【其它国内标准】 国家电网公司应用软件系统通用安全要求

ICS 29.240 Q/GDW 国家电网公司企业标准 Q/GDW1597—2015 代替Q/GDW597—2011 国家电网公司应用软件系统通用安全要求 Common security requirement for application software system of State Grid Corporation of China 发布 2016-11-09 实施 2016-11-09 前言 为规范国家电网公司应用软件系统的安全性，实现信息安全与软件系统同步规划、建设和运行，结合国内外信息安全形势及公司安全要求，对Q/GDW597-2011《国家电网公司应用软件通用安全要求》进行修订形成本标准。本标准代替Q/GDW597—2011，并在技术上作出如下主要调整：增加第4章“概述”，增加第6章“通用安全保障要求”，在基本型和增强型安全技术要求中增加会话管理、安全漏洞和外部接口要求，删除原标准部分章节和内容，对各条款描述进行修改和细化。本标准由国家电网公司信息通信部提出并解释，由科技部归口。起草单位：中国电力科学研究院、国网湖北省电力公司。主要起草人：陈艳红、刘楠、李凌、严敏辉、单松玲、罗宾、刘莹、宋小芹、黄杰、赵莹、陈文秀、王杰、方晓文、郭旭、邱意民、张翎、毛澍、黄伟、张盈、陈刚、吕苏、李文静、张志伟、李让岐、徐亮、范永、刘强、欧阳利剑、仓甜。本标准2011年5月首次发布，2015年11月第次修订。执行过程中意见或建议反馈至科技部。 1 范围 本标准规定了国家电网公司应用软件系统在投运前必须满足的安全技术要求和安全保障要求，适用于管理信息大区的应用软件系统。 2 规范性引用文件 下列文件对本标准的应用必不可少。注日期的引用文件，仅适用于所注日期版本；未注日期的引用文件，其最新版本及修改单适用：GB/T18336.1-2008、GB/T22240-2008、GB/T25069-2010、GB/T28452-2012、Q/GDW1929.3-2013。 3 术语和定义 3.1 应用软件系统 (application software system)：信息系统的重要组成部分，用于处理特定业务的软件系统。[GB/T28452-2012，定义3.1.1] 3.2 基本型 (basic model)：安全级别为二级的应用软件系统，安全等级参见GB/T22240-2008。 3.3 增强型 (enhanced model)：安全级别为三级的应用软件系统，安全等级参见GB/T22240-2008。 3.4 用户 (user)：通过应用软件系统提供的操作界面对软件系统进行操作控制的人员、账号或进程。 3.5 身份标识 (identity identification)：用于标识软件系统用户身份的信息，可为用户名、账号、用户ID等。 3.6 匿名账号 (anonymous account)：应用软件系统内置且无法与具体用户关联的账号，如guest、anonymous等。 3.7 长期使用账号 (permanent account)：为日常工作建立的账号，一般无时间限制，仅在实体用户变更时状态随之变更。 3.8 临时使用账号 (temporary account)：为临时需求创建的账号，有时间或使用次数限制。