附 錄 A政府網(wǎng)站系統(tǒng)安全措施級(jí)別選擇 政府網(wǎng)站系統(tǒng)可依據(jù)其行政級(jí)別、訪問量、注冊(cè)用戶數(shù)、業(yè)務(wù)重要度和個(gè)人敏感信息等選擇相應(yīng)強(qiáng)度級(jí)別的安全措施，見表A.1。其中，滿足任意一條級(jí)別選擇指標(biāo)要求的政府網(wǎng)站系統(tǒng)，均宜選擇增強(qiáng)級(jí)安全措施集。

　表 A.1 政府網(wǎng)站系統(tǒng)安全措施級(jí)別選擇方法 級(jí)別 選擇 因素

　級(jí)別 選擇 指標(biāo)

　適用的安全 措施級(jí)別

　行政級(jí)別 部委網(wǎng)站或省級(jí)網(wǎng)站 是 增強(qiáng)級(jí)安全措施集 否 基本級(jí)安全措施集 訪問量 有效日均訪問次數(shù) ≥ 150 萬 PV 是 增強(qiáng)級(jí)安全措施集 否 基本級(jí)安全措施集 注冊(cè)用戶數(shù) 累計(jì)注冊(cè)用戶總數(shù) ≥ 25 萬 是 增強(qiáng)級(jí)安全措施集 否 基本級(jí)安全措施集 業(yè)務(wù)重要度 在線辦事程度較高或按照 GB/T22240-2020要求安全保護(hù)等級(jí)級(jí)別定為三級(jí)以上(含三級(jí))的網(wǎng)站 是 增強(qiáng)級(jí)安全措施集 否 基本級(jí)安全措施集 個(gè)人敏感信息 屬于 GB/T 35273-2020 中定義的“個(gè)人敏感信息” 是 增強(qiáng)級(jí)安全措施集 否 基本級(jí)安全措施集 注：有效日均訪問次數(shù)應(yīng)避免重復(fù)統(tǒng)計(jì)同一訪問源在短時(shí)間內(nèi)進(jìn)行的多次訪問。

　附 錄 B （資料性）

　政府網(wǎng)站系統(tǒng)基本結(jié)構(gòu) 政府網(wǎng)站系統(tǒng)采用分層設(shè)計(jì)思想，從頂層訪問到底層環(huán)境將網(wǎng)站系統(tǒng)劃分四個(gè)層次，分別是用戶訪問層、應(yīng)用功能層、信息資源層和基礎(chǔ)設(shè)施層，其基本結(jié)構(gòu)如圖 B.1 所示。每一層的內(nèi)容如下：

　網(wǎng)站數(shù)據(jù)中心辦事服務(wù)庫(kù) 政務(wù)公開庫(kù) 內(nèi)容發(fā)布庫(kù)基礎(chǔ)支撐用戶訪問層信息資源層基礎(chǔ)設(shè)施層服務(wù)門戶接入方式微信公眾號(hào) 瀏覽器 App 小程序物理環(huán)境機(jī)房網(wǎng)絡(luò)系統(tǒng)/安全保障系統(tǒng)其他業(yè)務(wù)網(wǎng)絡(luò) 互聯(lián)網(wǎng)主機(jī)系統(tǒng)（服務(wù)器，虛擬機(jī)、云主機(jī)、PC客戶端）存儲(chǔ)備份系統(tǒng)操作系統(tǒng)（Windows/Linux/Unix）數(shù)據(jù)庫(kù)系統(tǒng) 通用軟件基礎(chǔ)庫(kù)信息資源服務(wù)應(yīng)用功能層服務(wù)接口后臺(tái)支撐系統(tǒng)信息發(fā)布系統(tǒng) 內(nèi)容管理系統(tǒng) 運(yùn)維監(jiān)測(cè)系統(tǒng)統(tǒng)一入口、統(tǒng)一認(rèn)證前臺(tái)應(yīng)用功能在線辦事 政務(wù)公開 交流互動(dòng) 數(shù)據(jù)開放目標(biāo)用戶政府 公眾 企業(yè) 服務(wù)商網(wǎng)上辦事大廳 網(wǎng)站群門戶 數(shù)據(jù)網(wǎng)邊界控制數(shù)據(jù)交換系統(tǒng) 圖 B.1 政府網(wǎng)站系統(tǒng)基本結(jié)構(gòu) a) 用戶訪問層

　用戶訪問層是政府網(wǎng)站系統(tǒng)最頂層的內(nèi)容，是對(duì)服務(wù)對(duì)象的歸納，再結(jié)合服務(wù)對(duì)象的不同提供不同的門戶服務(wù)內(nèi)容和訪問方式； 服務(wù)對(duì)象分為公眾、企業(yè)、政府和服務(wù)商；訪問方式包括瀏覽器、移動(dòng)終端、微信公眾號(hào)、小程序等，通過提供多種服務(wù)接入方式，為用戶提供多渠道的服務(wù)內(nèi)容。

　b) 應(yīng)用功能層 應(yīng)用功能層包括前臺(tái)應(yīng)用功能和后臺(tái)支撐系統(tǒng)。前臺(tái)應(yīng)用功能是基于網(wǎng)站開發(fā)的應(yīng)用功能，主要包括政務(wù)公開、在線辦事、交流互動(dòng)、數(shù)據(jù)開放等；后臺(tái)支撐系統(tǒng)是為網(wǎng)站應(yīng)用系統(tǒng)提供產(chǎn)品支持和應(yīng)用支撐，包括提供的內(nèi)容管理及發(fā)布系統(tǒng)、運(yùn)維監(jiān)測(cè)系統(tǒng)、數(shù)據(jù)交換系統(tǒng)等。

　c) 信息資源層 信息資源層主要是針對(duì)網(wǎng)站應(yīng)用的需要，對(duì)底層的數(shù)據(jù)資源進(jìn)行統(tǒng)一管理。數(shù)據(jù)庫(kù)按照應(yīng)用建設(shè)，主要包括政務(wù)公開庫(kù)、辦事服務(wù)庫(kù)、內(nèi)容發(fā)布庫(kù)和基礎(chǔ)庫(kù)等。

　d) 基礎(chǔ)設(shè)施層 IT 基礎(chǔ)設(shè)施主要包括物理機(jī)房、網(wǎng)絡(luò)系統(tǒng)、安全系統(tǒng)、服務(wù)器、存儲(chǔ)系統(tǒng)，以及配套的操作系統(tǒng)、軟件、數(shù)據(jù)庫(kù)等。

　附 錄 C （資料性）

　安全措施分級(jí)表 政府網(wǎng)站系統(tǒng)安全措施分級(jí)對(duì)照表見表C.1。

　表 C.1 安全措施分級(jí)表 安全措施 基本級(jí) 增強(qiáng)級(jí) 安全技術(shù)措施 物理安全 6.1 6.1+ 通信網(wǎng)絡(luò) 網(wǎng)站部署 6.2.1 6.2.1+ 通信安全 6.2.2 6.2.2+ 性能保障 6.2.3 6.2.3+ 區(qū)域邊界

　6.3 6.3+ 計(jì)算環(huán)境

　設(shè)備安全

　6.4.1 6.4.1+ 通用軟件安全

　操作系統(tǒng)安全

　6.4.2.1 6.4.2.1+ 數(shù)據(jù)庫(kù)安全

　6.4.2.2 6.4.2.2+ 中間件安全

　6.4.2.3 6.4.2.3+ 開源軟件組件安全

　6.4.2.4 6.4.2.4+ 管理終端安全

　6.4.3 6.4.3+ 虛擬化安全

　6.4.4 6.4.4+ 密碼應(yīng)用

　6.4.5 6.4.5+ 內(nèi)容發(fā)布及數(shù)據(jù)安全

　標(biāo)識(shí)安全

　6.4.6.1 6.4.6.1 內(nèi)容發(fā)布安全

　發(fā)布安全

　6.4.6.2.1 6.4.6.2.1+ 網(wǎng)頁(yè)防篡改

　6.4.6.2.2 6.4.6.2.2+ 個(gè)人信息安全

　6.4.6.3 6.4.6.3 傳輸和存儲(chǔ)

　6.4.6.4 6.4.6.4+ 備份和容災(zāi)

　6.4.6.5 6.4.6.5+ 應(yīng)用安全

　身份鑒別

　6.4.7.1 6.4.7.1+ 權(quán)限管理

　6.4.7.2 6.4.7.2+ 應(yīng)用審計(jì)

　6.4.7.3 6.4.7.3 代碼安全

　6.4.7.4 6.4.7.4 業(yè)務(wù)交互

　6.4.7.5 6.4.7.5+ 移動(dòng)安全

　移動(dòng)接入安全

　6.4.8.1 6.4.8.1+ 移動(dòng)應(yīng)用安全

　6.4.8.2 6.4.8.2+ 移動(dòng)數(shù)據(jù)安全

　6.4.8.3 6.4.8.3+ 郵件安全

　6.4.9 6.4.9 域名安全

　域名管理安全

　6.4.10.1 6.4.10.1 域名系統(tǒng)安全

　6.4.10.2 6.4.10.2+ 安全管理中心

　惡意代碼防范

　7.1 7.1+ 補(bǔ)丁管理

　7.2 7.2+ 安全審計(jì)

　7.3 7.3+ 安全監(jiān)測(cè)

　7.4 7.4+

　策略控制

　7.5 7.5+ 安全管理措施

　管理制度

　8.1 8.1 管理機(jī)構(gòu)

　8.2 8.2+ 人員和培訓(xùn)

　8.3 8.3 開發(fā)與交付

　規(guī)劃設(shè)計(jì)

　8.4.1 8.4.1+ 安全開發(fā)

　8.4.2 8.4.2+ 試行交付

　8.4.3 8.4.3+ 運(yùn)行維護(hù)

　外包服務(wù)管理

　服務(wù)商選擇

　8.5.1.1 8.5.1.1 服務(wù)提供管理

　8.5.1.2 8.5.1.2+ 服務(wù)監(jiān)督管理

　8.5.1.3 8.5.1.3+ 應(yīng)急處置

　8.5.2 8.5.2+ 資產(chǎn)管理

　8.5.3 8.5.3 信息審核

　8.5.4 8.5.4 密碼管理

　8.5.5 8.5.5+ 變更管理

　8.5.6 8.5.6 評(píng)估檢查

　8.6 8.6+ 系統(tǒng)退出

　8.7 8.7+ 注：“+”表示采取了更高的安全防護(hù)措施

相關(guān)熱詞搜索：分級(jí) 安全措施 政府網(wǎng)站