省建设厅数据安全防护及运维体系建设项目采购需求.docx

省建设厅数据安全防护及运维体系建设项目采购需求一、项目概述1.1 建设背景XX省公共数据条例对公共数据安全工作提出了具体的规范和要求，XX省住房和城乡建设厅（以下简称“省建设厅”）认真贯彻落实条例，通过数据安全评估发现，省建设厅在数据隐私保护措施方面还不够完备，存在一定的数据泄露和滥用风险，亟需建立一套数据安全防护及运维体系，拟开展省建设厅数据安全防护及运维体系项目建设，进一步加强个人隐私和政府信息安全管理，防止数据泄露、篡改或损坏，通过制定和实施严格的数据安全管理防护措施，保障数据的保密性、完整性和可用性。1.2 建设目标加强数据安全性保障，通过采用先进的加密技术和访问控制策略来保护数据的机密性和完整性，同时加强对外部攻击和内部泄露的防范能力，提高数据的安全性水平。建立分类防护机制，针对不同类型的数据需要不同的保护措施，同时建立专门的备份机制以保障数据的可用性和完整性，通过制定分类防护标准和规范，针对不同类型的数据分别采取不同的存储、传输、访问等防护措施，确保各类数据的可靠性和安全性。加强数据审计和监控手段，及时发现和应对潜在的安全威胁和异常情况，确保数据仓的稳定可靠运行。1.3 主要建设内容数据安全总体框架围绕省建设厅“数字住建”的住建大脑、数字工程、住房、城建、城管和住建政务等核心业务及数据资产，通过敏感数据资产梳理、数据安全演练、敏感信息泄露排查、巡检监控、应急响应、编制数据安全操作流程制度等工作，构建一个完备的数据安全运营体系。围绕数据全生命周期技术安全防护建设，建立完善分类分级、权限管控、身份认证、高危操作阻断、数据水印溯源等安全技术能力，加强零信任理念、数据不落本地、数据安全智能风险预警等前沿技术能力应用，全面提升数据安全防护能力，筑牢数据安全防线。二、采购内容及要求2.1 数据安全管控中心平台针对XX省建设厅数据安全防护,能够将数据资产分布状况、敏感数据访问行为进行动态展示，并预测数据资产可能面临的泄露风险，展示一个清晰、透明、可控的数据资产分布及访问行为态势。能够将数据资产分布状况、敏感数据访问行为进行动态展示,并预测数据资产可能面临的泄露风险,展示一个清晰、透明、可控的数据资产分布及访问行为态势。并提供通过SQL执行时长分布图、响应行为分布图、SQL类型分布图、数据抽取量分布图、高危操作告警、敏感数据的流向和分布情况等来展现数据安全态势KPI指标。数据安全态势感知是以日志信息、风险操作、告警、数据库运行状态等大数据为基础，从全视角提升对数据安全威胁的发现识别、理解、分析和响应能力的防护方式。具体技术指标如下：序号指标项要求（一）总体要求1系统架构（1）支持前后端分离和微服务体系，使用跨平台的技术，实现应用与硬件平台无关联。（2）采用“云+端”架构，可灵活组合各种安全防护能力。（3）“多端合一”，通过合并不同类型的能力网关，实现一端多用，降低部署成本。（4）支持多租户，支持平滑扩展、租户能力按需分配、数据隔离，满足多云场景。（5）支持高并发、高可用、可扩展，支持集群。可随业务随时平滑扩展。（6）采用B/S架构，支持主流浏览器、国产/非国产芯片及操作系统。2国产环境（1）操作系统：中标麒麟、银河麒麟、统信、龙蜥等操作系统。（2）CPU芯片：海光、鳏鹏、飞腾等。3安全性（1）平台具有安全审计员、安全保密员、系统管理员三种角色，实现三权分立。（2）支持系统用户管理、角色功能管理、用户登录管理（包括U盾证书、AD域、LDAP等）管理联动。（3）用户密码应采用加密算法进行存储和验证，服务报文采用对称加密方式加密，并具有校验机制。（4）支持对访问身份进行强验证，包括生物特征-指纹、软硬证书、OTP码等。（5）支持对平台用户的密码复杂度（数据、大小写字母、特殊字符、密码长度等）、有效期、复杂度、密码错误锁定策略等进行限制，有效期过后提供登录重置密码或禁止登陆需联系管理员处理2种处理方式，以确保平台自身账户的安全。（6）通道/传输/存储加密：支持不同组件、前后端之间的通讯加密、对敏感数据进行脱敏显示。（7）提供安全授权认证机制，提供基于安全授权码的二次实时验证能力。（二）平台功能1资产管理（1）支持的资产类型包括：数据库、敏感SQL、数据库账号等。2支持数据库类型(1)数据库类型支持MysqL0racle>PostgresqkDB2、Informix、Mariadb>SQLserve>Sybase>Greenplum>QianbaSe等关系型数据库。(2)支持Elasticsearch>Mongodb>Hive、OdPs、Hbase>Redis>lmpala>RDS_Mysql>RDS_Postgresql>RDS_SQLserve等大数据平台和云数据库。(3)支持武汉达梦、南大通用、人大金仓、神舟通用、瀚高等国产数据库。3敏感资（1）至少包含百种业务类型，可根据不同业务类型对数据进行自动产梳理分类，业务类型包括个人信息、地理信息、组织机构信息、企业信息、行业相关信息、基础信息、商品物资信息、设备信息、通用类型等。4资产画像(1)Al赋能安全，通过梳理资产标签、访问关系拓扑、上下文等建立资产画像，通过资产基线比对，实现事前、事中的风险智能监测，减少误报率。(2)通过基础认证分、历史行为可信分等多个维度计算资产风险分，再结合实时行为分析，可实现动态授权。其中资产基础认证分包括资产的敏感等级、审计级别、是否脱敏、加密以及资产脆弱性等多纬度综合考量。通过风险评分的变化趋势，可分析资产的安全态势。5资产风险评估(1)应具备资产风险评估能力，根据漏扫和敏感资产治理结果进行数据源资产风险评估，并结合已有防护策略，给出综合性安全建设意见。6身份治理(2)以“人、应用、终端、账号”四个维度进行身份定义，支持未知身份发现、已知身份和黑名单身份管理，同时可联动安全组件全局进行身份治理。7身份画像(1)Al赋能安全，通过梳理身份标签、访问关系拓扑、上下文访问链路等建立身份画像，通过身份基线比对，实现风险身份的自动化智能监测。(2)通过基础认证分、身份和资产的属性分、历史行为可信分等多个维度计算身份风险分，再结合实时行为分析，可实现动态授权。同时可通过对风险评分的变化趋势，分析身份的安全态势。8风险监测(1)支持利用多种分析检测引擎、内置风险规则和数据模型，建立身份行为与资产访问基线，监测风险行为、异常行为和异常身份。(2)支持将子设备收集的风险事件在平台集中展现，并能以时间、风险类型、风险等级、设备类型、审阅状态、客户端与资产端IP等要素进行精确搜索。9策略管理(1)系统内置超过350多种SQL注入风险策略，可以向子设备进行策略下发，支持自定义SQL注入风险策略。(2)系统内置超过600多种漏洞特征库风险策略，可以向子设备进行策略下发，支持自定义漏洞特征库风险策略。(3)内置10多条风险监测策略，平台自身具备风险识别能力与风险矫正能力。(4)支持针对不同场景设置安全策略并下发给子设备执行。如测试三方对接场景，对目标库进行脱敏和水印、针对运维场景，设置身份的数据库准入和敏感数据访问控制策略等。10审计与溯源(1)支持将子设备收集的所有审计日志在平台集中展现，提供事后安全审计追溯能力。并对审计日志进行合并去重、富化。(2)支持以审计日志发生时间、访问主体、操作类型、设备类型、关键字等要素对审计日志进行快速检索。11日志存储(1)支持对接收上来的审计日志根据存储策略进行存储。支持对平台操作日志进行存储。(2)支持通过配置文件连接FTP服务器，可对海量历史数据进行备份。并可对备份文件进行恢复、删除等操作。12告警合并(1)支持对风险监测出来的告警日志按照同一天、同一访问对象、同一访问客体、同风险类型进行日志合并，大大降低告警量。13告鳖管理(1)支持对告警信息进行详细的订阅设置，包括订阅告警接受的对象、接受方式、接受内容、接受时间等信息。(2)告警方式多样，支持以工作流与WEB界面的弹窗、声音进行提醒，支持通过短信、邮件、专有钉钉、钉钉等方式发送提醒。14风险处置(1)支持对漏扫扫描出来的漏洞和弱口令、高危端口进行处置跟踪：通过工单对其进行处置并跟踪处置状态，也支持人工识别转化为误报等。(2)支持对合并后的安全事件进行处置，包括批量处置、通过工单流程进行处置等。支持处置状态跟踪，也支持人工识别转化为误报等。(3)发起工单的风险处置，支持添加多个附件，包括Word、excel、csv、pdf、jpg、png、jpeg、txt、doc0同时支持通过短信或专有钉钉、钉钉进行处置任务的通知15知识库(1)管理风险处置的预案，指导安全运营人员进行风险处置。16态势感知 （1）提供安全态势展示，直观展现出用户整体系统的风险情况与安全总体态势，主要展示资产概览、敏感资产访问热度、资产访问热度、活跃身份、访问时间热度、资产脆弱性分析、风险资产ToP5、风险身份TOP5、风险类型ToP5、安全防护效果、告警趋势、实时高危事件等模块，呈现整体系统的安全总体态势。 （2）提供资产发布态势展示，直观展现出用户整体系统的风险情况，支持个性化换肤。主要展示数据库量、敏感表数量、敏感列数量、数据访问趋势、数据库类型占比、SQL执行时长分布、数据敏感列分布、敏感表数据分布、数据库登录情况TOPIO等内容。 （3）提供安全设备运行展示，直观展现出安全设计整体运行情况。主要展示运行天数、安全设备数、事件总数、告警总数、设备运行情况、日志采集趋势等模块。17安全报表（1）支持将收集到数据进行统计分析，并通过工作报表的形式汇报相关数据。用户可自定义在线调整统计的资产范围和时间范围，内置的报表格式包括：萨班斯合规报表等。18订阅管理（1）支持以邮件方式，以PDF、Word、Html等多种形式来订阅报表。可自定义报表统计的资产范围和时间范围、周期以及报表的发送时间。19设备管理（1）支持采集子设备数据，包括审计数据、运行数据、告警数据等。（2）支持对接自有设备和三方设备。设备类型包括：运维/业务权限管控、数据库审计、数据脱敏、数据水印、数据加密、终端防护等。（3）支持提供API接口与第三方设备联动，包括分类分级工具、漏扫、三方可视化平台等。（4）支持对所连接的子设备运行状态进行监控和预警阈值设置，能直观呈现子设备的CPU、内存、磁盘使用率、网络接发情况及其趋势，支持对阈值告警进行订阅。20任务调度（1）支持对静态脱敏的任务进行调度，统一下发资产，管理脱敏的作业，跟进作业状态。（2）支持对水印的任务进行调度，统一下发资产，管理水印的作业，跟进作业状；同时支持水印文件的溯源功能，满足溯源取证的需求。（三）产品规格与授权1产品形态纯软件交付。2授权数量支持接入4个子设备。3产品维保提供原厂1年技术支持和版本升级服务。2.2 第三方人员运维开发安全平台目前各业务建设承建方、业务厂商、第三方运维、各部门业务运维开发人员及其电脑均可访问业务应用甚至底层数据库相关资源，存在角色众多、账号变动频繁、权限不一、接入终端环境安全无法保障、数据违规下载、泄露等风险，同时曾发生业务厂商在未经建设单位同意的情况下，将建设单位采集的敏感业务数据下载泄露。因此需要针对第三方人员运维开发的安全进行防范