GA_T 1390.3-2017信息安全技术 网络安全等级保护基本要求 第3部分：移动互联安全扩展要求.pdf

ICS_ 35.040L 80GA中华人民共和国公共安全行业标准GA/T1390.3—2017信息安全技术网络安全等级保护基本要求第3部分：移动互联安全扩展要求Information security technologyGeneral requirements for classifiedprotection of cyber security—Part 3: Special security requirements formohileinterconnection2017-05-08发布2017-05-08实施中华人民共和国公安部发布 GA/T 1390.3—2017目次前言范围规性引用文件术语和定义缔略语采用移动互联技术的等级保护对象概述5.1安全通用要求5.2等级保护对象构成5.3保护要素5,4保护对象定级6第一级安全要求6.1技术要求6.1.1物理和环境安全6.1.2网络和通信安全6.1.3设备和计算安全6.1.4应用和数据安全6.2管理要求6.2.1安全策略和普理制度6,2,2安全管理机构和人员6.2,3安全建设管理6,2.4安全运维管理第二级安全要求7.1技术要求7,1.1物理和环境安全7.1.2网络和通信安全7.1.3设备和计算安全7.1.4应用和数据要全7.2管理要求7.2.1安全策略和管理制度7,2.2安全管理机构和人员7,2.3安全建设管理7,2.4安全运维管理第二级安全要求8.1技术要求8.1.1物理和环境安全 GA/T 1390.3—20访间控制本项要求包括：a)应在有线网络与无裁网络边界根据访问控制策略设置访间控制规则，默认情况下，除允许通信外，受控接口拒绝所有通信应对来自移动终端的数据流量、数据包和协议等进行检查，以允许/拒绝数据包通过。入侵防范本项要求包括：应能够检测、记录非授权无线接入设备；应服够对非授权移动终端接入的行为进行检测、记录；应具备对针对无线接入设备的网络扫描、DoS攻击、密钥破解、中间人攻击和欺骗攻击等行为进行检测、记录；d)应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态。通信传输本项要求包括：a)应采用校验技术保证无线通信过程中数据的完整性：b)采用加解密结束保证无线通信过程中敏感信息宇段或整个报文的保密性。安全审计审计。网络设备防护本项要求包括：a)应能发现系统移动终端、无线接入设备、无线接入网关设备可能存在的温测，并在经过充分测试评估后，及时修补调润，b) (3应禁止多个AP使用同一个鉴别密钥，7.1.3设备和计算安全身份鉴别本项要求包括：a)应对移动终端用户登录、移动终端管理系统登录及其他系统级应用登录进行身份鉴别；b)移动端应具有登录失收处理功能，应用管控移动终端管理客户端本项要求包括：应具有软件白名单功能，应能根据白名单控制应用软件安装、运行；c)应只充许可靠证书签名的应用软件安装和运行。6 GA/T 1390.3—20入侵防范移动终端本项要求包括：a）应遵循最小安装的原则，仪安装需要的组件和应用程序；b)应能发现可能存在的漏润，及时修补漏润；c)应能发现用户权限异带改变的情况。恶意代码防范移动终端应安装防恶意代码软件，并定期进行恶意代码扫描，及时更新防恶意代码软件版本和恶意代码库。资源控制本项要求包括：a)应将移动络端处理访问不同等级保护对象的进行应用级隔离：b)应将移动终端处理访问等级保护对象的应用软件、数据存储区与处理访问非等级保护对象的应用软件、数据存储区等进行隔离；7.1.4应用和数据安全身份鉴别本项要求包括：a)b)J用户身份鉴别信息丢失或失效时，应采用鉴别信息重置或其他技术措施保证系统安全，软件审核与检测等级保护对象业务移动应用软件开发结束后应经合规性审核，数据完整性移动应用软件本项要求包括：a）应采用校验技术或密码技术保证通信过程中数据的完整性；b）应采用校验技术或密码技术保证重要数据存储的完整性。数据保密性移动应用软件本项要求包括a）应采用密码技术保证重要数据在本地存储时的保密性；(9应对通信过程中的敏感信息字段进行加密。7.2管理要求7.2.1安全策略和管理制度本项要求包括：a）应建立等级保护对象移动互联安全管理规范，并纳入等级保护对象管理安全制度；h)J应对会理人员或移动终端操作人员执行的日常管理操作建立操作规程，7 GA/T 1390.320177.2.2安全管理机构和人员岗位设置应将移动互联管理纳人等级保护对象管理员职资授权和审批7.2,2.3：安全意识教育和培训应对各类人员进行移动互联管理安全意识教育和岗位投能培训，并售知相关的安全责任和惩戒措施，7.2.3安全建设管理!安全方案设计本项要求包括：a)应根据等级保护对象的安全保护等级选择移动互联基本安全措施，侬据风险分析的结果补充和调整安全措施；(q应根据等级