税务电子数据安全保护总体技术框架

《税务电子数据安全保护总体技术框架》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、附件税务电子数据安全保护总体技术框架（内部资料注意保管）国家税务总局目录1前言32范围33规范性引用文件34术语和定义45数据安全保护分级分类55.1数据安全保护分级65.2数据安全保护分类65.3数据管理角色和职责76数据安全保护框架结构87数据安全保护目标和思路107.1数据安全保护原则107.2数据安全保护目标107.3数据安全保护思路118数据安全威胁和保护技术128.1主要安全威胁128.2安全保护技术139数据安全保护策略149.1总体安全策略要求159.2核心数据安全策略179.2.1安全威胁分析179.2.

2、2安全策略要求189.3敏感数据安全策略219.3.1安全威胁分析219.3.2安全策略要求229.4受控数据安全策略269.4.1安全威胁分析269.4.2安全策略要求27附录A：基于工作秘密数据的分类291.税收业务类数据292.行政办公类数据293.运行管理数据30附录B：数据安全典型案例311.江苏省国家税务局移动办公安全解决方案322.内蒙古自治区国家税务局运维权限管理安全解决方案443.江苏省地方税务局终端数据防泄漏安全解决方案574.湖南省国家税务局终端管理安全解决方案685.山东省国家税务局非税务机关网络节

3、点安全解决方案761前言随着税收信息化的不断发展，税务数据高度集中并呈指数级增长，具有数据规模大、应用类型多样、涉及个人隐私和敏感信息等特点。国家有关法律法规对数据安全保护提出了具体要求，《中华人民共和国税收征收管理法》明确要求税务机关应当依法为纳税人、扣缴义务人的情况保密；《全国人民代表大会常务委员会关于加强网络信息保护的决定》要求应当采取技术措施和其他必要措施，确保信息安全，防止电子信息的泄露、毁损、丢失等，这些都对税务数据安全保护提出了更高的要求。本框架在数据分级分类的基础上，分析数据全生命周期的安全威胁，重点加强工

4、作秘密数据的安全保护，明确安全策略要求，为税务电子数据保护提供指导。2范围本框架中的数据安全保护范围是通过税务信息系统、网络和终端采集、加工而产生的税务电子数据，以及税务机关接收的外部电子数据。3规范性引用文件法律法规：《中华人民共和国税收征收管理法》《中华人民共和国税收征收管理法实施细则》《全国人民代表大会常务委员会关于加强网络信息保护的决定》国际、国家标准：GB/T5271.8-2001《信息技术词汇第8部分安全》GB/T22080-2008《信息技术安全技术信息安全管理体系要求》GB/T22081-2008《信息技术

5、安全技术信息安全管理实用规则》GB/T20984-2007《信息技术信息安全风险评估规范》ISO/IEC13335-1：2004《信息技术IT安全管理指南》税务系统内部规范：《税务工作秘密管理暂行规定》《税务系统信息安全等级保护基本要求》《网上办税系统安全保障要求》《税务信息系统安全保护层次、区域、等级划分准则》1术语和定义数据安全保护通过实施管理、技术或物理安全措施，以防范未经授权访问数据。（GB/T5271.8-2001）信息安全保持信息的保密性、完整性、可用性、可控性和不可否认性。（GB/T22081-2008）保密

6、性数据不能被未授权的个人、实体或者过程利用或者知悉的特性。（GB/T22081-2008）完整性数据不被未经授权的方式替换或破坏的特性。（GB/T22081-2008）可用性根据授权用户实体的要求可访问和利用的特性。（GB/T22081-2008）不可否认性证明一个已经发生的活动或事件在后期不可被抵赖、否认的能力。（GB/T22081-2008）安全策略为保障计算机安全所采取的行动计划或方针。（GB/T5271.8-2001）支持如何在一个组织或其IT系统中管理、保护和分布资产的规则、指令和习惯做法。（ISO/IEC133

7、35-1：2004）主体能够访问客体的主动实体。（GB/T5271.8-2001）客体一种实体，对该实体的访问是受控的。（GB/T5271.8-2001）威胁对可能导致对系统、组织的损害，不期望事件发生的潜在原因。（GB/T22081-2008）安全措施保护资产、抵御威胁、减少脆弱性、降低安全事件的影响，以及打击信息犯罪而实施的各种实践、规程和机制。（GB/T20984-2007）安全等级决定防止数据或信息需求访问的某种程度的保护，同时对该保护程度给以命名。（GB/T5271.8-2001）1数据安全保护分级分类在计算机系

8、统中，各种字母数字符号的组合、语音、图形、图像等统称为数据。数据放置在一定的背景下，经过加工后就成为信息。数据本身是被动的客体，需要借助于应用系统、网络、介质等进行访问、处理和使用；数据本身是抽象的，需要通过磁盘文件、网络数据包、数据库表、图像和音频视频等各类形式进行使用。1.1数据安全保护分级根据税务