1 范围

      本标准给出了智慧城市安全体系框架，包括智慧城市的安全保护对象、安全要素、安全角色及其相互关系。

      本标准适用于智慧城市安全的规划、管理、建设、验收和运营，也可为其他智慧城市安全相关标准的制定提供依据和参考。

2 规范性引用文件

      下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

      GB/T 25069-2010 信息安全技术 术语

      GB/T 29246-2017 信息技术 安全技术 信息安全管理体系 概述和词汇

      GB/T 34678-2017 智慧城市 技术参考模型

      GB/T 37043-2018 智慧城市 术语

3 术语和定义

      GB/T 25069-2010、GB/T 29246-2017和GB/T 37043-2018界定的以及下列术语和定义适用于本文件。

3.1

      智慧城市安全 smart city security

      在智慧城市中对信息的保密性、完整性和可用性的保持，以及依此提供的应用与服务的安全。

3.2

      关键信息基础设施 critical information infrastructure

      公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的信息设施。

3.3

      智慧城市安全角色 smart city security role

      参与智慧城市安全活动的相关方。

3.4

      智慧城市安全决策者 smart city security decision maker

      负责智慧城市安全战略规划和关键策略决策的实体。

3.5

      智慧城市安全管理者 smart city security administrator

      负责智慧城市信息安全组织建设、机制建设，以及协调监督的实体。

3.6

      智慧城市安全建设者 smart city security implementor

      负责智慧城市信息安全工程实施，部署智慧城市安全技术防护措施的实体。

3.7

      智慧城市安全运营者 smart city security operator

      负责智慧城市安全事件的监测、预警、响应和恢复的实体。

3.8

      智慧城市服务提供者 smart city service provider

      通过利用各种技术提供智慧城市产品和服务的实体。

3.9

      智慧城市服务使用者 smart city service user

      使用智慧城市产品和服务的实体。

      注：智慧城市服务使用者包括政府部门、团体机构、企事业单位和个人。

4 缩略语

      下列缩略语适用于本文件。

      API：应用程序编程接口（Application Programming Interface）

      APT：高级持续性威胁（Advanced Persistent Threat）

      ICT：信息通信技术（Information Communications Technology）

      Web：全球广域网（World Wide Web）

5 智慧城市安全概述

5.1 智慧城市面临的安全风险

      智慧城市涵盖多个行业和多种信息系统，要素复杂、应用多样、相互作用、不断演化，具有设备泛在、数据异构、系统异构、应用异构、海量数据、数据汇聚与融合、数据跨域共享、高度协调运作等特征。这些特征使得智慧城市较之传统的信息系统面临更为复杂的安全风险。智慧城市安全的风险分析参见附录A。其中，A．3分析了智慧城市在物联感知层、网络通信层、计算与存储层、数据及服务融合层和智慧应用层所面临的安全技术风险。

5.2 智慧城市安全保护对象

      智慧城市安全保护对象分为硬件设备、信息系统、数据资产和应用与服务。

      硬件设备是智慧城市中具有独立工作能力的信息采集或处理设备，包括为智慧城市提供感知数据的终端设备、控制调节设备、通信设备、信息展示设备、服务终端等。

      信息系统涉及关键信息基础设施以及为智慧城市提供智慧应用服务的系统与网络，包括城市公共通信、广播电视传输等基础信息网络，能源、金融、交通、教育、科研、水利、工业制造、医疗卫生、社会保障、公用事业等领域的信息系统，国家机关的信息系统，以及互联网应用系统等。智慧城市中的信息系统共享资源和能力（服务器、终端设备、网络、数据、应用等），通过信息系统的持续、有效运行为各类用户提供应用与服务。

      数据资产是智慧城市网络收集、存储、传输、处理和产生的各种电子数据。

      应用与服务是智慧城市服务提供者提供的应用程序和技术服务，包括智慧城市公共支撑与服务平台、各应用系统为智慧城市或其他应用系统提供的数据共享服务，以及智慧城市信息系统的数据服务和计算服务等。

5.3 智慧城市安全目标

      围绕智慧城市安全保护对象，智慧城市安全决策者、智慧城市安全管理者、智慧城市安全建设者、智慧城市安全运营者、智慧城市服务提供者和智慧城市服务使用者等安全角色相互协作，实现以下安全目标：

      a）保证智慧城市信息系统安全运行，尤其是保证关键信息基础设施的可用性和可靠性；

      b）保证政府部门、企事业单位、社会组织及个人的数据的真实性、保密性、完整性和可用性；

      c）保证智慧城市应用和服务的可用性、可靠性和可核查性；

      d）保证智慧城市数据资产的真实性、保密性、完整性、可用性和可靠性；

      e）保证智慧城市整体安全的合理性、鲁棒性和可扩展性。

5.4 智慧城市安全体系框架

      智慧城市安全体系框架是实现智慧城市安全目标的参考模型，由智慧城市的安全保护对象、安全要素、安全角色及其相互关系组成，如图1所示。其中，安全要素包含安全战略、安全管理、安全技术、安全建设、安全运营和安全基础等方面。在智慧城市安全体系框架中，智慧城市安全角色履行各自职责、协同配合，满足安全要素的要求以保证智慧城市安全。

      智慧城市各安全角色的活动都受智慧城市安全战略指导和约束。

      智慧城市安全决策者和智慧城市安全管理者为智慧城市服务提供者、智慧城市安全建设者、智慧城市安全运营者提供指导和支持。

      智慧城市安全建设者实施安全工程建设，监督智慧城市安全工程实施与安全措施部署过程，检查、评估、认证智慧城市服务提供者提供的应用和服务，对发现的安全风险与问题，及时向智慧城市安全决策者反馈。

      智慧城市安全运营者通过技术手段监测智慧城市信息安全风险和威胁，向智慧城市管理者上报，并采取应急处置措施。

      智慧城市服务提供者为智慧城市安全建设和运营提供产品与服务，同时还提供安全维护与技术支持。

      智慧城市服务使用者与智慧城市服务提供者进行交互，直接或间接影响智慧城市业务的安全配置、规程、监测、监督、审核和追溯，需要遵循安全管理规则、提升安全意识和接受安全培训。

以上为标准部分内容，也可点击下方链接下载标准原文：

下载地址：《GB/T 37971-2019 信息安全技术 智慧城市安全体系框架》