|
| 关于印发《浙江省环境信息化安全管理规范（试行）》和《浙江省环境信息网络建设维护规范（试行）》的通知 | |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
各市、县（市、区）环保局，直属各单位： 为规范我省环境信息化安全管理和信息网络建设维护工作，根据环境保护部《环境信息网络建设规范》（HJ 460-2009）、《环境信息网络管理维护规范》（HJ 461-2009）和《浙江数字环保信息化发展规划》的要求，结合我省实际，我厅编制了《浙江省环境信息化安全管理规范（试行）》和《浙江省环境信息网络建设维护规范（试行）》，现印发给你们，请遵照执行。
二○一一年五月六日
浙江省环境信息化安全 管理规范 （试行）
浙 江 省 环 境 保 护 厅 目 录
前 言 为强化浙江省环境信息化安全管理，防范计算机信息技术安全风险，保障浙江省各级环境保护机构计算机网络与信息系统安全的稳定运行，依据《浙江数字环保信息化发展规划》，结合浙江省环境保护工作实际，制定本标准规范。 本规范所称浙江省环境信息化安全管理，是指在浙江省环境信息化项目中立项、建设、运行及维护等过程中保障计算机信息及其相关系统、环境、网络和操作安全的系列管理活动。 本规范适用于浙江省环保厅及全省各级环保机构。凡使用浙江省环保厅及全省各级环保机构的网络或信息资源的其他外部机构和个人均应遵守本规范。 本规范由浙江省环境信息中心组织制订。 本规范由浙江省环境保护厅批准。 本规范自下发之日开始实施。 本规范由浙江省环境信息中心负责解释。
1 范围本规范规定浙江省环境信息化的安全保障体系、人员安全管理、机房和设备安全管理、网络安全管理、应用系统安全管理、在线监测监控网络和数据安全管理、访问控制安全管理、文档、数据与密码应用安全管理、安全事故、故障和应急管理、第三方访问和外包服务安全管理和安全监测、检查、评估与审计等技术要求。 2 规范性引用文件本规范内容引用了下列文件或其中的条款。凡是不注日期的引用文件，按照其有效版本适用。 BS7799 信息安全管理标准规范 ISO/IEC 17799 信息技术-信息安全管理业务规范(国际标准) HJ 460－2009环境信息网络建设规范 GB 50057-1994 建筑物防雷设计规范 GB 50174 电子计算机机房设计规范 GB/T 2887 电子计算机场地通用规范 GB/T 18233-2008 信息技术 用户建筑群的通用布缆 GB/T 19668 信息化工程监理规范 GB/T 50311-2007 建筑与建筑群综合布线系统工程设计规范 GB/T 50312-2007 综合布线系统工程验收规范 GB 50052-1995 供配电系统设计规范 GA 372-2001 防火墙产品的安全功能检测 GA/T 387-2002 计算机信息系统安全等级保护网络技术要求 GA/T 671-2006 终端计算机系统安全等级技术要求 HJ/T 416-2007 环境信息术语 3 术语和定义本规范采用下列定义。凡在本规范中使用但未定义的术语按相关国家标准或规范解释，无相关国家标准或规范的，按学术界惯例解释。 3.1 信息安全对信息保密性、完整性和有效性的保护。 保密性：确保信息只能由经授权的用户访问。 完整性：保护信息的正确性和完整性以及信息的处理方法。 有效性：保证经授权的用户可以访问到信息。在需要时，还能够访问其它相关资料。 3.2 风险评估评估对信息和信息处理程序的威胁、冲击和危害，以及这些情况发生的可能性。 3.3 风险管理在可以接受的成本范围内，识别、控制并减少或者消除可能影响信息系统的安全风险。 3.4 监测专网监测专网即浙江省环保系统电子政务外网，是浙江省环保厅及全省各级环保机构内部局域网通过专线互连，用于污染源监测数据传输、环境保护系统综合业务平台以及数据共享的网络。电子政务外网为全省互连网络，须与互联网安全隔离，该网是环境保护部电子政务外网的子网。 3.5 缩略语1 VPN 虚拟专用网 Virtual Private Network 2 DNS 域名解析系统 Domain Name System 4 环境信息化安全管理体系4.1 安全管理部门明确保护资产的责任和执行安全事项的责任，指定信息安全负责人，由其总体负责信息安全的发展和实现并管理措施的确定。 4.2 安全管理制度安全管理部门应根据管理原则和应用系统的安全等级，制订相应的管理制度或采用相应规范，具体工作如下： a) 确定系统的安全等级； b) 根据确定的安全等级，确定安全管理范围； c) 制订相应的机房出入管理制度。对安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域； d) 制订严格的操作规程。操作规程要根据职责分离和多人负责的原则，各负其责，不得超越自己的管辖范围； e) 制订完备的系统维护制度。维护时，要首先经主管部门批准，并有安全管理人员在场，故障原因、维护内容和维护前后的情况要详细记录； f) 建立人员雇用和解聘制度，对工作调动和离职人员及时调整相应的授权。 4.3 安全控制策略建立信息安全总体策略及相关的安全控制策略，定期对信息系统进行安全检查和风险评估，提高信息安全的事前控制能力，提高信息化系统的安全运行水平。 4.4 防护控制措施建立身份认证平台，建设身份认证系统。在身份识别的基础上，建立入网访问控制、网络使用权限控制、目录级安全控制以及网络服务器安全控制等访问控制，确保各类信息资源不被和访问。加强数据管理，提高数据安全防范意识和防范能力，严格按程序和权限操作和访问数据，加强数据操作的安全审计，确保数据的安全可靠。 4.5 安全管理中心建立安全管理中心对整个信息安全实行一站式管理，配置协调一致的安全策略，保证所有可能的攻击能够被检测和监控。 4.6 确保物理层安全确保各环保机构通信线路的安全，物理设备的安全，机房的安全等。主要体现在通信线路的可靠性（线路备份、网管软件、传输介质），软硬件设备的安全性（替换设备、拆卸设备、增加设备），设备的备份，防灾害能力、防干扰能力，设备的运行环境（温度、湿度、烟尘），不间断电源保障等。 4.7 确保网络层安全确保浙江省环保厅及全省各级环保机构在网络层身份认证，网络资源的访问控制，数据传输的保密与完整性，远程接入的安全，域名系统的安全，路由系统的安全，入侵检测的手段，网络设施防病毒等网络方面的安全性。 a) 设立防火墙系统、入侵检测系统、身份认证系统、漏洞扫描系统和网络防病毒系统等加以防护，防止外界的入侵和攻击； b) 在内部、外部Web服务器配备防主页篡改系统，进行实时监测，当发现Web站点上的文件被破坏或非法修改后，系统能够自动报警，并迅速恢复被破坏的网页，有效保证Web数据的完整性和真实性； c) 配备安全漏洞扫描系统，对现有网络里的网络设备和主机设备进行漏洞扫描，实现网络体检，并根据扫描结果和实际安全状况对已经发现的漏洞进行修补，及时对服务器操作系统、应用软件存在的漏洞进行相应的升级； d) 部署和实施VPN来实现远程访问的内部用户从外部网络的访问，并且只能通过VPN技术访问内网，确保远程访问的安全性； 4.8 确保系统层安全a) 服务器管理员负责并保证服务器运行环境的安全性； b) 服务器中数据的所有者负责控制其被指定管理的数据的安全性； c) 安全监控者负责安全策略的实施，制定安全流程，定期进行评估； d) 安全管理员负责本系统范围内安全的设置和管理； e) 强制规定口令字的长度、使用周期以及可重复试验口令字的次数；对登录的时间和登录的地址进行限制，以防止非法的登录； f) 对于超级用户的权限进行限制，使系统管理员不能访问特殊部门（如：财务、人事部门等）的信息资源； g) 开发和应用审计系统，审计各种操作成功和失败的情况，及时发现问题前兆，定期备份日志文件； h) 系统可以提供支持基于数字证书的身份认证与接入控制，确保只有合法的用户才能接入服务器； i) 在接入层交换机中提供加载在网络端口上的具有点对点连接特性的接入认证机制。 4.9 确保应用层安全确保提供服务所采用的应用软件和数据的安全，包括确保Web服务、电子邮件系统、DNS等安全。此外，还包括防止病毒对系统的威胁。 应用系统包括数据库系统及专为环境业务开发的系统。对于各类软件系统的安全防护，需要从以下几方面进行操作： a) 不同类型的用户应该授予不同的数据库访问管理权限，比如数据库系统登录权限、资源管理权限、数据库管理员权限、远程访问权限等； b) 提供审计功能，用来监视各用户对数据库施加的动作。可以通过用户审计和系统审计两种方式来发现数据库使用过程中出现的问题。 4.10 确保数据层安全确保数据在发生故障或灾难性事件情况下不丢失，确保数据层的安全和环保信息系统的数据存储备份安全，数据安全性方面需要做以下工作： a) 敏感数据在传输、保存过程中应当对信息首先加密，然后再传输、存储，例如在线监测数据； b) 存储数据的服务器采用双机容错方式； c) 应用层数据传输到服务器后进行存储，数据全部放在服务器共享的磁盘阵列柜中，用服务器的磁盘阵列来实现各服务器的本地硬盘数据冗余,这样能解决单机故障问题，而且还能防止单个硬盘故障导致的数据丢失； d) 重要数据存储在阵列柜中，可用磁带机或硬盘进行重要数据备份。 5 人员安全管理5.1 信息安全管理人员a) 浙江省环保厅及全省各级环保机构应选派政治思想过硬、具有较高计算机水平的人员从事信息安全管理工作； b) 组织落实上级信息安全管理规定，制定信息安全管理制度，协调部门计算机安全员工作，监督检查信息安全保障工作； c) 审核信息化建设项目中的安全方案，组织实施信息安全保障项目建设，维护、管理信息安全专用设施； d) 检测网络和信息系统的安全运行状况，检查运行操作、备份、机房环境与文档等安全管理情况，发现问题，及时通报和预警，并提出整改意见。统计分析和协调处置信息安全事件； e) 定期组织信息安全宣传教育活动，开展信息安全检查、评估与培训工作； f) 信息安全管理人员在履行职责时，确因工作需要查询相关涉密信息，须经相关负责人同意后向有关部门提交申请，获得批准后方可查询； g) 信息安全管理人员实行备案管理制度。信息安全管理人员的配备和变更情况应及时备案。信息安全管理人员调离原岗位时应办理交接手续，并履行其调离后的保密义务。 5.2 技术支持人员本规定所称技术支持人员，是指参与浙江省环保厅及全省各级环保机构的网络、计算机系统、机房环境等建设、运行、维护的内部技术支持人员和外包服务人员。 a) 不得对外泄漏或引用工作中触及的任何敏感信息。严格权限访问，未经业务主管部门授权不得擅自改变系统设置或修改系统生成的任何数据； b) 主动检查和监控生产系统安全运行状况，发现安全隐患或故障及时报告本部门主管领导，并及时响应、处置； c) 严格操作管理、测试管理、应急管理、配置管理、变更管理、档案管理等工作制度，做好数据备份工作； d) 外部技术支持人员应严格履行外包服务合同（协议）的各项安全承诺。 提供技术服务期间，严格遵守浙江省环保厅及全省各级环保机构相关安全规定与操作规程，关键操作应经授权，并有环保机构工作人员在场。不得拷贝或带走任何配置参数信息或业务数据，不得对外泄漏或引用任何工作信息。 5.3 计算机用户本规定所称一般计算机用户是指使用计算机设备的所有人员。 a) 及时更新所用计算机的病毒防治软件和安装补丁程序，自觉接受本部门计算机安全员的指导与管理。 b) 不得安装与办公和业务处理无关的其他计算机软件和硬件，不得修改系统和网络配置参数。 c) 未经相关部门检测和授权，不得将接入浙江省环保厅及全省各级环保机构所用的计算机转接入互联网；不得将便携式计算机接入各环保局内部网络；不得随意将个人计算机带入机房或私自拷贝任何信息。 5.4 保密协议a) 保密协议或者不泄露协议用于提醒用户注意该信息是保密的； b) 授权尚未受合同（包含保密协议）约束的临时职员和第三方使用信息处理设备之前，还应当要求他们签订一份保密协议； c) 当用工合同或者协议发生变动时还要对保密协议进行检查。 5.5 用工条款a) 用工合同条款应当阐明员工对于信息安全所负的责任。适当的时候，在聘用期结束后的一段确定时期内仍然要承担这种责任。其中包括如果员工不遵守安全要求时组织所要采取的行动； b) 在用工合同条款中应当包括并清楚界定员工的法律责任和权利。 5.6 用户培训应当在安全程序中、在信息处理设备的正确使用过程中培训用户，以降低可能的安全风险。 6 机房和设备安全管理6.1 机房安全管理本规定所称机房是指计算机系统等主要设备放置、运行场所以及供配电、通信、空调、消防、监控等配套环境设施。 a) 浙江省环保厅及全省各级环保机构机房的规划、建设、改造、运行、维护由相关部门负责。机房的消防、视频监视录像、防雷、门禁等子系统的规划、建设、运行和维护由相关部门协商确定； b) 浙江省环保厅及全省各级环保机构原则上只建设一个符合国家计算机机房有关标准和相关规定的计算机机房，为所有业务部门提供机房基础设施服务； c) 机房建设、改造的方案应报上一级部门备案。必要时，由上一级机构会同其他相关部门进行审核； d) 机房建设或改造应选择具有国家建筑装修装饰工程专业承包资质、两年以上从事计算机机房设计与施工经验的专业化公司，重要机房建设或改造工程应引入监理制度； e) 浙江省环保厅及全省各级环保机构应建立机房设施与场地环境监控系统，对机房空调、消防、不间断电源（UPS）、供配电、门禁系统等重要设施实行全面监控； f) 浙江省环保厅及全省各级环保机构机房投入使用前，应经过当地公安消防部门的消防验收和环保机构相关部门组织的验收，并出具明确结论的验收报告。未经验收或验收不合格的机房均不得投入使用； g) 浙江省环保厅及全省各级环保机构应建立健全机房管理制度，并指派专人担任机房管理员，落实机房安全责任制。机房管理员应经过相关专业培训，熟知机房各类设备的分布和操作要领，定期巡查机房，发现问题及时报告。机房管理员负责保管机房建设或改造的所有文档、图纸以及机房运行记录等有关资料，并随时提供调阅； h) 建立机房定期维修保养制度。易受季节、温度等环境因素影响的设备、已逾保修期的设备、近期维修过的设备等应成为保养的重点。 6.2 设备安全管理a) 浙江省环保厅及全省各级环保机构应建立完备的计算机设备登记制度，严格资产管理，明确计算机设备使用者或管理者及其安全责任； b) 浙江省环保厅及全省各级环保机构根据计算机设备重要程度采取不同的安全保护措施，制定完善的访问控制策略，防止未经授权使用设备或信息。有特殊安全要求的计算机设备应放置在机房的特殊功能区，必要时，单独建立门禁与监控系统，或配备防电磁泄漏的屏蔽装置等。 7 网络安全管理7.1 建立监测专网a) 监测专网因建立在安全隔离互联网的基础上，有效防止互联网上的各种木马、病毒入侵，并能避免环境数据的泄露。浙江省环保厅及全省各级环保机构在监测专网的基础上，建立与互联网安全隔离的链路环境； b) 保证应用及业务的可用性，数据中心里的关键服务器采用双机热备份技术来实现； c) 保证业务系统和数据的安全，浙江省环保厅及全省各级环保机构应给有需要的各个具体工作人员配备不同的工作电脑，分别连接监测专网（日常工作）和互联网（方便查阅资料），从操作层面上真正实现对互联网的安全隔离。 7.2 网络安全管理制度监测专网和接入该网的计算机及网络，要求不能连接互联网，制订规范的日常安全操作规则。 7.3 网络安全设施安装防火墙、垃圾邮件过滤、网页过滤、VPN、防病毒、网闸等网络安全设施，保障网络安全体系的健康运行，如利用防火墙建立起，从而保护内部网免受非法用户的侵入；利用网闸设备在浙江省环保厅及全省各级环保机构的内网系统与外网之间作连接控制，实现内外网之间的逻辑隔离，确保内网安全。 7.4 网络接入安全管理a) 浙江省环保厅及全省各级环保机构的计算机及内部网络与互联网实行安全隔离。如有需要接入监测专网的计算机及内部网络实行物理隔离； b) 浙江省环保厅及全省各级环保机构的计算机及内部网络如需要接入监测专网,应通过浙江省环保厅相关部门审核、批准并备案，从互联网下载的任何信息，未经病毒检测不得在监测专网上使用； c) 使用互联网的所有用户应遵守国家有关法律法规和浙江省环保厅及全省各级环保机构的相关管理规定，不得从事任何违法违规活动。 7.5 网络运行安全管理a) 浙江省环保厅及全省各级环保机构应建立健全网络安全运行制度，配备专（兼）职网络管理员。网络管理员负责日常监测和检查网络安全运行状况，管理网络资源及其配置信息，建立健全网络运行维护档案，及时发现和解决网络异常情况； b) 网络管理员应定期参加网络安全技术培训，具备一定的非法入侵、病毒蔓延等网络安全威胁的应对技能，紧急情况下，经相关负责人授权后可采取“先断网、后处理”的紧急应对措施； c) 浙江省环保厅及全省各级环保机构应严格管理网络接入。任何设备接入网络前，接入方案、设备的安全性等应经过审核与必要的检测，审核（检测）通过后方可接入并分配相应的网络资源； d) 浙江省环保厅及全省各级环保机构应严格管理网络变更。网络管理员如需要调整网络重要参数配置和服务端口，应书面请示相关负责人，变更信息应做好记录。实施有可能影响网络正常运行的重大网络变更，应提前通知所有使用部门并安排在节假日进行，同时做好配置参数的备份和应急恢复准备； e) 浙江省环保厅及全省各级环保机构应严格控制远程访问。确因工作需要进行远程访问，应向相关部门提出书面申请，并采取相应的安全防护措施； f) 信息安全管理人员经相关负责人批准，有权对辖内网络进行安全检测、扫描和评估。检测、扫描和评估结果属敏感信息，不得向外界提供。未经授权，任何外部单位与人员不得检测、扫描浙江省环保厅及全省各级环保机构的内部网络。 7.6 网络规划、建设中的安全管理a) 浙江省环境信息中心负责网络和网络安全的统一规划、建设部署、策略配置和网络资源分配； b) 浙江省环保厅及全省各级环保机构按照浙江省环境信息中心的统一规划和总体部署，组织实施网络建设、改造工程。浙江省环保厅及全省各级环保机构网络的建设与改造方案应报上一级部门备案，运行前应通过安全测试。 浙江省环保厅及全省各级环保机构的网络建设和改造应符合如下基本安全要求： 1) 符合浙江省环保厅及全省各级环保机构网络安全管理要求，保障网络传输与应用安全。 2) 具备必要的网络监测、跟踪和审计等管理功能。 3) 针对不同的网络安全区域，采取必要的安全隔离措施。 8 应用系统安全管理8.1 管理a) 计算机系统建设项目应在规划与立项阶段同步考虑安全问题，建设方案应满足浙江省环保厅及全省各级环保机构信息安全保障总体规划的相关要求。项目技术方案应包括以下基本安全内容： 1) 业务需求部门提出的安全需求。 2) 安全需求分析和实现。 3) 运行平台的安全策略与设计。 b) 浙江省环保厅及全省各级环保机构负责对项目技术方案进行安全专项审查并提出审查意见，未通过安全审核的项目不得予以立项。 8.2 系统开发与集成安全管理a) 计算机系统开发应符合软件工程规范，依据安全需求进行安全设计，保证安全功能的完整实现； b) 计算机系统开发单位应在完成开发任务后将程序源代码及其相关技术文档全部移交相应环保机构。外部开发单位还应与各环保局签署相关知识产权保护协议和保密协议，不得将计算机系统采用的关键安全技术措施和核心安全功能设计对外公开； c) 计算机系统的开发人员不能兼任计算机系统管理员或业务系统操作人员，不得在程序代码中植入后门和恶意代码程序； d) 计算机系统开发、测试、修改工作不得在生产环境中进行； e) 涉密计算机系统集成应选择具有国家相关部门颁发的涉密系统集成资质证书的单位或企业，并签订严格的保密协议。 8.3 系统运行安全管理浙江省环保厅及全省各级环保机构计算机系统上线运行实行安全审查制度，未通过安全审查的任何新建或改造计算机系统不得上线运行。具体要求如下： a) 项目承担单位（部门）应组织制定安全测试方案，进行系统上线前的自测试并形成测试报告，报相关部门审查； b) 计算机系统应用部门应在计算机系统上线运行前同步制定相关安全操作规定，报相关部门备案； c) 相关部门应提出明确的测试方案和测试报告审查意见。必要时，可组织专家评审或实施计算机系统漏洞扫描检测； d) 浙江省环保厅及全省各级环保机构应明确系统管理员，具体负责计算机系统的日常运行管理，并建立重要计算机系统运行维护档案，详细记录系统变更及操作过程。重要业务系统的系统设置要求2人在场； e) 系统管理员不得兼任业务操作人员。系统管理员确需对业务系统进行维护性操作的，应征得业务部门同意并在业务操作人员在场的情况下进行，并详细记录维护内容、人员、时间等信息； f) 未经业务负责人书面批准，其他任何人不得擅自使用业务操作人员用机，不得擅自设置、分配、使用、修改、删除操作员代码、口令和业务数据，不得擅自改变用户权限。 8.4 系统操作软件安全管理a) 把操作系统的风险降到最低，为在操作系统中使用的软件提供管理措施。应当考虑管理措施如下： 1) 操作系统程序库的更新应当只由指定的程序库管理员根据 适当的管理层授权来执行； 2) 操作系统应当只包涵可执行代码； 3) 获得测试成功和用户被接受之前，以及在相应的程序资料 库更新之前，不能在操作系统中运行可执行代码； 4) 维护对层次系统程序库的所有更新的审查日志； 5) 保留软件以前版本作为应急之用。 b) 操作系统中使用的由销售商提供的软件应当维护在一个由该供应商支持的水平之上。任何升级到新版本的决定都应当考虑到该版本的安全，比如新安全功能的引入或者影响该版本的安全问题的数量和严重性。及时下载软件补丁，帮助消除或者减少安全缺陷； c) 对操作系统进行的物理或者逻辑访问，应当只是在需要的时候出于技术支持的目的而授予供应商，而且还需要得到管理层批准。应当监视供应商的活动。 8.5 系统测试数据的保护应当保护并控制测试数据。系统和验收试验通常需要大量的尽可能与靠近运行数据的测试数据。应当避免使用含有个人信息的业务数据库。如果要使用其中信息，在使用之前应当使其失去个性化。当把运行数据用于测试目的时，应当采取以下措施保护运行数据： a) 访问控制程序，它可以用于应用操作系统.也可以用于测试应用系统； b) 每次把运行信息复制到测试应用系统都应当有单独的授权； c) 测试完成之后，应当立即把运行信息从测试应用系统中删除； d) 应当记录运行信息的复制和使用，以提供一种检查追踪。 9 访问控制安全管理9.1 用户访问管理应当由正规的程序来控制对信息系统和服务的访问权限分配，这些程序应当覆盖用户访问全过程的所有阶段，从新用户的最初注册到不再需要访问信息系统和服务的用户最终的注销。应当特别注意控制特权访问权限的分配。 9.2 用户注册为了授予对一个多用户的信息系统和服务的访问权限，应当由一个正式的用户注册和注销程序。 9.3 特权管理应当严格限制特权的分配和使用。对系统特权的不当使用，经常致使被攻破的系统产生故障。对于多用户系统，应当通过正式的授权程序来控制对特权的分配。 9.4 用户访问权限复查为了保持对数据和信息服务的存取访问的有效控制，应当实施一个正式的程序来定期复查用户的访问权限。 9.5 网络访问管理
a) 浙江省环保厅及全省各级环保机构的网络与其它组织的网络之间有适当的接口； b) 用户和设备适当的授权机制； c) 对个人计算机终端进行严格的访问控制，防止由于外来攻击和非法接入导致的被动信息泄密； d) 对个人计算机终端的使用进行授权或强制控制，以防止内部员工由于各种动机导致的主动信息泄密。 9.6 操作系统访问管理防止未经授权的计算机访问，操作系统的安全设备应当限制对计算机资源的访问。 a) 鉴别和验证身份，鉴别和验证每个经授权用户的位置和终端； b) 记录对系统的成功访问和失败访问； c) 提供适当的授权方式，如果使用的是密码管理系统，应当能够确保使用的是优质密码； d) 在适当的地方，限制用户的连接次数。 9.7 应用程序访问控制防止保存在信息系统内的信息被未经授权访问。应当使用安全设施限制在应用程序系统中的访问，对软件和信息的逻辑访问应当限制在经过授权的用户中。只能够向所有权人、其它被指派和经授权的个人或者确定的用户群提供对信息的访问权限。 10 文档、数据与密码应用安全管理10.1 技术文档a) 本规定所称技术文档是指浙江省环保厅及全省各级环保机构网络、计算机系统和机房环境等建设与运行维护过程中形成的各种技术资料，包括纸质文档、电子文档、视频和音频文件等； b) 浙江省环保厅及全省各级环保机构负责将技术文档统一归档，实行借阅登记制度。未经相关领导批准，任何人不得将技术文档转借、复制和对外公布。 10.2 存储介质a) 浙江省环保厅及全省各级环保机构应建立移动硬盘、优盘、软盘、闪存卡、光盘、已打印文档等存储介质管理流程。所有存储介质应保存在安全的物理环境中并有明晰的标识。重要信息系统备份介质应按规定异地存放； b) 浙江省环保厅及全省各级环保机构应做好存储介质在物理传输过程中的安全控制，应选择可靠的传递方式和防盗控制措施。重要信息的存取需要授权和记录； c) 做好移动存储介质的防病毒工作，因工作需要接收外来的移动存储介质应进行病毒检查和杀毒后才可在省环保厅连接互联网的计算机上使用； d) 因工作需要，在各个网络之间进行数据交互的，必须使用各处室（单位）指定的移动存储介质进行网络间的数据交互，并且在数据交互时做好病毒防范及管理工作； e) 浙江省环保厅及全省各级环保机构应建立存储介质销毁制度，对载有敏感信息的存储介质应采用焚烧或粉碎等方式进行处置并做好记录。 10.3 数据安全a) 本规定中所称的数据是指以电子形式存储的浙江省环保厅及全省各级环保机构的业务数据、办公信息、系统运行日志、故障维护日志以及其他内部资料； b) 浙江省环保厅及全省各级环保机构业务部门负责提出数据在输入、处理、输出等不同状态下的安全需求，相关部门负责审核安全需求并提供一定的技术实现手段； c) 浙江省环保厅及全省各级环保机构业务部门应严格管理业务数据的增加、修改、删除等变更操作，适时进行业务数据有效性检查，按照既定备份策略执行数据备份任务，并定期测试备份数据的有效性和预演数据恢复流程； d) 浙江省环保厅及全省各级环保机构系统管理员负责定期导出网络和重要计算机系统日志文件并明确标识存储内容、时间、密级等信息。日志文件应至少保留一年，妥善保管； e) 浙江省环保厅及全省各级环保机构业务部门应明确规定备份数据的保存时限和密级，建立备份数据销毁审批登记制度，并根据数据重要性级别分类采取相应的安全销毁措施； f) 所有数据备份介质应注意防磁、防潮、防尘、防高温、防挤压存放。恢复及使用备份数据时需要提供相关口令密码的，应把口令密码密封后与数据备份介质一并妥善保管。 10.4 密码管理a) 浙江省环保厅及全省各级环保机构系统管理员、数据库管理员、网络管理员、业务操作人员均须设置口令密码，至少每三个月更换一次。口令密码的强度应满足不同安全性要求； b) 敏感计算机系统和设备的口令密码设置应在安全的环境下进行，必要时应将口令密码笔录、密封交相关部门保管。未经主管领导许可，任何人不得擅自拆阅密封的口令密码。拆阅后的口令密码使用后应立即更改并再次密封存放； c) 浙江省环保厅及全省各级环保机构应根据实际情况妥善保存重要计算机系统升级改造前的口令密码。 10.5 灾难备份管理为确保环保管理相关业务数据的重要性与保密性，应周期性地备份相关环境数据，从而保证浙江省环保厅及全省各级环保机构环境业务系统数据的安全性与容灾能力。 a) 灾难备份是指利用技术、管理手段以及相关资源，确保已有业务数据和计算机系统在地震、水灾、火灾、战争、恐怖袭击、网络攻击、设备系统故障、人为破坏等无法预料的突发事件（以下称“灾难”）发生后在规定的时间内可以恢复和继续运营的有序管理过程； b) 浙江省环保厅及全省各级环保机构将按照“统筹安排、资源共享、平战结合”的原则，负责重要信息系统灾难备份的统一规划、实施和管理； c) 浙江省环保厅及全省各级环保机构负责提出业务系统灾难备份需求，明确可容忍的业务中断时间和数据丢失量。浙江省环保厅及全省各级环保机构据此确定灾难备份等级和备份方案； d) 浙江省环保厅及全省各级环保机构应建立健全灾难恢复计划，定期开展灾难恢复培训。在条件许可的情况下，进行统一部署，重要信息系统至少每年进行一次灾难恢复演练。 10.6 系统变更管理应当控制对信息处理设备和系统的变更。对信息处理设备和系统改变的管理不够是信息故障或者安全事故的常见诱因。应当有正式的管理责任和程序，确保对设备、软件和程序做的所有变更都得到妥当管理。运行程序应当受到严格的变更管理控制。当程序改变时，应当保留一份记录所有相关信息的审查日志。对操作环境所做变动可能影响到应用程序。若可行，应当把运行和应用程序变更管理措施结合在一起。应当考虑以下措施： a) 识别并记录重大变更； b) 对此类变更潜在影响的评估； c) 拟议中变更的正式批准手续； d) 把变更的所有细节通知相关人士； e) 能够确定从失败的变更中进行恢复时所承担责任的方法。 11 安全事故、故障和应急管理环保机构相关工作人员应当清楚报告不同类型的事故（安全漏洞、安全威胁、弱点或者故障）的程序，这些事故可能对组织资产的安全构成威胁。应当把所发现的或者预测的事故及时向合同中指定的地点报告。 11.1 报告安全事故应当及时通过适当管理渠道报告安全事故。 应当建立起正式的报告程序，还应当建立事故反应机制，以便设定在接到事故报告时所应当采取的措施。应当让环保机构相关工作人员都清楚报告安全事故的程序。应当实行适当的反馈机制，确保在处理完事故之后，相关人员能够了解所报告事故的处理结果。 11.2 报告安全缺陷应当要求信息服务的用户注意并报告任何观察到或者预测到的系统或者服务的弱点、或者是对系统或服务的威胁。他们应当尽快向他们的管理层或者服务供应商及时报告此类事件。 11.3 报告软件故障应当建立报告软件故障的程序。考虑采取以下的措施。 a) 应当记录出现问题的特征和出现在屏幕上的任何信息； b) 应当将计算机隔离并停止使用。应当立即变更所用的连接。如果要检测机器，还应当在重新启动之前断开与组织中其它网络的连接。其磁盘不应当用在其它计算机上； c) 应当立即把该事件向信息安全管理人员报告。 除非得到授权，否则用户不能试图删除可疑软件。应当由受过相关培训的工作人员做相应的恢复工作。 11.4 应急预案管理在信息网络和关键应用系统方面建立较为完善的应急处置机制和应急预案，开展应急预案的演练，提高网络和重要应用系统的应急保障能力，确保关键业务的快速恢复。 a) 应急预案是针对可能发生的意外事件并可能导致业务差错和停顿，甚至系统混乱、崩溃等灾难而采取的应对策略、措施的有机集合； b) 在计算机系统推广应用方案中应同时设计应急备份策略，同步实施备份方案； c) 浙江省环保厅及全省各级环保机构应制定和不断完善网络、计算机系统和机房环境等应急预案； d) 应急预案应包括以下基本内容： 1) 总则（目标、原则、适用范围、预案调用关系等）。 2) 应急组织机构。 3) 预警响应机制（报告、评估、预案启动等）。 4) 危机处置流程。 5) 应急资源保障。 6) 事后处理流程。 7) 预案管理与维护（生效、演练、维护等）。 e) 浙江省环保厅及全省各级环保机构应定期组织应急预案演练，并指定专人管理和维护应急预案，根据人员、信息资源等变动情况以及演练情况适时予以更新和完善； f) 浙江省环保厅及全省各级环保机构计算机安全工作领导小组统一负责各业务系统的应急协调与指挥，决策重大事宜（决定应急预案的启动、灾难宣告、预警相关部门等）和调动应急资源。 12 第三方访问和外包服务安全管理12.1 第三方访问控制a) 本规定所称第三方访问是指浙江省环保厅及全省各级环保机构之外的单位和个人物理访问环保机构计算机机房或者通过网络连接逻辑访问环保机构的数据库和计算机系统等活动； b) 浙江省环保厅及全省各级环保机构相关部门负责涉密计算机系统和网络相关的第三方访问授权审批，未经环保机构授权的任何第三方访问均视为非法入侵行为； c) 允许被第三方访问的浙江省环保厅及全省各级环保机构计算机系统和资源应建立存取控制机制、认证机制，列明所有用户名单及其权限，严格监督第三方访问活动； d) 获得第三方访问授权的所有单位和个人应与环保机构签订安全保密协议，不得进行未授权的修改、增加、删除数据操作，不得复制和泄漏环保机构的任何信息。 12.2 外包服务管理a) 本规定所称外包服务是指由浙江省环保厅及全省各级环保机构之外的其他社会厂商为环保机构计算机系统、网络或桌面环境提供全面或部分的技术支持、咨询等服务。外包服务应签订正式的外包服务协议，明确约定双方义务； b) 经浙江省环保厅及全省各级环保机构相关部门领导批准，外包服务提供商可提供上门维护服务并由环保机构相关人员在场准确记录所有技术配置变更信息。外包服务提供商不得查看、复制涉密信息或将涉密介质带离各环保局； c) 计算机设备确需送外部单位维修时，环保机构相关部门应彻底清除所存工作信息，必要时应与设备维修厂商签订保密协议。与密码设备配套使用的计算机设备送修前必须请生产设备的科研单位拆除与密码有关的硬件，并彻底清除与密码有关的软件和信息。 13 安全监测、检查、评估与审计13.1 安全监测a) 浙江省环保厅及全省各级环保机构相关部门应整合和利用现有网络管理系统、计算机资源监控系统、专用安全监控系统以及相关设备与系统的运行日志等监控资源，加强对网络、重要计算机系统和机房环境等设施的安全运行监测； b) 浙江省环保厅及全省各级环保机构相关部门应建立运行监测周报、月报或季报制度，报送计算机安全工作领导小组和上一级部门，抄送相关业务部门； c) 浙江省环保厅及全省各级环保机构要及时预警、响应和处置运行监测中发现的问题，发现重大隐患和运行事故应及时协调解决，并报上一级环保机构。 13.2 安全检查a) 浙江省环保厅及全省各级环保机构相关部门应至少每年组织一次辖内的信息安全专项检查，安全检查方式可以是自查、互查或上级检查多种方式； b) 浙江省环保厅及全省各级环保机构在开展安全检查前应以安全管理制度为依据制定详细的检查方案和计划，确保检查工作的可操作性和规范性。安全检查完成后应及时形成检查报告，经相关领导批准后将检查整改报告尽快送达被检查部门。要求限期整改的，需要对相关整改情况进行后续跟踪； c) 浙江省环保厅及全省各级环保机构参加检查的人员对检查中的涉密信息负有保密责任。所有检查报告和资料应作为各环保局内部材料妥善保管，不得向外界泄漏； d) 浙江省环保厅及全省各级环保机构应将每次安全检查报告和整改落实情况整理汇总。 13.3 安全评估a) 浙江省环保厅及全省各级环保机构可采用自评估、检查评估和委托评估等方式，每年至少组织一次辖内信息系统的安全评估； b) 安全评估应在不影响信息系统正常运行的情况下进行。评估开始前，应制定评估方案并进行必要的培训。评估结束后，形成评估报告，提出整改意见报相关领导； c) 浙江省环保厅及全省各级环保机构如聘请第三方机构进行安全评估，应报相关部门批准，并与第三方评估机构签订安全保密协议后方可进行。环保机构信息安全管理人员全程参与评估过程并实施监督； d) 浙江省环保厅及全省各级环保机构应妥善保管信息安全评估报告，未经授权不得对外透露评估信息。 13.4 安全审计a) 浙江省环保厅及全省各级环保机构相关部门在支持与配合内审部门开展审计信息安全工作的同时，应适时开展辖区内的信息系统日常运行管理和信息安全事件全过程的技术审计； b) 浙江省环保厅及全省各级环保机构应做好操作系统、数据库管理系统等审计功能配置管理，应完整保留相关日志记录，一般保留至少一个月，涉及资金交易的业务系统日志应根据需要确定保留时间。
浙江省环境信息网络 建设维护规范 （试行）
浙 江 省 环 境 保 护 厅
前言
为加强和规范浙江省环境信息网络的统一建设、管理，实现全省环境保护机构网络互联互通，规范省内各级环境保护机构网络维护工作，提高环境网络信息管理维护水平，保障环境保护数据的实时、有效传输，保障各级网络平稳有效运行，合理分配网络资源，依据《浙江数字环保信息化发展规划》和国家环境保护有关规定，结合浙江省环境保护工作实际，制定本规范。 本规范所称环境信息网络是指浙江省各级环境保护机构信息化建设项目相关的局域网、城域网、广域网等网络系统，还包括网络综合布线、通讯线路、路由交换设备、服务器及存储备份设备、安全设备以及相应网络设备上的系统软件、应用软件等。 本规范由浙江省环境信息中心组织制订。 本规范由浙江省环境保护厅批准。 本规范自下发之日开始实施。 本规范由浙江省环境信息中心负责解释。
e) 范围本规范规定浙江省环境信息三级网络网际互连，浙江省环境信息网络建设的原则、基本流程、骨干网络建设、局域网络建设等技术要求，规定了环境信息网络维护管理的内容，对网络管理、设备管理、安全维护管理等做出了规范性要求。 本规范适用于浙江省、市、区县三级环境保护机构环境信息网络的建设、运行、应用和维护等方面工作。 f) 规范性引用文件本规范内容引用了下列文件或其中的条款。凡是不注日期的引用文件，按照其有效版本适用。 GB 18030-2005 信息技术 中文编码字符集 GB 50057-1994 建筑物防雷设计规范 GB 50174 电子计算机机房设计规范 GB/T 1988-1998 信息技术 信息交换用七位编码字符集 GB/T 2887 电子计算机场地通用规范 GB/T 18233-2008 信息技术 用户建筑群的通用布缆 GB/T 19668 信息化工程监理规范 GB/T 21671-2008 基于以太网技术的局域网系统验收测评规范 GB/T 50311-2007 建筑与建筑群综合布线系统工程设计规范 GB/T 50312-2007 综合布线系统工程验收规范 GB 50052-1995 供配电系统设计规范 GB 50174 电子计算机房设计规范 GB/T 9361 计算站场地安全要求 GA 372-2001 防火墙产品的安全功能检测 GA/T 387-2002 计算机信息系统安全等级保护网络技术要求 RFC 2544 网络互联设备基准测试方法 YD/T 1098-2001 路由器测试规范-低端路由器 YD/T 1156-2001 路由器测试规范-高端路由器 YD/T 1287-2003 具有路由功能的以太网交换机测试方法 YD/T 1141-2001 千兆比以太网交换机测试方 GB/T 20270-2006 信息安全技术网络基础安全技术要求 GB/Z 18729-2002 基于网络的企业信息集成规范 YD/T 5032-2005 会议电视系统工程设计规范 GB 20815-2006 视频安防监控数字录像设备 GB 50395-2007 视频安防监控系统工程设计规范 YD-T 1666-2007 远程视频监控系统的安全技术要求 GA/T 367-2001 视频安防监控系统技术要求 HJ/T 416-2007 环境信息术语 HJ 460-2009 环境信息网络建设规范 HJ 461-2009 环境信息网络维护规范 g) 术语和定义本规范采用下列定义。凡在本规范中使用但未定义的术语按相关国家标准或规范解释，无相关国家标准或规范的，按学术界惯例解释。 a) 浙江省环保系统骨干网及核心节点全省环保系统骨干网分为三级网络： 一级骨干网：省环境保护厅至直属机构和各设区市环境保护局的网络互连。 二级骨干网：设区市环保局至其所属直属机构和区县级环保局。 三级骨干网：区县环境保护局至其所属机构和环境质量、污染源等自动监测站点。 全省环境信息网络分为四级节点： 省环境保护厅为一级节点，设区市环境保护局为二级节点，区、县级环境保护局为三级节点，环境质量、污染源等自动监测站点为四级节点。 b) 浙江省环保系统电子政务内网浙江省环境保护厅及全省各级环境保护机构建设的用于电子公文传输、内部政务管理以及内部信息服务等的网络。电子政务内网为独立的网络，须与互联网和电子政务外网物理隔离，又称办公内网。 c) 浙江省环保系统电子政务外网浙江省环保厅及全省各级环保机构内部局域网通过专线互连，用于污染源监测数据传输、环境保护系统综合业务平台以及数据共享的网络。电子政务外网为全省互连网络，须与互联网安全隔离，该网是环境保护部电子政务外网的子网。 d) 浙江省环保系统城域网浙江省环境保护厅连接在杭州的直属单位所形成的网络；设区市级环境保护局连接其同城直属单位所形成的网络。 e) 省级环境信息广域网浙江省环境保护厅通过专线连接其管辖范围内各设区市级和区县级环境保护机构所形成的广域网。 f) 缩略语TCP 传输控制协议 Transmission Control Protocol IP 网络互联协议 Internet Protocol FTP 文件传输协议 File Transfer Protocol HTTP 超文本传输协议 Hypertext Transfer Protocol POP3 邮局协议3 Post Office Protocol 3 SMTP 简单邮件传送协议 Simple Mail Transfer Protocol DNS 域名解析系统 Domain Name System VPN 虚拟专用网 Virtual Private Network LAN 虚拟局域网 Local Area Network VLAN 虚拟局域网 Virtual Local Area Network PING 因特网包探索器 Packet Internet Grope UPS 不间断电源 Uninterruptible Power Supply MSTP 多业务传送平台 Multi-Service Transport Platform MAC 介质访问控制 Media Access Control FAT 文件配置表 File Allocation Table NAT 网络地址转换器 Network Address Translation ACL 访问控制列表 Access Control List CGI Common Gateway Interface UDP 用户协议 User Datagram Protocol RTP Real-time Transport Protocol RTCP RTP 控制协议 RTP Control Protocol SNMP Simple Network Management Protocol IDS 入侵检测系统 Intrusion Detection System IPS 入侵防护系统 Intrusion Prevention System h) 网络建设规范a) 网络建设原则和步骤4.1.1 网络建设原则a) 在国家环保部网络建设规范基础上进行扩展和补充；满足各级环境保护机构的业务应用系统的要求；用已有的网络资源，与已有的网络兼容；网络体系结构应以TCP/IP互连技术组建，即三层及三层以上统一采用TCP/IP协议栈，各种物理传输媒体之上采用多种协议栈的形式支持统一的IP层协议；根据应用业务系统及安全保障的不同需求，满足可分级管理和控制等特殊需要，采用分布式组织架构进行分级、分权的管理；应是安全可靠、可管理、可控制和可扩展的网络，具有服务分类和服务质量保障能力。 4.1.2 网络建设基本流程4.1.2.1 立项阶段 立项阶段需编制立项申请报告和项目可行性研究报告。报告应依据相应部门的要求和适用的技术标准编制。 4.1.2.2 确定监理机构 电子政务项目实行工程监理制。项目建设单位应按照信息系统工程监理的有关规定，委托具有信息系统工程相应监理资质的工程监理单位，对项目建设进行工程监理。有关规定见GB/T 19668。 4.1.2.3 招标投标阶段 环境信息网络建设工程、建设项目招标投标活动应满足以下要求： 遵守《工程建设项目施工招标投标办法》的规定；遵守《计算机信息系统集成资质管理办法》的规定；工程建设项目属于《工程建设项目招标范围和规模标准规定》（国家计委令第3号）规定的范围和标准的，须通过招标选择施工单位。不得将依法必须进行招标的项目化整为零或者以其他任何方式规避招标；遵守其他相关技术标准的规定。 4.1.2.4 工程设计阶段 网络建设工程设计应当遵循国家标准、行业标准和地方标准，并符合网络建设工程招标合同的要求。 4.1.2.5 工程实施阶段 环境信息网络建设工程实施应当符合国家标准、行业标准和地方标准，符合网络建设工程设计方案的要求。 4.1.2.6 工程验收阶段 重大项目的竣工验收，必须有各级环境保护信息部门参与评审；其他项目的竣工验收，建设单位应当根据工程备案管辖邀请市或者区、县各级环境保护信息机构参加。环境信息网络建设工程验收应当符合国家标准、行业标准和地方标准，符合网络建设工程招标合同的要求，涉及保密和隐蔽工程的验收参照相关规定。从事工程验收设计的单位，应当执行有关的国家标准、行业标准和地方标准。 4.1.2.7 运行及维护阶段 网络维护是环境信息网络正常运行的保证，必须给予充分的重视，并从人员、规章制度和资金等各个方面作好相应的安排。应建立网络建设工程质量保修制度。承建方应按合同，履行保修责任。保修期自工程竣工验收合格之日起不得少于两年。 4.1.2.8 网络系统变化 当网络系统升级、扩充、改造、迁移，例如网络系统内的网络线路改造、关键网络设备进行替换，以及重要应用系统进行升级，必须向所在单位负责信息化工作的责任部门提出申请，提交更改原因以及对现有系统影响的书面说明，获得批准后，按照要求进行更改或变化。 4.2 浙江省环境信息骨干网网际互连4.2.1 网络结构及拓扑浙江省环境信息网络结构可分为三级骨干网，四级节点。 4.2.1.1 互联网网际互连网络结构及拓扑 互联网接口为全省各级环境保护机构连接国际互联网的出口。局域网为星型拓扑结构。 4.2.1.2 广域网网络结构及拓扑 全省环境信息广域网络主要包括：一、二、三级骨干网。广域网为星型拓扑结构。 4.2.1.3 浙江省环保系统城域网网络结构及拓扑 浙江省环保系统城域网是全省各级环境保护机构至同城直属单位的网络互连，为星型拓扑结构。 4.2.2 链路和带宽4.2.2.1 互联网链路和带宽 互联网的链路由运行商提供。互联网的带宽根据业务需求确定，以下为带宽升级的参考标准：当一条链路具有高的利用率，如果优先级高的流量还可以被正常的路由，业务应用质量尚可，Ping测试时所经历的延迟也不显著，可不升级带宽；如果优先级高的流量的可用带宽接近带宽的极限，宜升级带宽；如果网络正常业务流量长时间达到整个互联网带宽的70%，并且关键业务应用明显受到影响，在Ping测试时所经历的延迟显著，并伴随一定的丢包率，应升级互联网带宽。 4.2.2.2 城域网链路和带宽 浙江省环境保护厅与在杭州直属单位的网络互连应采用专线连接，带宽不低于2M，宜采用裸光纤的方式连接。 设区市环境保护局与其同城直属单位的网络互连可采用专线连接，带宽不低于2M。 4.2.2.3 浙江省环保系统电子政务外网链路和带宽 一级骨干网采用专线连接，带宽不低于20M。 二级骨干网采用专线连接，带宽不低于4M。 三级骨干网可采用专线连接，带宽不低于2M。 采用VPN技术连接的，带宽不低于2M。 视频传输和数据传输采用同一条数据链路，保证视频数据能及时清晰传送到各级终端。 4.2.3 网络接入设备网络接入设备主要指各类路由器，各级性能可划分为高、中、低档路由器，网络中需使用的路由器性能指标和参数均参考《HJ 460-2009 环境信息网络建设规范》5.3章节内容。 4.2.4 网络安全设备网络安全设备主要包括硬件防火墙、入侵检测系统、认证网关、网络脆弱性扫描系统和软件防火墙等。浙江省环境保护厅、设区市环境保护局必须在网络节点部署防火墙、入侵检测系统和网络脆弱性扫描系统，区、县级环境保护局可以采用软件防火墙。网络安全设备功能和性能指标参考《HJ 460-2009 环境信息网络建设规范》5.4章节内容。 对于重要应用系统和数据的访问需设置认证网关，使网络管理员能在允许用户进入网络前、访问外部网络前，对有线、无线和远程用户及其机器进行验证、授权，能够阻止未授权计算机越权访问网络资源。认证服务器应包含下列功能：能向通过局域网、无线局域网、广域网或虚拟专用网连接设备应用进行网络准入控制；在用户未注册前，他们均被禁止访问可信网络，可进行HTTP、DNS等重定向强制注册；具有客户端程序代理、执行安全修复、身份认证功能；确认用户、用户设备和他们在网络中的身份；对于终端设备网络连接流量进行控制；加密算法多样性，支持国家相关管理部门认可的加密算法。 4.2.5 网络管理平台网络管理平台的内容和功能要求参考《HJ 460-2009 环境信息网络建设规范》5.5章节内容。 4.2.6 网络互连协议及典型业务协议浙江省环境信息网络骨干网网际互连协议选择TCP/IP协议，并基于TCP/IP协议可以开展如下典型业务。 4.2.6.1 Web业务 基本技术：基于Web技术，为了增强多媒体检索的功能，采用JAVA、公共网关接口（CGI）等技术，以适合各种场合的需要；协议及标准：通信协议采用超文本传送协议（HTTP）；媒体信息检索业务可应用于新闻、信息查询、课程培文化教育、法律、法规、广告等。 4.2.6.2 E-mail 基本技术：利用电子邮件技术； 协议及标准：通信协议采用简单邮件传输协议（SMTP）、POP3； 电子邮件业务可应用于接收信件、发送信件、文件转发等。 4.2.6.3 FTP 基本技术：利用异地主机的FTP文件交换或用Telnet仿真终端接入，完成远程异地科学计算及信息处理； 协议及标准：通信协议采用FTP等； 科学计算及信息处理业务可应用于翻译业务、软件共享业务、远程计算机辅助设计业务等。 4.2.6.4 虚拟专用网（VPN）业务 基本技术：在IP网上实现VPN业务，就是使用加密的IP隧道，实现专有IP包和其他网络协议包在Internet上传输，从而实现不同的虚拟专用网（VPN）；协议和标准：点对点隧道协议：点到点隧道协议；第二层隧道协议：第2层隧道协议；第三层隧道协议：通用路由协议；IP安全协议：IPSec协议。虚拟专用网（VPN）业务可应用于内联网互连、外联网互连、远程用户接入等。有关IP VPN业务的具体要求参见相关的标准。 4.2.6.5 多媒体会议业务 基本技术：基于TCP/IP的会议业务。由于LAN上得不到稳定的业务质量，因而需要图像编码和语音编码的尺度均可伸缩。为保证实时及同步的要求，实时信息（视频、音频）RTP、RTCP、UDP协议栈，数据信息用TCP协议栈。为了进一步保证质量，要有一定的信道带宽预约机制；协议和标准：通信协议：H.323、H.225、RTP、UDP、HTTP；服务质量协议：RSVP、Diffserv；语音编码协议：G723.1、G.729；图像编码协议：H.263；多点会议协议：T.120协议、T.130协议。多媒体会议业务可应用于专网或虚拟专网中的多媒体会议业务、公众多点多媒体会议业务等。 4.2.7 网际数据交互浙江省环保系统电子政务内网与其他网络采用物理隔离，网际间的数据交互须借用存储介质如U盘、移动硬盘等，采用先数据拷贝，后数据导入的方式，须严格控制传输介质的安全性；对笔记本电脑、移动硬盘、优盘等移动计算机和存储设备，应严格按规定界定其使用范围，根据安全等级和密级实行专网专用，不得交互使用；非浙江省环保系统工作人员不得使用环保系统内的网络设备，特殊情况下经申请批准后方可使用；系统内工作人员也不得在工作单位计算机设备上运行外单位的软件和使用外单位的移动存储设备，确因工作需要使用外单位移动存储设备的应进行计算机病毒检测，确认无病毒后方可使用；确因工作需要在办公计算机上安装软件的须经部门负责人同意，并由网络管理员或技术人员检查后方可安装。 4.3 浙江省环保系统电子政务内网建设参考《HJ 460-2009 环境信息网络建设规范》6.1章节内容。 4.4 浙江省环保系统电子政务外网建设参考《HJ 460-2009 环境信息网络建设规范》6.2章节内容。 4.5 浙江省环境信息机房建设4.5.1 机房建设的基本要求机房建设基本要求参考《HJ 460-2009环境信息网络建设规范》7.1章节内容。对于浙江省各级环境保护机构机房应满足以下条件：各级环境保护机构必须有专门安全地点作为机房用地；省环保厅机房应不少于200平方米，设区市环保局机房应不少于100平米房，区县环保局机房应不少于50平方米；环保厅和各级环保局直属机构如环境科学研究院（所）、监测中心（站）等可结合自身情况和附表公式进行机房面积计算。当根据附表公式计算出来的数据跟上述数据不一致，可取两者中较小值。 4.5.2 机房环境机房环境应符合GB 50174和GB/T 2887的规定。 4.5.3 不间断电源（UPS）参考《HJ 460-2009 环境信息网络建设规范》7.3章节内容。 4.5.4 机房空气调节系统机房空气调节系统应符合GB 50174的规定。 4.5.5 机房消防机房消防应符合GB 50174的规定。 4.5.6 防雷、接地保护系统机房防雷、接地保护系统应符合GB 50057；GB/T 2887 的规定。 4.6 浙江省环境信息网络测试和验收4.6.1 网络测试网络测试包括测试程序、测试范围、测试方法、测试条件、测试项目、测试设备、测试标准和测试报告等内容。网络测试是网络新建、扩建、改建和工程验收的重要依据之一。 4.6.1.1 测试程序 网络测试可以由单位或部门自行组织实施，也可以委托第三方专业公司或机构实施。网络测试应该按照下述程序进行： 提出网络测试需求，说明网络测试的目的和要求，为测试单位提供综合布线系统的竣工报告、网络分布图、网络拓扑图以及与系统相关的其它资料；根据需求和相关的资料，研究编写测试方案；现场实测，采集网络测试数据；分析网络测试数据，根据分析结果，确定是否重测或补测部分数据；根据数据分析结果，编写正式测试报告，测试报告中应当包括今后改善网络状况的建议内容。 4.6.1.2 测试范围 测试范围包括广域网和城域网链路测试、综合布线系统测试、网络设备测试等。链路测试。应该符合《金属线缆用户环路开放数据业务的 技术要求及测试方法》的规定；综合布线系统测试。应包括工程电气特性测试和光纤特性测试部分。工程电气特性测试要包括电缆、接插头组合件、传输距离、阻抗匹配、干扰和噪音以及电力系统等的测试。光纤特性测试要包括衰减、长度等测试；网络设备测试。应分别对网络服务器、路由器、网络交换机、集线器和网卡等进行功能和质量方面的测试。测试内容包括设备的可靠性和稳定性、安全性，网络设备互联的参数和端口设置，协议的一致性以及传输速率、带宽、时延等。 4.6.1.3 测试方法 测试方法可根据测试设备和测试内容选择明箱测试、静态加动态测试、现场测试、实况测试（准备阶段，必要时有模拟测试）、部分认证（布线系统）测试以及部分验证测试等其中一种或几种。应符合GB/T 21671-2008的规定。 4.6.1.4 测试条件 综合布线系统：测试现场应无产生严重电火花的电钻、电焊和产生强磁干扰的设备作业，被测综合布线系统必须是无源网络，测试时应断开与之相连的有源和通信设备。测试现场的温度应保持在20℃~30℃左右，湿度应在30%~80%之间；网络设备：测试现场应具备符合设备制造商在设备使用手册中所规定的运行环境，具体应该包括电源、湿度、压力、温度等方面的要求。 4.6.1.5 测试项目 综合布线系统：五类电缆应测试接线图、长度、衰减、近端窜音、 衰减串扰比等项目；超五类电缆应测试接线图、长度、衰减、近端窜音、传输时延、时延差、综合近端串音、回波损耗等项目；光缆应测试光功率、衰减、散射和长度等项目；应对网络系统进行防辐射（或屏蔽功能）测试。网络设备：网络服务器、路由器、网络交换机、集线器和网卡等设备均应测试吞吐量、时延和帧丢失率等通用项目。网络服务器、路由器、网络交换机、集线器和网卡等设备还应测试下列分类项目：（1）服务器：IP地址、MAC地址、缺省网关、发送帧的数量、广播、错误、碰撞、长帧与短帧数量等；（2）路由器：类型、厂商、端口状态、IP和MAC地址、使用的路由协议、插槽或接口号以及每个端口或子端口的利用率、吞吐量等；（3）网络交换机：类型、制造商、接口、端口连通性和使用状态、速度、IP地址、网络流量、协议、利用率、广播、错误、碰撞等； （4）集线器和网卡：整个共享网段的利用率、广播、错误、碰撞，以及连接到这台设备的站点的IP地址、MAC地址、利用率，广播、错误和碰撞等分布状况。 4.6.1.6 测试标准 a) 综合布线系统的测试方法应符合GB/T50311-2007 、GB/T 50312-2007、GB/T 18233 等标准的规定； b) 集线器的测试方法应符合RFC2544 的规定； c) 交换机的测试方法应符合YD/T 1141-2001、YD/T 1287-2003 的规定； d) 路由器的测试方法应符合YD/T 1098-2001、YD/T 1156-2001 的规定； e) 防火墙的测试方法应符合GA372-2001 的规定； f) 局域网性能测试的方法应符合GB/T 21671-2008 的规定。 4.6.2 网络系统验收网络系统验收是根据环保系统网络系统需求，依据国家/行业标准、实施方案、项目建设合同等文档，对各级环保机构的信息网络、机房、视频会议系统、综合布线系统等进行测试，验证被测系统是否达到标准或设计要求，为用户的系统集成、验收和运维提供依据。网络系统验收测试的服务内容：包括关键技术模拟及验证测试、网络监控与故障诊断运维测试、技术要求符合性验收测试。 4.6.2.1 验收主要依据 GB 50312-2007 综合布线工程验收规范 GB 50174-2008 电子信息系统机房设计规范 GB/T 20270-2006 信息安全技术网络基础安全技术要求 GB/T 21671-2008 基于以太网技术的局域网系统验收测评规范 GB/Z 18729-2002 基于网络的企业信息集成规范 YD/T 5032-2005 会议电视系统工程设计规范 GB 20815-2006 视频安防监控数字录像设备 GB 50395-2007 视频安防监控系统工程设计规范 YD-T 1666-2007 远程视频监控系统的安全技术要求 GA/T 367-2001 视频安防监控系统技术要求 4.6.2.2 提交的文档 网络系统集成项目施工单位向项目业主单位提交完整的工程文档，文档至少一式四份，并提交电子文档。所提交的文档中至少包含以下内容： a) 合同副本； b) 系统结构图； c) 设备配置表； d) 网络拓扑图。网络拓扑图包括：广域网的连接拓扑(可选）、 各个局域网之间通过WAN的连接拓朴、主干网的连接拓扑、 主交换设备之间连接、交换机和交换机之间的连接、次交 换机及集线器之间的连接、服务器，打印机以及其它网络 服务设备的连接、网络站点的连接； e) 网络的规划报告。指的是网络设置信息包括：网段，域， VLAN等； f) 网络设备信息清单。包括：设备分类清单、网络互联设备 清单、路由器信息、路由器路由表、交换机端口列表、服 务器； g) 正常运行时网络协议和繁忙用户的分布统计表（网络基准 测试）。包括：各种协议所占用带宽的比例、数据包数量,大小,类型等； h) 网络的吞吐能力或加载测试报告（路由和交换能力）； i) 项目验收申请报告。 i) 网络管理和维护a) 网络管理5.1.1 管理内容和对象网络管理维护范围包括对各级环境保护机构所属的网络、设备、软件系统、机房的运行维护以及安全维护管理。网络管理维护对象包括网络设备、服务器设备、终端计算机、机房空调系统、UPS设备、消防设备、软件系统等。 5.1.2 管理要求浙江省各级环境保护机构应建立网络管理系统，对环境信息网络所用的设备、链路等进行集中监视。网络管理系统应包括以下功能： a) 配置管理：对设备配置和端口配置进行管理； b) 性能管理：对设备的各种性能数据进行采集、存储和分析， 并给出分析结果； c) 网络拓扑管理：包括拓扑视图、网络浏览、网络监视和拓 扑编辑等功能； d) 故障管理：包括告警的监视与显示、告警过滤、告警信息 定位、告警信息存储、告警信息查询统计等功能； e) 业务管理：业务配置信息上报和查询、业务保护倒换状态 查询等功能； f) 安全管理：包括用户管理、权限控制和登录日志管理等； g) 报表管理：根据用户需要生成报表，用于分析和保存； h) 备份管理：应提供网络管理数据的备份功能，包括自动和 手工备份，需要时可将备份数据恢复； i) 用户管理：应限制未授权操作人员，支持分权分域管理。 5.1.3 管理组织和人员网络管理和维护是信息化建设工作中重要一项内容，设区市环境保护局需成立专门工作机构负责网络管理和维护，应不少于4名工作人员专门从事该项工作；县级环境保护局指定责任部门负责网络管理和维护，应不少于2名工作人员从事该项工作；各级环境保护局直属单位应有专人负责本单位网络维护和管理工作。对于人员不够、技术力量薄弱的环保机构，网络系统部分的运行维护可委托专业运营机构进行。负责网络系统运行维护的机构应当依据有关资质管理规定，签订保密协议，并报主管机构备案。 负责网络管理维护部门和人员主要的职责及工作内容有以下： a) 负责日常服务器维护、操作系统、网管系统、邮件系统等 的安全补丁、漏洞检测及修补、病毒防治等工作。 b) 负责网络布线配线架的管理，确保配线的合理有序； c) 掌握与外部网络的连接配置，掌握用户端设备接入网络的 情况，监督网络通信状况，发现问题及时解决。 d) 负责所在单位网络（包含局域网、广域网）的系统安全性； e) 制定、发布机房、监控中心等的管理制度和操作规范，并 监督执行情况； f) 掌握主干设备的配置情况及配置参数变更情况，备份各个 设备的配置文件，进行数据维护和数据备份； g) 采取技术措施，对网络内经常出现的用户需要变更位置和 部门的情况进行管理； h) 确保网络通信传输畅通进行网络资源的监测，及时排除网 络故障，提供网络应急保障，定期提供网络运行状况报告； i) 随时监控机房设备运行状况，发现异常情况应立即按照规 程进行操作，并及时上报和详细记录，记录网络系统故障 发生的时间、现象和解决方法，并对系统记录文件保存收 档； j) 做好网络升级改造和优化的相关工作； k) 其他与网络系统运行维护相关的工作。 5.1.4 人员保密要求网络操作人员和网络系统管理员不得在任何时间、地点、以任何的形式向除本单位网络管理员和主管领导之外任何人泄露以下信息（业务必须的情况除外）： a) 关于本单位网络的网络内部结构、网络设备的端口配置的 情况； b) 网络内部的IP地址分配的情况和设备域名的设置规则； c) 网络内部主机的应用服务器的具体的端口（TCP/UDP）的配 置情况（包括防火墙的设置）； d) 网络管理员远程工作所使用的连接方法； e) 网络曾出现的网络故障（包括曾被黑客攻击或系统瘫痪）， 避免造成不良影响。 5.1.5 网络设备资产管理a) 各级网络管理责任部门由专人负责对本级网络设备和配件 资产进行管理管理，及时进行登记。计算机应登记其配置 并归档（品牌、型号、产品序列号、CPU、内存、网卡物理 地址、IP地址、硬盘容量等）； b) 网络设备发生疑难故障，在保修期内的设备原则上由生产 厂家进行保修，已过保修期的设备送交设备生产厂家或专 业维修单位进行维修。存有工作数据的电脑、磁盘设备在 送外维修前，必须将数据进行备份后彻底删除或采取其他 必要手段防止数据外泄； c) 网络设备的报损及淘汰报废应由网络管理部门鉴定后由相 关部门收回入库。 5.1.6 网络接口管理a) MSTP设备之间及MSTP设备与网络管理系统之间的通信接 口采用远程通信标准化组织规定的无连接模式协议栈或TCP/IP协议栈； b) 网络设备应提供基于SNMP协议的网络管理接口； c) 网络管理系统之间应具备接口，能够根据要求进行网络管 理信息的交互，包括配置、故障和性能数据。该接口可选 择开放的国际协议标准，如Web Service 等标准接口。 5.1.7 网络管理其它要求a) 网络管理信息与环境信息网络设备、运行的实际数据应保 持一致； b) 网络设备运行正常情况下，告警平均响应时间（指从发生 告警到显示告警）不大于20秒。在系统满负荷情况下，告 警响应时间应不大于以上指标的150%； c) 各种日志文件应至少应保存12个月的事件； d) 原始告警信息保存时间应不小于1个月；原始性能信息保 存时间应不小于3个月；处理后的告警数据、性能数据保 存时间应不小于3个月；各类统计分析结果数据保存时间 应不小于6个月。 b) 设备及软件系统维护5.2.1 网络链路、线路维护a) 网络线路是环保系统网络运行的基础，未经主管部门同意， 任何单位和个人不得更改、破坏线路； b) 租用的电信运营商的网络链路由电信运营商负责维护，省、 市、县三级网络要保持24小时畅通，发现异常立即报告网 络系统责任单位主管领导，并及时组织人员或联系网络运 营商有关单位进行修复，如短时间内不能恢复正常，需及 时用电话、书面等方式通知系统内部用户； c) 内部网络线路发生故障，应先通知本单位网络管理员来解 决，如仍无法解决，需联系专业维修或运维单位。 5.2.2 账号和口令管理和维护a) 对于计算机和网络设备需进行账号设置，用户和用户组的 设置应进行说明和描述； b) 开启临时账号需经相关负责人同意，对于临时开放的账号 应及时删除； 份进行验证和确认； d) 网络管理员负责给新增用户分配初始密码；指导用户正确 使用密码；检查用户使用密码情况；帮助用户开启被锁定 的密码；对非法操作及时查明原因；解决密码使用过程中 出现的问题； e) 账号生成后，应禁止使用缺省密码作为密码使用； f) 长度应大于6位，且应是字母（大小写）﹑符号﹑数字混 合使用； g) 应避免使用自己（或亲属﹑朋友）的姓名﹑生日等易被人 猜到的信息作为密码；应避免使用与自己的用户名相关的 信息作为密码； h) 用户应妥善管理自己的账号、密码，应不予他人使用及泄 露密码； i) 应定期更换密码。密码的最长使用时间一般不超半年。密 码使用期满时，应及时更换新密码； j) 应用自己的账号登录主机，完成工作后应退出系统； k) 若操作人员因故须中途离开机器，则应根据实际情况采取 有效的防范措施。 5.2.3 客户机管理a) 客户机指所有连接到浙江省环保系统信息网络系统的个人 计算机、工作站、网络打印机及各种终端设备； b) 使用人员应爱护客户机及与之相关的网络连接设备（包括 网卡、网线、集线器、调制解调器等），按规操作，不得 对其实施人为损坏； c) 客户机使用人员不得擅自更改网络设置，杜绝一切影响网 络正常运行的行为发生； d) 网络中的终端计算机使用完后应及时关闭计算机和电源； e) 客户机使用人员不得利用客户机进行违法活动。 5.2.4 服务器维护管理a) 为保证服务器的安全，应尽量做到专机专用，不要在服务 器上安装除必要服务外的其他软件，不要使用服务器上网， 不能在服务器上从事与工作无关的事情，禁止在服务器上 玩游戏； b) 定期巡检，及时发现和预防可能出现的硬件和系统问题， 从而在最大程度上为系统的连续稳定运行提供保证。巡检 工作主要包括： 1) 主机系统的运行状态，对系统CPU、内存、I/O状态、 进程等检查；对系统设置、日志文件、Error Report进行检查分析，清理系统中的日志文件和垃圾文件； 2) 外部设备运行状态，对磁盘阵列、磁带机、外置光驱、 维护终端等的状态、设置进行检查；对风扇、后备电池 、磁盘、磁带、键盘等敏感部件进行重点检查，如有故 障 征兆则进行先期更换； 3) 网络设备的运行状态； 4) 所有连接接口，CABLE,电源等可能容易导致设备出现问 题的敏感部件；连接件检查，对连接插头、电缆、电源 插座等进行检查； 5) 环境检查，包括电源电压、接地和室内温度、湿度、空 气洁净度等； 6) 清洁保养，清除机箱、滤清器内的灰尘与异物。 5.2.5 存储设备及备份维护a) 每天检查存储、备份设备的运行情况，定期查看主机Log， 进行故障记录分析； b) 每天检查所有指示灯和风扇的工作状况，确认设备完好性， 针对异常现象采取维护措施消除故障； c) 定期检查带库，检查有无错误日志，确认设备完好性； d) 定期通过维护软件连入阵列的维护网络口进行信息收集系 统日志至少每周检查一次，并做好检查记录； e) 应按如下要求进行数据备份： 1) 每个工作日结束后必须进行数据备份，保证系统发生故 障时能够快速恢复，自动备份时间建议安排在非工作时间； 2) 数据必须定期、完整、真实、准确地转储到不可更改的 介质上，并要求集中保存。保存期限为监测统计数据至 少保存20年,原始业务数据至少保存10年以上,对有重 大污染事故的数据,至少应保存至该事故消除时为止； 3) 备份的数据必须指定专人负责保管，进行规范的登记管 理，并放置指定的场所保管；对介质进行有效管理，对 历史数据进行定期归档； 4) 备份数据保管地点应有防火、防热、防潮、防尘、防磁、 防盗设施； 5) 尽量实现数据的全自动备份和跨平台集中管理； 6) 制定数据恢复预案，做好详细的灾难恢复计划，防备数 据丢失； 7) 根据灾难恢复计划，应定期进行灾难演练，以防备系统 崩溃和数据丢失； 8) 制定全备份、增量备份、差异备份等备份策略，确定各 类数据需备份的内容、时间及方式并能使数据备份工作 以自动方式进行，采用多层体系结构的备份软件，实现 数据备份的统一管理，保证数据一致性，根据应急处理 等级和响应时间要求，及时处理系统故障，保障数据正 常运行； 9) 各类软件系统的初始信息、配置信息等需做好备份和保 管；操作系统备份以系统卷为主，必须建立完整的系统备份档案，保证系统宕机时能及时恢复系统原有状态，包括此系统下运行的所有相关软件的配置。双机热备份软件应按应用系统的实际配置情况制定相关的数据备份计划，如卷组备份、卷备份、文件系统备份、文件备份等； 10) 系统崩溃后，应能够在较短时间内完成数据的还原 与恢复，恢复方式可采用全盘恢复、个别文件恢复 和重定向恢复等方式，采用灾难恢复技术，应支持 对整个系统的恢复； 11) 备份与恢复系统应考虑网络带宽对备份性能的影响 、备份服务器的平台选择及安全性、备份系统容量的适度冗余、备份系统良好的扩展性等因素。 5.2.6 路由器维护管理5.2.6.1 路由器密码安全管理规则 a) 路由器密码应由负责该路由器的运营维护工程师和部门负 责人同时掌握； b) 修改密码必须得到负责网络维护部门主管领导的授权才能 进行。 5.2.6.2 路由器安全操作规则 a) 任何管理员不得擅自修改路由器配置，须经相关负责人同 意后方可进行； b) 对路由器做任何配置的修改之前要对配置做备份； c) 对路由器做任何配置的修改之后，只有确认正确之后方可 保存为启动文件； d) 修改路由器的任何设置需在值班日志上详细记录，交接班 时做必要说明； e) 在路由器有业务承载的情况下，路由器的重新启动，需经 过相关负责人批准方可执行。 5.2.6.3 路由器基本配置 a) 配置标识网络中路由器的设备名称； b) 配置路由器设备的日志记录信息； c) 配置路由器设备操作权限密码，应为进入路由器权限模式 配置密码； d) 关闭路由器上不使用的端口，将需要应用的端口结合实际 应用配置IP地址； e) 通过路由器设备的访问控制列表（ACL）的配置和管理，实 现对主机和网络的访问限制。 5.2.6.4 路由器系统文件和配置文件管理 a) 路由器的系统文件和配置文件应备份，并进行版本管理和 维护； b) 运行维护人员应熟悉路由器系统文件、配置文件的恢复和 更新操作。 5.2.6.5 路由器维护要求 a) 维护应检查以下内容： 1) 资源利用率； 2) 网络接口带宽利用率； 3) 丢包率； 4) 接口转发时延； 5) 包转发率； 6) 系统软件运行情况； 7) 路由器的配置文件情况； 8) 电源和风扇工作情况； 9) 查看并记录安装或升级的新硬件和新软件； 10) 监视路由器及相连接网络的性能和状态； 11) 收集流量统计的信息。 b) 路由器设备故障维护 1) 定期查看路由器运行软件的故障日志记录等，及时发现 网络中存在的安全问题，并及时更新升级路由器系统软 件； 2) 当发现网络性能大幅下降时，应检查路由器情况，诊断 问题原因；如路由器不能满足正常业务流量要求，可考 虑升级路由器设备； 3) 当路由器出现故障告警，可根据具体故障信息判断路由 器硬件的故障。当路由器故障定位后，应按相关技术处 理要求解决故障，详细记录故障日志，并建立故障档案； 4) 可利用网络管理工具管理路由器设备，发现及诊断网络 中的问题； 5) 发生暂时或永久的网络拓扑改变时，应及时调整路由器 配置，尽可能优化网络结构和网络性能。 5.2.7 交换机维护管理5.2.7.1 交换机基本配置 a) 配置交换机设备名称； b) 配置交换机设备的日志记录信息； c) 设置交换机设备密码，应为进入交换机特权模式配置密码； d) 设置交换机设备的管理接口IP地址，关闭交换机上不使用 的端口。 5.2.7.2 交换机系统文件和配置文件管理 a) 交换机的系统文件和配置文件应备份，并进行版本管理和 维护； b) 运行维护人员应熟悉交换机系统文件、配置文件的恢复和 更新操作。 5.2.7.3 交换机维护要求 交换机维护应检查以下内容： a) 资源利用率； b) 网络接口带宽利用率； c) 交换机及相连网络的状态和性能； d) 交换机系统软件运行状态。 5.2.7.4 VLAN系统维护要求 a) 应根据实际应用，确定广播域的范围，划分和创建相应的 VLAN； b) VLAN划分发生变化时，应及时维护交换机上的VLAN设置； c) 应根据具体情况对交换机上链路进行配置和管理。 5.2.8 防火墙维护管理5.2.8.1 防火墙安全策略要求 a) 使用最小安全原则，即除非明确允许，否则就禁止； b) 包含基于源IP地址、目的IP地址的访问控制； c) 包含基于源端口、目的端口的访问控制； d) 包含基于协议类型的访问控制。 5.2.8.2 防火墙维护要求 防火墙维护应检查以下内容： a) 监控吞吐量、连接速率和延迟，进行流量统计分析，根据 分析对防火墙策略进行调整优化； b) NAT列表； c) 端口开放及连接状态； d) 包过滤设置、应用代理设置、内容过滤设置等配置； e) CPU、内存等资源占用情况。 5.2.9 视频会议设备维护管理a) 多媒体系统展示设备应定期开机，检测系统设备的运行情 况，并做好检查记录； b) 严禁带电插拔电缆，信号源与投影设备电源最好同时接地； c) 保持视频和音频设备的清洁，对设备周围环境要勤打扫， 止过多灰尘进入设备内部，造成设备出现故障； d) 在每次召开视频会议前一天，各个分会场应当对设备进行 一次检查及联调，主要检查各部分电源供电和音/视频链路 物理接线及音/视频效果； e) 平时每半个月对设备进行一次检查和联调； f) 开会结束后，将设备全部关闭。并将电源断开，最好是设 备电源都接在稳压设备上； g) 系统设备出现问题应及时解决，并做好记录。 5.2.10 IDS维护要求IDS维护应检查以下容： a) 系统运行情况，检测误报率； b) 系统策略状态； c) 系统资源状态； d) 运行日志，日志备份及分析。 5.2.11 IPS维护要求IPS维护应检查以下容： a) 系统运行情况，事件响应动作； b) 系统策略状态； c) 系统资源状态,查看IPS分析统计信息； d) 查看系统日志和攻击事件运行日志，日志备份及分析。 5.2.12 VPN系统维护要求VPN系统维护应检查以下容： a) VPN系统状态； b) VPN策略； c) VPN许可用户名单； d) VPN连接数。 5.2.13 软件系统维护5.2.13.1 网络管理软件 a) 各级环境保护机构网络系统应采用专业网络管理软件对所 有的数据线路、服务器、网络设备等进行统一管理； b) 网络管理员必须掌握网管软件的配置，使用权限及管理范 围的详细情况； c) 为提高网管软件的真实性和可靠性，对无效告警予以确认， 并有效控制。一旦发生告警，应在第一时间予以处理和解 决。不得以任何方式拖延故障处理时间； d) 每日应统计所发生的告警，并加以分析，作到三清，即“原 因清、时间清、地点清”。每月底对发生的故障进行全面分析，完成故障统计分析报表，提出整改意见。 5.2.13.2 操作系统 a) 应经常打开事件查看器，在系统日志、日志和应用程 序日志中查看有没有特别异常的记录； b) 应尽可能地改善网络系统的安全策略设置，减少安全漏洞。 关闭不使用的服务，对不同级别的网络用户设置相应的资 源访问权限； c) 对于微软Windows操作系统平台，尽量采用NTFS文件格式， 少采用FAT或者FAT32的文件格式。把敏感信息和服务信 息分别放在不同的磁盘分区； d) 应经常到操作系统官方网站下载最新的Service Pack(升 级服务包)安装上，将安全漏洞及时补上； e) 系统优化，对操作系统进行系统性能调整和系统优化，提 高系统效率；进行相关的安全性进程检查。 5.2.13.3 数据库软件 数据库是重要的数据源，经过一定时期的运行使用后，需要调整数据库性能，进行参数配置，使之进入最优化状态。按照维护计划定期进行数据资源目录、数据库系统维护，主要内容包括： a) 数据库一致性检查； b) 数据目录和索引更新与重建； c) 系统数据库备份以及用户数据库备份； d) 文件大小检查； e) 监测批处理、数据查询作业是否正确执行； f) 查看日志的错误； g) 复制日志代理的运行情况； h) 复制分发清除作业是否正确执行； i) 整理数据库碎片，监测数据库大小、增长情况； j) 监测磁盘自由空间、释放磁盘空闲空间； k) 监控用户操作和使用数据情况。 5.2.13.4 防病毒软件 a) 网络系统内的服务器和客户端计算机都应安装主流的杀毒 软件。网络管理员应针对具体情况采取预防病毒技术、检测病毒技术和杀毒技术； b) 各单位在向网络系统提交信息前要作好查毒、杀毒工作， 确保信息文件无毒上传； c) 杀毒软件的病毒库要及时更新，采取网络病毒监测技术措 施，提高网络的整体抗病毒能力； d) 如发现网络内某台计算机感染有病毒，需立即将该计算机 进行物理隔离，中断网络连接。待病毒清除后方可连接上 网络。 5.2.13.5 应用软件 a) 网络管理员应对所有服务器安装的应用软件有详细的清单 ，包括应用软名称、版本、功能、开发厂商及安装时间； b) 协助开发厂商和应用单位进行应用软件安装、升级、使用 培训及日常的维护，确保正常运转，并作好工作记录。 c) 机房维护管理5.3.1 机房操作人员的要求a) 除值班人员和维护人员外，其他部门和外单位人员，需经 相关负责人同意，并认真填写登记表后方可进入； b) 进入机房人员需保持机房环境整洁，应更换专用工作鞋或 鞋套； c) 进入机房人员不得携带任何易燃、易爆、腐蚀性、强电磁、 辐射性、流体物质等对设备正常运行构成威胁的物品； d) 非机房工作人员未经许可不得擅自上机操作和对运行设备 及各种配置进行更改； e) 机房内严禁吸烟、饮食、睡觉、闲谈、娱乐； f) 操作人员只能按规定的权限作好系统运行和管理工作，不 得越权改动操作系统的硬软件； g) 系统出现重大异常情况时，操作人员需及时向有关技术人 员和领导汇报，不可自行随意处理。 5.3.2 机房环境维护a) 例行维护： 1) 每天进行机房及周边环境的卫生检查； 2) 每两周进行机房及周边环境的卫生清洁； 3) 每天对机房日常维护指标进行检查并做记录。 b) 紧急维护： 1) 及时进行相关的紧急自处理； 2) 即时向救护部门申请救助：火警-119、匪警-110； 3) 通报相关领导并备案。 5.3.3 对机房设备维护的要求a) 机房应备有防静电手套，维护人员插拔设备模块时要带防 静电手套； b) 维护终端使用的可移动存储介质要有严格的防病毒措施， 严禁安装、使用未经批准的软件； c) 各种通信设备外壳，应良好接地。使用220伏及其以上交 流电源工作时，必须注意人身安全和设备安全； d) 机房内严禁使用可能引起火灾的取暖设备。机房内要配备 消防器材，并指定专人管理，定期检查，保证良好。要求每一维护人员熟知其使用方法和火警电话号码； e) 室内所有设施要建立固定资产管理目录，并有专人负责。 定期核对。 5.3.4 机房值班制度a) 机房必须专人值班制度，实时掌握机房内所有设备的动态 运行情况； b) 值班人员应按规定时间上下班，非经批准不得调换班次和 离开岗位，值班时严禁做与维护工作无关的操作； c) 值班人员应坚守岗位、随时留意设备有无异常告警、异味 和异声，若发现不正常情况，应急时处理，认真记录查找， 并立即上报； d) 遵守故障处理的规定，准确、迅速地处理故障，及时上报、 传报和校对，不得借故推迟故障处理的时间； e) 及时、完整、准确地填写值班日志和各种规定的记录； f) 不得任意关闭告警，不得人为切断和私人占用业务电话和 用户电话； g) 值班人员对用户的电话讯问应做事后记录； h) 不得任意瞬间中断线路； i) 不得隐瞒和谎报故障。 5.3.5 机房值班人员职责a) 值班人员必须参加上岗培训，要熟悉机房设备的性能，设 备、电路的状况； b) 掌握监控设备的一般操作技术，充分利用监控设备进行日 常维护和故障处理； c) 值班人员在值班时间内要坚守岗位，恪尽职守，保持设备 和线路正常运行，配合相关人员进行业务处理； d) 值班时不得任意切断或清除告警，发现异常情况，应马上 做相应记录和处理并及时通知有关人员； e) 参加设备和线路的开通、停闭、调度和故障修复后的测试 工作； f) 及时、准确、完整地填写值班日志及各种规定的记录； g) 严格遵守通信纪律、安全保密制度和其他各项规定制度； h) 巡视设备与环境安全，保持设备与环境清洁，在值班期间 对设备和环境负责。 机房环境要求、UPS系统管理维护、机房空调系统管理维护、机房消防系统管理维护参考《HJ 461-2009 环境信息网络管理维护规范》第7章节内容。 d) 安全维护管理安全维护管理内容参考《HJ 461-2009 环境信息网络管理维护规范》第8章节内容。
j) 附录附录1 机房与布线结构表
附录2 网络布线系统测试表
附录3 设备配置说明表
注：“对端位置”填 配线架号—排号—端口号 附录4 网络设置信息表
附录5 网络设备IP地址设置验收表
授权责任工程师签字 用户方验收人签字
日期 日期
附录6 单机测试验收表集成项目 单机测试验收汇总表
授权责任工程师签字 用户方验收人签字
日期 日期
附录7 设备间验收表设备间验收表
授权责任工程师签字 用户方验收人签字 日期 日期
附录8 网络设置信息集成项目 网络测试验收汇总表
授权责任工程师签字 用户方验收人签字
日期 日期
附录9 网管测试验收表集成项目 网管测试验收表
授权责任工程师签字 用户方验收人签字
日期 日期
附录10 网络协议流量统计表集成项目 网络协议流量统计表
授权责任工程师签字 用户方验收人签字
日期 日期
附录11 网络重点端口的流量表（基本格式）集成项目 网络重点端口的流量表
授权责任工程师签字 用户方验收人签字
日期 日期
附录12 连通性测试验收表（基本格式）集成项目 连通性测试验收表
授权责任工程师签字 用户方验收人签字
日期 日期
附录13 VLAN功能验收表（基本格式）集成项目 VLAN功能验收表
授权责任工程师签字 用户方验收人签字 日期 日期
附录14 机房面积公式计算机机房最小使用面积不得小于 50m2，除了系统安放之外，应预留足够的空间作安装、维修及操作之用。另外，还应预留空间作系统扩展之用。计算机使用面积一般按照以下两种方法之一确定： 第一种方法：当计算机系统设备已选型时，可按此公式计算： A=k∑S ……………………………(1) 式中： A——计算机主机房使用面积（m2）； k——系数，取值为 5~7； S——计算机系统及辅助设备的投影面积（m2）； ∑S——机房内所有设备占地面积的总和（m2）。 第二种方法：当计算机系统设备尚未选型时，可按此公式计算： A=KN …………………………………(2) 式中：A——计算机主机房内使用面积；K——单台设备占用面积，可取 4.5~5.5（m2 /台）； N——计算机主机房内所有设备的总台数。 注：本规范关于机房建设基本要求中定义的机房面积大小为其最小值。若通过计算公式算出的机房面积大于前面基本要求中定义的面积，则应采用计算值；若通过计算公式计算出的机房面积小于前面基本要求中定义的面积，则应采用基本要求中定义的机房面积。
附录15 日常检查表范例
附录16 备份记录表范例
附录17 软件系统维护表范例
附录18 线路端口登记表范例
附录19 设备登记表范例
附录20 终端计算机端日常服务表
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||