《数字产品网络安全要求》.docx

《《数字产品网络安全要求》.docx》由会员分享，可在线阅读，更多相关《《数字产品网络安全要求》.docx（10页珍藏版）》请在课桌文档上搜索。

1、附件1ICS35240CCS1.80团体标准P/CIQA-198-2024数字产品网络安全要求Cybersecurityrequirementsfordigita1.products（征求意见稿）2024-XX-XX实施2024-XX-XX发布中国出入境检验检疫协会发布目录前aHI范围12规范性引用文件13术语和定义14数字产品网络安全通用要求14基本级网络安全通用要求24 .1.1安全功能要求25 .1.2安全保障要求34.2增强级安全通用要求34.2.1 安全功能要求34.2.2 安全保障要求5参考文帆6P,CIQ-153-2023IXA刖三本文件按照GB/T1.12020标准化工作导则第

2、I部分：标准化文件的结构和起草规则8的规定起草，请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别这或专利的货任。本文件由中国出入境检股检疫保会网络安全标准化技术委员会CIQATC16）提出并归口。本文件起草堆位：北京时代新威信息技术有限公司、北京爱思考科技彳T限公司、北京数易轩科技有限公司、。本文件主要起草人：本文件知识产权归中国出入境检验检长协会所有.任何单位或个人未经许可,不得以营利为目的.印制、出版、期洋、转发或复制全文或部分文字.本文件是首次发布。II数字产品网络安全要求1范围本文件规定了数字产品的安全通用要求,包括安全功能要求和安全保障要求.本文件适用于数字产M提供齐进

3、行数字产品的网络安全设计、生产，也可用于指导第三方检验检测认证机构对数字产品进行网络安全检测。2规葩性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.其中.注日期的引用文件.仅该H期对应的版本适用干本文件：不注H期的引用文件,其最新版本（包括所有的蟋改单适用于本文件.GB/T25069信息安全技术术谙GB/T35273信息安全技术个人信息安全规范3术语和定义下列术语和定义适用于本文件，3 .1数字产品digita1.products数字产品是指基于或利用数字技术（如计算机、人工智能互联网等）研发或制造，通过互联网或物联网连接实现其功能的软、硬件产品.3.2用户信息use

4、rinformaition与个人、法人或其他组织有关的信息，以及定义和描述此类信息的数据.注：用户信息包括个人信息，用户生成的文档、程序、多媒体资料，用户通信的内容、地址、时间,产品的配置、运行及位置数据,系统运行过程产生的日志等，来源1ISO/IEC17027:2014,2.563.3个人信息persona1.information是以电子或者其他方式记录的与已识别或者UJ识别的自然人有关的各种信息,不包括匿名化处理后的信恩.来源：中华人民共和国个人信息保护法第四条J4数字产品网络安全通用要求PCIQA-153-20234.1 基本级网络安全通用要求4.1.1 安全功能要求4 .1.1.1产

5、品标识a）应具备唯一标识眄，标识码是能够在网络中唯一标识数字产品的罪眄,且有安全保护机制确保标识不被修改或擦除，5 112预装软件启动及更新安全a）应支持完整性校验功能确保系统软件不被费改.b）应支持设备预装软件更新功能.C）应有明确的信息告知用户软件更新过程的开始、纳乐以及更新的内容。6 .1.1.3身份标识和鉴别（可选）a）对用户身份进行标识和鉴别,身份标识具有唯一性：b）对用户身份鉴别信息诳行安全保护,防止池酱、套改：c）告知用户数字产品中预置的与用户相关的账户和欣认口令,允许用户更改默认口令：d）存在我认口令时,提示用户对默认口令进行修改。7 .1.1.4授权与访问控制具有授权与访问控

6、制功能的数字产品应满足以下要求；a）用户权限分配应遵循G小授权原则，支持用户配置访问控制策略；b）应根据设置的访问仲制策略实施访问控制：C）不存在烧过正常访问控制机制的组件或隐秘通道（如特定接I等.8 .1.1.5日志记录与审计具有日志记录与审计功能的数字产品应满足以下鬟求：a）对用户账户的登录、注销、系统开关机和核心无粒变更等事件或事项进行记录：b）应记录步件发生的11期和时间、类里、操作结果以及与小件关联的账号等；c）应采取安全保护指施,防止非授权访问日志记录。9 .1.1.6用户信息保伊具布1用户信息收集、处理等功能的数字产品应满足以下要求：G具有用户信息收集、处理授权机制或功能：b）迸

7、循最小化原则，仅收集满足产品功能要求所必需的用户信息,并告知收集用户信息的目的、用途、范附和类型，在获得用户同意后,方可收集、处理用户信息：C）其有用户伯息保妒措施，防止用户信息的保密性和完整性受到损害：d）未经用户同意，不得向第三方提供用户信息.10 1.1.7应用安全（可选）数字产M安笠应用应满足以下要求：a）对输入数据格式进行怆胺过滤：b）对设备鉴别信息进行加密存储：c）如南与其他应用进行数据交互，则在交互前进行双向鉴别并通过安全的网络传怆协议进行通信:d）具备防范越权操控和身份仇日机制.4. 1.1,8密码应用安全a）应按照国家密码管理相关规定和标准使用密码技术.5. 1.2安全保障要

8、求6. 1.2.1设计和开发数据产品提供者应满足以下要求：a）具有数字产品安全开发制度和流程，应至少包括代码编写安全现范、研发人员安全管理制僮、研发安全交付制度等：b）应计时用户信息和陈私保护进行安全设计：c）具备设计文档、开发文档等管理或控制程序,授权管理文档的变更：d）开发环境与其他环境物理隔离，测试数匏和测试结果受到控制：e）对数字产品iS行安全测试，应至少包括病用扫描、漏洞扫描、代码审计、渗透测试、安全功能证等4.1.2.2生产和交付数字产品提供者应满足以下要求：a）对产品的功能、完整性等进行检/J，对使用的第三方组件进行安全性检测，降低纲件被麻改等风囹b）告知用户产品的所有功能、外部

9、接11和私有协议,以及产品中预置的所有账户和就认口令.4.1.2.3运行和维护数字产品提供者应满足以卜要求：a）应在产品生命同期或法律法规设定期限内，对数字产品提供持续的安全维护：b）对于在数字产品运行（使用）、维妒中发现的安全法陷或漏洞，应及时告知用户可能造成的安全风险，并采取补救措施，确保用户信息安全.c）用户享有数智产品中软件（包含固件）安装、升级、卸我等的知情权和选择权.安装和升级软件时应援汨用户同意.允许用户卸教不影响数字产品主要功能运行的软件.4.2增强级安全通用要求4. 2.1安全功能要求4.2. 1.1产品标识a）应具备唯一标识码，标识码是能够在网络中唯标识数字产品的编码，且有

10、安全保护机制确保标识不被修改或擦除。PCIQ-153-2023b）一标识码应存脩于硬件安全区域或安全芯片中.4. 2.1.2预装软件启动及更新安全a）应支持完整性校验功能,确保系统软件不被算改.b）应支持设的预装软件更新功能。c）应有明确的信息告知用户软件更新过程的开始、结束以及更新的内容。d）应具缶保障软件更新操作安全功倦.e）应具备防范软件在更著过程中如（改的安全功能.5. 2.1.3身份标识和签别（可选）G对用户身份进行标识和格别，身份标识具有唯一性：b）对用户身份鉴别信刖进行安全保护,防止泄碌、就改：c）告知用户数字产品中位置的与用户相关的账户和默认口令，允许用户更改默认1.1.令：d

11、）存在默认11令时，提示用户对默认1令进行修改.）口令应有现杂度要求，并进行复杂度检查；f）!要远程管理时，应采取安全措防止签别信息在网络传中被窃听.4.21.4授权与访问控制具有授权与访问控制功能的数字产品应满足以下要求：a）用户权限分配检通的最小授权原则，支持用户配置访问控制策略：b）应根据设汽的访问控制策珞实施访问控制；C）不存在绕过正常访问控制机制的组件或除秘通道（如特定接口等）。d）无法通过产品外部引脚或按口等媒介薪取内部数据和信息.4.2.1.5日志记录与审计具有日志记录与审计功能的数字产品应满足以下要求：a）对用户账户的登录、注悄、系统开关机和核心配置变更等事件或事项进行记录：b

12、）应记录事件发生的日期和时间、类型、操作结果以及与事件关联的账号等：c）应采取安全保护措施,防止授权访问I忐记录：d）实时进行安全审计，实时或定期告知用户审计结果I）对审计进程进行保#S防止未经授权的终4. 2.1.6用户信息保炉具有用户伯恩收集、处理等功能的数字产丛应满足以下要求：a）具有用户信息收集、处理授权机制或功能：b）遵循最小化原则，仅收集满足产品功能要求所必需的用户信息,并告知收集用户信息的目的、用途、池附和类型,在获得用户同意后，方可收集、处理用户信息：c）具有用户估息保护措施，防止用户信息的保密性和完整性受到描害：（1）未经用户同意,不得向第三方提供用户信息：e）采用宙码技术保

13、证个人信息在存储过程和网络传过程中的保密性If）产品生命周期终止或保存期限届，后，用户信息也、处理者应及时（除用户佶息.8）向用户提供查询、更正个人信息的功能4.2. 1.7应用安全数字产品安装应用应湎足以下要求：a）时输入数据格式进行检验过滤：b）对设备鉴别信息进行加密存储：c）如葡与其他应用进行数据交互，则在交互前进行双向脱别并通过安全的网络传输办议iS行通信;d）具备防范越权操控和（Jt份仿冒机制；）应用不应使用开源坦件，具有安装、刊补丁的功帼.f）应对安全*件进行实时监评并对应用进行审计.4.2.1.8宓码应用安全a）应按照国家需码铃理相关规定和标准使用密码技术，W应使用国家宙码管理主

14、管部门认证核准的密码技术和产品.4.2.2安全保障要求4.2.2.1设计和开发数据产品提供者应满足以下要求：a）具有数字产品安全开发制度和流程，应至少包括代码编写安全规瓶、研发人员安全管理制度、研发安全交付制度等：b）应针对用户信息和防私保护进行安全设计：c）具在设计文档、开发文档等管理或控制程序,授权管理文档的变更；d）开发环境与其他环境物理隔离测试数据和测试结果受到控制：e）对数字产丛诳行安全测试应至少包括病毒扫描、漏洞扫描、代码审计、法透冽试、安全功能蕤证等：f）开发活动应受到控制和11；C）外包软件应提交（代码，并进行罂意代码检.4.2.2.2生产和交付数字产品提供者应满足以下要求：a

15、）对产品的功能、完整性等进行检测，对使用的第三方组件进行安全性检测，降低拆件被麻改等风险:b）告知用户产品的所有功能、外部接口相私有协议，以及产品中预置的所有账户和默认口令。c）提供配置管理安全指甯（如固件、应用程序、证书、口令、密窗和配置等）.P,CIQA-153-20234. 2.2.3运行和维护数字产处提供者应满足以下要求：G应在产品生命周期或法律法规规定期限内，对数字产品提供持续的安全处护：b）对于在数字产品运行（使用）、维护中发现的安全缺陷或漏洞，应及时告知用户可能造成的安全风险.并采取补救措施.确保用户信息安全.Q）用户享彳f数字产品中软件（包含固件）安装、升级、卸我等的知情权和选

16、择权,安奘和升级软件时应骁得用户同意.允许用户却或不影响数字产品主要功能运行的软件.0应以文档或电子文档形式告知用户唯护方法和里斯机制I）应验证更新内容的完整性、真实性.参考文献11中华人民共和国网络安全法（2Q16年11月7H笫十.届全国人民代表大会常务委员会第卜四次会议通过）2中华人民共和国密码法（2019年10月26日第十三届全国人民代表大会常务委员会第十四次会议通过）3中华人民共和国数据安全法（2021年6月10日第十三届全国人民代龙大会常务委员会第二十九次会议通过）4中华人民共和国个人信息保护法（2021年8月20日第卜二届全国人大常委会笫三十次会议通过）5 GB/T222392019信息安全技术网络安全等级保护基本要求36 GB42250-2022信息安全技术网络安全专用产品安全技术要求371