ICS 35.24C J 07 中华人民 和巨 家 GB/T39403—2020 云制造服务半安全防护管理要求 curity protection management requirements of cloud manufacturing service platform 2021-06-01实施 国家市场监督 发布 国家标准化管 1会 GB/T 39403—2020 目 次 前言 1 范围 2 规范性引用文件 3 术语和定义 4 缩略语 总体概述 6 资源层安全防护要求 6.1 设备接入控制安全要求 6.2 设备安全要求 6.3 边界防护安全要求 6.4网络传输安全要求 7云平台层安全防护要求 7.1IAAS层安全防护要求 7.2 PAAS层安全防护要求 7.3 SAAS层安全防护要求 GB/T394032020 前言 本标准按照GB/T1.1一2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任 本标准由中国机械工业联合会提出。 本标准由全国自动化系统与集成标准化技术委员会（SAC/TC159）归口。 本标准起草单位：北京航天智造科技发展有限公司、贵州航天云网科技有限公司、航天云网数据研 北京电子工程总体研究所、北京机械工业自动化研究所有限公司、北京航空航天大学、北京航天紫光科 技有限公司、工业云制造（四川）创新中心有限公司清华天学、西门子（中国）有限公司。 本标准主要起草人：柴旭东、邹萍、黎晓东、于文涛、侯宝存、王琳、杨灵运、何昊、菁、周邯、王玫、 王海丹、张霖、李云鹏、金鑫、刘刚、刘波涛、许培炎、俞坚华、刘魁。 GB/T39403—2020 云制造服务平台安全防护管理要求 1范围 本标准规定了云制造服务平台安全防护体系中资源层、IAAS层、PAAS层及SAAS层安全防护管 理要求。 本标准适用于云制造服务平台安全防护体系管理 2 规范性引用文件 下列文件对于本文件的引用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB50174—2017数据中心设计规范 3术语和定义 下列术语和定义适用于本文件。 3.1 云制造服务平台cloudmanufacturingserviceplatform 支持产品全生命周期各类活动，支持各类制造资源与制造能力的感知与接入、虚拟化、服务化、搜 索、发现、匹配、组合、交易、执行、调度、结算、评估等，支持用户的普适使用，支持分散的制造资源和制造 能力集中管理、集中的制造资源和制造能力分散服务的支撑环境以及工具集 [GB/T29826—2013,定义2.1.5] 3.2 网络安全networksecurity 使网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、 更改、泄露，保证系统连续、可靠、正常地运行，网络服务不中断的过程。 3.3 平台安全 platformsecurity 保护整个云制造服务平台环境及基础设施、应用程序、数据和信息的策略和实践，防止未经授权的 使用/访问、分布式拒绝服务攻击（DDoS）、恶意软件等威胁的过程。 3.4 应用安全 application security 在应用程序中通过查找、修复和预防安全漏洞并开发、添加和测试安全功能，以防止应用程序受到 未经授权访问和篡改等威胁，从而使应用程序更加安全的过程。 3.5 数据安全data security 在数据全生命周期中对数据进行保护，从而防止对数据的未授权访问及数据的损害的过程。 3.6 基础设施即服务 infrastructureasaservice;IAAs 提供给消费者的服务是对所有计算基础设施的利用，包括处理CPU、内存、存储、网络和其他基本 1 GB/T39403—2020 的计算资源，用户能够部署和运行任意软件，包括操作系统和应用程序。 3.7 平台即服务platformasaservice；PAAS 提供给消费者的服务是将客户使用供应商提供的开发语言和工具开发的或采购的应用程序部署到 供应商的云计算基础设施上去。 注：开发语言和工具有Java、Python、.Net等 3.8 软件即服务softwareasaservice;SAAs 提供给客户的服务是运营商运行在云计算基础设施上的应用程序，用户可以在各种设备上通过客 户端界面访问。 注：消费者不需要管理或控制任何云计算基础设施，包括网络、服务器、操作系统、存储等。 4缩略语 下列缩略语适用于本文件。 ACL：访问控制列表（AccessControlList） CPU：中央处理器（CentralProcessingUnit) DDN：数字数据网（DigitalDataNetwork） DDoS：分布式拒绝服务（DistributedDenialof Service） ECA：事件-条件-动作（Event-Condition-Action） FTP：文件传输协议（FileTransferProtocol) IP：网际协议(InternetProtocol) IPS：人侵防御系统（IntrusionPreventionSystem） IDS：人侵检测系统（IntrusionDetectionSystem） NAT：网络地址转换(NetworkAddressTranslation) SDN：软件定义网络（Software-DefinedNetworks） SQL：结构化查询语言（StructuredQueryLanguage） SSL：安全套接字层（SecureSocketsLayer） TLS：传输层安全（TransportLayerSecurity） URL：统一资源定位符（UniformResourceLocator） 5总体概述 云制造服务平台安全防护管理体系由资源层安全管理要求与云平台层安全防护管理要求构成，其 中云平台层安全管理要求包括IAAS层、PAAS层及SAAS层安全防护管理要求。资源层安全管理要 求具体包括设备接人控制安全、设备安全、边界防护安全、网络传输安全管理要求，平台IAAS层安全防 护管理要求包括网络安全、主机安全、虚拟化安全、物理环境安全管理要求，平台PAAS层安全防护管 理要求包括工业数据接人及管理安全、统一运行环境安全、工业模型及算法安全管理要求，平台SAAS 层安全防护管理要求具体包括应用漏洞及异常检测、应用逻辑安全、应用安全审计、后台系统安全管理 要求。总体架构如图1所示。 2 层 之用漏洞及异带检测 应用逻车 统一运行环境安全 登录认证 服务接入 安全 访问控制 应用接入 电力安企 传输安全 安全防护要求 妾入控制安全要求 E接人平台网 安全要求 备安全检测 备定期进行 查其运行状况，并进行漏洞扫拱和安今补 音监控告警 土传感器或视 对设备进行远程监控和告 GB/T39403 护安全要求 U) 应对数据源地址 c) 口和协议等进行检查； d) 应对设备发起的 ≥测。 6.4 网络传输安全要求 6.4.1 网络接入安全 规范网络接入安全要 网络的接入行为进行控制 6.4.2 网络数据传输加密 规范数据传输加密要 7 云平台层安全防护要习 7.1IAAS层安全防护要： 7.1.1网络安全 等网络区域划分成不同的子 全组，通过 于同一网段内，在网段的边 控制；或者 使用虚拟安 逻辑组内，对这个组配置访问控制策略。 根据面 安全域之间部署防火墙，在每个安全填 (IDS)。 7.1.1.2黑E 平台通过设置黑白名单进行访问 身份或其所 正其访问平 台资源的请求是否能通过。 平台配置白名单，则只有租户身份 先定义的策町 间。 平台若配置黑名单，则拒绝所有来 租户的网络订 7.1.1.3 边界防火墙 用防火墙技术 力界上建立相 赢离内部和外部网络，以阻 硬件或者云阝 各的数据都经 通过日志对 息。边界防火 几制，当发生口