ICS35040

L80.

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T34990—2017

信息安全技術(shù)信息系統(tǒng)安全管理平臺(tái)

技術(shù)要求和測(cè)試評(píng)價(jià)方法

Informationsecuritytechnology—Technicalrequirementsandtestingevaluation

approachesofinformationsystemsecuritymanagementplatformproducts

2017-11-01發(fā)布2018-05-01實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T34990—2017

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語(yǔ)和定義

3………………2

安全管理平臺(tái)概述

4………………………3

安全管理平臺(tái)基本原理

4.1……………3

安全管理平臺(tái)管理對(duì)象

4.2……………4

安全管理平臺(tái)使用環(huán)境

4.3……………5

安全管理平臺(tái)安全等級(jí)

4.4……………5

功能要求

5…………………6

功能構(gòu)成

5.1……………6

基礎(chǔ)功能

5.2……………7

安全策略及安全責(zé)任管理功能要求

5.2.1…………7

系統(tǒng)部件管理功能要求

5.2.2………………………9

安全機(jī)制管理功能要求

5.2.3………………………12

審計(jì)機(jī)制管理功能要求

5.2.4………………………14

平臺(tái)功能數(shù)據(jù)管理功能要求

5.2.5…………………17

平臺(tái)系統(tǒng)接口功能要求

5.2.6………………………19

平臺(tái)級(jí)聯(lián)功能要求

5.2.7……………21

擴(kuò)展功能

5.3……………23

物理安全管理

5.3.1…………………23

安全風(fēng)險(xiǎn)管理

5.3.2…………………24

其他擴(kuò)展功能

5.3.3…………………25

安全要求及保障要求

6……………………25

安全要求

6.1……………25

身份鑒別

6.1.1………………………25

抗抵賴(lài)

6.1.2…………………………27

訪問(wèn)控制

6.1.3………………………27

安全審計(jì)

6.1.4………………………28

完整性保護(hù)

6.1.5……………………29

保密性保護(hù)

6.1.6……………………30

入侵及惡意代碼防范

6.1.7…………31

軟件容錯(cuò)及資源控制

6.1.8…………32

可信路徑

6.1.9………………………32

密碼支持

6.1.10……………………32

保障要求

6.2……………33

Ⅰ

GB/T34990—2017

配置與設(shè)備選型

6.2.1………………33

交付與運(yùn)行

6.2.2……………………34

開(kāi)發(fā)

6.2.3……………34

指導(dǎo)性文檔

6.2.4……………………36

測(cè)試

6.2.5……………37

脆弱性評(píng)定

6.2.6……………………37

生命周期支持

6.2.7…………………38

測(cè)試評(píng)價(jià)方法

7……………39

測(cè)試評(píng)價(jià)范圍

7.1………………………39

平臺(tái)功能測(cè)試

7.2………………………40

安全策略及安全責(zé)任管理功能測(cè)試

7.2.1…………40

系統(tǒng)部件管理功能測(cè)試

7.2.2………………………42

安全機(jī)制管理功能測(cè)試

7.2.3………………………44

審計(jì)機(jī)制管理功能測(cè)試

7.2.4………………………47

數(shù)據(jù)管理功能測(cè)試

7.2.5……………50

接口管理功能測(cè)試

7.2.6……………52

級(jí)聯(lián)功能測(cè)試

7.2.7…………………53

附錄資料性附錄安全管理平臺(tái)技術(shù)要求安全等級(jí)劃分

A()…………56

附錄資料性附錄平臺(tái)對(duì)各類(lèi)管理對(duì)象的控制過(guò)程說(shuō)明

B()…………59

附錄資料性附錄安全管理平臺(tái)在云計(jì)算中的應(yīng)用

C()………………63

附錄資料性附錄信息系統(tǒng)安全機(jī)制參考

D()…………65

參考文獻(xiàn)

……………………69

Ⅱ

GB/T34990—2017

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專(zhuān)利本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別這些專(zhuān)利的責(zé)任

。。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)起草單位公安部第一研究所北京中科網(wǎng)威信息技術(shù)有限公司北京江南天安科技有限公

:、、

司公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心浙江遠(yuǎn)望電子有限公司中國(guó)電信股份有限公

、、、

司北京研究院北京凝思科技有限公司北京啟明星辰信息技術(shù)股份有限公司北京賽博興安科技有限

、、、

公司北京華熱科技發(fā)展有限公司北京初志科技有限公司北京聆云信息技術(shù)有限公司

、、、。

本標(biāo)準(zhǔn)主要起草人胡志昂陳冠直景乾元殷國(guó)強(qiáng)張翔蘇智睿張笑笑傅如毅劉兵明旭

:、、、、、、、、、、

胡托任王磊李大鵬李清玉

、、、。

Ⅲ

GB/T34990—2017

引言

本標(biāo)準(zhǔn)中安全管理平臺(tái)是能夠滿足國(guó)家信息安全管理需要體現(xiàn)組織管理層意志以信息安全策

,,,

略和管理責(zé)任為主線以信息系統(tǒng)的系統(tǒng)部件管理安全機(jī)制管理審計(jì)機(jī)制管理為主要手段以信息安

,、、,

全管理對(duì)象識(shí)別安全策略設(shè)置安全機(jī)制監(jiān)控安全事件處置為主要工作過(guò)程實(shí)現(xiàn)信息安全管理和信

、、、,

息安全技術(shù)有機(jī)結(jié)合的安全管理中心的關(guān)鍵技術(shù)支撐性產(chǎn)品安全管理平臺(tái)適用于不同安全保護(hù)等級(jí)

。

的信息系統(tǒng)更有益于關(guān)鍵信息基礎(chǔ)設(shè)施的安全集中管理

,。

本標(biāo)準(zhǔn)依據(jù)國(guó)家信息安全等級(jí)保護(hù)要求提出了統(tǒng)一管理安全機(jī)制的平臺(tái)規(guī)定了安全管理平臺(tái)的

,,

技術(shù)要求和測(cè)試評(píng)價(jià)方法本標(biāo)準(zhǔn)的第章安全管理平臺(tái)概述明確了基本原理管理對(duì)象使用環(huán)境

。4,、、

和安全等級(jí)第章安全管理平臺(tái)的功能要求闡述了功能構(gòu)成基礎(chǔ)功能擴(kuò)展功能其中基礎(chǔ)功能

。5,、、;,

包括安全策略及安全責(zé)任管理功能要求系統(tǒng)部件管理功能要求安全機(jī)制管理功能要求審計(jì)機(jī)制管

、、、

理功能要求平臺(tái)功能數(shù)據(jù)管理功能要求平臺(tái)系統(tǒng)接口功能要求平臺(tái)級(jí)聯(lián)功能要求擴(kuò)展功能包括

、、、;,

物理安全管理安全風(fēng)險(xiǎn)管理和其他擴(kuò)展功能要求第章安全管理平臺(tái)的安全要求及保障要求闡述

、。6,

了平臺(tái)自身的安全要求保障要求第章安全管理平臺(tái)的測(cè)試評(píng)價(jià)方法闡述了測(cè)試評(píng)價(jià)范圍平臺(tái)

、。7,、

功能測(cè)試本標(biāo)準(zhǔn)的附錄均為資料性附錄其中附錄闡述了安全管理平臺(tái)技術(shù)要求安全等級(jí)劃分

。,,A,

附錄闡述了平臺(tái)對(duì)各類(lèi)管理對(duì)象的控制過(guò)程說(shuō)明附錄闡述了安全管理平臺(tái)在云計(jì)算中的應(yīng)用

B,C,

附錄闡述了信息系統(tǒng)安全機(jī)制參考

D。

Ⅳ

GB/T34990—2017

信息安全技術(shù)信息系統(tǒng)安全管理平臺(tái)

技術(shù)要求和測(cè)試評(píng)價(jià)方法

1范圍

本標(biāo)準(zhǔn)規(guī)定了安全管理平臺(tái)的基于信息安全策略和管理責(zé)任的系統(tǒng)管理安全管理審計(jì)管理等功

、、

能以及對(duì)象識(shí)別策略設(shè)置安全監(jiān)控事件處置等過(guò)程的平臺(tái)功能要求平臺(tái)自身的安全要求保障要

,、、、,、

求以及測(cè)試評(píng)價(jià)方法

,。

本標(biāo)準(zhǔn)適用于安全管理平臺(tái)的規(guī)劃設(shè)計(jì)開(kāi)發(fā)和檢測(cè)評(píng)估以及在信息系統(tǒng)安全管理中心中的

、、,

應(yīng)用

。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則

GB17859—1999

信息安全技術(shù)路由器安全技術(shù)要求

GB/T18018

信息安全技術(shù)信息系統(tǒng)安全管理要求

GB/T20269—2006

信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求

GB/T20270

信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求

GB/T20272

信息安全技術(shù)數(shù)據(jù)庫(kù)管理系統(tǒng)安全技術(shù)要求

GB/T20273

信息安全技術(shù)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)技術(shù)要求和測(cè)試評(píng)價(jià)方法

GB/T20275

信息安全技術(shù)網(wǎng)絡(luò)和終端隔離產(chǎn)品安全技術(shù)要求

GB/T20279

信息安全技術(shù)防火墻安全技術(shù)要求和測(cè)試評(píng)價(jià)方法

GB/T20281

信息安全技術(shù)信息系統(tǒng)安全審計(jì)產(chǎn)