力的安全措施部分，实现对恶意代码、补丁升级、审计数据、策略管理、设备运行状况及安全事件等集中式的分析与管控。结合政务网站系统的建设、运维、退出等生命周期主要环节的安全防护需求，给出相应的安全管理措施，如图1所示。