江苏省电子政务外网安全建设指南

江苏省人民政府办公厅电子政务办公室

2017 年 3 月

2

目 录

前 言 ..............................................................................................................................................31.总体要求.......................................................................................................................................42.建设原则.......................................................................................................................................43.网络架构及安全域划分...............................................................................................................5

3.1 网络架构划分....................................................................................................................53.2 业务区域划分....................................................................................................................63.3 安全区域划分....................................................................................................................7

4.网络互联要求...............................................................................................................................84.1 广域网互联........................................................................................................................84.2 广域网与城域网互联........................................................................................................94.3 城域网与接入局域网互联................................................................................................94.4 城域网与互联网互联......................................................................................................104.5 城域网与 3G/4G 等移动网络互联 ..................................................................................10

5.边界安全要求.............................................................................................................................105.1 接入政务外网边界安全..................................................................................................105.2 原有互联网出口边界安全..............................................................................................125.3 其他网络边界安全..........................................................................................................12

6.电子身份认证.............................................................................................................................136.1 认证体系..........................................................................................................................136.2 建设内容及功能需求......................................................................................................13

7.终端安全防护.............................................................................................................................147.1 计算机终端......................................................................................................................147.2 移动智能终端..................................................................................................................16

8.安全综合管理平台.....................................................................................................................179.等级保护要求.............................................................................................................................18

9.1 定级方法..........................................................................................................................199.2 边界划分..........................................................................................................................199.3 定级要求..........................................................................................................................199.4 具体实施要求..................................................................................................................20

附 录 A...........................................................................................................................................21附 录 B...........................................................................................................................................27附 录 C...........................................................................................................................................29附 录 D...........................................................................................................................................31

3

前 言

根据国家信息安全相关法律法规，结合我省电子政务外网建设实际情况，制

定本指南，以指导各地各部门电子政务外网各阶段的安全建设工作。

4

1.总体要求

贯彻执行国家信息安全相关法律法规，统筹规划，分级建设，通过不断加强

电子政务外网的整体安全防护能力，建立起能够有效抵御安全风险，适合政务外

网可持续发展的信息安全防护体系，为电子政务外网及其业务应用提供坚实的安

全保障。

2.建设原则

1) 等级保护原则

按照国家等级保护相关标准及国家电子政务外网等级保护基本要求，确定本

级电子政务外网的安全等级，并实施安全保护。

2) 多重防护原则

强化预防优先、管控并重的安全意识，基于多维度安全防护手段，构建可持

续发展的立体纵深安全防护体系。

3) 分级管理原则

省政府办公厅电子政务办公室负责全省电子政务外网安全防护体系建设指

导工作；各设区市政府办公室（厅）负责本地区安全防护体系建设指导工作。各

地各部门按照相关法律法规实施定级保护，定期开展安全评估。

4) 规范管理原则

建立主要领导负责制，从机构、制度、人员、运行维护、资金保障等方面实

现全面、有效、规范管理。

5

3.网络架构及安全域划分

统一的国家电子政务外网由国家、省、市、县（市、区）广域网和城域网组

成。各级政务部门通过本级城域网接入电子政务外网，乡镇、街道接入县（市、

区）级城域网。各级城域网边界可以建设互联网接入区，为本级政务部门访问互

联网及部署面向公众服务的应用系统提供服务。

3.1 网络架构划分

省电子政务外网骨干网基于电信传输网络建设,传输网按技术类型可分为

MSTP 网、SDH 网和光纤网络等,基于传输网之上的 IP 承载网按电子政务网络结构

及所处位置可划分为广域网、城域网和局域网。

3.1.1 广域网

广域网用于纵向覆盖中央、省、市、县各层级行政区域，由各级行政区域内

广域骨干节点设备和之间长途线路组成。省电子政务外网广域网主要包括省级广

域网、设区市广域网和县（市、区）广域网。

1) 省电子政务外网广域网内主要传输电子政务的数据、视频、图像等相关

业务。跨省、跨地区、跨部门业务信息可以直接在政务外网的广域网上传输,政

务外网可通过 MPLS/VPN 或其他网络隔离技术,对不同的业务或信息系统进行隔

离。

2) 省至设区市广域网原则上不承载直接访问互联网的业务,设区市以下广

域网可根据自身实际情况确定是否承载访问互联网的业务,设区市政务外网互联

网出口应实行统一集中管理,采取有效技术手段区分政务业务和互联网流量，并

做好安全防护工作。

3) 县级及以下政务外网接入单位没有互联网出口的,在使用设区市统一互

联网出口时，须在市-县广域网采用 VPN 或等同有效隔离技术,区分访问互联网的

业务与电子政务业务(数据、视频、图像等),并采用 QoS 保障机制,保证电子政务

6

业务的传输带宽和质量。

3.1.2 城域网

城域网用于实现本级行政区域内政务部门的横向连接，省电子政务外网城域

网主要包括省级城域网、设区市城域网和县（市、区）城域网等。各级城域网可

通过部署统一互联网安全域与互联网进行连接。

1) 省电子政务外网各级城域网通过纵向广域网实现互联。各级城域网与本

级政务部门局域网络实现互联,城域网内应采用安全技术手段保证不同业务之间

的有效隔离,在汇聚层边界应有相应的边界访问控制策略。

2) 各级政务外网城域网为政务部门提供统一互联网接入服务时,应做好相

应的安全防护工作,通过 MPLS/VPN 或其等同有效隔离技术,对访问互联网业务和

电子政务业务流量加以区分,保证电子政务业务传输带宽和质量。

3.1.3 局域网

政务外网局域网是由政务外网接入部门自行建设和管理的本地局域网络。多

部门合驻办公且楼内局域网由专门机构统一管理时，可以实现整体接入政务外

网，办公楼内的局域网络可以视为一个接入局域网。

各部门局域网通过各级城域网接入省电子政务外网，局域网由各政务部门自

行管理，其所有网络设备、终端、服务器、各类应用软件及系统安全保障均由局

域网责任单位负责,应当按国家信息系统安全等级保护相关标准及信息系统安全

主管部门的要求进行定级、报备、测评、整改并接受主管部门的检查。

3.2 业务区域划分

按照国家电子政务外网统一要求,结合省电子政务外网业务需求，通过在省

电子政务外网中划分出多个不同的逻辑业务网络，满足承载不同类型业务的需

要。并根据逻辑业务网络的重要性进行相对应的安全防护。

通过使用VPN，路由控制、防火墙、认证网关、边界访问控制等技术手段, 在

7

省电子政务外网中划分出公用网络区、专用网络区、互联网区等不同区域来保证

政务外网基础设施和业务信息系统的安全，各区域之间实现逻辑隔离和安全有效

控制。

1) 公用网络区:能够通过各级广域网、城域网实现国家、省、市、县互联互

通，是保证各地区各部门互相访问的重要网络区域，是政务部门公共服务及开展

跨部门、跨地区的业务应用、协同和数据共享的专用网络支撑平台。该区域提供

政务外网内的公共网络服务,如电子政务外网统一门户、DNS 服务等。公用网络

区 IP 地址与路由规划需参照省级规划进行统一建设。

2) 互联网区:是各级政务部门通过逻辑隔离安全接入互联网的网络区域,满

足政务部门利用互联网开展公共服务、社会管理、经济调节和市场监管的电子政

务业务需要。互联网区采用属地化管理，由设区市、县自行规划并做好安全防护

工作。

3) 专用网络区:基于电子政务外网为特定需求的部门或业务开通的网络区

域,实现本部门纵向跨地区业务系统在政务外网上开展,与公用网络区内其它部

门的业务应用系统相互隔离。

公用网络区和专用网络区按照国家统一要求实现国家-省-市-县四级贯通。

互联网区作为各地方与互联网交互信息的接口，采用分级属地管理模式。

在公用网络与互联网区之间需采取有效安全隔离手段，保证互联网区及其它

互联网用户未经授权不能直接访问公用网络区域的数据和信息系统。

3.3 安全区域划分

在省电子政务外网城域网内根据安全边界防护及等级保护的级别要求而划

分出的相应安全域，通常有互联网接入域，安全接入平台域，安全管理域，数据

中心区域等。各区域需按照等级保护的相关要求采取有效安全防护手段严格管

控，保障省电子政务外网基础设施的整体安全可控。

1) 互联网出口安全防护域:为各级政务部门提供互联网访问业务,互联网出

口应部署防火墙、IPS、防 DDOS 攻击设备及流量控制设备等,或具有上述功能的

综合网关类设备,保证自身业务和全网的安全。各设区市政务外网在此区域统建

8

市级门户网站群、电子邮件系统、政府公众服务等面向社会公共服务的信息系统，

并对安全实行统一管控。

2) 安全接入域:通过 IPSec/SSL、数字证书、VPDN 等技术手段,将移动 PC

终端或各类智能移动终端通过 3G/4G 等网络或互联网专线安全接入政务外网公

用网络区或政务部门的专用网络区,实现移动办公、现场执法等各类移动政务业

务安全接入至政务外网。区域应具有对各类移动智能终端的实时管理等安全保障

功能,通过终端身份认证、加密传输等安全手段将移动终端接入到相应的业务应

用系统,保证数据和应用系统的使用安全。

3) 安全管理域:根据网络业务及安全自身的需要,将网络管理系统、安全管

理系统、电子认证服务等信息系统部署在管理区,并设置与之相适应的访问控制

策略。安全等级保护确定为第三级的政务外网,应建立安全管理综合平台，通过

开放接口实时推送安全管理综合数据并与省级平台互联互通,对安全防护设备的

日志进行采集和综合关联分析,提出安全整改建议。对于安全事件和网络攻击等

应能实时告警,有条件的相关设备应能联动,防止网络攻击等事件的进一步扩大,

主动有效地保护政务外网的安全。

4) 数据中心域:按业务区域可分为互联网数据中心域和公用网络数据中心

域,实现相关政务部门各类业务的分业务分区域集中部署或托管等。放置在数据

中心互联网区或公用网络区机房托管的各相关信息系统由责任主体单位与托管

中心的责任单位签订合同、明确责任和边界,并按照国家信息系统安全等级保护

的要求进行定级和采取相应的安全防护措施。

4.网络互联要求

4.1 广域网互联

省电子政务外网广域网互联时,应加强对边界接入设备的监控和管理,采取

有效的边界访问控制策略,保证所承载各类业务的畅通和安全可靠。

在省级广域网跨域边界，当市级向省级通告路由时，只通告政务外网分配地

9

址并在市级对接设备边界处做好路由汇总，省级接入路由器负责对市级通告的路

由信息进行过滤。

市级以下广域网可根据自身技术特点参考省级策略。

4.2 广域网与城域网互联

安全保护等级定级均为第三级的广域网与城域网互联时,应有主电路和备用

电路,按主备电路互为备份或负载分担的方式提供网络承载服务。其核心路由设

备应放置在不同的机房,保证其可靠性。广域网应与城域网的两个不同的汇聚设

备或具有PE功能的核心设备互联,之间可不串接防火墙等边界访问控制设备。

安全保护等级定级为第三级的广域网与安全保护等级定级为第二级的城域

网互联时,广域网应在边界接入设备上采取有效的边界访问控制策略,对非授权

访问、异常流量、病毒木马、网络攻击等行为进行控制,如串接防火墙作为边界

访问控制设备时,应保证所承载各类业务的畅通和连续性。

4.3 城域网与接入局域网互联

各级政务部门局域网及其信息系统的安全及等级保护工作由各单位自行负

责。其信息系统需要利用政务外网进行承载时,应将政务外网的安全保护等级定

级情况与需要定级的信息系统一起作为定级对象进行安全等级保护和报备,但安

全等级保护的测评工作可分开实施。

政务部门局域网接入政务外网应符合相应等级的安全要求,如边界访问控

制、IP地址转换等,对于访问政务外网的系统和终端应具有病毒防范、审计等功

能，各单位应根据终端安全防护需求部署终端安全管理系统和选择不同网络区域

的安全措施等。

在城域网汇聚层设备上,应做好局域网接入的边界访问控制,如异常流量的

监测、非授权访问、病毒攻击等安全策略及防护措施,如串接防火墙作为边界访

问控制设备时,应保证所承载各类业务的畅通和连续性。

如局域网另有互联网出口，局域网责任部门应采取有效安全保护措施保证自

身局域网和全网安全的一致性。终端跨网访问时，应采取必要安全隔离与控制措

施，防止利用原有互联网出口在局域网内设置代理或桥接方式访问政务外网内各

10

业务区。

4.4 城域网与互联网互联

当城域网与互联网服务提供商(ISP)互联时,在互联网出入口边界需部署防

火墙、入侵防御、防DDOS攻击、防病毒等安全防护设备,应对互联网出入口实施

流量控制、行为审计、入侵检测等措施,并与当地信息安全管理部门联合做好统

一互联网出入口的监测与管理工作。

4.5 城域网与 3G/4G 等移动网络互联

在省级和设区市统一建设安全接入平台,提供各类移动终端通过 LTE(4G)、

3G VPDN、PSTN 或互联网接入本级政务外网的安全通道,通过对各类接入终端进

行身份认证、权限控制、传输加密、行为审计等各类安全措施。实现外出用户通

过多种接入方式安全接入城域网。

5.边界安全要求

5.1 接入政务外网边界安全

5.1.1 公用网络区边界安全

公用网络区边界为接入单位局域网与本级政务外网城域网的接入边界,接入

单位局域网应通过防火墙系统、入侵防御系统和安全审计系统等与政务外网进行

逻辑隔离并对局域网进行安全防护。

本项要求包括:

a)访问控制

1)根据会话状态信息为数据流提供明确的允许/拒绝访问能力,控制粒度至

少达到端口级;

2)应对用户设置有限权限访问政务外网资源,并限制政务外网地址访问局域

11

网;

3)对外提供服务节点时,应设置公用网络业务DMZ区,对该区单独实施安全策

略,允许公用网络区访问业务DMZ区,禁止业务区服务器向外访问。

b)入侵防范

1)进行病毒过滤和入侵防御,并及时升级病毒和攻击特征库;

2)对病毒和入侵攻击行为进行实时告警及阻断。

c)安全审计

1)记录攻击源IP、攻击类型、攻击目的IP、攻击时间等关键信息;

2)记录公用网络访问行为、网络地址转换日志等信息;

3)审计信息应至少保存6个月。

5.1.2 互联网接入区边界安全

通过政务外网互联网接入区接入的单位,应单独设置防火墙系统、入侵防御

系统、安全审计系统等进行安全防护。接入单位部署IPSecVPN、SSLVPN等安全接

入设备时,应符合《国家电子政务外网IPSecVPN安全接入技术要求与实施指南》

和《国家电子政务外网安全接入平台技术规范》要求。

本项要求包括:

a)访问控制

1)根据会话状态信息为数据流提供明确的允许或拒绝访问能力,控制粒度至

少达到端口级;

2)能够对互联网流量和最大连接数进行控制,控制粒度为终端用户级;

3)应对用户访问互联网进行流量控制和管理;

4)对外提供服务节点时,应设置互联网DMZ区,对该区单独实施安全策略,允

许互联网访问互联网DMZ区服务器,禁止互联网DMZ区服务器向外访问。

b)入侵防范

1)应对攻击行为进行实时告警;

2)应针对端口扫描、强力攻击、木马后门攻击、缓冲区溢出攻击、IP碎片和

网络蠕虫等攻击行为进行阻断;

3)应提供针对文件型、混合型病毒过滤功能,并及时更新病毒特征库。

12

c)安全审计

1)记录攻击源IP、攻击类型、攻击目的IP、攻击时间等关键信息;

2)记录互联网访问行为、网络地址转换NAT日志等信息;

3)审计信息应至少保存6个月。

5.1.3 专用网络区接入边界安全

专用网络区边界安全由接入单位按照该专用网络区的纵向业务主管单位要

求进行防护。访问控制、入侵防范和安全审计等要求可参照公用网络区接入边界

安全要求。

5.2 原有互联网出口边界安全

接入单位可参照国家标准《信息安全技术政府部门互联网安全接入要求》实

施边界保护。利用原有互联网出口部署IPSecVPN、SSLVPN等安全接入设备时,应

参照《国家电子政务外网IPSecVPN安全接入技术要求与实施指南》和《国家电子

政务外网安全接入平台技术规范》要求。

本项要求包括:

a)访问控制

1)应设置策略防止利用原有互联网出口在局域网内设置代理或桥接方式访

问政务外网内各业务区;

2)对外提供服务节点应设置在互联网业务DMZ区,对该区单独实施安全策略,

允许互联网访问互联网DMZ区服务器,禁止互联网DMZ区服务器向外访问。

b)入侵防范、安全审计等其他要求

可参照互联网接入区接入边界安全要求。

5.3 其他网络边界安全

部门局域网与其他专网边界安全防护应符合该专网的安全要求,也可参照专

用网络区接入边界安全要求。

13

6.电子身份认证

6.1 认证体系

省级电子政务外网认证注册服务系统按照国家电子政务外网CA体系架构进

行建设。国家电子政务外网认证体系架构共分成CA中心、RA中心、LRA节点三个

层次，形成“国家-省-市”三级体系架构。

CA中心：国家政务外网CA中心主要提供CA系统的核心服务，负责签发和管理

证书。国家电子政务外网离线根CA与政务外网CA系统共同构建完整的国家电子政

务外网信任体系源点。

RA中心：是设在省的RA节点，负责为我省最终用户提供证书管理服务的注册

中心。

LRA节点：是省级RA中心在设区市的电子认证服务的延伸，主要负责设区市

各类数字证书的管理。

我省RA节点负责全省范围内各种数字证书管理，提供证书申请、证书更新、

证书作废等服务。

其它安全服务系统

国家政务外网CA系统还提供相关的服务，有主目录和从目录服务系统、在线

证书状态服务（OCSP）查询服务、时间源服务、时间戳服务、CA网站、签名验签

服务等。

6.2 建设内容及功能需求

1) 统一用户管理体系建设：各设区市需建设本地区统一用户管理系统，并

开放接口，实现与省级统一用户管理平台对接，将用户身份同应用帐号信息有机

结合，实现省电子政务外网用户在各类应用系统中身份的有效管理。通过与业务

系统结合，依托统一用户管理系统对用户属性的管理，建设统一授权管理体系，

为省电子政务外网各业务应用系统提供统一的权限管理服务。

2) 统一身份认证体系建设：各设区市按照国家电子政务外网建设指南及规

范建设服务受理点（LRA），通过与省级注册服务机构（RA）互联，实现电子政务

14

外网用户基于数字证书的统一身份认证功能，为电子政务外网业务系统提供安全

支撑服务。

3) 互联网访问身份认证功能需求：通过部署身份认证网关，实现互联网访

问用户基于数字证书的统一身份认证功能，为通过互联网入口访问的业务系统提

供安全支撑服务。

4) 移动办公身份认证功能需求：移动终端证书服务系统实现对移动终端数

字证书的管理和发放，结合互联网区身份认证网关系统实现移动办公 APP 基于数

字证书的身份认证机制，提升认证安全强度，整合移动终端数字证书发放体系、

身份认证体系，形成统一 APP，保证省电子政务外网移动办公业务访问安全的同

时，方便政务用户进行移动办公业务操作。

7.终端安全防护

各地各部门接入电子政务外网的计算机设备应部署终端安全管控系统、防病

毒、恶意代码防护、补丁分发、身份鉴别等系统，并按照国家信息安全等级保护

相应等级要求进行防护，实行统一管理。

7.1 计算机终端

7.1.1 身份鉴别

1) 接入局域网终端必须进行注册,注册信息至少要包括MAC地址、使用者信

息和终端配置信息。

2) 使用CA证书认证时,应与用户实名绑定。

3) 口令至少由8位字符组成,包含字母、数字和特殊字符等两种以上类型,

至少每6个月修改一次,连续6次内口令不重复。

7.1.2 准入控制

1) 终端应通过接入单位安全准入检查。

2) 接入设备应进行IP、MAC和端口绑定。

15

3) 可采用数字证书、虚拟化、沙盒和主机防火墙等技术,实现终端访问互联

网与访问政务外网公用网络区及专用网络区业务的安全隔离。

7.1.3 安全防护

1) 安装病毒与恶意代码防护软件,并及时更新病毒与恶意代码特征库。

2) 及时对终端系统漏洞进行修补。

3) 不允许终端开启代理服务、无线热点等功能。

4) 及时告警并阻断局域网内终端非法外联。

5) 终端配置要求参见国家标准GB/T30278-2013《信息安全技术政务计算机

终端核心配置规范》。

7.1.4 安全审计

1) 对用户操作行为和终端系统日志进行审计。

2) 审计记录应提供统计、查询和分析功能,并至少保存6个月。

7.1.5 终端复用

具有访问政务外网和互联网双重需求的终端，需在访问政务外网时通过VPN

等技术手段断开与互联网的连接，实现电子政务外网与互联网隔离。

7.1.6 远程接入

终端利用互联网远程接入到政务外网或本局域网内时应符合《国家电子政务

外网IPSecVPN安全接入技术要求与实施指南》和《国家电子政务外网安全接入平

台技术规范》要求。

16

7.2 移动智能终端

7.2.1 软硬件安全

1) 移动智能终端硬件应取得国家入网许可。

2) 具备病毒防护和系统漏洞扫描功能。

3) 具备身份认证与签名验签功能。

4) 具备用户数据隔离、加密存储、数据备份和授权远程清除等功能。

5) 提供安全策略统一配置工具或软硬件后台管理功能。

7.2.2 接入控制

1) 对移动智能终端用户、电话号码、IMSI(国际移动用户识别码)、IMEI(国

际移动设备识别码)、设备序列号、设备型号和系统版本等信息进行统一登记注

册。

2) 对接入终端进行实名制认证,并核查IMSI(国际移动用户识别码)和

IMEI(国际移动设备识别码)。

3) 应采取远程拨号安全措施通过国家电子政务外网安全接入平台接入政务

外网或局域网。

7.2.3 安全防护

1) 安装防火墙、防病毒和入侵防御等安全软件。

2) 采取加密算法时应符合国家密码管理局制定的相关规范要求。

3) 应提供登录失败处理功能,可限制非法登录次数或锁定移动智能终端软

硬件。

4) 移动智能终端遗失后在用户授权下可远程清除应用数据及配置信息。

5) 访问不宜在互联网公开的信息时应关闭互联网连接。

6) 应关闭移动智能终端无线热点分享和USB网络分享功能。

17

7.2.4 安全审计

1) 对移动智能终端接入行为进行日志记录。

2) 审计记录应提供统计、查询和分析功能,并至少保存 6 个月。

8.安全综合管理平台

各设区市建设本地区的安全综合管理平台,通过接口方式与省级平台对接，

实现全网安全统一管控。各地各部门需制定相应的安全管理制度，建立健全应急

响应、重大安全事件处置机制。

安全综合管理平台需监测全网重要 IT 资源的运行状态，对安全事件、脆弱

性、配置、可用性与安全相关的数据进行统一采集、集中分析，并进行宏观可视

化展现，发现安全风险时可实时触发告警。系统提供标准外部通信与数据接口，

与上下级平台和第三方系统实现互联。系统整体功能框架如下：`

安全管理系统架构

18

a) 分析展示

通过可视化的方式将资产信息、网络拓扑、监测对象的运行状态、设备可用

性、安全风险、安全事件、安全告警以图形化的方式展现给用户，并用工单的形

式管理安全风险、事件和告警，以 Portal 统一展现。

b) 安全管理

通过综合分析方法对采集数据进行关联分析以识别判断安全事件或事态，生

成风险信息、事件信息、告警信息。主要包括资产管理、风险管理、策略管理、

脆弱性管理、安全审计、安全事件管理、安全响应管理、安全预警管理、安全告

警管理、关联分析、态势分析、可用性监测、权限管理、存储管理、规则库、案

例库、漏洞库、级联管理、报表管理、合规性管理、安全检查管理、业务（工单）

管理等。

c) 扫描采集

扫描采集层采集网络设备、安全设备、终端设备的日志信息、运行状态信息、

安全配置信息、流量信息、系统性能信息、安全事件信息、系统漏洞信息、审计

日志信息、网站安全信息和脆弱性信息，并将所采集的安全事件信息转化为系统

内部统一的数据格式。

d) 安全对象

网络中监测的资产，包括网络设备（交换机、路由器等）、安全设备（防火

墙、IDS、IPS、漏洞扫描等）、终端设备（PC 机、笔记本等）。

e) 对外接口

在系统中构建标准化接口服务层，实现与上下级安全监测系统、外部系统接

口连接。系统对外接口应具有良好的兼容性，可以方便地与第三方系统进行连接，

支持 Syslog 事件转发、SNMPTrap 事件转发、WebService 接口调用等常用标准接

口。

9.等级保护要求

依据国家电子政务外网管理中心《关于加快推进国家电子政务外网安全等级

保护工作的通知》（政务外网〔2011〕15 号），各级政务外网建设运维单位按照

“谁主管谁负责、谁运营谁负责、谁使用谁负责”原则，负责组织开展本级政务

19

外网安全等级保护工作。省级政务外网建设运维单位负责对设区市、县（市、区）

的政务外网安全等级保护工作进行监督指导。

9.1 定级方法

省电子政务外网安全等级的确定，首先应针对服务地域、责任主体、管理范

围等因素，确定本级政务外网的管辖范围和边界。其次是对政务外网合理划分不

同安全域，并确定其边界。三是依据所承载的各级政务部门业务信息系统，明确

每个安全域的业务内容和安全要求，科学合理的划分安全等级。

9.2 边界划分

省电子政务外网可划分为省级电子政务外网、市级电子政务外网和县级电子

政务外网，依据其管辖范围来确定管理边界。通常该边界为广域网络与广域网络

之间、广域网络与城域网络之间，以广域网的接入路由器为边界。各级城域网络

与部门局域网之间，以城域网络放在接入部门内的接入路由器为边界。政务外网

与互联网或其他公众网络之间，以接入设备或安全网关设备为边界，按边界设备

的资产归属为划分原则（含自建或租用的长途电路）确定管理范围。

9.3 定级要求

1) 根据国家电子政务外网等级保护的基本要求，电子政务外网开展安全等

级保护工作的重点是广域网和各级城域网。政务外网中央至省、省至设区市广域

网和中央、省级、设区市级城域网应达到安全等级保护第三级要求，设区市至县

（市、区）广域网和设区市以下城域网应至少达到安全等级保护第二级的要求。

2) 省电子政务外网在确定管理边界和责任主体的前提下，依据政务外网的

社会影响、规模和服务范围及服务对象重要性三个定级要素来确定相应的赋值，

最高赋值在 2 及以下的，其安全等级可定级为第二级及以下，最高赋值为 3 的，

其安全等级可定级为第三级。

3) 省电子政务外网作为承载网，可以承载不同安全等级保护的政务信息系

统，各级电子政务外网的安全保护等级最高可定为第三级。如果所承载的政务信

20

息系统安全等级高于第三级时，其信息系统按国家标准的规定对数据和信息系统

进行保护，使其达到信息系统相应安全等级保护的要求。

4) 省电子政务外网承载的各级政务部门业务应用系统应由所属单位或主要

责任单位按国家相关要求和标准自主定级、备案，相应安全责任自行承担。

9.4 具体实施要求

省电子政务外网安全等级保护实施的基本要求包括两部分，一是国家标准

GB/T 22239-2008 《信息安全技术 信息系统安全等级保护基本要求》，二是国家

电子政务外网管理中心针对政务外网的特点并作为国家标准而补充印发的《国家

电子政务外网安全等级保护基本要求（试行）》。

省电子政务外网作为国家电子政务外网的组成部分，在实施安全等级保护时

应同时满足国家标准要求和国家电子政务外网基本要求。《国家电子政务外网安

全等级保护基本要求（试行）》见附录 A。

21

附 录 A

国家电子政务外网安全等级保护基本要求实施建议表

22

23

24

25

26

27

附 录 B

（资料性附录）

安全等级保护第三级政务外网定级案例（以市级为例）

1、首先应确定市级政务外网的主管单位、建设管理单位和运行维护单位，

明确市级政务外网责任主体单位。

2、确定市级政务外网的管理边界，原则是网络的运行维护单位负责到哪里，

边界就划到哪里。如广域网的边界：省级政务外网接入路由设备的下联端口、从

市到各区县的接入路由设备（含长途电路）；城域网的边界：到市级委办局和其

他政务部门的接入路由设备，该设备将其局域网络和信息系统接入到政务外网

上；以及统一的互联网出口路由设备等。

3、将电子政务外网划分不同的安全域，如广域网域、城域网域、数据共享

与交换域、网络与安全管理域、统一接入平台管理域、互联网接入域、统一互联

网政府门户区域等，并明确每个安全域的边界，根据业务需要和安全要求对相应

的区域采取不同的访问控制策略。安全区域的划分以保证安全、方便业务开展和

管理为原则，可以按单位纵向划分，也可以按业务类别横向划分。

4、可以将与政务外网相关的管理系统（如网络管理系统、安全管理系统、

统一安全接入平台管理系统等）及公共服务设施或系统纳入到政务外网的定级范

围内，如域名解析（DNS）服务等。

5、可以将CA、RA系统及门户网站、跨部门的数据共享与交换系统等作为独

立的信息系统，按国家信息系统安全等级保护的基本要求分别进行定级。政务外

网安全等保三级定级范围示意图如下：

28

图B.1 政务外网安全等保三级定级范围示意图

29

附 录 C

（资料性附录）

安全等级保护第二级政务外网定级案例（以县为例）

1、首先应确定县级政务外网的主管单位、建设管理单位和运行维护单位，

明确县级政务外网责任主体单位。

2、确定县级政务外网的管理边界，原则是网络的运行维护单位负责到哪里，

边界就划到哪里。如市级广域网下联端口的边界，城域网与各接入单位局域网的

边界，县（市、区）政务外网专线到街道、乡镇、社区及行政村的接入设备边界，

互联网出入口的边界等。

3、按承载业务的不同和需要划分不同的安全域，如数据共享与交换域、网

络与安全管理域、统一安全接入平台管理域、互联网接入域、统一互联网政府门

户区域等，对相应的区域采取不同的边界安全访问控制策略，安全区域的划分以

保证安全、方便业务开展和管理为原则，可以按单位纵向划分，也可以按业务类

别横向划分。

4、政务外网安全等级保护确定为第二级的，可以将网络管理系统、安全管

理系统纳入到政务外网的安全等级保护范围内，一并定级，并在定级报告中描述

清楚。

政务外网安全等级保护第二级定级范围示意图如下：

30

图C.1 政务外网安全等保二级定级范围示意图

31

附 录 D

（资料性附录）

《政务外网安全等级保护定级报告》模板

XX 市市级政务外网安全等级保护定级报告

一、 市级政务外网描述

XX 市政务外网是全市电子政务重要的行政基础设施，是国家政务外网的重

要组成部分。XX 市政务外网主要由市级政务外网和县级政务外网组成，XX 市市

级政务外网由XX单位负责管理，其主管部门是XXXX，XX市的市级政务外网主要由

以下部分组成：市级广域网：纵向连接XX 个区县，实现市与县级政务外网的互

联互通；市级城域网：横向连接市级党委、人大、政府、政协、法院和检察院等

部门，支持各政务部门局域网络的接入，提供统一的互联网出口及安全防护设备，

提供统一的安全接入平台，满足政务部门移动办公、现场执法等远程接入政务外

网的需要。具体的网络拓扑图和定级范围图如下：（可参照附录B 的图为例，将

本市市级政务外网功能区划和定级范围图附上）

二、 市级政务外网安全保护定级的确定

（一） 政务外网业务信息安全保护等级的确定

1、 业务信息描述

XX市的市级政务外网的网络、域名解析等为国家相关部门到市的电子政务业

务和全市各级政务部门的非涉密信息系统提供网络承载及跨部门数据共享与交

换服务，其市级各部门的信息系统安全等级均在第X级，如XX 部门的XX 信息系

统。

2、 业务信息受到破坏时所侵害客体的确定

如果市级政务外网的网络、域名解析服务器受到破坏，将影响到市级政务部

门的电子政务信息系统的正常运行，对政府的社会管理、公众服务、经济调节、

市场监管等产生间接影响，即对社会秩序和公众利益造成损害。

3、 业务信息受到破坏后对侵害客体的侵害程度的确定

政务外网业务信息系统受到破坏后，将对社会秩序和公众利益造成损害。

32

4、 业务信息安全保护等级的确定

依据政务外网业务信息系统受到破坏后，对侵害客体的侵害程度，其市级政

务外网业务信息安全保护等级确定为第X级。

（二） 政务外网服务安全保护等级的确定

1、 政务外网服务描述

XX 市市级政务外网的服务对象是市级党委、人大、政府、政协、法院和检

察院等部门的电子政务信息系统，以及有相关政务业务接入需要的企事业单位。

XX 市市级政务外网提供政务部门电子政务业务的网络承载和域名解析服务，服

务范围是全市相关政务部门的社会管理、公众服务、经济调节、市场监管等电子

政务业务。

2、 政务外网服务受到破坏时所侵害客体的确定

政务外网服务受到破坏时所侵害的客体是社会秩序和公众利益。

3、 政务外网服务受到破坏时所侵害客体的侵害程度的确定

政务外网服务受到破坏时将对社会秩序和公众利益造成严重损害。

4、 政务外网服务安全保护等级的确定

依据政务外网服务受到破坏后，对侵害客体的侵害程度，其市级政务外网的

服务安全保护等级确定为第X级。

（三） 政务外网安全保护等级的确定

XX 市市级政务外网的安全保护等级由业务信息安全保护等级和服务安全保

护等级较高者决定，最终确定XX市市级政务外网安全保护等级为第X级。

信息系统名称 安全保护等级 业务信息安全等级 服务安全等级

XX市市级政务外网 X X X