XX县政务信息系统数据安全规范及监管平台项目采购需求.docx

《XX县政务信息系统数据安全规范及监管平台项目采购需求.docx》由会员分享，可在线阅读，更多相关《XX县政务信息系统数据安全规范及监管平台项目采购需求.docx（12页珍藏版）》请在第一文库网上搜索。

1、XX县政务信息系统数据安全规范及监管平台项目采购需求一、项目背景XX省大数据局领导在4月28日设区市大数据局局长业务培训会上明确提出：要全面、完整、准确贯彻落实国家总体安全观，坚决筑牢网络安全之基、绷紧数据安全之弦，落实落细公共数据全生命周期安全措施。围绕进不来、拿不走、看不懂、改不了、赖不掉“5个不”的工作目标，按照量化闭环的工作要求，对每一张数据表进行分析、加固、测试，筑牢数据安全防线。二、建设目标根据XX省公共数据安全体系建设指南、XX市网络安全保障工作方案等相关文件安全建设要求，遵循“进不来、拿不走、看不懂、改不了、赖不掉”的安全“五个不”要求，建立XX县政务信息系统数据安全监管平台，

2、统筹管理XX地区网络安全及数据安全能力，夯实并提高XX地区的数据安全防护水平，显著提升全县公共数据安全防护、监测、预警、处置全链路数据监管能力，促进数据合规高效流通使用，赋能实体经济。三、建设依据2023年省市重点工作解读（区县局长培训会）；XX省公共数据安全体系建设指南；XX市网络安全保障工作方案；国民经济和社会发展第十四个五年规划纲要；中华人民共和国网络安全法；中共中央国务院关于加强网络安全和信息化工作的意见（中发（2017）18号）；国务院关于印发政务信息资源共享管理暂行办法的通知；网络安全等级保护制度2.O标准及相关规范;GB/T37988-2019信息安全技术数据安全能力成熟度模型；

3、GBT35273-2017信息安全技术个人信息安全规范；GB/T35274-2017信息安全技术大数据服务安全能力要求；GB/T25058-2010信息安全技术信息系统安全等级保护实施指南；GB/T22239-2019信息安全技术信息系统安全等级保护基本要求；GB/T20273-2019信息安全技术数据库管理系统通用安全技术要求。四、项目建设内容XX县政务信息系统数据安全规范及监管平台项目建设内容一览表序号分类模块建设功能项1一、软件开发类数据安全监管平口建设权限管控中心安全规则管理安全策略管理数据安全知识库数据安全任务中心全链路数据安全监管系统数据血缘图谱影响分析数据监测看板重要数据加密数据

4、签名溯源外部系统对接XX县政务外网安全日常业务管理系统日常业务统计分析系统管理五、建设内容详细需求5.1 数据安全监管平台针对XX当前运维过程中账号管理混乱、操作不透明等一系列非合规现象造成的数据泄漏事件，数据安全监管平台通过X政钉认证、多维度的角色管控和细粒度数据授权管控。旨在对大量现存RDS数据库以及DataWorks上的回流数据进行统一访问控制，实现操作定位到人，追责溯源到人，最大程度的保障用户隐私信息安全，防止数据泄露。数据安全监管平台应由权限管控中心、安全规则管理、安全策略管理、知识库管理、任务中心、全链路数据安全监管、数据血缘图谱影响分析共同组成。5.1.1 权限管控中心针对XX当

5、前运维过程中账号管理混乱、操作不透明等一系列非合规现象造成的数据泄漏事件，数据安全监管平台通过X政钉认证、多维度的角色管控和细粒度数据授权管控。旨在对大量现存RDS数据库以及DataWorks上的回流数据进行统一访问控制，实现操作定位到人，追责溯源到人，最大程度的保障用户隐私信息安全，防止数据泄露。5.1.1.1 账号管理账号管理通过建立与X政钉的账户绑定，实现身份认证，访问鉴权等功能，规范用户对数据的操作控制。账号管理主要功能应包括但不限于：工作台、统一账号管理策略、异常账号停用策略、异常账号锁定策略。51.1.2权限管控完成对账号的各类权限管控，提供对SChema、角色、账号、黑白名单、消

6、息、事件、日志的统一管控；有独立于源数据库的使用者账号管理体系，使用者无需知道真实数据库的账号和密码、IP和端口等信息；提供IP段、时间段、应用名称、主机名等多因素准入控制登录认证，精细到个人、机构的账号权限管理；提供灵活设置账号访问的数据库表级别的返回行数限制，防止批量信息泄露;提供设置表级别的删改影响行数控制，一旦操作语句中的行数高于阈值，则语句无法正常执行，防止大批量的误删误改的发生。5.1.1.3 数据库沙箱管控通过管理数据库，扫描数据，准入控制，角色访问控制等功能，完成对用户客户端的控制，防止用户通过非授权手段完成数据的下载。5.1.2 安全规则管理安全规则管理用于建立与管理数据质检

7、规则库，规则定义支持正则表达式、Sq1脚本便携、规则权重设置，支持单表、跨表稽查等。规则管理应包括但不限于：规则类型管理，通用规则管理，自定义规则管理，规则的定义同步调度。5.1.3 安全策略管理安全策略管理系统面向网络安全设备众多的大中型企业，提供专业的运维管理解决方案。能够轻松实现统一对多安全相关产品进行集中管理及自动化配置，具备实时监测预警安全威胁、梳理、优化安全策略、安全合规分析、批量升级等功能，为安全管理者提供风险评估和应急响应的决策支撑。5.1.4 安全知识库管理知识库主要负责记录各类安全问题处理方法，事项处理过程作为参考依据，形成安全问题处理机制规则库。5.1.5 数据安全任务中

8、心一体化任务中心承担数据安全运维单位与安全厂家，运维部门之间跨部门的各类任务处置、流转工作，实现任务跨部门、跨领域、跨层级的汇聚融合，分拨流转。5.1.6 全链路数据安全监管数据安全监管模块以数据资源为关键要素，以信息通信技术融合应用，全要素数字化转型为重要推动力，从时间和空间两个维度对数据要素进行监管。确保数据全生命周期的安全保障。5.1.7 数据血缘图谱数据血缘是在数据的加工、流转过程产生的数据与数据之间的关系。提供一种探查数据关系的手段，用于跟踪数据流经路径5.1.8 数据监测看板为了帮助用户更加直观地实现对数据安全的统筹管控，梳理数据安全类指标,建立对外管控的数据监测看板。5.1.9

9、重要数据加密重要数据加密模块可帮助用户将数据加密后存储到数据库中，数据在访问过程中可保证访问权限细粒度控制，在不影响用户体验的同时，保证用户数据安全。需提供的能力如下：透明加解密:透明访问业务,在访问加密数据的时候感觉不到加密解密过程，业务性能无损；权限隔离：独立于数据库权限体系的独立权限控制，防止DBA及高权限用户访问敏感数据、利用数据库安全漏洞提升权限引发数据泄露；数据识别：在访问该字段时，进行加密处理和权限管控；秘钥管理：配置一个秘钥轮换周期，当秘钥未被操作时间达到周期长度时，秘钥会自动更换；传输加密：支持对数据先加密,然后密文传输,传输完成后再进行安全解密，保证数据传输过程中的安全防护

10、；服务接口：支持开放AP1等多种方式的接口；监控告警：支持多种方式告警。支持ORAC1E、MySQ1、SQ1server、Sybase、DB2、达梦等数据库加密（投标单位应提供系统截图证明）支持字段、表、库级别的加解密（投标单位应提供系统截图证明）支持通过前台界面根据数据类型设置多个加密规则组的模板化配置，所有针对数据类型的加密规则均可使用已经配置好的规则方案模板（投标单位应提供系统截图证明）支持对“字段”、“表”、“库”加解密策略进行创建、修改、删除自定义配置（投标单位应提供系统截图证明）支持三权分立设置，DBA访问、数据源使用必须经过相应管理员授权（投标单位应提供系统截图证明）5.1.10

11、 数据签名溯源数据签名溯源服务提供结构化数据和文件数据的签名服务，该服务通过对结构化数据或文件数据的头部、中间和尾部自动增加数据签名的方法实现数据的权属证明和泄漏者的溯源。支持虚拟化环境部署，只需网络可达。支持多种类型数据库，达梦、OracIeMySQ1SQ1ServerGaussDBSybasePostgreSQ1RDSODPSH1VE等（投标单位应提供系统截图证明）支持嵌入不可见字符、数字水印、伪列等（投标单位应提供系统截图证明）支持库到库、库到文件、文件到库的嵌入水印操作,其中文件包括不限于（CSV、Exce1TXTDE1）（投标单位应提供系统截图证明）支持对疑似泄露数据文件或数据表，直

12、接上传到数据水印系统，一键溯源，自动化展示出溯源结果，生成溯源报告（投标单位应提供系统截图证明）支持对数据源、水印任务添加、修改审批；未经审批，则数据源及任务无法使用（投标单位应提供系统截图证明）5.1.11 外部系统对接外部系统对接的功能项和业务目标如下表:建设功能项业务目标描述与X政钉对接与X政钉打通用户体系，引导用户通过X政钉扫码进入平台与IRS对接以组件形式建立与IRS对接，引导用户通过IRS发起资源，链路需求。接收IRS发起的工单请求。与ISV安全厂家的技术对接完成与ISV安全厂家的技术对接，引导各地安全厂家在ISv注册。然后同步到数据安全监管平台，实现对安全厂家和平台的统一管控。与

13、省市安全规则库对接完成与省市安全规则库的技术对接，及时同步省市的安全数据规则。进一步保障当地的数据安全体系。与安全平台对接融合基于一体化底层能力建立数据安全监管平台，打通现有XX当地安全类业务系统的，实现全地区的安全日志数据汇聚，安全策略管理、安全工单统一流转处置。与一体化平台的对接融合充分应用各地区一体化平台已有的基础能力，如数据汇聚、数据治理对各安全系统的日志进行汇聚、治理、清洗入库。5.2 XX县政务外网安全日常业务管理系统为全面构建全县网络信息安全保障体系，切实加强全县信息安全保护，确保网络安全运行,根据省市的相关工作部署要求，本次项目建设针对隐患查改核验、攻防演练、渗透测试、基线核查

14、等工作中发现的问题，进行登记、交办、整改反馈、确认的全过程管理信息系统。5.2.1 日常业务1.1.1.1 网络库管理管理维护全县各企事业机关单位的服务器、PC电脑、网络打印机、网络摄像头等设备，可以添加网络地址段、服务器单个IP地址、对应责任单位、网络区域（VPNUVPn2、专网、互联网）、备注等信息。1.1.1.2 应用系统库管理由管理员登记维护全县所有业务系统，并可以授权给职能部门进行各自业务系统的相关数据维护管理权限。1.1.1.3 问题处置管理支持对网络问题的任务登记，审核，签收和整改反馈操作。1.1.1.4 业务审批管理针对公网地址申请、端口开放申请、二级域名申请等业务进行审批管理

15、，并自动应用系统库进行关联。1.1.1.5 安全值守管理驻守人员发现攻击地址和被攻击地址（或通过态势感知平台接入获取），登录系统查询后自动匹配所属单位、系统或PC,提交后X政钉工作群中相关人员，并登记形成值守记录，提交数管中心审核确认。522统计分析统计分析协助单位管理员查看本单位所有系统所有情况（整体情况和单台服务器情况可分别查看），包括当日实时情况，本周、本月、本年、历年来统计情况，发生过的安全漏洞、安全事件及整改情况（时间、来源、是否整改、整改措施等）。支持系统管理员实时查看安全漏洞或安全事件、交办情况、反馈情况。5.2.3系统管理基于X政钉用户体系的人员管理、组织管理、菜单管理、日志管理、权限管理等功能。系统能够于办公OA实现单点登录、待办工作台实现单位数据互通。六、服务要求6.1项目进度要求合同签订生效后，中标方需在合同签订后3个月内完成系统开发、测试、部署上线工作，系统实现上线试运行；试运行1个月后，中标方可书面申请进行项目验收。（投标单位应提供项目进度计划表）。6.2项目团队人员要求人员配置应科学、合理、有效，应充分保证人员的数量和质量。项