周末谈等保：网络产品和服务安全通用要求之增强级安全通用要求

今天，我们先回过头来，熟悉一下有关国家标准对“网络产品”和“网络服务”这两个术语的定义。

网络产品 network product

作为网络组成部分以及实现网络功能的硬件、软件或系统，按照一定的规则和程序实现信息的收集、存储、传输、交换和处理。

注：网络产品包括计算机、通信设备、信息终端、工控网络设备、系统软件和应用软件等。

网络服务 network service

供方为满足需方要求提供的信息技术开发、应用活动，以及以网络技术为手段支持需方业务的一系列活动。

注：常见的网络服务包括云计算服务、网络通信服务、数据处理和存储服务、信息技术咨询服务、设计与开发服务、信息系统集成实施服务、信息系统运维服务等。

（“网络服务”援引征求意见稿解释）

---

增强级安全通用要求

1安全功能要求

1.1身份标识和鉴别

具有用户身份标识和鉴别功能的网络产品和服务应：

a)对用户身份进行标识和鉴别，身份标识具有唯一性；

b)对用户身份鉴别凭证进行安全保护，防止鉴别凭证的泄露、篡改；

c)告知用户网络产品和服务中与用户相关的所有预置的账户和默认口令，允许用户更改默认口令；

d)在未修改默认口令时，限制核心功能的使用，并提示用户修改口令；

e)在采用基于口令的身份鉴别机制时，对用户设置的口令进行复杂度检查；

f)具有登录失败和超时安全处理等机制，包括但不限于连续登录失败后锁定用户账户，当发生用户会话连接超时自动退出用户会话等。

1.2授权与访问控制

具有授权与访问控制功能的网络产品和服务应：

a)按照最小授权原则，在出厂时预置访问控制策略，需要配置安全策略时，允许用户更改访问控制策略；

b)在用户访问受控资源或功能时，依据设置的访问控制策略进行访问控制，保障访问和操作的安全；

c)不存在加载或运行后会禁用或绕过访问控制机制的组件；

d)支持对不同用户账号或应用软件授予完成各自承担任务所需的最小访问权限。

1.3日志记录与审计

具有日志记录与审计功能的网络产品和服务应：

a)对用户账户的登录、注销、系统开关机和核心配置变更等操作进行日志记录；

b)在日志记录中包括事件发生的日期和时间、事件的类型、主体身份、事件操作结果等；

c)对日志记录进行安全保护，防止日志记录的损毁或未授权的追加、访问、修改、删除等；

d)提供设置日志记录存储容量、保存时间的功能，日志保存时间应满足国家有关规定。

1.4信息通信安全保护

具有信息通信安全保护功能的网络产品和服务应：

a）在通信双方建立网络连接时，验证通信端身份真实性；

b）提供安全措施保障通信数据的保密性、完整性、可用性；

c）保障通信协议的安全性，可抵御常见的重放攻击、中间人攻击等安全威胁。

1.5用户信息安全保护

具有用户信息收集、处理等功能的网络产品和服务应：

a)除法律法规另有规定外，明确告知收集用户信息的目的、用途、范围和类型，在获得用户同意后，方可收集用户信息；

b)将收集的用户信息仅用于用户同意的目的和用途；

c)在收集实现网络产品和服务功能所需的用户信息时遵循最小化原则；

d)采取安全措施保护个人信息等重要用户信息的安全，防止泄露、篡改、损毁、丢失；

e)未经用户同意，不得向他人提供可精确定位到特定个人的信息；

f)在符合法律法规且技术可行条件下，向用户提供查询、更正个人信息的功能；

g)在报废或终止后，按法律法规、用户要求对用户信息进行处理，或删除用户信息；

h)在传输和存储个人敏感信息时，采取加密等安全措施。

1.6密码使用与管理

采用了密码技术的网络产品和服务应符合国家密码管理相关规定。

2安全保障要求

2.1设计和开发

网络产品和服务的提供者应：

a)制定和实施网络产品和服务安全开发流程，减少设计、开发等过程中恶意程序植入、漏洞引入的风险；

b)对设计文档、开发文档等进行配置管理，建立配置管理清单或相应程序，对配置项的变更进行授权和控制；

c)识别网络产品和服务在设计、开发环节的安全风险，制定安全策略，采取安全措施保障关键组件的设计和开发安全；

d)自行、联合或委托第三方对网络产品和服务（包括网络产品和服务中使用的第三方软硬件模块）进行安全测试；

e)在开发阶段对已发现的安全缺陷、漏洞进行修复，对于不能在开发阶段及时修复的安全缺陷、漏洞，制定并实施在用户侧进行紧急修复的安全管理流程；

f)提供设计与实现之间的对应关系，并证明其一致性。

2.2生产和交付

网络产品和服务提供者应：

a)采取完整性保护措施降低网络产品和服务中关键组件、过程和数据被篡改、伪造的风险，包括但不限于对使用的第三方软硬件模块进行安全性检测等；

b)向用户说明包含在网络产品和服务中的所有与用户相关的功能模块和访问接口，包括但不限于人机接口、调试接口等；

c)通过用户协议、产品使用说明书或网站通报等途径，声明所提供的网络产品和服务中没有故意留有或者设置漏洞、后门、木马等程序和功能；

d)建立和实施规范的产品生产和服务交付流程，在关键环节实施安全检查和验证，减少产品生产和服务交付过程中的安全风险；

e)为用户提供验证所交付产品完整性必需的安全措施，减少产品交付过程中的篡改风险；

f)为用户提供操作指南等指导性文档，明确产品典型部署环境应满足的安全要求，描述产品使用过程中涉及的各用户角色和安全责任，给出风险提示和应急响应措施。

5.2.2.3运行和维护

网络产品和服务提供者应：

a)建立和执行针对网络产品和服务安全缺陷、漏洞的应急响应机制和流程，对网络产品和服务在运行和维护阶段暴露的安全缺陷、漏洞进行响应。

b)发现网络产品和服务存在安全缺陷、漏洞时，立即采取修复或替代方案等补救措施，按照国家网络安全监测预警和信息通报制度等相关规定，及时告知用户安全风险，并向有关主管部门报告。

c)在法律法规规定或与用户约定的期限内，为网络产品和服务提供持续的安全维护，不因业务变更、产权变更等原因单方面中断或终止安全维护。

d)建立和实施规范的用户信息保护制度，当存在违反法律法规规定或者双方约定收集、使用用户个人信息的情形时，应主动或在用户要求下删除个人信息。

e)保护用户对软件安装、使用、升级、卸载的知情权和选择权，安装和升级软件时应明示告知用户并获得用户同意，允许用户卸载或禁用完成业务目标所必备产品核心功能之外的软件，不得强制或诱导用户安装或升级用户不知情的软件。

f)在对产品和服务的安全缺陷、漏洞进行修复时，提前告知用户将采取的处置操作和可能产生的影响。

g)为用户信息在不同网络产品和服务间迁移提供必要的技术支持，允许用户导出或备份用户信息。

h)在远程维护网络产品前，明确告知用户远程维护的目的和范围，并获得用户授权同意。为用户提供中止网络产品远程维护的方式。远程维护中止或结束时，远程维护权限自动撤销。

i)在远程维护网络产品时，在用户侧显示提示信息，记录远程维护的所有操作，生成审计日志供用户查阅。

j)在升级网络产品和服务前告知用户升级的内容，包括变更情况、相关安全风险、风险应对措施等，获得用户授权同意后方可实施升级，允许用户选择不接受升级。

k)在用户需要时，为用户提供支持网络产品和服务升级包的完整性、来源真实性等安全校验的方法或工具。

l)保护网络产品和服务在运行维护过程中的用户信息，防止用户信息泄露、篡改、损毁、丢失。

m)在跨境传输个人信息和重要数据时，符合国家数据出境管理有关规定

---

我将努力为在等级保护工作中需要帮忙的朋友们，提供力所能及的帮助。与各行各业各单位在网络安全等级保护以及关键信息安全保护的工作中，共同进步。期待与你们一起加油！

参考文件：

• 《信息安全技术 网络产品和服务安全通用要求》
• 网络关键设备和网络安全专用产品目录（第一批）
• 《信息技术服务运行维护 第1部分：通用要求》
• 《信息技术服务 运行维护 第2部分：交付规范》
• 《信息技术服务运行维护第3部分：应急响应规范》
  
• 《信息安全技术信息安全服务分类》
• 《信息安全技术 网络安全等级保护基本要求》等

原文始发于微信公众号（河南等级保护测评）：周末谈等保：网络产品和服务安全通用要求之增强级安全通用要求