DB36 T 1584-2022 电子政务外网企事业单位接入技术规范.pdf

1、ICS 35.080 CSS L 07 DB36 江 西 省 地 方 标 准 DB36/T 1584 2022 电子政务外网企事业单位接入技术规范 Technical specification for enterprises and institutions accessing e-government extranet 2022-05-30发布 2022-12-01实施 江西省市场监督管理局 发 布 DB36/T 15842022 I 目 次 前言.II 引言.III 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 缩略语.2 5 企事业接入区.2 6 管理要求.5 7 安全

2、要求.5 8 线路要求.6 9 服务流程.6 附录 A（规范性附录）企事业单位申请表.8 附录 B（规范性附录）主管政务部门审核表.10 附录 C（规范性附录）实施授权函.12 参考文献.14 DB36/T 15842022 II 前 言 本文件按照GB/T 1.1-2020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由江西省发展和改革委员会提出并归口。本文件起草单位：江西省信息中心。本文件主要起草人：杜军龙、孙杨、吁元卿、何黎明、赖敬坤、梅洪、淦华山、曾诗亮、蔡明明、林林、冯一德、王一名、苏文

3、韬。DB36/T 15842022 III 引 言 随着数字经济的发展和数字政府的建设，电子政务的应用不断深入和丰富，政务部门的业务应用正逐步向关联企事业单位延伸，企事业单位接入电子政务外网的需求越来越迫切。与政务部门相比，企事业单位在安全风险防范方面存在更多的不确定性，需采用更严格的安全防护联网方式。为规范电子政务外网的企事业单位接入行为，明确企事业单位的联网方式和联网要求，保障电子政务外网安全稳定运行，特制定本规范。DB36/T 15842022 1 电子政务外网企事业单位接入技术规范 1 范围 本文件规定了企事业接入区整体架构和技术要求，明确了企事业单位接入电子政务外网的接入原则、管理要

4、求、安全要求、线路要求和服务流程。本文件适用于企事业单位接入电子政务外网。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GW 0202 国家电子政务外网安全接入平台技术规范 3 术语和定义 下列术语和定义适用于本文件。3.1 电子政务外网 e-government extranet 电子政务重要基础设施，服务于各级党委、人大、政府、政协、纪委监委、法院和检察院等政务部门，满足其社会管理、公共服务、经济调节和市场监管等方面需要的政务公用网络

5、。电子政务外网支持跨地区、跨部门的业务应用、信息共享和业务协同，以及不需在政务内网上运行的业务。电子政务外网与互联网逻辑隔离。3.2 电子政务外网管理单位 e-government extranet management unit 负责本级电子政务外网建设和运维管理工作，省市县均设有电子政务外网管理单位。3.3 电子政务外网城域网 metropolitan area network of e-government extranet 在一个城市范围内建立的电子政务外网，用于实现同城不同位置的各单位网络接入和互联互通。3.4 接入单位 enterprises and institutions ac

6、cess area access unit 从事公益服务的一、二、三类事业单位，国有、集体、私营及混合所有制企业，与政务部门进行线DB36/T 15842022 2 上业务互通的商会、行业协会等自治性组织。3.5 企事业接入区 enterprises and institutions access area 用于企事业单位接入电子政务外网的专用网络接入和安全防控区域。3.6 运营单位 enterprises and institutions access area operation unit 由电子政务外网管理单位授权，承担电子政务外网企事业接入日常运营服务工作。3.7 接入终端 termi

7、nal 企事业单位接入电子政务外网的服务器、个人计算机、移动智能终端、物联网终端等。4 缩略语 下列缩略语适用于本文件。MD5：信息摘要算法（Message-Digest Algorithm 5）MAC：媒体接入控制（Media Access Control）IP：网际互联协议（Internet Protocol）SSL VPN：安全套接层虚拟专用网（Secure Socket Layer Virtual Private Network）5 企事业接入区 5.1 整体架构 5.1.1 为完善企事业单位电子政务外网联网规范，进一步提升企事业单位政务网络安全防护能力，应建立覆盖端到端全链条的防护链

8、，建立涵盖终端、线路、边界、平台、数据等全要素的防护网，建立具备事前防护、事中监测、事后溯源全流程的防护墙。电子政务外网边界域内，应部署设置专用的企事业单位接入区。DB36/T 15842022 3 图 1 企事业接入区架构示意图 5.1.2 企事业接入区位于电子政务外网城域网和接入单位之间，省市分别部署省级企事业接入区和市级企事业接入区，县级原则上不部署企事业接入区。如图 1所示，省市企事业接入区包括如下五个功能区域：a)隔离交换区：提供接入单位局域网内部数据和电子政务外网业务应用系统的安全隔离、信息交换功能；b)边界接入区：提供接入单位汇聚接入电子政务外网功能；c)准入控制区：提供身份管理

9、、准入控制、违规外联检测和授权管理等功能，保证终端安全可控地接入电子政务外网；d)边界防护区：保障企事业接入区和电子政务外网安全隔离；e)安全管理区：提供用户认证、终端管理、终端杀毒和统一安全管理等功能，对接入单位接入终端统一安全管理和运维。5.2 技术要求 5.2.1 隔离交换区 隔离交换区应满足如下要求：a)采用双主机系统和一个固态介质存储交换系统架构；b)保证数据交换时无任何通信和网络协议连接，实现电子政务外网和互联网等其他网络物理隔DB36/T 15842022 4 离；c)具备恶意代码防范功能，防止病毒和黑客非法访问，支持在线更新。5.2.2 边界接入区 边界接入区应满足如下要求：a

10、)按照方便管理和控制的原则，划分不同的网络区域；b)保证接入设备的业务处理能力、线路带宽满足业务高峰期需要；c)关键接入设备和通信线路采用冗余架构，保证系统的高稳定性。5.2.3 准入控制区 准入控制区应满足如下要求：a)身份认证：提供多因子统一身份认证功能，实现先认证后连接的准入方式；b)安全防护：能够对接入终端的基本信息、补丁信息、杀毒软件信息、违规外联信息等安全状态进行全方位监测，具备禁止高风险主机入网功能，能够抵御端口扫描、分布式拒绝服务（DDoS）等多种网络攻击行为；c)动态授权：能对接入用户持续信任评估，结合用户终端安全状态、网络行为、访问时间等动态调整信任评估值，并能根据信任评估

11、值对接入用户实现动态准入控制、动态授权管理。5.2.4 边界防护区 边界防护区应满足如下要求：a)访问控制：按权限最小化原则严格控制访问资源，控制粒度达端口级，能基于应用协议和应用内容对数据流实现访问控制；b)入侵防范：支持入侵防范安全策略部署，对攻击行为进行实时告警并阻断，实现入侵防御，支持攻击特征库实时升级；c)恶意代码防范：支持对病毒、蠕虫、僵尸网络等恶意流量的检测、分析、阻断和清除，支持对多层压缩文件查杀，支持基于文件 MD5值设置病毒白名单。5.2.5 安全管理区 安全管理区应满足如下要求：a)具备接入线路质量感知功能，实时监测线路状态；b)具备对安全设备智能运维管理、策略查看与分发

12、、拓扑呈现和分级分权管理功能，能修复网络故障；c)支持网络安全设备日志的统一收集、集中存储、范式化处理、统计查询、监测告警功能，并至少保存 6个月。5.3 接入原则 5.3.1 属地接入原则 各企事业单位按属地原则就近接入，省级企事业单位连至省级企事业接入区，市域内、县域内企事业单位连至市级企事业接入区。5.3.2 按需接入原则 DB36/T 15842022 5 各企事业单位申请接入，应以确有政务业务应用访问需求为前提，业务访问需求由相关政务部门核准。5.3.3 受控访问原则 企事业单位接入电子政务外网后，只允许访问由相关政务部门核准的特定业务相关资源。6 管理要求 6.1 人员管理 接入单

13、位工作人员应相对固定，工作人员不可在终端上进行与工作无关的违规操作，不得利用电子政务外网复制、制造和传播危害国家安全、妨碍社会治安及其他不良信息，不得利用电子政务外网从事危害国家安全、泄露国家秘密等犯罪活动。6.2 设备管理 接入单位终端应专机专用，网络边界设备应安排专人负责管理和维护，要建立严格的网络管理制度，不得随意更改网络设备配置，定期对网络设备状况和网络设置进行检查，确保网络的安全、正常运行。7 安全要求 7.1 物理环境安全 接入单位网络设备的部署物理位置应满足如下要求：a)具有防震、防雷、防风和防雨等能力的建筑内；b)设立固定的物理位置，满足基本的防水、防潮要求。7.2 接入边界安

14、全 接入单位网络边界安全防护应满足如下要求：a)访问控制：能根据会话状态信息为数据流提供明确的允许/拒绝访问能力，控制粒度达端口级，并能基于应用协议、应用内容对流量实现访问控制，支持网际协议版本 4（IPv4）网际协议版本 6（IPv6）下网络地址转换（NAT）。b)入侵防范：在关键网络节点对内外部网络攻击行为进行实时告警并阻断，实现入侵防御，并及时升级攻击特征库；c)防病毒：支持对多种应用层协议检测以及查杀病毒，支持基于文件 MD5值、文件下载统一资源定位符（URL）设置病毒白名单，支持对多层压缩文件的查杀功能，实现病毒防范；d)安全审计：记录电子政务外网访问行为、网络地址转换日志等信息，记

15、录信息含攻击源 IP 地址、攻击类型、攻击目的IP地址和攻击时间等关键信息，审计信息应至少保存 6 个月。7.3 接入终端安全 接入终端安全防护应满足如下要求：a)身份鉴别：接入终端应进行注册，注册信息至少包括MAC 地址、使用者信息和终端配置信息等，支持对接入终端进行 IP 地址、MAC 地址和端口绑定，支持两种或两种以上组合的鉴别技术对用户进行身份鉴别；b)安全检查：终端接入前，应通过是否安装防病毒软件、是否运行恶意进程等安全接入检查，不DB36/T 15842022 6 符合要求的终端不允许接入；c)网络隔离：终端获得准入授权后，通过安全隧道和唯一会话访问电子政务外网业务，实现网络和会话

16、隔离；d)恶意代码防范：接入终端应安装病毒与恶意代码防护软件，支持对终端磁盘、终端内存、终端引导区、移动存储介质等位置检测，支持对恶意代码的检测、阻止、删除、隔离、清除还原等，并及时更新病毒与恶意代码库；e)终端入侵防护：支持终端基本信息、终端事件记录、终端变更记录等的采集，能发现劫持、暴力破解、端口扫描等入侵行为，能对入侵行为溯源取证、预警和阻断等；f)非法外联控制：终端接入后，能检测终端通过无线热点、双网卡、非法网关连接互联网的行为，并对该行为进行告警和阻断；g)漏洞检测修复：对操作系统漏洞、端口和服务等进行安全检测，对存在的漏洞提供修复建议，能进行补丁修复；h)数据安全防护：支持业务数据

17、通信访问加密保护，支持国密算法，支持通过邮件、即时通信、网盘、移动存储介质、剪贴、截屏等泄露数据行为的控制和溯源，防止政务数据外泄。8 线路要求 企事业单位接入应使用物理光纤、传输电路或SSL VPN虚拟线路，SSL VPN虚拟线路应符合 GW 0202的要求，接入线路应满足如下基本要求：a)普通业务的数据线路带宽10Mbps；b)含视频业务的数据线路带宽20Mbps；c)平均时间延迟20ms；d)抖动10ms；e)丢包率1；f)可用性99.9%；g)可靠性365d。9 服务流程 9.1 接入流程 具有电子政务外网业务应用访问需求的未接入企事业单位，按如下流程办理接入：a)接入申请：企事业单位

18、填写“企事业单位接入申请表”（附录 A.1），向政务主管部门提出接入电子政务外网申请；b)受理审核：政务主管部门业务核准后，批量汇总，填写“企事业单位批量接入业务审核表”（附录 B.1），一并提交给电子政务外网管理单位；外网管理单位受理批量申请后，按本文件要求进行技术审核；c)接入实施：审核通过后，电子政务外网管理单位下发“企事业单位电子政务外网接入的实施授权函”（附录C.1）给电子政务外网运营单位，由运营单位按授权函开展联网实施工作。9.2 变更流程 需变更服务的接入单位，变更内容包括但不限于接入地点变更、接入设备变更和访问资源变更，按如下流程办理变更：DB36/T 15842022 7 a

19、)变更申请：企事业单位填写“企事业单位变更申请表”（附录 A.2），向政务主管部门提出变更申请；b)受理审核：政务主管部门业务核准后，批量汇总，填写“企事业单位批量变更业务审核表”（附录 B.2），一并提交给电子政务外网管理单位；外网管理单位受理批量申请后，按本文件要求进行技术审核；c)变更实施：审核通过后，电子政务外网管理单位下发“企事业单位电子政务外网变更的实施授权函”（附录C.2）给电子政务外网运营单位，由运营单位按授权函开展变更实施工作。9.3 注销流程 需停止服务的接入单位，按如下流程办理注销：a)注销申请：企事业单位填写“企事业单位注销申请表”（附录 A.3），向政务主管部门提出注

20、销申请；b)受理审核：政务主管部门业务核准后，批量汇总，填写“企事业单位批量注销业务审核表”（附录 B.3），一并提交给电子政务外网管理单位；外网管理单位受理批量申请后，按本文件要求进行技术审核；c)注销实施：审核通过后，电子政务外网管理单位下发“企事业单位电子政务外网注销的实施授权函”（附录C.3）给电子政务外网运营单位，由运营单位按授权函开展注销实施工作。DB36/T 15842022 8 附 录 A（规范性附录）企事业单位申请表 表A.1 企事业单位接入申请表 申请接入单位（盖章）单位名称：详细地址：单位业务访问需求说明 目标业务应用IP 地址及端口 接入终端数量 接入线路类型 物理光纤

21、 传输电路 SSL VPN（其它：）联系人及联系方式 政务主管单位业务核准意见（签章）年 月 日 表A.2 企事业单位变更申请表 申请变更单位（盖章）单位名称：详细地址：企事业单位变更情况说明 联系人及联系方式 政务主管单位业务核准意见（签章）年 月 日 DB36/T 15842022 9 表A.3 企事业单位注销申请表 申请注销单位（盖章）单位名称：详细地址：企事业单位注销情况说明 联系人及联系方式 政务主管单位业务核准意见（签章）年 月 日 DB36/T 15842022 10 附 录 B（规范性附录）主管政务部门审核表 表B.1 企事业单位批量接入业务审核表 业务审核部门（业务主管政务部

22、门）审核部门联系人 姓名：电话：企事业接入单位数量 接入单位名单及详细地址 1 2 3 4 5（可另附页）接入单位业务访问需求 目标业务应用端口IP 地址 接入终端数量 接入线路类型 物理光纤 传输电路 SSL VPN（其它：）审核单位意见（签章）年 月 日 DB36/T 15842022 11 表B.2 企事业单位批量变更业务审核表 业务审核部门（业务主管政务部门）审核部门联系人 姓名：电话：企事业变更单位数量 变更单位名单及详细地址 1 2 3 4 5（可另附页）变更情况说明 审核单位意见（签章）年 月 日 表B.3 企事业单位批量注销业务审核表 业务审核部门（业务主管政务部门）审核部门联

23、系人 姓名：电话：企事业注销单位数量 注销单位名单及详细地址 1 2 3 4 5（可另附页）注销情况说明 审核单位意见（签章）年 月 日 DB36/T 15842022 12 附 录 C（规范性附录）实施授权函 表C.1 企事业单位电子政务外网接入的实施授权函 业务核准部门(政务主管部门)接入审核部门(外网管理部门)接入实施部门(外网运营单位)实施授权函内容（外网运营单位）：我单位正式授权贵单位，作为本批次企事业单位接入电子政务外网相关业务的实施单位。请按本函表格中注明的各项要求执行。此致（外网管理部门签章）年 月 日 接入单位数量 接入单位名单及详细地址 1 2 3（可另附页）接入单位业务访

24、问需求 目标业务应用端口IP 地址 接入终端数量 接入线路类型 物理光纤 传输电路 SSL VPN（其它：）DB36/T 15842022 13 表C.2 企事业单位电子政务外网变更的实施授权函 业务核准部门(政务主管部门)变更审核部门(外网管理部门)变更实施部门(外网运营单位)实施授权函内容（外网运营单位）：我单位正式授权贵单位，作为本批次企事业单位变更电子政务外网相关业务的实施单位。请按本函表格中注明的各项要求执行。此致（外网管理部门签章）年 月 日 变更单位数量 变更单位名单及详细地址 1 2 3（可另附页）变更情况说明 表C.3 企事业单位电子政务外网注销的实施授权函 业务核准部门(政务主管部门)注销审核部门(外网管理部门)注销实施部门(外网运营单位)实施授权函内容（外网运营单位）：我单位正式授权贵单位，作为本批次企事业单位注销电子政务外网相关业务的实施单位。请按本函表格中注明的各项要求执行。此致（外网管理部门签章）年 月 日 注销单位数量 注销单位名单及详细地址 1 2 3（可另附页）注销情况说明 DB36/T 15842022 14 参 考 文 献 1 GW 0104 国家电子政务外网安全等级保护实施指南 2 GB/T 22239 信息安全技术 网络安全等级保护基本要求 3 GW 0206 接入政务外网的局域网安全技术规范 _