炼石：图解四部门《互联网政务应用安全管理规定》V1.0.0_67页_12mb

《互联网政务应用安全管理规定》总结

核心内容

《互联网政务应用安全管理规定》由中央网络安全和信息化委员会办公室、中央机构编制委员会办公室、工业和信息化部、公安部于2024年2月19日制定，5月15日发布，自2024年7月1日起施行。该规定旨在保障互联网政务应用的安全运行，涵盖开办和建设、信息安全、网络和数据安全、电子邮件安全、监测预警与应急处置、监督管理及附则等8大章节，共计44条。

主要观点

• 适用范围：适用于各级党政机关和事业单位建设与运行的互联网政务应用，包括门户网站、移动应用程序、公众账号及互联网电子邮件系统。
• 技术要求：强调技术防护措施，包括数据加密、访问控制、安全连接方式、密钥管理等，以防范内容篡改、攻击致瘫、数据窃取等风险。
• 合规要求：基于《网络安全法》《数据安全法》《个人信息保护法》及《党委（党组）网络安全工作责任制实施办法》等法规，构建了“五法一典”的合规体系。
• 安全责任：明确各部门和机关事业单位在互联网政务应用安全中的责任，包括落实安全责任、开展安全检查、进行安全评估等。
• 容灾备份：要求机关事业单位对重要数据和信息系统进行容灾备份，保障系统的持续运行。
• 数据管理：强调数据分类分级管理，对重要数据、个人信息、商业秘密等进行重点保护。
• 安全监测：要求对互联网政务应用进行日常监测与安全检查，及时发现并处理安全事件。
• 应急处置：明确发生重大网络安全事件时，应立即启动应急预案，消除安全隐患，防止危害扩大。

关键信息

一、开办和建设

• 域名管理：党政机关网站域名应以“.gov.cn”或“.政务”为后缀，事业单位以“.cn”或“.公益”为后缀，不得擅自转让。
• 应用分发：移动应用程序应在已备案的分发平台或机关事业单位网站分发。
• 证书制发：机构编制管理部门为机关事业单位制发专属电子证书或纸质证书，用于身份核验。
• 集约化建设：县级党政机关各部门及乡镇党政机关原则上不单独建设网站，可利用上级平台。

二、信息安全

• 信息发布与转载：需健全审核制度，确保信息内容的权威性、真实性、准确性、及时性和严肃性，不得发布违法和不良信息。
• 链接管理：链接非互联网政务应用需确认其与政务活动相关或属于便民服务范围，定期检查链接有效性。
• 真实身份认证：支持用户使用国家网络身份认证公共服务进行注册，鼓励采用电子证书等措施。

三、网络和数据安全

• 等级保护制度：需落实网络安全等级保护制度，每年至少进行一次安全检测评估。
• 访问控制：设置访问控制策略，对工作人员使用的功能和邮箱系统进行访问限制。
• 日志管理：留存并定期备份系统运行日志，确保其完整性与可用性。
• 数据保护：对重要数据、个人信息、商业秘密进行分类管理，确保不向第三方公开或用于非职责目的。

四、电子邮件安全

• 安全措施：鼓励使用商用密码技术对电子邮件数据进行存储保护，关闭自动转发和附件下载功能。
• 专用系统：鼓励建设统一的机关事业单位专用电子邮件系统，用于工作邮箱。

五、监测预警与应急处置

• 安全监测：中央网信办会同电信和公安部门对地市级以上党政机关进行安全监测。
• 应急机制：发生网络安全事件时，应立即启动应急预案，及时处置并防止危害扩大。
• 假冒仿冒管理：由机构编制管理部门会同网信部门进行扫描监测，打击假冒仿冒行为。

六、监督管理

• 责任追究：对违反规定或未能正确履行职责的单位，按照相关制度依规依纪追究责任。
• 监督管理机制：各地区、各部门需指定负责人分管相关工作，加强组织领导。

七、附则

• 施行时间：2024年7月1日起施行。
• 解释单位：由中央网信办、中央编办、工信部、公安部负责解释。
• 关键信息基础设施：列入关基的互联网政务应用，参照本规定执行。

方案优势与技术实现

一、免改造平台

• 敏捷实施：支持免改造应用，通过控制面进行数据加解密和脱敏，不影响业务运行。
• 高兼容性：支持大多数数据库类型，包括Oracle、Greenplum、Redis等。
• 高性能：基于SM4算法实现高速加密，如加密10亿条手机号仅需20秒。
• 高可靠性：支持模块离线运行、密钥管理、实时离线解密等，保障高可用性。

二、数据安全技术

• 密文标识：确保明文不被二次解密，密文不被二次加密。
• 密态查询：支持密文态模糊查询，拆解字段后分别加密，合成密文字段。
• 数据可见不可转：实现数据可查不可转，保障数据安全。
• 数据入表：通过数据安全手段，使数据成为企业的“表内资产”，提升价值。

三、合规遵循

• 测评要求：根据《信息系统密码应用基本要求》进行测评，60分以上为通过。
• 高危风险：未采用密码技术进行身份鉴别、通信安全、存储安全等将被一票否决。
• 管理制度：需建立密码相关管理制度，包括人员管理、密钥管理、应急处理等。

技术对比与应用场景

应用场景

• 离线场景：实现数据可见不可转，保障数据在传输过程中的安全。
• 在线场景：通过密态数据库支持模糊查询，确保数据可查不可转。
• 数据分类识别：为分级管控打基础，支持动态脱敏和细粒度授权。

实战防护与合规

• 事前防护：最小化敏感数据访问范围，结合用户身份进行动态脱敏。
• 事中检测：通过AOE-Plugin、AOE-Proxy等模块识别风险SQL语句，实时告警或阻断。
• 事后处置：建立全生命周期密钥管理机制，支持应急情况下刷库还原明文。

方案优势总结

• 兼容性高：支持大多数数据库，实现数据安全与业务的解耦。
• 交付快：免改造实施，提升部署效率。
• 防护好：提供多维度安全能力，包括加密、脱敏、访问控制等。
• 安全与业务融合：通过技术手段保障数据安全，同时不影响业务运行。

总结

《互联网政务应用安全管理规定》全面规范了互联网政务应用的建设与运行，强调技术防护与合规遵循。通过免改造平台、高性能加密算法、密钥管理、数据分类分级、安全监测和应急响应等手段，确保数据安全与业务连续性。该规定不仅适用于党政机关和事业单位，也适用于关键信息基础设施，是实现数据安全与合规管理的重要依据。