本方案以国家法律法规、网络安全等级保护、信创要求、密码管理及数据安全五大合规底线为根本遵循，围绕“零事故、零泄密、零合规事件”的核心目标，依托“123456”安全架构与“9+1”能力体系，构建覆盖“云、数、网、端、业、人、供、链”全要素的纵深防御机制。配套实施“四层三员”管理体系，并提供7×24小时电信级安全运营服务，最终建成具备“可看、可管、可控、可信、可创”特征的省级数字政府安全基座。

一、总体定位与建设目标

项目定位：作为省级“数字政府”的基础支撑工程，全面承载非涉密政务外网所有业务系统运行，纵向实现向上对接国家级平台、向下贯通市/区县各级单位。

建设目标：

• 在2025年前完成统一、安全、弹性且可持续发展的政务云平台和大数据中心建设，全面满足网络安全等级保护2.0三级标准及信息技术应用创新（信创）相关要求；
• 实现“一张网、两中心、N朵云、八大库、三平台、五示范”的整体架构布局，形成全省范围内“云、数、网、安”一体化协同能力；
• 构建集“可视、可管、可控、可信、可创”于一体的综合安全防护体系，确保关键数据不出省域、核心业务持续在线、网络攻击有效抵御、安全事件全程可追溯、合规管理闭环运作。

二、建设范围与阶段规划

阶段	时间	关键成果
一期	2016年	完成政务外网升级改造，部署40%计算与存储资源，启动大数据中心建设，开展N朵云试点应用
二期	2017年	扩容至60%资源规模，建成同城双活灾备中心，大数据中心竣工投用，部分业务系统实现上云运行
三期	2018–2020年	完成全部N朵云部署，实现应用系统100%上云，建立统一的安全运营中心并通过全面等保测评

当前阶段（2025年滚动规划）聚焦于“安全体系完善与运营能力升级”，重点覆盖以下内容：

• 主IDC与位于省二院的同城双活数据中心双节点布局；
• 省级政务外网骨干网络建设及123个区县接入节点全覆盖；
• 互联网、政务外网与各部门专网之间的融合边界安全管理；
• 涵盖“云、数、网、端、业、人、供、链”全链条要素的安全能力建设。

三、“123456”安全体系框架

采用结构化设计思路，构建多层次、立体化的安全防护模型：

• 1个中心：集成安全运营中心（SOC）与态势感知功能的一体化管理中心；
• 2个维度：技术体系与管理体系并重，实现技管结合；
• 3个层次：覆盖物理层、平台层到应用层的分层防护；
• 4个区域：划分互联网区、外部数据中心区、内部数据中心区和安全管理区，实施分区管控；
• 5类能力：贯穿识别、防护、检测、响应与恢复的全生命周期安全能力；
• 6大产品域：包括边界防护、云平台安全、数据安全、密码信任、安全运营及合规测评六大核心领域。

四、“9+1”安全技术能力栈

1. 边界安全

互联网出口侧部署三大运营商（电信、联通、移动）万兆级链路，配置不低于40Gbps的DDoS流量清洗能力，配备双活防火墙、IPS/IDS、WAF、防毒墙、流量控制策略及VPN网关，保障边界稳定可靠。

跨网数据交换方面，采用“防火墙逻辑隔离 + 网闸物理隔离”双重机制，支持双机热备，适用于数据库同步、邮件代理、文件摆渡、远程运维和移动办公五大典型场景。

2. 云平台安全（电信级标准）

虚拟化层面部署vFW、vIPS、vLB、vWAF等虚拟安全组件，采用DeepSecurity实现无代理防病毒，支持VPC、VxLAN/VRF网络隔离，实现东西向流量可视化监控。

在IaaS、PaaS、SaaS三层架构中，落实宿主机加固、镜像签名认证、云硬盘SM4加密、分布式防火墙、微隔离、漏洞扫描及容器安全检查等措施。

面向多租户环境，实现CPU、内存、存储、网络及安全资源的池化管理，提供租户级QoS控制、独立日志审计与密钥托管服务。

3. 数据安全

建立五级分类分级体系：公开、内部、秘密、机密、绝密，实施差异化管控策略。

覆盖数据全生命周期的安全保护：

• 传输环节：TLS1.3结合国密算法加密；
• 存储环节：采用SM4实现透明加密；
• 使用环节：通过同态加密、沙箱隔离、动态脱敏等方式保障处理安全；
• 备份环节：离线备份数据采用国密算法加密保存；
• 销毁环节：执行云上安全擦除流程，确保不可恢复。

严格管控数据出境行为，坚持“数据不出省”原则，通过API网关进行数据脱敏，嵌入水印溯源机制，所有数据流转均需审批留痕。

4. 密码与信任体系

建设省级CA认证体系，支持RSA与SM2双算法并行，设立三级密钥管理中心，集成统一身份认证网关，全面支持电子签名、电子签章与可信时间戳服务，实现证书全生命周期在线管理。

遵循国家政务外网规范，在IPSec VPN与SSL VPN中全面启用国密算法，支撑电子证照、电子公文、电子票据三大高频应用场景。

5. 安全运营

建立7×24小时全天候安全运营中心（SOC），实行三梯队联动值守机制（一线驻场人员、二线专家团队、三线厂商支持），确保平均故障修复时间（MTTR）不超过30分钟。

态势感知平台提供攻击区域分布、流量异常、病毒传播、漏洞风险、资产状态与合规情况六大可视化视图，支持省市县三级权限分级管理。

通过SOAR技术实现自动化响应，联动防火墙、IPS、EDR等设备一键封禁可疑IP，形成工单驱动的闭环处置流程。

6. 终端与接入安全

针对政务终端，推行标准化系统镜像，集成补丁管理、安全基线核查、杀毒软件与EDR终端检测响应于一体，严格管控USB接口、打印输出及外联行为。

移动办公终端采用MDM移动设备管理方案，结合安全沙箱、国密加密通道与国密芯片，设备丢失时支持远程数据擦除。

远程运维操作必须通过堡垒机执行，实行双人授权机制，全过程录屏审计，通信通道采用国密加密，所有操作支持回滚追溯。

7. 应用安全

应用上线前须经过源代码审计（SAST/DAST/IAST）、开源组件漏洞检测、渗透测试及等级保护测评；

运行期间部署RASP应用自保护、API网关、Bot行为识别、业务风控引擎与网页防篡改系统；

应用下线后，执行数据彻底销毁、数字证书吊销与操作日志归档等退出机制。

8. 物理与机房安全

双活数据中心按T3+标准建设，具备8级抗震能力，配备2N UPS供电系统、N+1柴油发电机、冷通道封闭制冷及极早期火灾探测系统。

主IDC位于独立园区，设置红外周界报警、安检门、人脸识别门禁系统，实行分区门禁管理，并安排24小时人工巡逻值守。

9. 信创与国产化适配

实现六大国产芯片（鲲鹏、飞腾、龙芯、兆芯、申威、海光）与三大操作系统（麒麟、统信、中科方德）的全面兼容；

数据库选用达梦、人大金仓、南大通用，中间件采用东方通、金蝶天燕、宝兰德，完成全栈信创软硬件适配；

全面支持SM1/SM2/SM3/SM4国密算法，建立专属信创漏洞库，及时跟踪与修复高危漏洞。

10. 合规与测评

严格落实国家法律法规及相关政策要求，定期开展等级保护测评、商用密码应用安全性评估、数据安全合规审查等工作，确保各项安全措施符合监管标准，形成常态化合规管理机制。

一、测评要求

等保2.0三级：全面覆盖281项控制点，每年开展一次等级保护测评，并配合完成两次自查工作；

密码安全测评：针对三级密码模块实施专项检测，确保合规性，每年执行一次；

信创测评：需提供兼容性、性能表现及系统可靠性三项独立报告，保障国产化环境稳定运行；

数据出境安全评估：按年度滚动推进，持续监控并评估跨境数据传输的安全风险。

二、四层三员管理体系

制度架构：构建四级文档体系，涵盖信息安全方针、管理办法、操作规程至记录表单，配套128个标准化制度模板，实现制度规范化落地；

组织架构：

• 省级数字政府安全领导小组——负责安全战略决策；
• 省大数据中心安全部——承担日常安全管理职责；
• 各厅局安全联络员——落实具体执行任务；
• 第三方安全服务机构——提供专业技术支持与补充。

人员管理机制：实行“三员分立”原则，即系统管理员、安全管理员与审计管理员角色分离，互不兼任；严格执行双人双岗制度，所有关键岗位人员须通过背景审查，并完成不少于40学时的年度安全培训；

系统生命周期管理：贯穿定级、备案、建设整改、测评验收、运行维护到退役下线的全周期闭环流程。所有变更操作均需电子化审批，日志信息留存时间不少于6个月。

三、安全服务内容（电信定制版）

驻场运维服务：配备2名高级安全工程师现场值守，提供每周5天、每天8小时驻场服务，同时支持7×24小时远程响应；每季度开展系统巡检，每月提交运维报告，每年输出系统优化建议方案；

互联网安全审计：实施全天候网站行为监测，覆盖可用性异常、网页挂马、页面篡改、敏感词汇、钓鱼链接和暗链植入等风险点，实现实时发现（1分钟内）、快速告警（5分钟内）与及时响应（30分钟内）；

用户行为管控：基于深度包检测技术（DPI），识别超过680种网络协议，支持对P2P下载、网络游戏、股票交易、视频流媒体等应用进行一键式封禁；邮件外发实施先审后发机制，触发预设关键字时自动拦截；

流量调度与保障：部署多层级QoS策略，为重点业务如视频会议系统、金税工程、12345政务服务热线等预留不低于30%的专用带宽，确保关键应用服务质量；

防病毒防护：采用无代理虚拟化防病毒方案，病毒特征库每4小时更新一次，一旦主机感染恶意程序，立即自动隔离处置；

数据防泄漏体系：结合存储加密网关、文档动态水印、外发文件审批流程与打印行为审计，构建“进不来、拿不走、看不懂、改不了、赖不掉”的五维防护能力；

风险评估服务：每半年开展一次全面风险评估，围绕资产价值、潜在威胁、系统脆弱性和现有控制措施四个维度分析，输出风险矩阵图及针对性整改建议；

应急响应机制：重大安全事件2小时内现场到场处置，一般事件30分钟内启动远程响应，配套提供应急预案制定、实战演练、事后复盘与持续改进的完整闭环服务。