《信息安全技术 政府门户网站系统安全技术指南》.docVIP

GB/TXXXXX—XXXX

PAGE4

ICS?FORMTEXT35.040

FORMTEXTL80

中华人民共和国国家标准

GB/TFORMTEXTXXXXX—FORMTEXTXXXX

FORMTEXT?????

FORMTEXT信息安全技术政府门户网站系统安全技术指南

FORMTEXTInformationsecuritytechnology-Securitytechnologyguidelinesforwebportalsystemofgovernment?????

FORMTEXT?????

FORMDROPDOWN

FORMTEXT（本稿完成日期：2013年9月9日）

在提交反馈意见时，请将您知道的相关专利连同支持性文件一并附上。

FORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX发布

FORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX实施

GB/TXXXXX—XXXX

GB/TXXXXX—XXXX

PAGEII

PAGEI

信息安全技术政府门户网站系统安全技术指南

范围

本标准给出了基于互联网的政府门户网站系统安全防护措施，可用于指导政府部门开展网站系统安全技术防护体系建设，也可作为对政府门户网站系统实施安全检查的依据。

规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T17859-1999计算机信息系统安全保护等级划分准则

GB/T22239-2008信息安全技术信息系统安全等级保护基本要求

GB/T22240-2008信息安全技术信息系统安全等级保护定级指南

GB/T25069-2010信息安全技术术语

术语和定义

GB/T25069-2010界定的以及下列的术语和定义适用于本文件。

政府门户网站Webportalofgovernment

指政府机构利用互联网发布政务信息、提供在线服务、开展互动交流等而建立的网站，包括为用户提供展示和交互功能的页面及生成和处理页面的应用程序。

政府门户网站系统WebportalSystemofgovernment

指政府门户网站及支撑其运行的物理环境、网络环境、服务器操作系统、数据库系统等。

网站用户UsersofWebsite

指网站的访问者，既包括来自外部、访问获取网站资源的前台用户，也包括负责网站管理、内容编辑的后台用户。

缩略语

下列缩略语适用于本文件。

DNS 域名系统（DomainNameSystem）

FTP 文件传输协议（FileTransferProtocol）

HTTP 超文本传输协议（HypertextTransferProtocol）

IDC 互联网数据中心（InternetDataCenter）

IP 互联网协议（InternetProtocol）

IIS 互联网信息服务（InternetInformationServices）

MAC 介质访问控制层（MediaAccessControl）

OA 办公自动化（OfficeAutomation）

PV 页面浏览量（PageView）

SSH 安全外壳协议（SecureShell）

UPS 不间断电源（UninterruptiblePowerSystem）

VLAN 虚拟局域网（VirtualLocalAreaNetwork）

WWW 万维网（WorldWideWeb）

概述

逻辑结构及运行模式

政府门户网站系统逻辑结构

政府门户网站系统主要面向互联网履行社会管理、公共服务职能，提供信息发布、在线服务、互动交流等服务，可根据功能需求通过指定的方式与OA系统、审批系统等政府部门其它业务系统交换数据。政府门户网站系统中，公众、企业、团体等用户通过互联网访问网站页面展示子系统的信息发布、在线服务、互动交流等服务，管理用户使用专用的管理终端从本地网络或通过在互联网上建立可信的VPN安全通道等方式访问网站内容管理、系统管理子系统，并对相关设备进行维护。网站数据处理子系统用于实现网站系统相关数据的存储及管理。典型的政府门户网站系统逻辑结构如图1所示。

政府门户网站系统逻辑结构示意图

政府门户网站系统为互联网用户提供交互服务，系统与互联网之间存在互联网边界；与部署在本地网络不同安全域中的其他业务系统及终端进行交互，系统与本地网络之间存在安全域边界；与本地网络中的其他业务系