大多数计算机终端在政务办公时终端所处的物理环境相对固定，终端处理的信息主要是公开信息， 不涉及或很少涉及政务办公中的内部受控信息。这部分终端宜采用基本安全应用模式。该模式提供政 务办公所需的基本安全防护功能，满足GB/T30278一2013的要求，是基于互联网电子政务终端安全防 护的基础。

6.2终端增强安全应用模式

GB/Z24294.42017

部分计算机终端在政务办公中需 及大量敏感信息，这类终端的防护，除了具备基本 外检验检疫标准，还需要实施终端增强安全防护，只有安全性评估合格的终端才允许接人政务网络。该应用相 了政务办公的增强安全防护

6.3移动终端安全应用模式

当政务人员在移动环境中使用便携式终端或手持式终端进行政务办公时，适宜采用移动终端安全 应用模式。便携式终端通过构建独立于宿主机的操作系统和办公应用软件，以及隔离于宿主机硬盘的 安全存储区来实现终端安全防护；手持式终端通过终端安全模块在数据安全、用户身份鉴别和设备控制 等方面来实现终端安全防护。

7终端基本安全防护要求

主要内容包括： a）口令符合复杂性要求宜启用； b）口令长度最小值宜设置为不小于8位； c）强制口令历史的次数宜设置为不小于6

7.2.2账户锁定策略

主要内容包括： a）账户锁定阅值，即用户账户被锁定的登录尝试失败的次数不大于5； b）账户锁定时间，即锁定账户在自动解锁之前保持锁定的分钟数不小于15。

7.3日志与审核策略配置

GB/Z 24294.42017

GB/Z 24294.42017

a）设置系统日志、安全日志和应用日志的最大字节分别不小于16384KB、81920KB和16384KB； b）禁止本地Guests组访问系统日志、安全日志和应用日志； c） 设置系统日志、安全日志和应用日志的保留方法为按需要覆盖事件，且不能定义日志的保留 天数。

主要内容包括： a）审核账户登录事件，即在本地账户登录成功时和失败时生成审核项。 b）审核特权使用，即在用户权限执行失败时生成审核项。 c）审核策略更改，即在成功更改用户权限分配策略、审核策略或信任策略时生成审核项。 d）审核系统事件，即在系统事件执行成功时生成审核项。系统事件包括用户重新启动或关闭计 算机时或者在发生影响系统安全或安全日志的事件等。 e）审核账户管理，即审核计算机上的每个账户管理事件的成功和失败操作

终端宜安装和运行恶意代码防范系统并及时更新病毒库，定期进行恶意代码扫描和清除，防范恶意 代码的扩散。

终端直安装开运行不人防火系统，依 实现对进出计算机的数据包进行安全过滤， 时支持用户策略的统一配置

7.7系统漏洞补丁升级

终端在首次安装时不含恶意软件，在使用过程中确保及时安装已发布的系统漏洞补丁。漏洞补丁 包含： a） 操作系统关键补丁。对微软发布的winXP、Vista和win7等操作系统的漏洞补丁宜及时安装， b）主要软件关键补丁。对浏览器和办公软件等主要应用软件的漏洞补丁宜及时安装。

8终端增强安全防护要求

终端安全性检测的目标是通过检查终端安全防护措施和安全配置，阻止防护措施不符合规范的终

GB/Z24294.4—2017

端接入政务办公应用系统，降低基于互联网电子政务系统所受的安全风险。同时为安全管理员提升终 端安全防护能力提供整改依据。

检测指标包括：终端的操作系统漏洞补丁、防火墙启动状态、杀毒软件病毒库更新日期以及 windows终端核心安全配置等信息。检测按照执行时段包括：在终端操作系统启动之后至政务办公之 前的初始检测，以及在政务办公过程之中的实时检测

主要内容包括： a）安全性检测结果为合格或不合格。合格者允许接人政务办公系统进行通信，否则不允许接入 政务办公系统，同时将检测结果及时提交给安全管理员以便整改。 b）终端宜设置安全系统恢复区域，当终端检测不合格时，可以使系统自动恢复到安全状态，

依据业务需要和安全策略，终端办公使用的政务办公应用程序和安全防护软件如office编辑软件、 电子邮件软件、个人防火墙、恶意代码防范软件等宜提交给管理系统进行授权，形成终端程序白名单，经 过授权的白名单中的终端应用程序才可以运行。

主要内容包括： a）传输安全。支持邮件传输的保密性、完整性和可鉴别性等安全服务，防止政务邮件在传输过程 中的泄密、伪造和篡改等； b）邮件互发。支持同一安全域内安全邮件的群发，支持基于公钥技术的点对点邮件互发； c）密钥管理。支持密钥及用户证书的更新、撤销、恢复、同步等功能，

主要内容包括： 加密存储要求。支持信息的加密存储保护，支持对安全公文包访问的身份认证，以及数据文 件、数据目录的机密性、完整性和数字签名保护；支持与微软Windows系列操作系统的无缝 集成。 6） 算法要求。支持国产密码SM1、SM3算法，符合国家商用密码管理条例。 ）密钥管理。支持密钥的更新、撤销、恢复、同步等密钥管理功能

主要内容包括： a）行为审计。支持对终端用户操作行为事件的审计，如用户上网行为和政务信息处理行为等，与 基本安全防护要求中日志与审核策略保持一致。 6） 配置审计。支持对终端安全配置信息更改事件的审计，与基本安全防护要求中日志与审核策 路保持一致。 c）评估审计。支持对终端可信评估结果为不合格事件的审计。 d）审计数据安全。支持审计数据免遭未经授权的删除或修改。支持审计数据的集中管理。

GB/Z24294.4—2017

9移动终端安全防护要求

主要内容包括： 以移动存储介质为载体的操作系统和办公应用软件。这是政务办公的软件环境，宜根据业务 需要和安全需求定制。软件环境包含了定制的操作系统、办公应用软件、特定加密存储区域以 及相关密码算法；移动存储介质通过USB接口与宿主机连接。 6）. 宿主机。这是政务办公的硬件环境，它是终端安全防护能力未经验证的不安全终端硬件设备。 安全防护管理平台。主要完成移动存储介质注册与管理、操作系统定制、办公软件定制等 功能。

主要内容包括： a） 操作系统隔离。在宿主机硬件支撑下，移动存储介质上定制的嵌人式操作系统启动后，宜独立 于宿主机操作系统，不与宿主机上的系统软件与应用软件通信。 b）存储系统隔离。移动终端安全应用模式中产生和接收的政务信息宜存储在移动存储介质中 的特定加密存储区域，存储过程不受宿主机干扰。

9.1.3.1自身安全

便携式终端安全防护中所使用的自定 具有嵌人式操作系统漏洞补丁更新、恶意代码 级、系统安全核心配置等功能，支持自定制操作系统安全加固

主要内容包括： a）算法要求。按照国家规定的商密算法进行安全存储区域中数据的加解密。 b） 效率要求。数据存储在USB安全存储区，为不影响正常的办公效率，数据的加解密速率宜不 低于7.0Mbit/s。 c）电气特性。支持USB2.0及其以上

主要内容包括： a）算法要求。按照国家规定的商密算法进行安全存储区域中数据的加解密。 6） 效率要求。数据存储在USB安全存储区，为不影响正常的办公效率，数据的加解密速率宜不 低于7.0Mbit/s。 c）电气特性。支持USB2.0及其以上。

9.1.3.3安全审计

主要内容包括： a）进程审计。包含终端执行的主要程序和进程事件。 b）网络审计。包含终端访问的网络地址事件。 c）外设审计。包含终端通过USB接口使用的外部设备事件。 d）登录审计。支持基于用户的登录事件

9.1.3.4办公软件定制

根据终端政务办公需要，宜支持安装或卸载政务办公所需的各类应用软件，及其相关功能配置，

根据终端政务办公需要，宜支持安装或卸载政务办公所需的各类应用软件，及其相关功能配置

手持式终端宜采用国内具有自主知识产权的终端操作系统，提升系统自身安全，宜支持 实现计算环境隔离。

终端宜采用国内具有自主知识产权的终端操作系统，提升系统自身安全，宜支持沙箱等功能 境隔离。

施工质量标准规范范本主要内容包括： a）密码服务。终端宜提供数字证书管理、数据加解密、数字签名和消息完整性检验等密码服务。 b）算法要求。按照国家密码管理局批准的密码算法提供密码服务。

用户身份宜采用双因子强认证，并进行弱口令检测及告警。

主要内容包括： a）接口控制。宜对WiFi、蓝牙和USB调试等接口进行控制。 b）外设控制。宜对摄像头和麦克风等接口进行控制

终端宜支持设备异常时的应急处理，包括远程锁定、远程擦除设备数据。

供水标准规范范本审计信息包括操作系统登录/退出、软件安装、程序调用、网络资源访问、通信资源使月 用等。

GB/Z24294.4—2017

[1]GB/T20269 信息安全技术信息系统安全管理要求 [2] GB/T20984 信息安全技术信息安全风险评估规范 [3] GB/T22081 信息技术安全技术信息安全管理实用规则