GB/T 39403-2020.Security protection management requirements of cloud manufacturing service platform.
1范围
GB/T 39403规定了云制造服务平台安全防护体系中资源层.IAAS层、PAAS层及SAAS层安全防护管理要求。
GB/T 39403适用于云制造服务平台安全防护体系管理。
2规范性引用文件
下列文件对于本文件的引用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB 50174-2017数 据中心设计规范
3术语和定义
下列术语和定义适用于本文件。
3.1
云制造服务平台 cloud manufacturing service platform
支持产品全生命周期各类活动，支持各类制造资源与制造能力的感知与接入、虚拟化、服务化、搜索、发现、匹配、组合、交易、执行、调度、结算、评估等,支持用户的普适使用,支持分散的制造资源和制造能力集中管理、集中的制造资源和制造能力分散服务的支撑环境以及工具集。
[GB/T 29826-2013,定 义2.1.5]
3.2
网络安全 network security
使网络系统的硬件、软件及其系统中的数据受到保护,不因偶然的或者恶意的原因而遭受到破坏、更改、泄露.保证系统连续、可靠、正常地运行，网络服务不中断的过程。
3.3
平台安全 platform security
保护整个云制造服务平台环境及基础设施、应用程序、数据和信息的策略和实践,防止未经授权的使用/访问、分布式拒绝服务攻击(DDoS)、恶意软件等威胁的过程。
3.4
应用安全 application security
在应用程序中通过查找、修复和预防安全漏洞并开发、添加和测试安全功能,以防止应用程序受到未经授权访问和篡改等威胁.从而使应用程序更加安全的过程。

ICS35.240.50
中华人民共和国国家标准
GB/T39403—2020
云制造服务平台安全防护管理要求Security protection management requirements of cloud manufacturingserviceplatform
2020-11-19发布
国家市场监督管理总局
国家标准化管理委员会
2021-06-01实施
规范性引用文件
术语和定义
缩略语
总体概述
资源层安全防护要求
设备接入控制安全要求
设备安全要求
边界防护安全要求
网络传输安全要求
云平台层安全防护要求
IAAS层安全防护要求
PAAS层安全防护要求
SAAS层安全防护要求
rKaeerKAca-
GB/T39403—2020
本标准按照GB/T1.1—2009给出的规则起草。GB/T39403—2020
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由中国机械工业联合会提出。本标准由全国自动化系统与集成标准化技术委员会（SAC/TC159）归口本标准起草单位：北京航天智造科技发展有限公司、贵州航天云网科技有限公司、航天云网数据研究院（广东)有限公司、航天云网科技发展有限责任公司、四川中英智慧质量工程技术研究院有限公司、北京电子工程总体研究所、北京机械工业自动化研究所有限公司、北京航空航天大学、北京航天紫光科技有限公司、工业云制造（四川)创新中心有限公司、清华大学、西门子（中国)有限公司本标准主要起草人：柴旭东、邹萍、黎晓东、于文涛、侯宝存、王琳、杨灵运、何昊、部菁、周邯、王玫、王海丹、张霖、李云鹏、金鑫、刘刚、刘波涛、许培炎、俞坚华、刘魁、m
rrkaerkAca-
1范围
云制造服务平台安全防护管理要求GB/T39403-—2020
本标准规定了云制造服务平台安全防护体系中资源层、IAAS层、PAAS层及SAAS层安全防护管理要求。
本标准适用于云制造服务平台安全防护体系管理2规范性引用文件
下列文件对于本文件的引用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单)适用于本文件GB50174—2017数据中心设计规范术语和定义
下列术语和定义适用于本文件。3.1
云制造服务平台cloudmanufacturingserviceplatform支持产品全生命周期各类活动，支持各类制造资源与制造能力的感知与接入、虚拟化、服务化、搜索、发现、匹配、组合、交易、执行、调度、结算、评估等，支持用户的普适使用，支持分散的制造资源和制造能力集中管理、集中的制造资源和制造能力分散服务的支撑环境以及工具集［GB/T29826—2013，定义2.1.5]3.2
网络安全networksecurity
使网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，保证系统连续、可靠正常地运行，网络服务不中断的过程。3.3
平台安全platformsecurity
保护整个云制造服务平台环境及基础设施、应用程序、数据和信息的策略和实践，防止未经授权的使用/访问、分布式拒绝服务攻击（DDoS）、恶意软件等威胁的过程。3.4
应用安全applicationsecurity
在应用程序中通过查找、修复和预防安全漏洞并开发、添加和测试安全功能，以防止应用程序受到未经授权访问和篡改等威胁，从而使应用程序更加安全的过程。3.5
数据安全datasecurity
在数据全生命周期中对数据进行保护，从而防止对数据的未授权访问及数据的损害的过程。3.6
基础设施即服务infrastructureasaservice;IAAs提供给消费者的服务是对所有计算基础设施的利用，包括处理CPU、内存、存储、网络和其他基本KaeerkAca-
GB/T39403—2020
的计算资源，用户能够部署和运行任意软件，包括操作系统和应用程序。3.7
平台即服务platformasaservice;PAAS提供给消费者的服务是将客户使用供应商提供的开发语言和工具开发的或采购的应用程序部署到供应商的云计算基础设施上去。注：开发语言和工具有Java、Python、.Net等。3.8
软件即服务softwareasa service;SAAS提供给客户的服务是运营商运行在云计算基础设施上的应用程序，用户可以在各种设备上通过客户端界面访问：
注：消费者不需要管理或控制任何云计算基础设施，包括网络、服务器、操作系统、存储等4缩略语
下列缩略语适用于本文件。
ACL：访问控制列表（AccessControlList）CPU：中央处理器（CentralProcessingUnit）DDN：数字数据网（DigitalDataNetwork）DDoS：分布式拒绝服务（DistributedDenial ofService）ECA：事件-条件-动作（Event-Condition-Action）FTP：文件传输协议（FileTransferProtocol）IP：网际协议（InternetProtocol)IPS：人侵防御系统（IntrusionPreventionSystem）IDS：人侵检测系统（IntrusionDetectionSystem）NAT：网络地址转换（NetworkAddressTranslation）SDN：软件定义网络（Software-DefinedNetworks）SQL：结构化查询语言（StructuredQueryLanguage）SSL：安全套接字层（SecureSocketsLayer）TLS：传输层安全（TransportLayerSecurity）URL：统一资源定位符（UniformResourceLocator）5总体概述
云制造服务平台安全防护管理体系由资源层安全管理要求与云平台层安全防护管理要求构成，其中云平台层安全管理要求包括IAAS层、PAAS层及SAAS层安全防护管理要求。资源层安全管理要求具体包括设备接人控制安全、设备安全、边界防护安全、网络传输安全管理要求，平台IAAS层安全防护管理要求包括网络安全、主机安全、虚拟化安全、物理环境安全管理要求，平台PAAS层安全防护管理要求包括工业数据接人及管理安全、统一运行环境安全、工业模型及算法安全管理要求，平台SAAS层安全防护管理要求具体包括应用漏洞及异常检测、应用逻辑安全、应用安全审计、后台系统安全管理要求。总体架构如图1所示。
rrKaerkAca-
资源层
SAAS层
成用漏测技异常检测
PAAS层
工业数据接入及
管理安全
业数据加密
墩感一业数据
T业数据备价
TAAS层
网络安全
安全战
黑\名单
边界防火墙
机房位罩
设备接入控别安全
应川逆安全
统一运行环境安全
资录认证
访间控测
齐器隔离
且志审计
服务接入
应剂接入
多和户隔离
主机安全
案统加固
安个镜像
设备安企
应川安全审计
GB/T39403-—2020
后台系统安个
工业模型及算法安全
模型及肾法
接入安全
模型及算法
模型及蜕法：
疏呈控制
模型及算法
存储安全下载标准就来标准下载网
虚拟化安全
虚拟防火端
土机审让
物理环境安全
逆界防护安全
监拟土机隔离
出力安全
网欲传输安全
图1云制造服务平台安全防护管理体系架构6资源层安全防护要求
设备接入控制安全要求
设备在接人平台网关时应进行认证，未通过认证的设备应阻止其接人。6.2设备安全要求
6.2.1设备安全检测
应对设备定期进行安全检测，检查其运行状况，并进行漏洞扫描和安全补丁升级6.2.2设备监控告警
应通过传感器或视频监控等方式对设备进行远程监控和告警，实现设备状态监测和预防性维护。rKaeerKAca-
GB/T39403—2020
3边界防护安全要求
边界防护安全要求如下：
应对未认证设备接人的行为进行告警；a
b）边界网关应只开放与接入相关的服务端口；c
应对数据源地址、目的地址、源端口、自的端口和协议等进行检查：d）应对设备发起的攻击行为(DDoS等)进行检测。网络传输安全要求
6.4.1网络接入安全
规范网络接入安全要求，应使用网络接入控制系统并对其配置合理有效的监控与审计策略，从而对网络的接人行为进行控制管理。6.4.2网络数据传输加密要求
规范数据传输加密要求，应为云制造服务平台的维护管理提供数据加密通道、7云平台层安全防护要求
7.1IAAS层安全防护要求
7.1.1网络安全
7.1.1.1安全域
根据平台服务的类型、功能及租户的不同，平台将网络区域划分成不同的子网、网段或安全组，通过技术手段进行隔离。
把相同安全等级、相同安全需求的计算机，放置于同一网段内，在网段的边界处进行访问控制：或者使用虚拟安全域进行管理，即归人一二个逻辑组内，对这个组配置访问控制策略根据面临的风险，划分安全域，在安全域之间部署防火墙，在每个安全域内部署入侵检测系统(IDS).
黑白名单
平台通过设置黑白名单进行访问控制，根据租户身份或其所属的预先定义的策略组，确定其访问平台资源的请求是否能通过。
平台配置白名单，则只有租户身份或其所属的预先定义的策略组位于白名单内时才可访问。平台若配置黑名单，则拒绝所有来源于黑名单内租户的网络访问。7.1.1.3边界防火墙
平台采用防火墙技术进行网络边界安全控制在网络边界上建立相应的网络通信监控系统来隔离内部和外部网络，以阻挡来自外部的网络人侵，可以是软件、硬件或者云防火墙进出网络的数据都经过边界防火墙，边界防火墙通过日志对其进行记录，从而方便提供网络使用的详细统计信息。边界防火墙要能够设定报警和通知机制，当发生可疑事件时，提供网络是否受到威胁的信息。
rrKaerKAca-
7.1.2主机安全
7.1.2.1系统加固
GB/T39403-—2020
根据安全评估结果，平台制定相应的系统加固方案以消除与降低安全隐患。针对不同目标系统，平台可通过打补丁、修改安全配置、增加安全机制等方法，加强安全性尽可能避免安全风险的发生，平台应将周期性的评估和加固工作相结合7.1.2.2安全镜像
镜像服务应保证安全的应用镜像托管能力，精确的镜像安全扫描功能，稳定的内外镜像构建服务，便捷的镜像授权功能，进行镜像全生命周期管理。平台采用容器化部署，容器是基于镜像构建的。镜像安全直接决定了容器安全。平台安全镜像构建包括代码编译、文件提取、打包镜像。应将编译和打包分离，以产生安全、精巧、不含源代码的生产级别镜像。
平台应对虚拟机镜像文件进行完整性校验，确保不被套改7.1.2.3快照
快照在主机备份时广泛采用，通常都是基于卷，在块（block）级别进行处理。平台应提供多种快照方式。可包括：a）即写即拷快照（指针型快照），占用空间小，对系统性能影响较小，但如果没有备份而原数据盘损坏，数据就无法恢复了；
b）分割镜像快照（镜像型快照），即主机当时数据的全镜像，要占用到相等容量的空间，会对系统性能造成一定负荷，但即使原数据损坏也不会有太天影响。7.1.2.4主机审计
安全审计应符合以下要求：
审计范围应覆盖到服务器上的每个用户；a）
审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等重要的安全相b)
关事件；
审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；c）
保护审计记录，避免其在有效期内受到非授权的访问、算改覆盖或删除等：e)
应支持按用户需求提供与其相关的审计信息及分析报告；f)
应能够根据记录数据进行分析，并生成审计报表；应保护审计进程，避免受到未预期的中断；g）
h）：
应能汇聚服务范围内的审计数据，支持第三方7.1.3虚拟化安全
7.1.3.1虚拟防火墙
将一台物理防火墙在逻辑上划分成多个虚拟的防火墙，从用户的角度来说每个虚拟防火墙系统都可以被看成是一台完全独立的防火墙设备，拥有独立的系统资源、管理员、安全策略、用户认证数据库等。应做到：
a）实现防火墙的二层、三层（路由十NAT)转发、ACL控制、安全检测功能；b）每个虚拟防火墙系统之间相互独立，不可直接相互通信；5
-iKacerKAca
GB/T39403—2020
c）支持许可（License)控制的虚拟防火墙个数的扩展。7.1.3.2虚拟IPS
虚拟IPS应监控虚拟系统网络流量平台应在虚拟设备中部署IDS和IPS,提供虚拟机之间、虚拟和物理网络之间的流量监控。7.1.3.3虚拟主机隔离
虚拟化平台主机应隔离：
a）应保证每个虚拟机能获得相对独立的物理资源，并能屏蔽虚拟资源故障，确保某个虚拟机崩溃后不影响虚拟机监控器及其他虚拟机：应保证不同虚拟机之间的CPU指令隔离：b)
应保证不同虚拟机之间的内存隔离，内存被释放或再分配给其他虚拟机前得到完全释放；c
d）应保证虚拟机只能访问分配给该虚拟机的存储空间（包括内存空间和磁盘空间）。7.1.4
物理环境安全要求
7.1.4.1机房位置
机房位置发生自然灾害的概率和频率（洪水、飓风、龙卷风等）较低。机房环境除满足计算机设备对温度、湿度和空气洁净度、供电电源的质量（电压、频率和稳定性等）、接地地线、电磁场和震动等条件的技术要求外，还应满足在机房中工作的人员对照明度、空气的新鲜度和流动速度、噪声的要求。机房位置选择应符合GB50174—2017中4.1的要求。7.1.4.2防火
应配置火灾报警装置，在机房内、基本工作房间内、活动地板下、吊顶里、主要空调管道中易燃物附近部位应设置烟、温感探测器。应配置卤代烧1211或1301灭火器。7.1.4.3接地
机房接地形式为机房专用直流逻辑地，设一组新的接地极，接地电阻小于1Q。机房配电系统的交流工作地、安全保护地采用建筑物本体综合接地（其电阻小于4Q）。7.1.4.4防雷电
建筑物的进户线传导直击雷的概率较低。中心机房内设备主要需要进行直接雷击引起的电阻耦合方式（地电位反击）的防护，以及附近高层建筑落雷时造成的电感性、电容性耦合干扰的防护。具体应满足以下要求：
a）等电位接地的处理。接地是避雷技术最重要的环节，而且小型机以上的计算机系统对接地要求也很高，其接地电阻通常要求小于12以下。但对于避雷技术来说，地阻小于4Q即可。应将避雷接地、电器安全接地、交流地、直流接地统一为一个接地装置，避免不同的地之间产生反击。
b）电源部分防雷设计。根据雷电流大、防雷器存在残压及设备耐冲击水平低的特性，应遵循多级保护，层层泻能的原则，选择安装避雷器，进行电源线路的过压保护。信号系统的防雷设计。机房的数据通信线路有以太网双绞线、DDN专线、光纤线路以及电话c
线备份线路，对进出机房的所有通信线路进行防雷处理，才能保护机房的安全。6
nKaeerKAca-
7.1.4.5防潮
满足GB50174一2017中环境要求中温湿度要求主机房的环境温度、相对湿度要求：a）温度：5℃~45℃；
b）相对湿度：8%~80%；
温度变化率：<5℃/h（不得结露）。7.1.4.6防盗
GB/T39403-—2020
计算机机房应装设监控系统，实行24小时值班制度，出入口应安装防盗安全门，窗户应安装金属防护装置。
可监控物理环境的人口，并在入口设置门禁，门禁能够自动记录日志，管理人员能够查看、审计门禁记录。
电力安全
机房应有专用可靠的供电线路，其电源设备应提供可靠的电源，供电电源应满足下列要求：频率：（50±1)Hz；
电压：380V/220V；
变动幅度：-15%~10%；
相数：三相五线制或三相四线制或单相三线制；d）
波形失真率：≤士10%。
供电电源设备的容量应有一定的余量。在机房出入口处或值班室·应设置应急电话和应急断电装置机房信息系统的各设备走线不得与空调设备、电源设备的无电磁屏蔽的走线平行。交叉时，应尽量以接近于垂直的角度交叉，并采取防延燃措施。机房信息系统接地应采用专用地线。专用地线的引线应和大楼的钢筋网及各种金属管道绝缘机房信息系统应装设容量充足的UPS机房应装设备用电源和自备发电机。7.2
2PAAS层安全防护要求
7.2.1工业数据接入及管理安全
工业数据加密
应对用户信息、订单信息等重要工业数据实施加密存储。2敏感工业数据保护
工业数据输出到平台以外时应进行脱敏处理，严格保护用户敏感信息不泄露。7.2.1.3
工业数据备份
应提供工业数据本地备份及恢复功能，全部工业数据每周备份一次，新增工业数据应每天备份一次。
rKaeerKAca-
GB/T39403—2020
7.2.2统一运行环境安全
7.2.2.1登录认证
登录认证的要求应包含以下内容：对存储用户个人信息及用户服务信息的业务，应对用户实施身份认证；a
提供登录功能的开发环境应启用登录失败处理功能，比如采取结束会话、限制非法登录次数及自动退出等方法；
提供登录功能的开发环境应启用用户身份唯一性检查功能，确保用户身份标识不重复，并启用c
用户认证信息复杂度功能检查，防止身份认证信息被轻易冒用；d)
应对用户账号及口令信息实施加密存储。访问控制
访问控制的要求应包含以下内容：a)
应配置用户访问控制策略，严格限制默认用户的访问权限；b）
应限制用户的访问权限，根据业务需要配置用户所需的最小权限，严格按策略要求控制用户访问业务、数据和网络资源等：
用户与开发环境的通信双方中任何一方超出一定时间无响应时，另一方应自动结束会话。c）
服务接入安全
服务接入安全的要求应包含以下内容：a）应对外部组件接人接口采取安全管控措施，通过接口代码审计、黑白名单等控制措施保证接口协议操作交互符合接口规范；
应监控服务接入关键接口的调用频率、调用来源等调用情况7.2.2.4应用接入安全
应用接人安全的要求应包含以下内容：a)
对应用接入的开放接口调用应采取认证措施；b）通过开放接口生成的业务应用和应用程序在用户下载之前应进行安全检测；c)
应制定应用接入开放接口的管理机制及网络安全应急管理制度。7.2.2.5
容器隔离
应采用内部SDN网络实现容器的网络隔离。7.2.2.6
多租户隔离
多租户隔离应包含以下内容：
系统本身元数据和基础数据的隔离（用户、角色、权限、数据字典、流程模板）；a)
系统运行过程中产生的动态数据的隔离；业务系统所涉及的计算资源和存储资源的隔离。c
日志审计
日志审计的要求如下：
应对每个用户的关键操作进行审计：a)
rrKaerKAca-
GB/T39403-—2020
b）审计内容应包含用户的重要行为、资源使用及重要操作命令等安全相关事件；c）
审计记录应包括事件的日期、时间、类型、描述和结果等，并按相关法律法规要求保留一定期限；
应对审计记录进行安全保护，保证审计记录在有效期内不会受到非授权的访问、篡改、覆盖及d)
删除等操作：
e）应能按需求提供与用户相关的审计信息和审计分析报告。7.2.3工业模型及算法安全
7.2.3.1模型及算法接入安全
模型及算法接人安全的要求如下：应对使用模型及算法的用户进行认证，针对不同接入方式的模型及算法用户，应采用不同的认a）
证方式进行认证；
b）需要检查用户使用模型及算法的合法性及有效性。7.2.3.2模型及算法访问控制
模型及算法访问控制的要求如下：a）
应对授权主体配置访同控制策略，并严格限制默认用户的访权限：b）
应严格限制各用户的访问权限，按安全策略要求控制用户对模型及算法的访问；应周期性检查用户操作模型及算法的情况，统一管理模型及算法使用权限：d）
如需将收集到的信息共享给第三方应用，应对信息进行脱敏处理，严格保护用户隐私不被泄露。
7.2.3.3模型及算法流量控制
应配置模型及算法流量控制策略，按照策略要求控制流量，保障模型及算法的高可用性。7.2.3.4模型及算法存储安全
模型及算法存储安全的要求如下：a）应禁止对模型计算法存储区域内的原始数据进行增加、修改、删除等操作，以保证原始数据的可用性及完整性；
b）应禁止将模型及算法产生的中间过程数据与原始数据存储于同一空间，以防止数据使用的混乱，加大数据存储的管理难度；c
不同模型及算法之间应进行关联性隔离，防止不同模型及算法之间的事件-条件-动作规则(ECA规则)分析，产生数据泄露。7.3SAAS层安全防护要求
7.3.1应用漏洞及异常检测
应用漏洞及异常检测的要求如下：应能检测和避免存在常见的网络漏洞（Web漏洞），比如SQL注人、跨站脚本、跨站请求伪a)
造等；
应能检测挂马、暗链等网络业务系统（Web业务系统）入侵事件，并能进行应急处理；b）
c）应能检测和避免Web业务系统域名、访问链路的异常、访问延迟、解析错误等情况，并能进行应急处理。
nKaeerKAca-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。