犐犆犛犔犌犅犜犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔犌犲狀犲狉犪犾狊犲犮狌狉犻狋狔狉犲狇狌犻狉犲犿犲狀狋狊狅犳狀犲狋狑狅狉犽狆狉狅犱狌犮狋狊犪狀犱狊犲狉狏犻犮犲狊犌犅犜目次前言范围规范性引用文件术语和定义概述安全通用要求基本级安全通用要求增强级安全通用要求参考文献犌犅犜前言本标准按照给出的规则起草请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别这些专利的责任本标准由全国信息安全标准化技术委员会提出并归口本标准起草单位中国电子技术标准化研究院北京赛西科技发展有限责任公司公安部第三研究所中国信息安全测评中心中国网络安全审查技术与认证中心国家信息技术安全研究中心中国电子信息产业发展研究院中国科学院信息工程研究所中国信息通信研究院国家信息中心国家计算机网络与信息安全管理中心中电数据服务有限公司中国软件评测中心工业和信息化部电子第五研究所中国电子科技集团公司第十五研究所中国科学院软件研究所公安部第一研究所阿里巴巴北京软件服务有限公司联想北京有限公司阿里云计算有限公司浪潮电子信息产业股份有限公司北京天融信网络安全技术有限公司华为技术有限公司启明星辰信息技术集团股份有限公司中国电力科学研究院有限公司北京神州绿盟科技有限公司深圳市腾讯计算机系统有限公司北京奇虎科技有限公司北京威努特技术有限公司山谷网安科技股份有限公司国家应用软件产品质量监督检验中心新华三技术有限公司浙江蚂蚁小微金融服务集团股份有限公司深信服科技股份有限公司西门子中国有限公司奇安信科技集团股份有限公司本标准主要起草人刘贤刚李京春顾健李斌李嵩叶润国孙彦谢安明胡影王闯许东阳高金萍宋好好周开波舒敏吴迪刘蓓何延哲方进社崔宁宁周亚超张宝峰布宁任泽君申永波李汝鑫樊洞阳雷晓锋鲍旭华程广明郭永振白晓媛赵江杜晓黎史岗韩煜董晶晶刘玉岭李凌李娜严妍徐雨晴张屹焦玉峰代威石凌志钟建伟姚金龙宋铮闫韬郭旭王晖犌犅犜信息安全技术网络产品和服务安全通用要求范围本标准规定了网络产品和服务应满足的安全通用要求包括安全功能要求和安全保障要求本标准适用于网络产品和服务提供者进行网络产品和服务的安全设计安全实现和安全运行也可用于指导第三方测评机构对网络产品和服务进行安全测评规范性引用文件下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件信息安全技术术语术语和定义界定的以及下列术语和定义适用于本文件网络狀犲狋狑狅狉犽由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集存储传输交换处理的系统网络产品狀犲狋狑狅狉犽狆狉狅犱狌犮狋作为网络组成部分以及实现网络功能的硬件软件或系统按照一定的规则和程序实现信息的收集存储传输交换和处理注网络产品包括计算机通信设备信息终端工控网络设备系统软件和应用软件等用户信息狌狊犲狉犻狀犳狅狉犿犪狋犻狅狀与个人法人或其他组织有关的信息以及定义和描述此类信息的数据注用户信息包括个人信息用户生成的文档程序多媒体资料用户通信的内容地址时间产品的配置运行及位置数据系统运行过程产生的日志等恶意程序犿犪犾狑犪狉犲用于实施网络攻击干扰网络和信息系统正常使用破坏网络和信息系统窃取网络和系统数据等行为的程序注恶意程序主要包括病毒蠕虫木马以及其他影响主机网络或系统安全稳定运行的程序安全缺陷狊犲犮狌狉犻狋狔犳犾犪狑由设计开发配置生产运维等阶段中的问题引入可能影响网络产品和服务安全的弱点犌犅犜漏洞狏狌犾狀犲狉犪犫犻犾犻狋狔网络产品和服务中能够被威胁利用的弱点注改写定义概述网络产品和服务的安全直接影响到其支撑的网络的安全网络产品和服务在研发生产交付服务提供或运维过程中可能引入安全隐患导致信息泄露数据篡改服务中断不当控制等安全风险为了减少网络产品和服务中的常见安全风险提升用户对网络产品和服务在安全性方面的信心网络产品和服务提供者应采取相应安全措施实现以下安全目标防范信息泄露风险保障网络产品和服务中用户信息不被泄露降低用户信息泄露的安全风险防范数据篡改风险保障网络产品和服务中用户信息不被非授权更改或伪造降低数据被篡改的安全风险防范服务中断风险保障网络产品和服务的持续运行和供应降低网络产品和服务供应中断的安全风险防范不当控制风险保障网络产品和服务运行过程中的风险可控降低网络产品和服务提供者恶意控制用户的网络产品和服务非授权获取用户信息以及利用用户对网络产品和服务的依赖实施不正当竞争或损害用户利益的风险本标准从安全功能和安全保障两个方面规范网络产品和服务的安全通用要求安全功能和安全保障均包含基本级和增强级安全要求其中增强级安全要求用宋体粗体字进行标识安全通用要求基本级安全通用要求安全功能要求身份标识和鉴别具有用户身份标识和鉴别功能的网络产品和服务应对用户身份进行标识和鉴别身份标识具有唯一性对用户身份鉴别凭证进行安全保护防止鉴别凭证的泄露篡改告知用户网络产品和服务中与用户相关的所有预置的账户和默认口令允许用户更改默认口令在存在默认口令时提示用户对默认口令进行修改授权与访问控制具有授权与访问控制功能的网络产品和服务应按照最小授权原则在出厂时预置访问控制策略需要配置安全策略时允许用户更改访问控制策略在用户访问受控资源或功能时依据设置的访问控制策略进行访问控制保障访问和操作的安全不存在加载或运行后会禁用或绕过访问控制机制的组件犌犅犜日志记录与审计具有日志记录与审计功能的网络产品和服务应对用户账户的登录注销系统开关机和核心配置变更等操作进行日志记录在日志记录中包括事件发生的日期和时间事件的类型主体身份事件操作结果等对日志记录进行安全保护防止日志记录的损毁或未授权的追加访问修改删除等用户信息安全保护具有用户信息收集处理等功能的网络产品和服务应除法律法规另有规定外明确告知收集用户信息的目的用途范围和类型在获得用户同意后方可收集用户信息将收集的用户信息仅用于用户同意的目的和用途在收集实现网络产品和服务功能所需的用户信息时遵循最小化原则采取安全措施保护个人信息等重要用户信息的安全防止泄露篡改损毁丢失未经用户同意不得向他人提供可精确定位到特定个人的信息在符合法律法规且技术可行条件下向用户提供查询更正个人信息的功能在报废或终止后按法律法规用户要求对用户信息进行处理或删除用户信息密码使用与管理采用了密码技术的网络产品和服务应符合国家密码管理相关规定安全保障要求设计和开发网络产品和服务的提供者应制定和实施网络产品和服务安全开发流程减少设计开发等过程中恶意程序植入漏洞引入的风险对设计文档开发文档等进行配置管理建立配置管理清单或相应程序对配置项的变更进行授权和控制识别网络产品和服务在设计开发环节的安全风险制定安全策略采取安全措施保障关键组件的设计和开发安全自行联合或委托第三方对网络产品和服务包括网络产品和服务中使用的第三方软硬件模块进行安全测试在开发阶段对已发现的安全缺陷漏洞进行修复对于不能在开发阶段及时修复的安全缺陷漏洞制定并实施在用户侧进行紧急修复的安全管理流程生产和交付网络产品和服务提供者应采取完整性保护措施降低网络产品和服务中关键组件过程和数据被篡改伪造的风险包括但不限于对使用的第三方软硬件模块进行安全性检测等向用户说明包含在网络产品和服务中的所有与用户相关的功能模块和访问接口包括但不限于人机接口调试接口等通过用户协议产品使用说明书或网站通报等途径声明所提供的网络产品和服务中没有故意犌犅犜留有或者设置漏洞后门木马等程序和功能运行和维护网络产品和服务提供者应建立和执行针对网络产品和服务安全缺陷漏洞的应急响应机制和流程对网络产品和服务在运行和维护阶段暴露的安全缺陷漏洞进行响应发现网络产品和服务存在安全缺陷漏洞时立即采取修复或替代方案等补救措施按照国家网络安全监测预警和信息通报制度等相关规定及时告知用户安全风险并向有关主管部门报告在法律法规规定或与用户约定的期限内为网络产品和服务提供持续的安全维护不因业务变更产权变更等原因单方面中断或终止安全维护建立和实施规范的用户信息保护制度当存在违反法律法规规定或者双方约定收集使用用户个人信息的情形时应主动或在用户要求下删除个人信息保护用户对软件安装使用升级卸载的知情权和选择权安装和升级软件时应明示告知用户并获得用户同意允许用户卸载或禁用完成业务目标所必备产品核心功能之外的软件不得强制或诱导用户安装或升级用户不知情的软件增强级安全通用要求安全功能要求身份标识和鉴别具有用户身份标识和鉴别功能的网络产品和服务应对用户身份进行标识和鉴别身份标识具有唯一性对用户身份鉴别凭证进行安全保护防止鉴别凭证的泄露篡改告知用户网络产品和服务中与用户相关的所有预置的账户和默认口令允许用户更改默认口令犱在未修改默认口令时限制核心功能的使用并提示用户修改口令犲在采用基于口令的身份鉴别机制时对用户设置的口令进行复杂度检查犳具有登录失败和超时安全处理等机制包括但不限于连续登录失败后锁定用户账户当发生用户会话连接超时自动退出用户会话等授权与访问控制具有授权与访问控制功能的网络产品和服务应按照最小授权原则在出厂时预置访问控制策略需要配置安全策略时允许用户更改访问控制策略在用户访问受控资源或功能时依据设置的访问控制策略进行访问控制保障访问和操作的安全不存在加载或运行后会禁用或绕过访问控制机制的组件犱支持对不同用户账号或应用软件授予完成各自承担任务所需的最小访问权限日志记录与审计具有日志记录与审计功能的网络产品和服务应对用户账户的登录注销系统开关机和核心配置变更等操作进行日志记录犌犅犜在日志记录中包括事件发生的日期和时间事件的类型主体身份事件操作结果等对日志记录进行安全保护防止日志记录的损毁或未授权的追加访问修改删除等犱提供设置日志记录存储容量保存时间的功能日志保存时间应满足国家有关规定信息通信安全保护具有信息通信安全保护功能的网络产品和服务应犪在通信双方建立网络连接时验证通信端身份真实性犫提供安全措施保障通信数据的保密性完整性可用性犮保障通信协议的安全性可抵御常见的重放攻击中间人攻击等安全威胁用户信息安全保护具有用户信息收集处理等功能的网络产品和服务应除法律法规另有规定外明确告知收集用户信息的目的用途范围和类型在获得用户同意后方可收集用户信息将收集的用户信息仅用于用户同意的目的和用途在收集实现网络产品和服务功能所需的用户信息时遵循最小化原则采取安全措施保护个人信息等重要用户信息的安全防止泄露篡改损毁丢失未经用户同意不得向他人提供可精确定位到特定个人的信息在符合法律法规且技术可行条件下向用户提供查询更正个人信息的功能在报废或终止后按法律法规用户要求对用户信息进行处理或删除用户信息犺在传输和存储个人敏感信息时采取加密等安全措施密码使用与管理采用了密码技术的网络产品和服务应符合国家密码管理相关规定安全保障要求设计和开发网络产品和服务的提供者应制定和实施网络产品和服务安全开发流程减少设计开发等过程中恶意程序植入漏洞引入的风险对