1 范围

      本文件规定了化学品管理信息化信息安全的基本要求和技术要求。

      本文件适用于化学品管理信息化的信息安全管理。

2 规范性引用文件

      下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

      GB/T 2887 计算机场地通用规范

      GB/T 5271.8 信息技术 词汇 第8部分：安全

      GB 17859 计算机信息系统 安全保护等级划分准则

      GB/T 20269 信息安全技术 信息系统安全管理要求

      GB/T 20270 信息安全技术 网络基础安全技术要求

      GB/T 21052 信息安全技术 信息系统物理安全技术要求

      GB/T 22080 信息技术 安全技术 信息安全管理体系 要求

      GB/T 22240 信息安全技术 网络安全等级保护定级指南

      GB/T 30283 信息安全技术 信息安全服务 分类

3 术语和定义

      GB/T 5271.8、GB 17859 界定的以及下列术语和定义适用于本文件。

3.1

      访问控制 access control

      按确定的规则，对实体之间的访问活动进行控制、防止未授权使用资源的安全机制。

3.2

      令牌 tokens

      由系统创建的包含登录进程返回的安全标识符和由本地安全策略分配给用户和用户的安全组的特权列表。

4 基本要求

4.1 安全目标

4.1.1 应通过整体安全体系规划，综合运用各种安全技术和手段，从侵害程度、侵害对象两个方面划分化学品信息管理系统的信息安全等级，其安全要求应不低于对应安全等级应符合GB 17859和GB/T 22240的规定。

4.1.2 在化学品信息采集、信息存储、信息加工、信息交换、信息应用、信息消亡过程中应研究目标化学品的信息安全特征，确定相对应的安全目标，分为静态安全目标和动态安全目标。

4.1.3 静态安全目标保证系统实体平台安全，应包括整个系统的物理环境、系统软硬件结构和可用的信息资源。

4.1.4 动态安全目标保障系统的软环境安全，应包括安全管理、安全服务、安全意识和人员的安全专业素质。

4.2 安全体系

      信息安全体系应包括：

      a）安全管理：建立信息安全管理相关的制度和规定，实现管理上的安全；

      b）安全服务：建立信息安全体系不仅应依靠现有的安全机制和设备，还应全方位地提供各类安全服务；

      c) 数据安全：保证数据库的安全和数据本身及网络传输安全；

      d) 应用系统安全：系统内部的应用安全，是系统实现时最被关注的部分；

      e）软件平台安全：保证软件平台系统（如操作系统和应用系统基础服务软件等）安全；

      f) 网络安全：把被保护的网络从自由开放、无边界的环境中独立出来，使网络成为可控制、可管理的内部系统；

      g）物理安全：从物理上保证系统设备的安全。

4.3 安全管理

4.3.1 化学品信息管理系统和监管平台应建立一套完善的安全管理方案，并贯穿信息安全的各层次，包括安全制度管理和安全目标管理。

4.3.2 应从建立完善机房管理、网络管理、数据管理、设备管理、应急处理、人员管理、技术资料管理等方面加强安全制度管理。

4.3.3 应按照资源管理目标，对信息系统涉及的物理资源、网络资源、信息资源实施统一的资源分配，并根据资源重要程度确定安全等级和安全管理范围。

4.3.4 应按照GB/T 20269和GB/T 22080的要求，安排专门人员负责以保证安全管理制度实施。

4.3.5 应展开对最新安全技术的跟踪研究，加强安全技术进行交流、探讨，优化安全管理策略。

4.3.6 应加强与已有的防火墙、防病毒、数据备份等安全设施的紧密配合。

4.4 安全服务

4.4.1 安全服务应包括安全咨询、安全工程实施、安全技术培训和安全维护，应符合GB/T 30283的要求。

4.4.2 信息安全不是安全产品的简单集合，而是一项系统工程并有其专业体系，应采用先进科学的知识结构进行全面细致地把握。

4.4.3 信息安全系统存在固有弱点，即使最微小的安全漏洞都可能引发整个网络系统的崩溃。且系统安全只是暂时的、静态的，应通过持续全面的安全服务进行加强。

5 技术要求

5.1 物理安全

5.1.1 根据不同的目标对象，物理安全包括：

      a）环境安全，对系统所在环境的安全保护，如区域保护和灾难保护；

      b）设备安全，主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护；

      c）媒介安全，包括媒介本身的安全及媒介数据的安全。

5.1.2 环境安全应符合GB/T 2887的要求，物理安全应符合GB/T 21052的要求。

5.2 网络安全

5.2.1 一般要求

      网络安全应符合GB/T 20270的要求。

5.2.2 网络冗余

5.2.2.1 应采用网络冗余、系统隔离、访问控制、加密、安全监测、网络扫描等技术手段来保障化学品信息系统的网络安全。

5.2.2.2 应通过网络冗余解决网络系统单点故障，对关键性的网络线路、设备采用双备份或多备份的方式。网络运行时，应对运营状态相互实时监控并自动调整，当网络的一段或一点发生故障，或者网络信息流量突变时应能在有效时间内进行切换分配。

5.2.3 系统隔离

      应划分物理隔离和逻辑隔离，应结合信息安全等级划分合理的网络安全边界，实现不同安全级别的网络或信息媒介不能相互访问。应针对应用系统特点和化学品信息的特征采取相应的隔离措施。

5.2.4 访问控制

5.2.4.1 对于网络不同信任域，应根据双向控制或有限访问的原则加强访问控制，有效控制受控的子网或主机访问权限和信息流向。

5.2.4.2 对网络对象，应解决网络的边界控制和网络内部的控制，根据有限访问的原则对网络资源进行合理配置，对信息流向应根据安全需求实现单向或双向控制。

5.2.4.3 访问控制最重要的设备是防火墙，宜安置在不同安全域出入口处，对进出网络的信息包进行过滤并按安全策略进行信息流控制，同时实现网络地址转换、实时信息告警等功能，高级防火墙还应实现基于用户的细粒度的访问控制。

5.2.5 加密

      应采用加密手段防止网络上的窃听、泄漏、篡改和破坏。加密应从三个层次来实现：

      a）链路层加密应侧重通信链路而不考虑信源和信宿，对网络高层主体透明；

      b）网络层加密应采用网络安全协议，具备加密、认证双重功能，并应在系统的服务器间通信采取此协议；

      c）应用层加密应根据实际业务的应对处理、传输和存储的数据采取多种加密算法进行加密保护。

5.2.6 安全监测

      应采用安全监测寻找未授权的网络访问尝试和违规行为，包括但不限于网络系统的扫描、预警、阻断、记录、跟踪。网络扫描监测系统应具有实时、自适应、主动识别和响应等特征。

5.2.7 网络扫描

      应采用网络扫描对网络设备的安全漏洞进行检测和分析，包括但不限于网络通信服务、路由器、防火墙、邮件、WEB服务器，从而识别能被入侵者利用非法进入的网络漏洞。网络扫描系统应对检测到的漏洞信息形成详细报告，包括位置、详细描述和建议的改进方案，有效检测和管理安全风险信息。

5.3 软件平台安全

5.3.1 影响软件平台安全性的因素主要包含操作系统安全漏洞和病毒。

5.3.2 在操作系统安装的时候应使用平台软件厂商提供的安全漏洞扫描工具进行漏洞扫描；在新漏洞信息发布的时候，应利用软件平台厂商提供的更新服务安装相应的漏洞补丁，即时保障系统安全。

5.3.3 应采取专业的防病毒解决方案，实现从网络、服务器、客户机三个方面的立体防范。对于重大的安全漏洞和病毒，应及时向统管理员发出安全警告信并提供相应应对措施。

以上为标准部分内容，也可点击下方链接下载标准原文：

下载地址：《GB/T 40640.2-2021 化学品管理信息化 第2部分：信息安全》