政府網(wǎng)站系統(tǒng)基本結(jié)構(gòu)、安全措施級別選擇、分級表

　附 錄 A政府網(wǎng)站系統(tǒng)安全措施級別選擇 政府網(wǎng)站系統(tǒng)可依據(jù)其行政級別、訪問量、注冊用戶數(shù)、業(yè)務(wù)重要度和個人敏感信息等選擇相應(yīng)強度級別的安全措施，見表A.1。其中，滿足任意一條級別選擇指標要求的政府網(wǎng)站系統(tǒng)，均宜選擇增強級安全措施集。

　表 A.1 政府網(wǎng)站系統(tǒng)安全措施級別選擇方法 級別 選擇 因素

　級別 選擇 指標

　適用的安全 措施級別

　行政級別 部委網(wǎng)站或省級網(wǎng)站 是 增強級安全措施集 否 基本級安全措施集 訪問量 有效日均訪問次數(shù) ≥ 150 萬 PV 是 增強級安全措施集 否 基本級安全措施集 注冊用戶數(shù) 累計注冊用戶總數(shù) ≥ 25 萬 是 增強級安全措施集 否 基本級安全措施集 業(yè)務(wù)重要度 在線辦事程度較高或按照 GB/T22240-2020要求安全保護等級級別定為三級以上(含三級)的網(wǎng)站 是 增強級安全措施集 否 基本級安全措施集 個人敏感信息 屬于 GB/T 35273-2020 中定義的“個人敏感信息” 是 增強級安全措施集 否 基本級安全措施集 注：有效日均訪問次數(shù)應(yīng)避免重復(fù)統(tǒng)計同一訪問源在短時間內(nèi)進行的多次訪問。

　附 錄 B （資料性）

　政府網(wǎng)站系統(tǒng)基本結(jié)構(gòu) 政府網(wǎng)站系統(tǒng)采用分層設(shè)計思想，從頂層訪問到底層環(huán)境將網(wǎng)站系統(tǒng)劃分四個層次，分別是用戶訪問層、應(yīng)用功能層、信息資源層和基礎(chǔ)設(shè)施層，其基本結(jié)構(gòu)如圖 B.1 所示。每一層的內(nèi)容如下：

　網(wǎng)站數(shù)據(jù)中心辦事服務(wù)庫 政務(wù)公開庫 內(nèi)容發(fā)布庫基礎(chǔ)支撐用戶訪問層信息資源層基礎(chǔ)設(shè)施層服務(wù)門戶接入方式微信公眾號 瀏覽器 App 小程序物理環(huán)境機房網(wǎng)絡(luò)系統(tǒng)/安全保障系統(tǒng)其他業(yè)務(wù)網(wǎng)絡(luò) 互聯(lián)網(wǎng)主機系統(tǒng)（服務(wù)器，虛擬機、云主機、PC客戶端）存儲備份系統(tǒng)操作系統(tǒng)（Windows/Linux/Unix）數(shù)據(jù)庫系統(tǒng) 通用軟件基礎(chǔ)庫信息資源服務(wù)應(yīng)用功能層服務(wù)接口后臺支撐系統(tǒng)信息發(fā)布系統(tǒng) 內(nèi)容管理系統(tǒng) 運維監(jiān)測系統(tǒng)統(tǒng)一入口、統(tǒng)一認證前臺應(yīng)用功能在線辦事 政務(wù)公開 交流互動 數(shù)據(jù)開放目標用戶政府 公眾 企業(yè) 服務(wù)商網(wǎng)上辦事大廳 網(wǎng)站群門戶 數(shù)據(jù)網(wǎng)邊界控制數(shù)據(jù)交換系統(tǒng) 圖 B.1 政府網(wǎng)站系統(tǒng)基本結(jié)構(gòu) a) 用戶訪問層

　用戶訪問層是政府網(wǎng)站系統(tǒng)最頂層的內(nèi)容，是對服務(wù)對象的歸納，再結(jié)合服務(wù)對象的不同提供不同的門戶服務(wù)內(nèi)容和訪問方式； 服務(wù)對象分為公眾、企業(yè)、政府和服務(wù)商；訪問方式包括瀏覽器、移動終端、微信公眾號、小程序等，通過提供多種服務(wù)接入方式，為用戶提供多渠道的服務(wù)內(nèi)容。

　b) 應(yīng)用功能層 應(yīng)用功能層包括前臺應(yīng)用功能和后臺支撐系統(tǒng)。前臺應(yīng)用功能是基于網(wǎng)站開發(fā)的應(yīng)用功能，主要包括政務(wù)公開、在線辦事、交流互動、數(shù)據(jù)開放等；后臺支撐系統(tǒng)是為網(wǎng)站應(yīng)用系統(tǒng)提供產(chǎn)品支持和應(yīng)用支撐，包括提供的內(nèi)容管理及發(fā)布系統(tǒng)、運維監(jiān)測系統(tǒng)、數(shù)據(jù)交換系統(tǒng)等。

　c) 信息資源層 信息資源層主要是針對網(wǎng)站應(yīng)用的需要，對底層的數(shù)據(jù)資源進行統(tǒng)一管理。數(shù)據(jù)庫按照應(yīng)用建設(shè)，主要包括政務(wù)公開庫、辦事服務(wù)庫、內(nèi)容發(fā)布庫和基礎(chǔ)庫等。

　d) 基礎(chǔ)設(shè)施層 IT 基礎(chǔ)設(shè)施主要包括物理機房、網(wǎng)絡(luò)系統(tǒng)、安全系統(tǒng)、服務(wù)器、存儲系統(tǒng)，以及配套的操作系統(tǒng)、軟件、數(shù)據(jù)庫等。

　附 錄 C （資料性）

　安全措施分級表 政府網(wǎng)站系統(tǒng)安全措施分級對照表見表C.1。

　表 C.1 安全措施分級表 安全措施 基本級 增強級 安全技術(shù)措施 物理安全 6.1 6.1+ 通信網(wǎng)絡(luò) 網(wǎng)站部署 6.2.1 6.2.1+ 通信安全 6.2.2 6.2.2+ 性能保障 6.2.3 6.2.3+ 區(qū)域邊界

　6.3 6.3+ 計算環(huán)境

　設(shè)備安全

　6.4.1 6.4.1+ 通用軟件安全

　操作系統(tǒng)安全

　6.4.2.1 6.4.2.1+ 數(shù)據(jù)庫安全

　6.4.2.2 6.4.2.2+ 中間件安全

　6.4.2.3 6.4.2.3+ 開源軟件組件安全

　6.4.2.4 6.4.2.4+ 管理終端安全

　6.4.3 6.4.3+ 虛擬化安全

　6.4.4 6.4.4+ 密碼應(yīng)用

　6.4.5 6.4.5+ 內(nèi)容發(fā)布及數(shù)據(jù)安全

　標識安全

　6.4.6.1 6.4.6.1 內(nèi)容發(fā)布安全

　發(fā)布安全

　6.4.6.2.1 6.4.6.2.1+ 網(wǎng)頁防篡改

　6.4.6.2.2 6.4.6.2.2+ 個人信息安全

　6.4.6.3 6.4.6.3 傳輸和存儲

　6.4.6.4 6.4.6.4+ 備份和容災(zāi)

　6.4.6.5 6.4.6.5+ 應(yīng)用安全

　身份鑒別

　6.4.7.1 6.4.7.1+ 權(quán)限管理

　6.4.7.2 6.4.7.2+ 應(yīng)用審計

　6.4.7.3 6.4.7.3 代碼安全

　6.4.7.4 6.4.7.4 業(yè)務(wù)交互

　6.4.7.5 6.4.7.5+ 移動安全

　移動接入安全

　6.4.8.1 6.4.8.1+ 移動應(yīng)用安全

　6.4.8.2 6.4.8.2+ 移動數(shù)據(jù)安全

　6.4.8.3 6.4.8.3+ 郵件安全

　6.4.9 6.4.9 域名安全

　域名管理安全

　6.4.10.1 6.4.10.1 域名系統(tǒng)安全

　6.4.10.2 6.4.10.2+ 安全管理中心

　惡意代碼防范

　7.1 7.1+ 補丁管理

　7.2 7.2+ 安全審計

　7.3 7.3+ 安全監(jiān)測

　7.4 7.4+

　策略控制

　7.5 7.5+ 安全管理措施

　管理制度

　8.1 8.1 管理機構(gòu)

　8.2 8.2+ 人員和培訓(xùn)

　8.3 8.3 開發(fā)與交付

　規(guī)劃設(shè)計

　8.4.1 8.4.1+ 安全開發(fā)

　8.4.2 8.4.2+ 試行交付

　8.4.3 8.4.3+ 運行維護

　外包服務(wù)管理

　服務(wù)商選擇

　8.5.1.1 8.5.1.1 服務(wù)提供管理

　8.5.1.2 8.5.1.2+ 服務(wù)監(jiān)督管理

　8.5.1.3 8.5.1.3+ 應(yīng)急處置

　8.5.2 8.5.2+ 資產(chǎn)管理

　8.5.3 8.5.3 信息審核

　8.5.4 8.5.4 密碼管理

　8.5.5 8.5.5+ 變更管理

　8.5.6 8.5.6 評估檢查

　8.6 8.6+ 系統(tǒng)退出

　8.7 8.7+ 注：“+”表示采取了更高的安全防護措施

相關(guān)熱詞搜索：分級 安全措施 政府網(wǎng)站