标准规范下载简介

GB／T 38561-2020 信息安全技术 网络安全管理支撑系统技术要求简介：

GB/T 38561-2020《信息安全技术 网络安全管理支撑系统技术要求》是一个由中国国家标准化管理委员会发布的技术标准。该标准主要规定了网络安全管理支撑系统（NSSS）的技术要求，NSSS是一种用于支撑和提升网络信息安全的系统，它包括但不限于安全策略管理、风险评估、安全事件管理、安全合规性管理、安全运营服务等功能。

该标准旨在规范网络安全管理的流程和方法，确保网络运行的稳定性和安全性。它要求NSSS应具备强大的安全防护能力，能够实时监控网络状况，预防、发现和响应安全威胁，同时提供有效的安全策略执行和合规性报告功能。此外，标准还涉及到系统的可扩展性、可靠性和易用性等方面，以适应不断变化的网络环境和安全挑战。

遵循GB/T 38561-2020的企业和组织，可以提升其网络安全管理水平，减少安全风险，符合国家和行业的信息安全法规要求。

GB／T 38561-2020 信息安全技术 网络安全管理支撑系统技术要求部分内容预览：

国家市场监督管理总局 发布 国家标准化管理委员会

GB/T385612020

本标准按照GB/T1.1一2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本标准起草单位：浙江远望信息股份有限公司、公安部第一研究所、浙江省委办公厅信息化管理 浙江省公安厅科技通信管理局、浙江省高级人民法院信息中心、浙江省信息化推进服务中心、杭州 安局科技信息化局、中电长城网际系统应用有限公司、北京江南天安科技有限公司。 本标准主要起草人：傅如毅、吴文、宣以广、殷云飞、毛林斌、栗红梅、周春燕、邵森龙、蒋行 洪军、陈冠直、金江焕、周征宇、姚龙飞、蒋先浩、刘京玲、王雪玲

本标准按照GB/T1.1一2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本标准起草单位：浙江远望信息股份有限公司、公安部第一研究所、浙江省委办公厅信息化管理中 心、浙江省公安厅科技通信管理局、浙江省高级人民法院信息中心、浙江省信息化推进服务中心、杭州市 公安局科技信息化局、中电长城网际系统应用有限公司、北京江南天安科技有限公司， 本标准主要起草人：傅如毅、吴文、宣以广、殷云飞、毛林斌、栗红梅、周春燕、邵森龙、蒋行杰《氧气曝气设计规程 CECS114：2000》， 马洪军、陈冠直、金江焕、周征宇、姚龙飞、蒋先浩、刘京玲、王雪玲

GB/T385612020

信息安全技术 网络安全管理支撑系统技术要求

信息安全技术 网络安全管理支撑系统技术要求

GB/Z20986一2007界定的以及下列术语和定义适用于本文件 3.1 网络安全管理支撑系统cybersecuritymanagementsupportsystem 基于组织的安全目标、对象、流程等，支撑组织开展网络安全管理工作的系统。 3.2 对象object 网络安全管理中的实体。 注：主要包括硬件资产、软件资产、数据资产、组织人员等

支撑系统具备组织安全目标管理功能，应满足以下要求： a）新增、删除、查询和修改安全目标； b）对安全目标进行分类管理； ）对安全目标进行发布与展示

支撑系统具备应急预案管理功能，应满足以下要求： a）新增、删除、查询和修改应急预案信息； b）对应急预案进行分类、分级管理

支撑系统具备对象管理功能，应满足以下要求： a）修改、删除和查询对象的信息； b）支持自动和人工方式采集对象的信息： 对硬件资产、软件资产、数据资产、组织人员等信息进行管理，其中： 1）对硬件资产信息进行管理，包括但不限于IP地址、MAC地址、硬件型号等； 注1：硬件资产主要包括计算机、网络设备、安全设备、存储设备、安防设备及办公设备等， 2） 对软件资产信息进行管理，包括但不限于软件版本、安装位置、安装时间等； 注2：软件资产主要包括安全系统、操作系统、工具软件、业务系统、网站等。 3） 对数据资产信息进行管理，包括但不限于文件位置、文件发布者等： 注3：数据资产主要包括数据库文件、文档文件、音视频文件、图片等。 4 对组织人员信息进行管理，包括但不限于账号、权限等。 注4：组织人员主要包括管理人员、使用人员等，

支撑系统具备对象管理功能，应满足以下要求： 且）修改、删除和查询对象的信息； b）支持自动和人工方式采集对象的信息 对硬件资产、软件资产、数据资产、组织人员等信息进行管理，其中： 1）对硬件资产信息进行管理，包括但不限于IP地址、MAC地址、硬件型号等； 注1：硬件资产主要包括计算机、网络设备、安全设备、存储设备、安防设备及办公设备等 2 对软件资产信息进行管理，包括但不限于软件版本、安装位置、安装时间等； 注2：软件资产主要包括安全系统、操作系统、工具软件、业务系统、网站等。 3） 对数据资产信息进行管理，包括但不限于文件位置、文件发布者等： 注3：数据资产主要包括数据库文件、文档文件、音视频文件、图片等。 4） 对组织人员信息进行管理，包括但不限于账号、权限等。 注4：组织人员主要包括管理人员、使用人员等

系统具备运行监测管理功能，应满足以下要求：

支撑系统具备运行监测管理功能，应满足以下要求

GB/T385612020

a）对接入的安全系统的基本信息、运维情况等进行管理： b）对安全系统的运行状态进行监测与日志记录，并提供异常日志的查询和导出； ）对安全系统的运行指标进行监测.并进行有效性评估

监测等数据进行处置，应满定以下要求 a）支持告警流程处理： b）支持告警的自动触发功能； 支持对产生的告警进行清除、确认和转换流程等处理； d) 支持自动和人工方式发起流程； 流程支持签收、反馈、审核/审批、归档等处理； f 配置流程模板内容模版与回执模板等

支撑系统具备考核管理功能，应满足以下要求： a）考核项的配置和修改； b）支持对考核项进行人工和自动评测； c）输出完整的考核报告，并提供报告导出

支撑系统具备考核管理功能，应满足以下要求 a）考核项的配置和修改； b）支持对考核项进行人工和自动评测； c）输出完整的考核报告，并提供报告导出。

支撑系统具备数据交换功能，应满足以下要求： a）支持各级支撑系统之间进行数据交换；

支撑系统身份鉴别应： 且）在用户注册时，使用用户名和用户标识符标识用户身份。 ）在用户登录时，使用受控的口令或具有相应安全强度的其他机制进行用户身份鉴别。 采用至少两种身份鉴别机制，身份鉴别机制包括但不限于：“用户名十口令”鉴别方式、数字证 书鉴别方式、生物特征鉴别方式。 1 采用“用户名十口令”的鉴别方式时，保证口令复杂度；并设定用户登录尝试阈值，当用户的不 成功登录尝试超过值时，锁定管理员账号，并生成审计日志。

支撑系统访问控制应： a）根据管理员用户角色和权限允许或禁止其对系统功能及数据资产等进行访问； b）对于越权访问的非法操作及尝试记录并告警

支撑系统权限管理应： 采用三权分立的管理模式，管理员角色至少分为系统管理员、安全管理员、安全审计员三种，不 同角色权限不应交叉； 限定不同的管理员角色仅能通过特定的命令或界面执行操作； ）通过系统管理员负责用户账号的管理： 通过安全管理员负责对用户账号进行授权； 通过安全审计员负责对管理员和用户的操作进行日志记录，并对审计记录进行备份、整理

支撑系统数据安全应： a）对支撑系统的数据传输进行通信保护，确保各组件之间传输的数据（如数据采集、策略下发等） 不被泄漏或篡改； b）具有数据安全备份与恢复功能，并支持在数据存储空间达到阈值时能够向管理员告警； c）检查支撑系统内存储数据的完整性和有效性：

具有纠错报警和容错保护的能力，对录入数据、相关参数等进行有效性和完整性检查，并进行 损坏恢复

支撑系统在安全审计方面应： a）对用户操作行为进行日志记录JB∕T 12818-2016 建筑施工机械与设备 砂浆联合机，日志记录应记录用户名、操作行为发生的日期和时间、功能模 块、操作内容等，能进行组合查询、排序、数据输出，系统日志由安全审计员管理； b）对支撑系统自身各功能模块的工作状态进行检测，工作状态异常时告警

a）针对不同用户提供唯一的授权标识； b）根据不同用户提供相应的配置管理文档

支撑系统开发应满足以下要求： a）描述系统的安全功能； b）描述所有安全功能接口的目的与使用方法； c）描述每个安全功能接口相关的所有参数； d）描述安全功能接口相关的安全功能实施行为； 描述由安全功能实施行为处理而引起的直接错误消息； 提供系统设计文档

在提供支撑系统的同时，提供该系统的测试文档，测试文档应包括： a）确定待测系统功能，描述测试目标： b）测试计划、测试过程描述、测试结果以及测试预期结果与测试结果的对比； c）在测试过程中记录测试每一项功能的实际情况

提供安装和运维指南，详尽描述支撑系统的安装、配置和启动运行所必需的基本步骤，

提供支撑系统管理员指南，应包括： a）管理员使用的管理功能和接口； b）支撑系统的安全管理方法； c）管理员应进行控制的功能和权限； d）管理员在操作过程中的安全参数，并给出合适的参数值； e）管理员在操作过程中的安全配置指令； ）管理员在操作过程中的所有配置选项

GB/T38561—2020

脆弱性分析应包括： a）执行脆弱性分析工程造价招标控制价投标报价与合同价的确定，并提供执行脆弱性分析相关文档； b）对被确定的脆弱性，明确记录采取的措施

生命周期支持应满足以下要求： a）建立一个生命周期对系统的开发和维护进行必要控制，并提供生命周期定义文档描述用 于开发和维护系统的； b）提供开发安全文档，并描述为实现系统的开发所采取的必要的安全措施； c）提供在开发和维护过程中执行安全措施的证据