1、ICS 35.020 L70 备案号 :40354-2014 DB11 北京市地方 标准 DB11/T 1041 2013 政务办公终端安全管理规范 Security management specification for government office computer 2013 - 12 - 20发布 2014 - 04 - 01实施 北京市质量技术监督局 发布DB11/T 1041 2013 I 目 次 前言 . II 1 范围 . 1 2 规范性引用文件 . 1 3 术语、定义和缩略语 . 1 3.1 术语和定义 . 1 3.2 缩略语 . 1 4 安全管理原则 . 1 4.1
2、明确责任 . 1 4.2 综合防范 . 1 4.3 适度保护 . 1 5 安全管理要求 . 2 5.1 责任人员 . 2 5.2 软件管理 . 2 5.3 安全制度 . 2 6 软件配置基本要求 . 2 6.1 操作系统配置要求 . 2 6.2 应用软件配置要求 . 3 7 外围控制基本要求 . 4 7.1 准入控制要求 . 4 7.2 流量监控要求 . 4 附录 A（规范性附录） 政务办公终端安全增强要求 6 DB11/T 1041 2013 II 前 言 本标准按照 GB/T 1.1-2009给出的规则起草。 本标准由北京市经济和信息化委员会提出并归口。 本标准由北京市经济和信息化委员会组
3、织实 施。 本标准起草 单位： 北京信息安全 测评中心 、北京市统 计局 信息 中心 、北京 东祥骏昌科技有限公司。 本标准 主要起草人 ：刘海峰 、 钱秀槟 、王春佳 、黄少青、 赵章界 、张晓梅 、梁博、 李晨旸 、贺海、 史蓉、 李晓燕 。 DB11/T 1041 2013 1 政务办公终端安全管理规范 1 范围 本标准规定 了政务办公终端的安全管理原则、安全管理要求、软件配置基本要求和外围控制基本要 求。 本标准适用 于政务办公终端 ，不 适用 于处 理涉及国家秘密 信息的 计算机 终端。 2 规范性引用文件 下列文件 对于 本文件的应用 是必不可少 的。 凡是注日期的引用文件 ，仅所
4、注日期的 版本适用 于 本文 件。凡是不注日期 的引用文件，其最新版 本（ 包括所有的 修改单 ）适用 于本文件。 GB/T 25069-2010 信息安全 技 术 术语 3 术语、定义和缩略语 3.1 术语和定义 GB/T 25069-2010界定的 以及下列 术语和定义适用 于本文件。 政务办公终端 government office computer 用 于处 理涉及 政务 工作的 台式、 便携式微型计算机 系统，不包含移动智能 终端（ 如掌上 电脑 、 智能 手 机 等）。 3.2 缩略语 下列缩略语适用 于本标准 ： IP 网络之间互连 的协议 Internet Protocol M
5、AC 介质访问 控制 Media Access Control 4 安全管理原则 4.1 明确责任 政务办公终端的 主管 单位 、 运维 单位 和使 用者 应按照 “谁 主管 谁负 责、 谁运行谁负 责、 谁使 用 谁负 责 ” 的原则明确安全责任。 4.2 综合防范 进行政务办公终端安全管理 时 ，应全 面综合 考虑 操作系统软件、应用软件、 网络接 入、外 联控制、 安全审 计等各个层面 对政务办公终端安全的 影响 。 4.3 适度保护 DB11/T 1041 2013 2 应 根据 政务办公终端 处理信息的 重要 程度给 予相 应的保护。本标准规定 了政务办公终端的基本安全 防护要求 ，
6、对 安全 有更高 要求的政务办公终端应 符合附录 A中对 应的安全增强要求。 5 安全管理要求 5.1 责任人员 5.1.1 岗位 5.1.1.1 明确一名 主管 领导 ，负 责政务办公终端安全管理的 领导和 协调 工作。 5.1.1.2 明确政务办公终端安全管理的责任 部门 和岗 位，并 在部门 和岗位 职责 中明确 相应的责任。岗 位 职 责应 包含 本单位 政务办公终端的安全配置、 日常维护 以及 定期 的安全 检查 工 作。 5.1.2 培训 5.1.2.1 用于政务办公终端的软件要制定配 套的安 装、配置 及使用 等操作 手册 ， 按 需求组织 宣贯培训， 指导用 户正 确使 用。
7、5.1.2.2 结合本 单位信息化 工作实 际情况 ，组织 内部 和外部培训，包括但 不限于 信息化 相关法律法规 的 宣贯 、信息安全 意识培训 、信息化和信息安全 常识 和基 础技能 的培训等 。 5.2 软件管理 5.2.1 根据日 常业 务需 求， 建立 政务办公终端软件 选用 列表 ， 提供支撑业 务开展 所必 需 的政务办公终 端软件。 列表 应包含 系统软件和应用软件 等类别 ，其中系统软件 可包括 操作系统、系统 补丁 等 ； 应用软 件 可包括 输入 法软件、文 档编辑 软件、文件 压缩软件、网 页浏览 软件、 邮件 客户端软件、文件 阅读器、 图片查 看 、 媒体播放、安全
8、防护软件 以及 打印 机等 办公 设备驱 动程 序等。 根据部门业 务需 要还 可包括 财 务软件、 远程 管理软件 以及 专 用业 务系统 客户 端等 。 5.2.2 应 依 照政务办公终端软件 选用列 表， 采用 正版 软件 ，建立 软件 资产清 单。 5.2.3 对 政务办公终端 进行 定期 安全漏洞扫描 ， 并 通过 正规渠道获取 操作系统 及应用软件的 补丁 程 序 。 5.3 安全制度 5.3.1 信息安全 工作 总体方针 和安全策 略中 应包含 政务办公终端安全。 5.3.2 对 政务办公终端软件安全管理活 动中 重要的管理 内容 建立 安全管理制度 ；对 安全管理人员 或操 作
9、人员 执行 的重 要政务办公终端软件管理操作 建立 操作规 程。 5.3.3 通过正 式有 效的 方式 将管理制度和操作规 程发布 。 5.3.4 建立政务办公终端软件安 装和变 更的 审批 制度。 因工 作 需要 在政务办公终端 中增加或减 少安 装 的软件、 对软件 进行 升级 、 或变 更软件配置前 ， 应按照审 批流 程进行审 核， 经审核批 准并 备案后， 由责 任 部门 或责任人 对相关 政务办公终端实 施软件 变更 或监督 实施 软件 变更 。 变 更完成后 ， 应 及时更新软件 配置清 单。 6 软件配置基本要求 6.1 操作系统配置要求 6.1.1 安装配置 6.1.1.1
10、按照统 一规则 为政务办公终端命 名， 名称 应易 于识别 。 DB11/T 1041 2013 3 6.1.1.2 根据日 常业 务需 求确定 需要的组件和 服务 ，仅 安装支撑业 务开展 所必 需的系统组件和 服务。 6.1.2 账号配置 6.1.2.1 使用非 系统管理员 账号作 为日常 办公的 账号 ，不应 使用其 他高权 限或特殊权 限账号 进行 日 常 办公操作 ，不 应将 日常 办公用的 普通账号赋 予系统管理员 权限 、其 他高 权限 或特殊权 限。 6.1.2.2 删除或禁 用系统 中的 特殊账号、 无用 账号 。 6.1.3 口令配置 6.1.3.1 设置账号 口令 保护
11、机制 ，不 应 使用 空口 令账号登 录系统。 6.1.3.2 账号口 令应由 字母 、数字 及特殊字 符组 成， 长度应 不少于 6位 。 6.1.3.3 重要账号 口令 应不少于 8位。 6.1.4 日志配置 6.1.4.1 设置系统 日 志审 计，对账号登录、 策 略更 改、 对 象访问、 服务访问 、系统事 件、账 户管理等 行 为 进行 日志记 录。 6.1.4.2 日志记 录的 内容 应包括 事件 发 生的 时间 、主 体、 客体 、 行为 （结 果） 等。 6.1.4.3 系统日 志保 留时间 应不少于 7天。 6.1.5 安全配置 6.1.5.1 关闭默认共享 ，明确 共享 文
12、件夹 的共享 权限 。 6.1.5.2 关闭移动 存储 介质 的自 动播放功 能。 6.1.5.3 禁用远 程桌 面服 务。 6.1.5.4 设置并 启用 带口 令的 屏幕 保护程 序， 设定 屏幕 保护 等待时间 。 6.1.5.5 启用补 丁自 动更 新功 能。 6.1.5.6 为网络连接 设置统 一、 可信的域 名解析 服务 器IP地址 ， 并至 少设 置1 个备 用的域 名 解析 服务器 IP地址 。 6.2 应用软件配置要求 6.2.1 一般要求 6.2.1.1 根据政务办公终端软件 选用 列 表， 按照 最小 需求安 装应用软件 及相关 组件。 6.2.1.2 在政务办公终端操作系
13、统 中设置 固定的应用 程序安 装目录、 数 据临 时存储目 录。应用 程序应 集 中 安装在 应用 程序 安装 目录中 ； 对于 存在 临时 文件的应用 程序 ， 应 在数 据临 时 存储目 录中 建立独立的 子目录 ，用 于保 存该 程序 的临时 文件 或缓存 文件。 6.2.2 文档编辑软件配置 6.2.2.1 文档编辑 软件应 设置用 于标 识 用户 的基本信息。 6.2.2.2 限制文 档编辑 软件 自动 批量 处 理功 能。 6.2.2.3 通过软件 自身功 能或通过 本机防 火墙 限制文 档编辑 软件访问 外部网络 。 6.2.2.4 启用文 档定 时保 存功 能。 6.2.3
14、网页浏览器 配置 6.2.3.1 网页浏览器 应设 置统 一、 可信的 初始 页面 或设 置为空 白 页。 DB11/T 1041 2013 4 6.2.3.2 设置下 载文件的统 一存储目 录 ，存储目 录应 为数 据临 时 存储目 录中 的独 立子目 录。 6.2.3.3 设定本 地缓存 空间 大小 ，并定期 清理本 地缓存 、历 史记录 以及 临时 文件 内容 。 6.2.3.4 根据需 要建立 浏览器 插件 或组件 列表 。 6.2.3.5 及时对所有下 载资 源进行 恶意代码 扫描 。 6.2.4 邮 件 客户 端配置 6.2.4.1 针对不 同的 邮箱 账号 ，应 设置易 识别 的
15、账号 标识 信息。 6.2.4.2 设置邮 箱账户 的访问 口 令， 邮 箱账 户 口令 应不 同 于系统口 令，并定 期更 新， 口令更 新周 期 应 不超过 3个 月。 6.2.4.3 建立独 立于 应用 程序 安装 目录之 外的 独立 目录 ， 用 于存储已 接收 、 已 发送 及分 类 保存的邮件。 6.2.4.4 禁用或 限制 邮件 客户 端软件 对 带格 式邮 件、附件的 自动处 理或 显示功 能。 6.2.4.5 及时对 邮件附件 进行 恶意 代码扫描 。 6.2.4.6 定期清除 、转 移或 归档 已收 取 的邮 件， 避免 信息 泄露 。 6.2.5 安全防护软件配置 6.2
16、.5.1 设置为 开机 自动 启动 方式 。 6.2.5.2 设置对 本机 数据进行 定期 安全扫描 。 6.2.5.3 设置对 接入 介质进行 自动 安全扫描 。 6.2.5.4 启用软件 及特 征库 的自 动更 新 功能 。 6.2.5.5 启用政务办公终端的防 火墙 ， 并以 白名 单的 方式 设置 访问 控制规则。 7 外围控 制基本要求 7.1 准入控 制要求 7.1.1 网 络 规划 根据各部门 工作 职能 和处 理业务的 重要 程度 ， 划分 不同的 子网 ， 按照 方便 管理控制和安全 隔离的原 则 为 各子 网分 配IP地址段 。 7.1.2 网 络 准入 设 置并 启用政务
17、办公终端准入控制 策 略， 通过 物 理接 入 点或 政务办公终端MAC 地址等 物理因 素， 将 政务办公终端 接入 到指 定的 物 理子 网或 逻辑 子网 中。 7.1.3 介 质 接入 设 置并 启用 移动 存储 介质接 入控制 策略 ，自 动实 行存储数 据安全性 扫描 。 7.2 流量监 控要求 7.2.1 流 量监 控配置 设 置并 启用 网络 流量监控 策略， 实时 监测 网络 带宽 使用等情况 ，能对 指定 子网 中 的政务办公终端带 宽 使 用进行 限制。 7.2.2 流 量 内容分析 DB11/T 1041 2013 5 具 备 对 网络 出口、 骨干链路 等关 键部 位网
18、络 流量 进行 分析 的能 力，能 根据 特征 监 测发 现典 型的网络 攻击、 恶意 软件 传播 等行 为。 DB11/T 1041 2013 6 A A 附 录 A （ 规范性 附录） 政务办公终端安全 增强 要求 A.1 四类安全 增强 要求 说明 A.1.1 自动化 管理 型 以实现自 动化管理、提 高 政务办公终端管理 效率 为重 点， 使政务办公终端实时 有 效运行 、 数据 实时 可用， 解决 管理政务办公终端数 量过 大或 政务办公终端管理人员 过少 等问 题。 A.1.2 数据保护 型 以 保护政务办公终端 数据 为重点 ， 使 政务办公终端用 于处 理敏感 信息、 访问 涉
19、及敏感 信息的 重 要系 统 时 ，数 据不 被恶 意泄露 和篡改， 解决 将政务办公终端数 据保护性 放在 首位 的情况 。 A.1.3 监 控审计型 以规范政务办公终端用 户操作为 重点 ，能及 时发 现安全问 题以及 事后 定位 信息安全 事件 ，能 实 时 监 测 政务办公终端软件 使用 行为， 在发 生安全 事件 后能为 管理人员提 供有 效的 网络访问行 为和 内容 审计记 录。 A.1.4 外设可控型 以加强政务办公终端外 设控制力 度为 重点 ， 使 政务办公终端 在安全、 可信、 可控的 网络 环境 中运行。 A.1.5 增强要求 选择 政务办公终端安全管理的责任部门 或人员
20、 可根据 本单位的安全管理实 际需 求， 在 满足 基本要求的基 础 上， 选择 上述四 类增强要求中 的一类 或几 类安全增强要求的组合。 A.2 自动化 管理 型增强 要求 A.2.1 操作系统要求 A.2.1.1 在政务办公终端 上安 装同 一类型 操作系统。 A.2.1.2 在操作系统安 装时 统一 系统 恢复 设置。 A.2.2 终端管理系统要求 部 署 统一 的终端管理系统 ，实现 对所 管辖 终端的 自动 化管理。管理的 内容 应至 少包括： 资产 管理、 状态监 测、系统 补丁 分发 、软件安 装管理、 主机 访问 控制、 远程 管理 等。 A.2.3 安全防护软件要求 设 置
21、安全防护软件统 一管理 ， 实现恶 意代码 防范规则 库自 动、 集中 、定 时更 新。 A.3 数据保护 型增强 要求 DB11/T 1041 2013 7 A.3.1 软件维 护管理要求 定 期对 安全 域中 的网络 设备 、政务办公终端 进行 安全 扫描 ，及 时发 现可能 的安全隐患 。 A.3.2 账号安全要求 A.3.2.1 不应直 接使 用系统管理员 账号。 A.3.2.2 多个用 户不 应共同 使用 一个 账号登 录操作系统。 A.3.2.3 账号口 令应 与其 它的 鉴别 方式（ 如动 态口 令、 数字 证书等 ）配合 使用。 A.3.2.4 账号口 令应 包含 大写 字母
22、、小写 字母 、数字 、特殊字 符等 四类 字符 。 A.3.2.5 账号口 令应定 期更 换， 更换 周 期应 不超 过3 个月 。 A.3.2.6 设置口 令延 时、 尝试次 数阈值， 达到 阈值 时应 采取 响应措 施， 防范 暴力 口令 破解。 A.3.3 系统日志要求 设 置 日志 文件 大小 及达 到设 定 值或无 存储 空间时 的操作方 式。 A.3.4 文档编辑软件要求 A.3.4.1 禁用文 档编辑 软件的 网络 功能。 A.3.4.2 限制文 档编辑 软件 在本 地保 存 副本 或临 时文件。 A.3.4.3 重要文 档设 置口 令保护 ，限 制 对文 档的 读写 权限 。
23、 A.3.5 网页浏览器 要求 A.3.5.1 禁用本 地缓存 网页 文件。 A.3.5.2 禁用本 地自 动保 存用 户账号 、口 令等 敏感 信息。 A.3.6 主机防护要求 A.3.6.1 操作系统 及应用软件的 补丁 程 序在 安装 前应 进行 测试 。 A.3.6.2 统一安 装恶 意软件防范 工具 ， 定期 更新 恶意 软件 特征库。 A.3.6.3 对本地 重要文件 进行 保护 ，保障 文件的保 密性和 完整 性。 A.3.7 准 入控 制要求 A.3.7.1 对接入安全 域的政务办公终端进行 认证 ，通过 验证 后方可 使用 网络 资源 。 A.3.7.2 对未授 权政务办公终
24、端 接入 及 安全 域内 政务办公终端 未授 权外 联进行 限制。 A.3.7.3 能够对 内部网络 的内部 用户 未 通过 准许私 自联 到外 部网络 的行 为进行检查 。 A.3.8 外设管理要求 加 强 移动 存储 介质 的管理 ，检验 接入 介质 的合 法性 ，并进行 必要的 审计 。 A.4 监控审计型增强 要求 A.4.1 基 础 要求 A.4.1.1 建立独 立于 政务办公终端的监控和 审计 系统。 DB11/T 1041 2013 8 A.4.1.2 在核心 交换机 设置端口镜像 ， 或采取其 他有 效措施， 将 所有 网络 流量 数据发 送至监控和 审 计 系统。 A.4.2
25、 策 略 设置要求 A.4.2.1 依照政务办公终端软件运行需求 ，设置并 启用软件 进程监 测策略 ，对 违反策 略的行 为进行限 制。 A.4.2.2 依照政务办公终端软件选 用列表 ，设置并 启用 重 要软件日 志审计 策略 ，对软件增加 、修改、 删除等 软件 变更情况进行审 计， 审计 信息应 包括日期 、 时间 、来 源、用 户、操作、 结果 等要 素。 A.4.2.3 设置审 计数 据保 存应 不少于 60天 ，数 据保 存应 独立 于被保护政务办公终端 之外。 A.4.3 日志记录 要求 A.4.3.1 将日志记 录通过 网络 远程 保存在 外部 日志 服务 器中 。 A.4.3.2 日志记 录应包括： 事件的 日期和 时间、用 户、 事 件类 型 、事 件 是否 成功 及其 他与审 计相关的 信息， 并对 违反 策略的 访问行为 及时响 应和 处置。 A.4.3.3 审计记 录应 独立 保存 ，保 存时间 应不少于 60天 。 A.5 外设可控型增强 要求 设 置并启 用政务办公终端外 联 控制 策略， 未经授 权 不应通过 任何形 式连接 外 部网络,不 应使用 USB 接口为 手机 等外 部设备 充电 ， 并对 政务办公终端 未经 授 权的外 联行 为进行 监测 和 处置。 _
