信息安全技术-网络安全等级保护-移动互联安全扩展要求.doc

《信息安全技术-网络安全等级保护-移动互联安全扩展要求.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、息安全技术网络安全等级保护基本要求第3部分：移动互联安全扩展要求1　规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB17859-1999计算机信息系统安全保护等级划分准则GB/T22239.1-XXXX信息安全技术网络安全等级保护基本要求第1部分：安全通用要求GB/T22240信息安全技术网络安全等级保护定级指南GB/T25069-2010　信息安全技术术语2　术语和定义GB

2、17859-1999、GB/T22239.1-XXXX、GB/T22240和GB/T25069-2010界定的以及下列术语和定义适用于本文件。2.1　移动终端mobiledevice在移动业务中使用的智能终端设备，包括手机、PAD、PC等通用终端和专用终端设备。2.2　无线接入设备wirelessaccessdevice采用无线通信技术将移动终端接入有线网络的通信设备。本标准的无线接入设备是指为采用移动互联技术等级保护对象使用的专用无线设备，不包括公共的无线接入设备（如公共WiFi、运营商基站等）。

3、2.3　无线接入网关wirelessaccessgateway部署在无线网络与有线网络之间，对等级保护对象进行安全防护的设备。2.4　移动应用软件mobileapplication在移动终端中运行的一般软件，包括通用移动应用软件以及等级保护对象业务移动应用软件。本标准“应用安全”要求包括通用移动应用软件安全要求和等级保护对象业务移动应用软件安全要求。2.5　移动终端管理系统mobiledevicemanagementsystem（MDMS）用于进行移动终端设备管理、应用管理和内容管理的专用软件，包括

4、客户端软件和服务端软件。3　采用移动互联技术等级保护对象安全等级保护概述1.1　采用移动互联技术等级保护对象采用移动互联技术等级保护对象与传统等级保护对象的区别在于移动终端可以通过无线方式接入网络，如图1采用移动互联技术等级保护对象构成所示移动终端可以远程通过运营商基站或公共Wi-Fi接入等级保护对象，也可以在本地通过本地无线接入设备接入等级保护对象。系统通过移动管理系统的服务端软件向客户端软件发送移动设备管理、移动应用管理和移动内容管理策略，并由客户端软件执行实现系统的安全管理。图1采用移动互联技

5、术等级保护对象构成1.2　采用移动互联技术等级保护对象保护要素与传统等级保护对象相比，采用移动互联技术等级保护对象中突出三个关键要素：移动终端、移动应用和无线网络。因此，采用移动互联技术等级保护对象的安全防护在传统等级保护对象防护的基础上，主要针对移动终端、移动应用和无线网络在物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个技术层面进行扩展。1.3　采用移动互联技术等级保护对象定级采用移动互联技术的等级保护对象应作为一个整体对象定级，移动终端、移动应用和无线网络等要素不单独定级，与

6、采用移动互联技术等级保护对象的应用环境和应用对象一起定级。2　第一级基本要求2.1　技术要求2.1.1　物理和环境安全应为无线接入设备的安装选择合理位置，避免过度覆盖。2.1.2　网络和通信安全2.1.2.1　网络架构本项要求包括：a)应保证无线接入网关的处理能力满足基本业务需要；b)应保证无线接入设备的带宽满足基本业务需要；c)无线接入设备应开启接入认证功能，并且禁止使用WEP方式进行认证，密钥长度不小于8位。1.1.1.1　边界防护应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设

7、备。1.1.1.2　访问控制应在有线网络与无线网络边界根据访问控制策略设置访问控制规则，默认情况下，除允许通信外，受控接口拒绝所有通信。1.1.1.3　通信传输应采用校验技术保证无线通信过程中数据的完整性。1.1.2　设备和计算安全1.1.2.1　身份鉴别本项要求包括：a)应对移动终端用户登录、移动终端管理系统登录及其他系统级应用登录进行身份鉴别；b)移动终端应具有登录失败处理功能。1.1.2.2　应用管控移动终端管理客户端应具有选择应用软件安装、运行的功能。1.1.2.3　入侵防范移动终端应遵循最

8、小安装的原则，仅安装需要的组件和应用程序。1.1.2.4　恶意代码防范移动终端应安装防恶意代码软件，并定期进行恶意代码扫描，及时更新防恶意代码软件版本和恶意代码库。1.1.3　应用和数据安全移动应用软件应采用校验技术保证重要数据存储的完整性。1.2　管理要求1.2.1　安全策略和管理制度应建立等级保护对象移动互联安全管理规范，并纳入等级保护对象管理安全制度。1.2.2　安全管理机构和人员1.2.2.1　岗位设置应将移动互联管理纳入等级保护对象管理员职责。1.2.2.2