ICS35.020L70引GovernmentCloudApplicat廣東省數字安全協會發布IT/DSAG004-2025 III 12規范性引用文件 13術語和定義 14上線前風險評估概述 44.1評估定位 44.2評估范圍 44.3角色職責 54.3.1政務應用系統建設單位 54.3.2評估服務機構 55評估流程 65.1評估申請 75.2評估實施 75.2.1系統調研 75.2.2首輪評估 85.2.3安全問題整改 85.2.4回歸評估 95.2.5評估總結和報告編制 96評估內容 96.1評估對象選擇 96.2系統配置核查 116.2.1評估對象及內容 6.2.2評估方法 6.2.3通過評估要求 6.3應用滲透測試 166.3.1評估對象及內容 6.3.2評估方法 206.3.3評估通過要求 216.4主機漏洞掃描 216.4.1評估對象及內容 216.4.2評估方法 226.4.3通過評估要求 226.5惡意代碼檢查 226.5.1評估對象及內容 226.5.2評估方法 226.5.3通過評估要求 237通過評估要求 23T/DSAG004-2025附錄A（資料性）評估對象選擇示例 24附錄B（資料性）調研表示例 27附錄C（資料性）評估報告模板 30參考文獻 35T/DSAG004-2025本標準按GB/T1.1—2020給出的規則起草。本標準由工業和信息化部電子第五研究所提出并歸口。本標準起草單位：工業和信息化部電子第五研究所、廣東省政務服務和數據管理局、數字廣東網絡建設有限公司、公安部第三研究所、奇安信科技集團股份有限公司、杭州安恒信息技術股份有限公司、深信服科技股份有限公司、亞信安全科技股份有限公司、永信至誠科技集團股份有限公司、廣東省信息安全測評中心、廣州市政務服務和數據管理局、陽江市政務服務和數據管理局、湛江市政務服務和數據管理局、汕頭市政務服務和數據管理局、汕頭市信息中心、揭陽市政務服務和數據管理局。本標準主要起草人：劉北水、觀雯玉、羅奇偉、程煒、蘇銳生、段彥名、趙弘洋、陳曉、關泳強、賀高戈、張嘉子、容菲菲、戴晨、閔家法、鐘林、張志偉、陳耿、王雪鳳、葉暉、崔玉剛、江堅強、趙棟良、黃恒、鄭楷濤、蔣天翔、劉國棟、張嘉杰、陳曉榮、何棟。1T/DSAG004-2025廣東省政務云應用系統上線前風險評估指引本標準描述了擬部署到廣東省政務云上的政務應用系統在正式上線前開本標準適用于廣東廣東省政務云應用系統上線前風險評估工作，各省有關單位可參考本標準自行開展應用系統上線前風險評估，各地市有關單位可2規范性引用文件其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的GB/T20984-2022《信息安全技術GB/T28448-2019《信息安全技術網絡GB/T28449-2018《信息安全技術網絡安全等GB/T40692-2021《政2T/DSAG004-2025GB/T20984-2022《信息安全技術信息安全風險評估方法》、GB/T40692-2021《政務信息系統定義和范圍》和GB/T28448-2019《信息安全技3.1政務應用系統e-governmentapplicationsystem要政府資金運行維護的，用于支撐政務部門履行管理和服務職能的各類信息系統，包括電子政務網絡平臺、業務信息系統、數據資源庫、信息安全與應用支撐基礎設施、政務信息化標準體系以及相關支撐體系等符合《政務信息3.2風險評估riskassess包括風險分析和風險評價，即對風險發現并確認風險等級（定級）的過3.3核查examine觀察、查驗和分析，以幫助評估人員理解、3.4測試test評估人員使用預定的方法/工具使評估對象(各類設備或安全配置)產生特3T/DSAG004-2025對評估對象可能存在的威脅及其可能產生的后果進行綜合評價和預測的3.6評估對象targetoftestingandevaluation風險評估過程中不同評估方法作用的對象，主要涉及相關配置文件、設3.7容器container通過名稱空間、控制組和切根等技術實現資源、文件、設備、狀態和配置的劃分和隔離的沙盒技術即容器技術。常見的容器技術有Docker、Kubernetes等。本指引中的容器指通過容器技3.9數據庫系統databasesyst用于存儲業務應用系統的用戶和鑒別信息、重要業務信息的數據庫管理在云端存儲、管理和處理數據。本指引中的云數據庫特指廣東省政務云平臺4T/DSAG004-2025webmiddlewaresystem位于Web應用程序和服務器之間，主要用于處理HTTP請部署在服務器上的服務組件（不包含框架內置的Web中間件）。常見的Web4.1評估定位本指引所述上線前風險評估是對擬部署到廣東省政務云上的政務應用系統安全狀態的審查。未達到通過標準或經一輪限期整改后仍未達標的應用系統不得上線運行。政務應用系統上線后，政務應用系統建設單位應持續落實4.2評估范圍新部署到廣東省政務云的政務應用系統，包括從廣東省政務云以外云平臺或物理部署環境遷移至廣東省政務云的系統和在廣東省政務云上新建的系早期已通過政務應用系統上線前風險評估且已部署在廣東省政務云的系統，后續發生在廣東省政務云內遷移（由廣東省政務云非國產化資源區遷移至國產化資源區的除外）、功能升級、版本迭代、資源擴容，不屬于上線前5T/DSAG004-2025部署在廣東省政務云非國產化資源區的政務應用系統遷移至廣東省政務云國產化資源區時，應用系統部署環境變化較大，且通常需要進行適配性改造或重構，為確認遷移后系統安全性，納入廣東省政務云應用系統上線前風險評估圍繞應用系統的運行環境、應用系統自身及安全保障政務應用系統上線前風險評估，主要涉及政務應用系統建設單位和評估4.3.1政務應用系統建設單位政務應用系統建設單位應落實對擬部署在廣東省政務云應用系統的安全責任，在提交上線前風險評估申請前需自行做好風險評估及相關整改工作，4.3.2評估服務機構6T/DSAG004-2025評估服務機構對擬部署到廣東省政務云上的政務應用系統開展風險評估工作，對應用系統是否達到通過標準給出判斷，出具評估報告，并對評估結評估服務機構開展上線評估服務機構開展上線前風險評估首輪評估政務應用系統建設單位提出申請評估服務機構開展上線前風險評估調研評估服務機構開展上線前風險評估調研評估服務機構給出上線前風險評估整改建議評估服務機構給出上線前風險評估整改建議評估服務機構進行回歸驗證評估政務應用系統建設單位進行安全整改政務應用系統建設單位進行安全整改評估服務機構進行評估服務機構進行結果分析評估通過政務應用系統建設單位可申請系統上線評估通過政務應用系統建設單位可申請系統上線評估不通過政務應用系統建設單位不可申請系統上線政務應用系統建設單位不可申請系統上線結束7T/DSAG004-20255.1評估申請為保證上線前風險評估工作效果，政務應用系統建設單位應合理劃分應用系統邊界。宜以承擔相對獨立的業務，使用較為獨立的資源，有明確且獨立的責任主體（如開發責任、維護責任、使用責任）為原則劃定應用系統邊界。無法獨立提供服務的功能模塊，不宜作為應用系統；包含多個獨立業務政務應用系統建設單位提出上線前風險評估申請前，應確保系統已完成政務應用系統建設單位提出評估申請時，應提供準確的系統名稱、系統類型、系統類別等系統信息，并將政務應用系統風險評估報告（含問題整改5.2評估實施上線前風險評估實施包括系統調研、首輪評估、安全問題整改、回歸評估、評估總結和報告編制等環節。整個評估實施過程原則上不超過60個工作5.2.1系統調研1指在政務云的特定安全區或測試區完成上線前所有開發、部署和調試，開通相應網絡策略后即可對8T/DSAG004-2025評估服務機構對政務應用系統開展信息調研，政務應用系統建設單位配合提供調研信息，并確保系統相關組件正常運行。評估工作需要開通網絡訪問策略的，由政務應用系統建設單位協助開通。評估服務機構在政務應用系統建設單位配合下對調研信息進行核驗、完善，形成最終調研結果，確認具系統調研信息應包括系統基本信息、相關人員聯系方式、系統拓撲、系5.2.2首輪評估評估服務機構基于調研結果，對政務應用系統開展首輪評估，對評估記首輪評估一般不超過10個工作日。若政務應用系統規模較大、較復雜或評估實施難度較大，首輪評估時間可適當延長，相5.2.3安全問題整改政務應用系統建設單位收到首輪評估結果后，應對風險項和漏洞進行整改，并對整改措施及過程做詳細記錄說明。特別的，當首輪評估采取了抽樣方式評估，首輪評估中未覆蓋到的服務器及組件可能存在的同類問題也應當9T/DSAG004-2025得到整改。政務應用系統建設單位應確保整改后的政務應用系統達到風險評安全問題整改一般不超過15個工作日。若安全問題整改難度較大，政務應用系統建設單位可向評估服務機構申請延長整改時間，整改時間累計不超政務應用系統建設單位向評估服務機構提出回歸評估申請，同時提供詳細的整改記錄文件。評估服務機構對安全問題的整改情況進行驗證，確保所特別的，當首輪評估采取了抽樣方式評估，在回歸評估環節應對可能存在同類問題、但在首輪評估中未覆蓋到的服5.2.5評估總結和報告編制評估服務機構根據首輪評估結果、安全問題整改情況及回歸評估結果等內容，對政務應用系統面臨的安全風險進行綜合分析，形成評估結果（通過），6.1評估對象選擇T/DSAG004-2025應用系統自身及安全保障策略等對象。應用系統運行環境包括應用系統相關的服務器操作系統、數據庫系統、中間件系統。應用系統自身包括應用系統自身與安全相關的功能、應用代碼。安全保障策略包括數據安全及備份恢復評估方法包括配置核查、滲透測試、漏洞掃描、惡意代碼掃描。不同的評估對象評估方法配置核查滲透測試漏洞掃描惡意代碼掃描應用系統運行環境服務器操作系統√√數據庫系統*√√中間件系統*√√其它相關組件**√應用系統自身***安全相關功能√√√應用代碼√安全保障策略數據安全及備份恢復策略√線前風險評估中僅考察能夠由政務應用系統**其它相關組件指支撐應用系統正常運行的其它組件，如ZooKeeper、法取決于該組件對應用系統安全性是否有直接影響，由評估T/DSAG004-2025估對象，單一微服務不作為評估對象，微服務對的除外；單一微服務是否列為評估對象由評估服6.2.1評估對象及內容服務器操作系統（通用）1234對服務器操作系統進行遠程管理時應采取必要措施56789統對操作系統進行審計，審計策略應覆蓋到所有用T/DSAG004-2025數據庫系統（通用）12數據庫系統用戶口令應具有復雜度要求并定期更34對數據庫系統進行遠程管理時應采取必要措施防56789T/DSAG004-2025數據庫應遵循最小安裝的原則，僅安裝需要的組應通過設定終端接入方式或網絡地址范圍對通過數據庫系統（云數據庫）1數據庫系統用戶口令應具有復雜度要求并定期更換，2應具有登錄失敗處理功能，應限制非法登錄次數，并3對數據庫系統進行遠程管理時應采取必要措施防止鑒4應用系統賬戶應按照最小權限的原則，嚴禁應用系統5應開啟數據庫審計功能，或通過第三方審計系統對數據庫進行審計，審計范圍應覆蓋到數據庫實例所有賬6應保護審計記錄，避免其受到未預期的刪除、修改或Web中間件系統（通用）12中間件系統用戶口令應具有復雜度要求并定T/DSAG004-202534對Web中間件系統進行遠程管理時應采取必要措施56應重命名或刪除默認賬戶，修改默認賬戶的默認口789應用系統（通用）1應具有專用的登錄控制模塊對系統用戶進行身份鑒2應用系統用戶口令應具有復雜度要求并定期更換，要3應用系統用戶身份鑒別信息應不在登錄頁面或者系統T/DSAG004-202545應具有登錄失敗處理功能，應統一模糊化登錄失敗提示信息，限制非法登錄次數，并配置登錄會話超時自6應重命名或刪除系統默認賬戶，修改默認賬戶的默認789應啟用應用系統日志審計功能，審計日志內容應至少包含用戶登錄、登出、失敗登錄日志；管理員授權操作日志；創建、刪除（注銷）用戶操作日志；重要業應對日志記錄進行保護，禁止非授權刪除或修改日志應通過設定終端接入方式或網絡地址范圍對通過網絡碼）或應提供數據有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數據格式或長度等內容符合安應采用校驗技術或密碼技術保證重要數據在傳輸過程碼）或應采用密碼技術保證敏感數據在傳輸過程中的保密碼）或數據安全及備份恢復策略1應采用校驗技術或密碼技術保證鑒別信息和重要業務T/DSAG004-20252應采用密碼技術或其他保護措施實現鑒別信息的存儲碼）或3應能夠對應用系統及其業務產生的業務數據以及應用4應通過提供數據處理系統的熱冗余等方式，保證系統6.2.2評估方法b)通過風險評估與管理工具，核查系統配置是否存6.2.3通過評估要求6.3.1評估對象及內容滲透測試針對應用系統開展，內容上包括但不限于以下評估項，提交結1檢驗密碼字段在傳輸過程是否使用不可逆的hash算法，禁止使用T/DSA驗系統是否采取安全措施防止注冊的時候5檢驗驗證碼是否和登錄或注冊接口一起提交檢驗，驗證碼是否為一6檢驗用戶更改密碼功能是否要求用戶輸入當前的密碼進行校驗，且7檢驗系統是否存在默認的初始密碼，若存在，則需強制用戶在首次8應用系統特別是后臺類應用系統應有密碼強度控制，密碼強度強制要求8位以上，為大小寫字母、特殊符號、數字的組合，避免用戶9檢驗登錄前后會話ID是否存在變化，每次登錄會話ID是否存在變檢驗cookie中是否存在敏感信息如密碼或者加密的密碼或者驗證碼檢驗應用系統在處理異常頁面時是否已自定義錯誤頁面，禁止使用檢驗在接口或頁面在異常處理時是否會暴露錯誤信息如SQL語句或賬號密碼，內網IP地址。檢驗在前端以及接口中是否存在用戶敏感信息明文傳輸，如：用戶身份證、地址、手機號、密碼等。后端需要掩碼返回敏感信息，前T/DSAG004-2025檢驗中間件的管理后臺是否存在弱口令；中間件系統管理后臺不應檢驗系統是否采取措施防范用戶上傳惡意文件擴展名；服務端重新檢測文件大小、文件擴展名，禁止上傳任意系統下載或者讀取文件的時若采取相對路徑的方法讀取文件，后臺是否有限定在固定的目錄下，防止通過..洞檢驗是否采取措施防范跨站腳本攻擊，輸出轉義/編碼應應用于所有洞洞檢驗系統的重要操作如修改密碼是否驗證表單來源以防止惡意欺騙T/DSAG004-2025檢驗系統是否已采取措施防止用戶通過修改參數實現流程跳躍：登檢驗運行應用的中間組件是否已升級到最新的穩定版本，若因依賴關系不能跨版本升級，也需升級當前版本的最新的子版本。已不在維護的組件版本，必須升級到最新版本。中間組件包括但不限于以庫檢驗數據庫是否已升級到最新的穩定版本，若因依賴關系不能跨版本升級，也需升級當前版本的最新的子版本。已不在維護的組件版T/DSAG004-2025洞檢驗開發過程中是否已經將開發組件升級到最新的穩定版本，若因依賴關系不能跨版本升級，也需升級當前版本的最新的子版本。已不在維護的組件版本，必須升級到最新版本。開發組件包括但不限洞檢驗系統中存在的短信發送功能是否已采取措施限制發送的頻率。若是已登錄的狀態下發送短信，應針對用戶限制發送頻率；非登錄洞檢驗應用系統中存在的郵件發送功能是否已采取措施限制發送的頻率。若是已登錄的狀態下發送郵件，應針對用戶限制發送頻率；非檢驗應用系統中存在的微信推送功能是否已采取措施限制發送的頻使用GET方法傳輸，過長的數據也應通過POST方法傳遞。Access-Control-Allow-Origin:接入網關的應用是否已配置對所有的接口進行簽名校驗，接入網關6.3.2評估方法T/DSAG004-20256.3.3評估通過要求6.4.1評估對象及內容主機漏洞掃描為利用主機脆弱性掃描工具針對服務器上運行的服務實施12操作系統賬戶身份認證測試（合法用戶身份檢測、非3操作系統賬戶訪問控制測試（普通用戶身份訪問非授4操作系統安全漏洞測試（操作系統本身安全漏洞掃描56數據庫賬戶身份認證測試（合法用戶身份檢測、7數據庫賬戶訪問控制測試（普通數據庫用戶身份8數據庫安全漏洞測試（數據庫管理系統本身安全9專用中間件賬戶（如存在）口令強度測試（空口令T/DSAG004-2025專用中間件賬戶（如存在）身份認證測試（合法用專用中間件賬戶（如存在）訪問控制測試（普通中系統組件賬戶身份認證測試（合法用戶身份系統組件賬戶訪問控制測試（普通用戶身份系統組件安全漏洞測試（系統組件本身安全6.4.2評估方法6.4.3通過評估要求6.5.1評估對象及內容針對待上線的系統開展惡意代碼檢查，避免存在Webshel6.5.2評估方法T/DSAG004-2025通過使用終端安全掃描軟件或惡意軟件掃描腳本對應用目錄掃描，判斷6.5.3通過評估要求政務應用系統未通過上線前風險評估的，政務應用系統建設單位需完成整改后重提評估申請。同一政務應用系統第二次申請上線前風險評估而仍未T/DSAG004-202512345/12345/T/DSAG004-2025表B.3規定了容器化部署系統（系統所屬1234/12345678/T/DSAG004-2025為業務應用系統提供業務數據存儲的數據庫系統、部署業務應用系統或者代理業務應用系統的中間件系統、提供系統業務功能的自研系統或第三方T/DSAG004-20251碼2碼3統器4/5器6器T/DSAG004-20257/8/9weblogic-版本http://19.15.x徑徑http://19.15.x徑徑T/DSAG004-2025/序/T/DSAG004-2025[單位名稱TAG][被評估系統TAG]上線前風險評估報告[受托單位_TAG]T/DSAG004-2025C.2上線前風險評估報告聲明模板聲明1.本評估報告僅適用于[委托單位_TAG]委托[受托單位_TAG]針對[單位名稱_TAG][被評估系統_TAG]開展的上線前風險評估工作。2.本評估報告結論的有效性建立在本次評估工作所使用評估環境的真實性3.本評估報告中給出的評估結論僅對被評估信息系統當時的安全狀態及部4.本評估報告中給出的評估結論不能作為對信息系統內部署的相關系統構T/DSAG004-2025評估中發現的x個中風險項中x個已修復，遺留x個中風險項；首輪評估中發現的x個低風險項中x個已修復，遺T/DSAG004-2025C