35.240SZSD1 2 1 1 1 1 1 1 13.5政務(wù)云平臺供應(yīng)鏈governmentcloudplatformsu 1 2 2 2 2 2 2 3 3 3 3 3 4 4 4 4 4 4 5 62本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本文件主要起草人：魏淑斌、張榮光、崔秋紅、楊娜、張林、李波、賈1政務(wù)云平臺供應(yīng)鏈管理規(guī)范GB/T25069—2022信息安全技術(shù)術(shù)語GB/T36637—2018信息安全技術(shù)IGB/T39204—2022信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全3.2需方acquirer3.3供方supplier3.5政務(wù)云平臺供應(yīng)鏈governmentcloudplatformsupplychain24政務(wù)云供應(yīng)鏈管理目標(biāo)b)供應(yīng)鏈保密性：保障供應(yīng)鏈上傳遞的信息不被泄露給未授權(quán)者。d)供應(yīng)鏈可控性：保障需方對產(chǎn)品和服務(wù)或供應(yīng)鏈的控制能力。可控性包括：供b)提供用于政務(wù)云供應(yīng)鏈安全管理的資金、人員和權(quán)限等可用資源。a)制定政務(wù)云服務(wù)人員的安全要求，包括云服務(wù)管理者、實施3c)對供應(yīng)商人員進(jìn)行背景審查，或要求供應(yīng)商提供可信的c)要求供應(yīng)商對所提供產(chǎn)品和服務(wù)的設(shè)計、研發(fā)、生產(chǎn)、交付等關(guān)鍵環(huán)節(jié)e)明確供應(yīng)商的安全分工與責(zé)任，對其利等知識產(chǎn)權(quán)獲得10年以上授權(quán)，或在網(wǎng)絡(luò)產(chǎn)品和服務(wù)使用期內(nèi)獲得持c)對于嚴(yán)重違反法律法規(guī)及供應(yīng)鏈安全相關(guān)管理要求的供應(yīng)商應(yīng)從合格供應(yīng)商d)強(qiáng)化政務(wù)云采購渠道管理,保持采購的產(chǎn)品和服務(wù)來源的穩(wěn)定或多樣性；a)制定和實施防贗品的策略和規(guī)程，檢測并防止贗品組件行安全技術(shù)檢測（產(chǎn)品組件真實性、后門木馬檢測、漏洞檢查4方組件來源可靠、安全風(fēng)險可消除或控制，構(gòu)建形成軟件物料清單和軟件構(gòu)成圖譜；a)要求產(chǎn)品和服務(wù)供應(yīng)商提供中文版運(yùn)行維護(hù)、二次c)對重要設(shè)備進(jìn)入和離開云物理環(huán)境進(jìn)行授權(quán)和監(jiān)控，并制定和b)軟硬件產(chǎn)品在終止服務(wù)之后，應(yīng)制定制定服務(wù)下線方案與計劃，保護(hù)隱私安全與數(shù)據(jù)安全。b)及時終止離崗和調(diào)任政務(wù)云服務(wù)人員對政務(wù)云基礎(chǔ)設(shè)施的訪問權(quán)限；a)定期對政務(wù)云服務(wù)人員的訪問活動進(jìn)行審計和監(jiān)控，及時發(fā)現(xiàn)異常行5存在安全漏洞、斷供、知識產(chǎn)權(quán)糾紛、政策法律威脅等）進(jìn)行研判，并及時處d)制定有效的數(shù)據(jù)存儲介質(zhì)管理策略，防止對存儲介質(zhì)的非法授權(quán)訪問、變更、刪除和破壞。a)制定政務(wù)云供應(yīng)鏈安全事件應(yīng)急處置管理機(jī)制，建立統(tǒng)一的供應(yīng)鏈安b)定期組織政務(wù)云服務(wù)人員進(jìn)行應(yīng)急相關(guān)培訓(xùn)和應(yīng)急演練，并保存相關(guān)記錄；c)在