GB／T 39403-2020标准规范下载简介

GB／T 39403-2020 云制造服务平台安全防护管理要求.pdf简介：

GB/T 39403-2020《云制造服务平台安全防护管理要求》是一个由中华人民共和国国家市场监督管理总局发布，中国国家标准管理委员会认可的国家标准。该标准主要针对云制造服务平台的安全防护提出了详细的规定和管理要求。

云制造服务平台是利用云计算技术，为制造业提供包括设计、制造、服务等全过程的数字化、网络化、智能化解决方案的平台。GB/T 39403-2020关注的重点在于确保这些平台在运行过程中，能够保障用户数据的安全、服务的稳定、系统的可靠性，以及防止未经授权的访问、数据泄露、服务中断等风险。

该标准可能涵盖了云制造服务平台安全架构设计、身份认证与访问控制、数据安全、网络安全、系统恢复与备份、安全审计与监控等多个方面，为云制造平台的建设和运营提供了强制性的安全管理和操作规范。它有助于提升云制造服务的可信度，保障企业及用户的利益，推动云制造行业的健康发展。

GB／T 39403-2020 云制造服务平台安全防护管理要求.pdf部分内容预览：

的计算资源，用户能够部署和运行任意软件，包括操作系统和应用程序。 3.7 平台即服务platformasaservice;PAAS 提供给消费者的服务是将客户使用供应商提供的开发语言和工具开发的或采购的应用程序部署到 共应商的云计算基础设施上去。 注：开发语言和工具有Java、Python、.Net等 3.8 软件即服务softwareasaservice;SAAs 提供给客户的服务是运营商运行在云计算基础设施上的应用程序，用户可以在各种设备上通过客 户端界面访问。 注：消费者不需要管理或控制任何云计算基础设施，包括网络、服务器、操作系统、存储等

云制造服务平台安全防护管理体系由资源层安全管理要求与云平台层安全防护管理要求构成，其 中云平台层安全管理要求包括IAAS层、PAAS层及SAAS层安全防护管理要求。资源层安全管理要 求具体包括设备接控制安全、设备安全、边界防护安全、网络传输安全管理要求，平台1AAS层安全防 护管理要求包括网络安全、主机安全、虚拟化安全、物理环境安全管理要求，平台PAAS层安全防护管 理要求包括工业数据接入及管理安全、统一运行环境安全、工业及算法安全管理要求，平台SAAS 层安全防护管理要求具体包括应用漏洞及异常检测、应用逻辑安全、应用安全审计、后台系统安全管理 要求。总体架构如图1所示

GB/T 394032020

6.3边界防护安全要求

滨海工程抗浮锚杆根部防水处理技术边界防护安全要求如下： a 应对未认证设备接人的行为进行告警； b 边界网关应只开放与接入相关的服务端口； C 应对数据源地址、目的地址、源端口、目的端口和协议等进行检查 d）应对设备发起的攻击行为(DDoS等）进行检测

6.4网络传输安全要求

6.4.1网络接入安全

规范网络接入安全要求，应使用网络接入控制系统并对其配置合理有效的监控与审计策略，从而 各的接人行为进行控制管理

6.4.2网络数据传输加密要求

7云平台层安全防护要求

7.1IAAS层安全防护要求

根据平合服务的类型、功能及租户的不同，平合将网络区域划分成不同的子网、网段或安全组，通过 技术手段进行隔离。 把相同安全等级、相同安全需求的计算机，放置于同一网段内，在网段的边界处进行访问控制；或者 使用虚拟安全域进行管理，即归人一个逻辑组内，对这个组配置访问控制策略。 根据面临的风险，划分安全域，在安全域之间部署防火墙，在每个安全域内部署人侵检测系统 (IDS)。

7.1.1.2 黑白名单

平台通过设置黑白名单进行访问控制，根据租户身份或其所属的预先定义的策略组，确定其访 台资源的请求是否能通过， 平台配置白名单，则只有租户身份或其所属的预先定义的策略组位于白名单内时才可访问， 平台若配置黑名单，则拒绝所有来源于黑名单内租户的网络访问

7.1.1.3边界防火墙

[7.1.2.1系统加固

GB/T39403—2020

以消除与降低安全隐惠。针对不同目标系统，平 台可通过打补丁、修改安全配置、增加安全机制等方法，加强安全性 尽可能避免安全风险的发生，平台应将周期性 主的评估和加固工作相结合

7.1.2.2 安全镜像

镜像服务应保证安全的应用镜像托管能力，精确的镜像安全扫描功能，稳定的内外镜像构建服务， 便捷的镜像授权功能，进行镜像全生命周期管理。 平台采用容器化部署，容器是基于镜像构建的。镜像安全直接决定了容器安全。 平台安全镜像构建包括代码编译、文件提取、打包镜像。应将编译和打包分离，以产生安全、精巧 不含源代码的生产级别镜像。 平台应对虚拟机镜像文件进行完整性校验，确保不被篡改

快照在主机备份时广泛采用，通常都是基于卷，在块（block）级别进行处理。 平台应提供多种快照方式。可包括： a）即写即拷快照（指针型快照），占用空间小，对系统性能影响较小，但如果没有备份而原数据盘 损坏，数据就无法恢复了； b）分割镜像快照（镜像型快照），即主机当时数据的全镜像，要占用到相等容量的空间，会对系统 性能造成一定负荷，但即使原数据损坏也不会有太大影响

7.1.2.4 主机审计

7.13.1虚拟防火墙

将一台物理防火墙在逻辑上划分成多个虚拟的防火墙，从用户的角度来说每个虚拟防火墙系统都 可以被看成是一台完全独立的防火墙设备，拥有独立的系统资源、管理员、安全策略、用户认证数据库 等。应做到： a）实现防火墙的二层、三层（路由十NAT)转发、ACL控制、安全检测功能； b）每个虚拟防火墙系统之间相互独立，不可直接相互通信：

c）支持许可（License）控制的虚拟防火墙个数的扩展

Z.1.3.2 虚拟 IPS

虚拟IPS应监控虚拟系统网络流量。 平台应在虚拟设备中部署IDS和IPS,提供虚拟机之间、虚拟和物理网络之间的流量监控

7.1.3.3虚拟主机隔离

虚拟化平台主机应隔离： 应保证每个虚拟机能获得相对独立的物理资源，并能屏蔽虚拟资源故障，确保某个虚拟机崩溃 后不影响虚拟机监控器及其他虚拟机； 应保证不同虚拟机之间的CPU指令隔离； C 应保证不同虚拟机之间的内存隔离，内存被释放或再分配给其他虚拟机前得到完全释放： 应保证虚拟机只能访问分配给该虚拟机的存储空间（包括内存空间和磁盘空间）

7.1.4物理环境安全要求

7.1.4.1机房位置

机房位置发生自然灾害的概率和频率（洪水、飓风、龙卷风等）较低。机房环境除满足计算机设备对 温度、湿度和空气洁净度、供电电源的质量（电压、频率和稳定性等）、接地地线、电磁场和震动等条件的 技术要求外，还应满足在机房中工作的人员对照明度、空气的新鲜度和流动速度、噪声的要求。 机房位置选择应符合GB50174一2017中4.1的要求

应配置火灾报警装置，在机房内、基本工作房间内、活动地板下、吊顶里、主要空调管道中易燃物 位应设置烟、温感探测器。 应配置卤代烷1211或1301灭火器，

机房接地形式为机房专用 地极.接地电阻小于12。 机房配电系统的交流工作地、安全保持 充物本体综合接地（其电阻小于4Q）

GB/T39403—2020

满足GB50174—2017中环境要求中温湿度要求。 主机房的环境温度、相对湿度要求： a）温度：5℃～45℃； b）相对湿度：8%～80%； c）温度变化率：<5℃/h(不得结露）

满足GB50174一2017中环境要求中温湿度要求。 主机房的环境温度、相对湿度要求： a）温度：5℃~45℃； b）相对湿度：8%～80%； c）温度变化率：<5℃/h（不得结露）

计算机机房应装设监控系统，实行24小时值班制度，出人口应安装防盗安全门，窗户应安装金属防 护装置。 可监控物理环境的入口，并在入口设置门禁，门禁能够自动记录日志，管理人员能够查看、审计门禁 记录。

7.1.4.7 电力安全

7.2PAAS层安全防护要求

7.2.1工业数据接入及管理安全

7.2.1.1工业数据加密

月户信息、订单信息等重要工业数据实施加密存储

2.1.2敏感工业数据保护

7.2.1.3工业数据备份

应提供工业数据本地备份及恢复功能，全部工业数据每周备份一次，新增工业数据应每天名 次。

GB/T39403—2020

GB/T39403—2020

7.2.2统一运行环境安全

7.2.2.1登录认证

登录认证的要求应包含以下内容： a 对存储用户个人信息及用户服务信息的业务，应对用户实施身份认证； b 提供登录功能的开发环境应启用登录失败处理功能，比如采取结束会话、限制非法登录次数及 自动退出等方法； 提供登录功能的开发环境应启用用户身份唯一性检查功能，确保用户身份标识不重复，并启用 用户认证信息复杂度功能检查，防止身份认证信息被轻易冒用； d）应对用户账号及口令信息实施加密存储。

7.2.2.2 访问控制

访问控制的要求应包含以下内容： a） 应配置用户访问控制策略，严格限制默认用户的访问权限； 应限制用户的访问权限，根据业务需要配置用户所需的最小权限，严格按策略要求控制用户访 问业务、数据和网络资源等； C）用户与开发环境的通信双方中任何一方超出一定时间无响应时，另一方应自动结束会话

7.2.2.3服务接入安全

服务接人安全的要求应包含以下内容： a）应对外部组件接人接口采取安全管控措施，通过接口代码审计、黑白名单等控制措施保证接口 协议操作交互符合接口规范；

7.2.2.4应用接入安全

应用接入安全的要求应包含以下内容： a）对应用接入的开放接口调用应采取认证措施； b）通过开放接口生成的业务应用和应用程序在用户下载之前应进行安全检测； c）应制定应用接人开放接口的管理机制及网络安全应急管理制度

7.2.2.5容器隔离

7.2.2.6多租户隔离

多租户隔离应包含以下内容： a）系统本身元数据和基础数据的隔离（用户、角色、权限、数据字典、流程模板）； b） 系统运行过程中产生的动态数据的隔离； ）业务系统所涉及的计算资源和存储资源的隔离

7.2.2.7且志审计

GY／T 5061-2015标准下载日志审计的要求如下： a）应对每个用户的关键操作进行审计； SZC

日志审计的要求如下： a）应对每个用户的关键操作进行审计：

GB/T 39403—2020

7.2.3工业及算法安全

7.2.3.1及算法接入安全

及算法接人安全的要求如下： a）应对使用及算法的用户进行认证，针对不同接人方式的及算法用户，应采用不同的认 证方式进行认证； b）需要检查用户使用及算法的合法性及有效性

《串联补偿装置电容器组保护用金属氧化物限压器 GB/T34869-2017》7.2.3.2及算法访问控制