ICS35.240.01 CCS L 67 DB65 新疆维吾尔自治区地方标准 DB65/T4536.7—2022 电子政务外网建设规范 第7部分：政务云安全要求 Construction specifications of E-Government network- Part 7: Scurity requirements for government cloud 地方标准信息服务平 2022-10-10发布 2022-12-09实施 新疆维吾尔自治区市场监督管理局 发布 地方标准信息服务平台 DB65/T4536.7—2022 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件是DB65/T4536—2022《电子政务外网建设规范》的第7部分。DB65/T4536—2022《 《电 子政务外网建设规范》分为8个部分： 第1部分：网络架构； -第2部分：IPv4地址规划； 第3部分：IPv6地址规划； 第4部分：IP域名规划； -第5部分：网络安全实施指南； -第6部分：安全接入平台技术要求； 第7部分：政务云安全要求； 第8部分：网络质量规范。 本文件由新疆维吾尔自治区电子政务外网管理中心提出。 本文件由新疆维吾尔自治区工业和信息化厅归口并组织实施。 本文件起草单位：新疆维吾尔自治区信息中心（新疆维吾尔自治区电子政务外网管理中心）、新疆 维吾尔自治区产品质量监督检验研究院、新疆维吾尔自治区信息技术工程质量监督检验站、新疆维吾尔 自治区标准化研究院、中国电信集团系统集成有限责任公司新疆分公司。 本文件主要起草人：赵若平、袁学海、艾合买提·加马力、石常海、杨伟、朱焕宇、安军、吴兵林、 赵晗、钱寅、宋海翔、伟利、周斌、李兰、卫永强、邓攀、马浩铭、李若琪。 本文件实施应用中的疑问，请咨询新疆维吾尔自治区信息中心（新疆维吾尔自治区电子政务外网管 理中心）。 对本文件的修改意见和建议，请反馈至新疆维吾尔自治区信息中心（新疆维吾尔自治区电子政务外 网管理中心）（乌鲁木齐市天山区人民路325号通宝大厦7楼）、新疆维吾尔自治区工业和信息化厅（鸟 鲁木齐市友好南路179号）、新疆维吾尔自治区市场蓝督管理局（乌鲁木齐市新华南路167号）。 新疆维吾尔自治区信息中心（新疆维吾尔自治区电子政务外网管理中心）联系电话：0991-2823026； 传真：0991-2810350；邮编：830002 新疆维吾尔自治区工业和信息化厅联系电话：0991-4523947；传真：0991-4543050；邮编：830091 信息服务平台 新疆维吾尔自治区市场监督管理局联系电话：0991-2818750；传真：0991-2311250；邮编：830004 I 地方标准信息服务平台 DB 65/T 4536.7-2022 电子政务外网建设规范 第7部分：政务云安全要求 1范围 本文件规定了电子政务云安全要求的术语和定义、缩略语、业务区域划分、安全参考模型、安全技 术要求和安全管理要求。 本文件适用政务云规划设计、设备选型、建设实施、运行维护和管理。为各级政务部门建设政务云 提供指导和参考。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T202711 信息安全技术信息系统通用安全技术要求 GB/T222391 信息安全技术网络安全等级保护基本要求 GB/T25069 信息安全技术术语 GB/T30285 信息安全技术灾难恢复中心建设与运维管理规范 GB/T31500 信息安全技术存储介质数据恢复服务要求 GB/Z20986信息安全技术信息安全事件分类分级指南 DB65/T4536.6电子政务外网建设规范第6部分：安全接入平台技术要 求 3术语和定义 GB/T25069界定的以及下列术语和定义适用于本文件。 3. 1 政务云 government cloud 依托电子政务外网，承载各级政务部门开展公共服务、社会管理的业务信息系统和数据，并满足跨 部门业务协同、数据共享与交换等的需要，提供IaaS、PaaS和SaaS服务的云计算服务。 3. 2 云计算基础设施cloudcomputinginfrastructure 由硬件资源和资源抽象控制组件构成的支撑云计算的基础设施。硬件资源包括所有的物理计算资 源，即服务器（CPU、内存等）、存储组件（硬盘等）、网络组件（路由器、防火墙、交换机、网络链 路和接口等）及其他物理计算基础元素。资源抽象控制组件对物理计算资源进行软件抽象，云服务方通 过这些组件提供和管理对物理计算资源的访问。 3. 3 云管理平台cloudmanagementplatform 1 DB65/T4536.7-2022 为整个云计算基础设施提供资源管理和服务管理，能够对存储/计算/网络/系统等基础设施资源 （IaaS）、应用/开发/数据平台（PaaS）和软件架构整合服务（SaaS）进行管理。一般情况下，由云计 算基础设施服务方提供，也可由第三方提供云管理平台。 3.4 云服务客户cloudtenant 使用政务云的各级政务部门（指各级党委、人大、政府、政协、法院和检察院等政务部门），即使 用云计算基础设施开展电子政务业务和处理、存储数据的组织（或机构）及相关事业单位。包括单位内 部业务使用人员及对云相关云资源和安全的管理人员。 3. 5 云服务方cloud service party 为各级政务部门提供计算、存储、网络及安全等各类云计算基础设施资源、相关软件、服务及执行 业务运营和相关管理工作的提供商。 3. 6 政务云管理单位governmentcloud managementunit 是政务云的行政监管单位，负责政务云平台的规划、应用、监督、管理及对云服务方的考核，审核 云服务客户的政务云平台使用需求，受理政务云平台建设方案备案。 3.7 虚拟专有云virtualprivatecloud 提供一个逻辑隔离的区域，搭建一个安全可靠、可自主定义的环境。在该区域中部署独立的服务资 源，并根据业务需求定义虚拟环境，包括定义网络拓扑、创建子网、虚拟机存储资源和划分安全组等。 3.8 控制器controller 包括虚拟化监视器、SDN控制器、存储虚拟化控制器和策略管理控制器等进行物理资源抽象管理的 资源管理和策略管理系统。 3. 9 跨网数据交换系统dataexchangeacrossregionalnetworks 一种基于网络隔离技术的无协议数据同步系统，综合利用设备认证、数据格式检查、病毒检查等安 全措施，实现两个不同网络业务区服务器之间数据同步。可由外交换服务器和内交换服务器及相关隔离 设备组成，支持数据库、文件、图像数据及请求响应数据的安全交换。 方标准信息服务平台 4缩略语 ACL：访问控制列表（AccessControlList） API：应用程序编程接口（ApplicationProgrammingInterface APT：高级持续性威胁（Advanced PersistentThreat） CA：认证中心（Certificate Authority） CPU：中央处理单元（CentralProcessingUnit） DDoS：分布式拒绝服务（Distributed Denial of Service） IaaS：基础设施即服务（Infrastructure as a Service） IDS：入侵检测系统（IntrusionDetectionSystem) IP：网际互联协议（InternetProtocol） IPS：入侵防御系统（IntrusionPrevention System） MPLS：多协议标签交换(Multi-ProtocolLabel Switching) 2 DB 65/T 4536.7—2022 PaaS：平台即服务（Platform as a Service） RPO：恢复点目标（RecoveryPointObjective） RTO：恢复时间目标（RecoveryTimeObjective) SaaS：软件即服务（Software as a Service） SDN：软件定义网络（SoftwareDefinedNetwork） URL：统一资源定位系统（uniform resourcelocator） VM：虚拟机（Virtual Machine) VPC：虚拟专有云(VirtualPrivateCloud) VPN：虚拟专用网络（VirtualPrivateNetwork） 5业务区域划分 5.1结构图 如图1所示： 自治区级电子政务 统- 2G/3G/4G () 外网城域网 互联网出口 网际监测 VPDN 互联网 安全 .... 接入 认证、授权、网 VPN网关集群 安全 防护 防火墙 IDS、IPS、 域 平台 网核 关管理、MDM等 SSL/IPSEC 抗DDOS、流控 心 政务云框架示意图 互联网业务 88 云资源 门户 业务系统 管理区 存 储 网管 部门 资 平台 部门业务 城域网 业务 汇聚 访问控制网关 源 云管 池 平台 88 城域网 CA/RA 公共区业务 接入 0 88 门户网站 数据交换 DNS、视频 S 基础库 （法人库等） 共享平台 会议等 政务 企事业 部门 单位 访间控制 服务平台 网关 图1 政务云业务区域划分图 5.2政务云服务 5.2.1政务云是承载各级政务部门的门户网