上海市關(guān)于加強(qiáng)本市政府網(wǎng)站安全建設(shè)的試行意見

為了加強(qiáng)本市政府網(wǎng)站的安全建設(shè)，確保政府網(wǎng)站的整體安全，根據(jù)《全國人大常委會(huì)關(guān)于維護(hù)互聯(lián)網(wǎng)安全的決定》、《中華人民共和國計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》等法律法規(guī)的規(guī)定，現(xiàn)提出如下試行意見：

一、安全建設(shè)的管理體制

本市政府網(wǎng)站由“中國上海”政府門戶網(wǎng)站(以下簡(jiǎn)稱門戶網(wǎng)站)和市政府各部門網(wǎng)站、各區(qū)縣政府網(wǎng)站(以下統(tǒng)稱部門網(wǎng)站)組成。

(一)上海市國民經(jīng)濟(jì)和社會(huì)信息化領(lǐng)導(dǎo)小組負(fù)責(zé)統(tǒng)一部署全市信息安全工作。上海市信息網(wǎng)絡(luò)安全協(xié)調(diào)辦公室(以下簡(jiǎn)稱市網(wǎng)安辦)負(fù)責(zé)本市政府網(wǎng)站安全建設(shè)和運(yùn)行管理的具體組織協(xié)調(diào)和指導(dǎo)監(jiān)督工作。

市公安局、市國家安全局、市國家保密局、市委機(jī)要局、市政府新聞辦、市通信管理局等部門按照國家和本市有關(guān)規(guī)定，在各自職責(zé)范圍內(nèi)做好政府網(wǎng)站安全建設(shè)的管理工作。

(二)門戶網(wǎng)站運(yùn)行管理單位是門戶網(wǎng)站安全建設(shè)工作的責(zé)任單位，負(fù)責(zé)門戶網(wǎng)站主網(wǎng)范圍內(nèi)的安全系統(tǒng)建設(shè)和運(yùn)行管理，以及對(duì)部門網(wǎng)站信息安全工作的聯(lián)絡(luò)、指導(dǎo)和協(xié)調(diào)工作。部門網(wǎng)站運(yùn)行管理單位是部門網(wǎng)站安全建設(shè)工作的責(zé)任單位，負(fù)責(zé)部門網(wǎng)站的安全系統(tǒng)建設(shè)和運(yùn)行管理，并確保與門戶網(wǎng)站交互的信息的安全性。

(三)門戶網(wǎng)站和部門網(wǎng)站的運(yùn)行管理單位應(yīng)當(dāng)明確相應(yīng)的信息安全責(zé)任人。部門網(wǎng)站信息安全責(zé)任人以《上海市信息化辦公室、上海市信息網(wǎng)絡(luò)安全協(xié)調(diào)辦公室關(guān)于印發(fā)上海市重點(diǎn)部門/單位信息安全工作責(zé)任人名單的通知》(滬信息辦安[2001]118號(hào))中確定的人員為基礎(chǔ)。

二、安全建設(shè)的技術(shù)要求

門戶網(wǎng)站和部門網(wǎng)站的基本運(yùn)行環(huán)境、信息發(fā)布系統(tǒng)和通用應(yīng)用系統(tǒng)的安全建設(shè)應(yīng)當(dāng)符合下列技術(shù)要求：

(一)機(jī)房建設(shè)

門戶網(wǎng)站和部門網(wǎng)站應(yīng)當(dāng)安排專用機(jī)房(自建或者托管)，安置關(guān)鍵設(shè)備及電源系統(tǒng)。機(jī)房建設(shè)的技術(shù)要求可參照《電子計(jì)算機(jī)場(chǎng)地通用規(guī)范》(GB/T 2887-2000)和《計(jì)算機(jī)場(chǎng)地安全要求》(GB/T 9361-1988)。

(二)網(wǎng)絡(luò)安全發(fā)布系統(tǒng)

門戶網(wǎng)站和部門網(wǎng)站應(yīng)當(dāng)建設(shè)網(wǎng)絡(luò)安全發(fā)布系統(tǒng)，以防止網(wǎng)絡(luò)黑客對(duì)頁面的非法篡改，并使網(wǎng)站具備應(yīng)急恢復(fù)的能力。網(wǎng)絡(luò)安全發(fā)布系統(tǒng)占用系統(tǒng)資源百分比的均值不得超過5%，峰值不得超過15%。

(三)電子公告服務(wù)內(nèi)容過濾系統(tǒng)

門戶網(wǎng)站和部門網(wǎng)站應(yīng)當(dāng)建設(shè)電子公告服務(wù)內(nèi)容過濾系統(tǒng)，對(duì)電子公告服務(wù)活動(dòng)進(jìn)行實(shí)時(shí)監(jiān)管，重點(diǎn)加強(qiáng)對(duì)電子公告板和聊天室的內(nèi)容過濾，對(duì)黃色、反動(dòng)、暴力等不良信息及其發(fā)布者及時(shí)進(jìn)行處理，以維護(hù)網(wǎng)站的內(nèi)容健康。

(四)防火墻系統(tǒng)

門戶網(wǎng)站和部門網(wǎng)站應(yīng)當(dāng)建設(shè)防火墻系統(tǒng)，采用IP包過濾、應(yīng)用代理、地址轉(zhuǎn)換、訪問控制等手段提高防御網(wǎng)絡(luò)黑客攻擊的能力。防火墻系統(tǒng)的網(wǎng)絡(luò)吞吐量應(yīng)當(dāng)高于10兆比特/秒，且應(yīng)當(dāng)具備完善的日志記錄和分析功能。

(五)病毒防治系統(tǒng)

門戶網(wǎng)站和部門網(wǎng)站應(yīng)當(dāng)建設(shè)計(jì)算機(jī)病毒防治系統(tǒng)，通過控制信息的出入口，防止病毒入侵并對(duì)已經(jīng)入侵的病毒及時(shí)進(jìn)行檢測(cè)和清除。病毒防治系統(tǒng)應(yīng)當(dāng)具備定期掃描功能和實(shí)時(shí)檢測(cè)功能。應(yīng)當(dāng)優(yōu)先選用能夠自動(dòng)網(wǎng)上升級(jí)的病毒防治系統(tǒng)，無法實(shí)現(xiàn)自動(dòng)網(wǎng)上升級(jí)的，必須由人工及時(shí)做好病毒樣本庫和病毒防治系統(tǒng)的升級(jí)工作。門戶網(wǎng)站和有條件的部門網(wǎng)站應(yīng)當(dāng)以一套病毒防治系統(tǒng)為主覆蓋所有的主機(jī)，輔以一至兩套不同廠商的產(chǎn)品進(jìn)行單點(diǎn)定期掃描。

(六)郵件過濾系統(tǒng)

門戶網(wǎng)站和有條件的部門網(wǎng)站應(yīng)當(dāng)建設(shè)郵件過濾系統(tǒng)，對(duì)郵件的標(biāo)題、正文和文本附件的內(nèi)容進(jìn)行檢查和過濾，對(duì)不同性質(zhì)的非法郵件和可疑郵件作相應(yīng)的處理，封堵垃圾郵件和郵件炸彈，確保網(wǎng)站的郵件系統(tǒng)用于正常的公務(wù)活動(dòng)，防止惡意使用者利用服務(wù)器大量轉(zhuǎn)發(fā)不良郵件。

(七)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)

門戶網(wǎng)站和有條件的部門網(wǎng)站應(yīng)當(dāng)建設(shè)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，主動(dòng)監(jiān)視和審計(jì)網(wǎng)絡(luò)異常情況，并對(duì)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的入侵模式規(guī)則庫進(jìn)行及時(shí)更新或者升級(jí)。網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)本身應(yīng)當(dāng)具有較強(qiáng)的抗攻擊能力。

(八)網(wǎng)絡(luò)設(shè)備及主機(jī)漏洞掃描系統(tǒng)

門戶網(wǎng)站和有條件的部門網(wǎng)站應(yīng)當(dāng)建設(shè)網(wǎng)絡(luò)設(shè)備及主機(jī)漏洞掃描系統(tǒng)，通過定期掃描主要網(wǎng)絡(luò)設(shè)備和主機(jī)增強(qiáng)安全管理能力，并對(duì)掃描系統(tǒng)的漏洞及弱點(diǎn)規(guī)則庫進(jìn)行及時(shí)更新或者升級(jí)。掃描系統(tǒng)除具有檢測(cè)功能外，還應(yīng)當(dāng)能提供盡量詳盡的解決措施或者建議。