《信息安全技术 政务计算机终端核心配置规范》编制说明.docxVIP

国家标准报批材料

PAGE2

国家标准《信息安全技术政务计算机终端核心配置规范》编制说明

一、工作简况

1.1任务来源

根据2022年网络安全国家标准立项工作部署安排，神州网信技术有限公司完成了项目申报、秘书处初审、工作组研讨等环节。按照《全国信息安全标准化技术委员会标准制修订工作程序》向秘书处提交标准文本、实施应用方案及其他阶段性研究成果。经全国信息安全标准化技术委员会审议，由神州网信技术有限公司负责承办，计划号T-469。该标准由全国信息安全标准化技术委员会归口管理。

1.2制定背景

桌面计算机核心配置最早由美国联邦政府提出，称为联邦桌面核心配置计划（FDCC）。该计划由美国联邦预算管理办公室（OMB）和美国国家标准与技术研究院（NIST）共同负责实施，旨在提高美国联邦政府所使用的Windows安全性，并使联邦政府桌面计算机的安全管理实现标准化和自动化。

2010年起，美国实施了USGCB（U.S.GovernmentConfigurationBaseline）项目，该项目是美国政府配置基线,它基于FDCC，该项目在两方面做了重要改进，1.用户范围从联邦政府扩展到美国政府；2.项目范围由Windowsxp、WindowsVista扩展到当时最新的Windows7操作系统，并增加了红帽系统（RHEL5）、防火墙产品、浏览器产品和虚拟磁盘等内容。

经过对美国FDCC和USGCB项目和相关标准的研究，为保障政务终端计算机安全，我国在2012年和2016年先后制定了GB/T30278—2013和GB/T35283—2017标准，随着GB/T30278—2013和GB/T35283—2017标准的相继实施，我国政务部门终端安全有标准可依，政务部门终端安全得到大幅加强。

《2002年网络安全研究与发展法案》要求NIST制定并在必要时修订一份清单，列出程序配置和选择项，将每个计算机硬件或软件系统相关的安全风险降至最低。未来可能在联邦政府内部被广泛使用。随着项目的不断发展推进，2015年公开发布了《IT产品国家清单程序》以实现项目最初的目的。在后续的发展中，先后制定了NISTSP800-70（最新版本Rev4）NISTSP800-179（面向AppleOS）。随着NCP（/）的不断完善，USGCB项目也被包含在NCP项目中，截止2022年12月9日，配置列表库已收录600款软件配置清单，门类涵盖底层虚拟化软件、桌面操作系统、移动操作系统、IOT设备系统、BIOS、办公软件、浏览器、即时通信软件、图形图像处理软件、安全软件、数据库、容器系统等。

随着时代的发展，产品不断更新迭代、新技术被应用到产品中；参考标准GB/T22239《网络安全等级保护基本要求》的更新；信创产品在国内的快速发展以及新威胁、新挑战的产生，GB/T30278—2013和GB/T35283—2017标准已经无法完全满足客户要求，其中主要问题包括：1.标准依据的GB/T22239—2008被GB/T22239—2019替代且有重大变更；2.实践过程中发现标准中部分要求不清晰、不准确，难以落地；3.GB/T30278—2013标准第7、8章内容只针对Windows7和更早版本的操作系统，不兼容国产操作系统。

经过对国际标准的研究、美国NCP项目的深入了解，综合GB/T30278—2013和GB/T35283—2017标准在国内的实施情况以及两项标准的用户反馈情况，由神州网信技术有限公司牵头修订GB/T30278—2013和GB/T35283—2017标准，以解决大规模终端自动化安全配置问题，提升终端安全防护能力。

1.3起草过程

建立标准修订小组

根据2022年网络安全国家标准立项工作部署安排，该标准修订工作由神州网信技术有限公司牵头，于2022年4月建立修订小组。

确定标准修订方向和修订内容框架

标准修订小组在2022年4月至5月讨论确定标准修订方向和修订内容刚要，并形成进一步研究任务列表；

形成标准草案

修订小组根据各单位实际项目经验领取修订任务，在2022年5月-7月完成第一批修订任务，经整合、讨论后形成第一版修订草案。

草案版本更新

2022年12月7日-9日的信安标委会议周上汇报了草案编制工作情况，听取专家组意见：保持标准“规范”不变，依照《GB/T20001.5—2017标准编写规则第5部分：规范标准》要求修订标准框架和文本内容、增加证实方法。会后编制组整理专家意见，并修订形成了第二版标准草案。

草案版本更新

2023年4月26日在WG5标准试点工作方案讨论会议上汇报了V2.0标准修订工作进展，组内专家围绕V2.0标准进行了深入的讨论，提出数条修改建议。会后