ICS35. 040 L 80 中 华 人 民 共 和 国 国 家 标 准 GB/T 37952—2019 信息安全技术 移动终端安全管理平台技术要求 I n f o rma t i ons e c u r i t e chno l o yt gy— Te chn i c a lr equ i r emen t so fmob i l et e rmi na ls e c u r i t emen tp l a t f o rm ymana g 2019 08 30 发布 2020 03 01 实施 国家市场监督管理总局 中国国家标准化管理委员会 发 布 GB/T 37952—2019 目 次 前言 ………………………………………………………………………………………………………… Ⅲ 1 范围 ……………………………………………………………………………………………………… 1 2 规范性引用文件 ………………………………………………………………………………………… 1 3 术语和定义 ……………………………………………………………………………………………… 1 4 缩略语 …………………………………………………………………………………………………… 1 5 产品描述 ………………………………………………………………………………………………… 1 6 安全技术要求 …………………………………………………………………………………………… 2 6. 1 基本级安全技术要求 ……………………………………………………………………………… 2 6. 2 增强级安全技术要求 ……………………………………………………………………………… 7 附录 A (资料性附录) 等级划分要求 …………………………………………………………………… 14 附录 B (资料性附录) 典型应用场景 …………………………………………………………………… 16 Ⅰ GB/T 37952—2019 前 言 本标准按照 GB/T1. 1—2009 给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由全国信息安全标准化技术委员会( SAC/TC260)提出并归口。 本标准起草单位:中国信息安全研究院有限公司、公安部第三研究所、中国电子技术标准化研究院、 国家工业信息安全发展研究中心、国家信息技术安全研究中心、中国信 息 安 全 测 评 中 心、中 国 网 络 安 全 审查技术与认证中心、国家信息中心、国家计算机病毒应急处理中心、上海理 想 信 息 产 业(集 团)有 限 公 司、北京北信源软件股份有限公司、上海工业控制安全创新科技有限公 司、北 京 中 科 智 咨 数 据 科 技 有 限 公司、华东师范大学、北京时代新威信息技术有限公司、中电智能信息科技(深圳)有限公司、西安电子科 技大学、北京航空航天大学、中国传媒大学、重庆邮电大学、安徽科技 学 院、北 京 明 朝 万 达 科 技 股 份 有 限 公司、北京洋浦伟业科技发展有限公司。 本标准主要 起 草 人:杨 晨、张 艳、张 弛、王 惠 莅、左 晓 栋、张 格、陆 臻、顾 键、茹 宗 光、刘 贤 刚、范 科 峰、 梁露露、魏方方、王 嘉 捷、王 石、王 新 杰、毛 剑、马 文 平、肖 荣、钟 力、丁 富 强、贾 雪 飞、杜 振 华、张 哲 宇、 崔占华、王麟嘉、黄一斌、周亚超、胡亚兰、黄永洪、刘 虹、伍 前 红、姜 正 涛、陈 晓 峰、底 兴 本、曹 浩、何 道 敬、 刘雨桁、卢佐华、喻波、崔春霞、刘明君、毕强。 Ⅲ GB/T 37952—2019 信息安全技术 移动终端安全管理平台技术要求 1 范围 本标准规定了移动终端安全管理平台的技术要求,包括安全功能要求和安全保障要求。 本标准适用于移动终端安全管理平台产品的设计、开发与检测,为组织或机构(以下简称“组织”)实 施移动互联应用的安全防护提供参考。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引 用 文 件,仅 注 日 期 的 版 本 适 用 于 本 文 件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。 GB/T18336. 3—2015 信息技术 安全技术 GB/T25069—2010 信息安全技术 术语 信息技术安全评估准则 第 3 部分:安全保障组件 3 术语和定义 3. 1 GB/T18336. 3—2015 和 GB/T25069—2010 界定的以及下列术语和定义适用于本文件。 mob i l et e rmi na l 接入公众移动通信网络、具有操作系统、可由用户自行安装和卸载应用软件的移动通信终端产品。 移动终端 3. 2 mob i l et e rmi na ls e c u r i t eme n tp l a t f o rm ymana g 为增强移动终端的安全性和可控性,通过定制安全策略对移动终端设备、应用等进行统一管理和安 移动终端安全管理平台 全接入控制的产品。 4 缩略语 下列缩略语适用于本文件。 SD 卡:安全数据存储卡( Se cu r eDi i t a lCa r d) g Wi F i:无线局域网接入(Wi r e l e s sF i de l i t y) 5 产品描述 本标准按照 GB/T18336. 3—2015 安全保障要 求 级 别 划 分 的 原 则,依 据 移 动 终 端 安 全 管 理 平 台 的 安全功能要求和安全保障要求的强弱,将安全等级分为基本级和增强 级。基 本 级 可 对 应 支 撑 等 级 保 护 三级以下要求。增强级对应支撑等级保护三级(含)以上要求。等级划分参见附录 A。在增强级中新增 的要求会通过黑体标识。 本标准从安全功能要求和安全保障要求两个方面,规范了移动终端安全管理平台的安全技术要求, 1 GB/T 37952—2019 典型应用场景参见附录 B。安 全 功 能 要 求 包 括 终 端 管 理、应 用 管 理、数 据 安 全、终 端 接 入 控 制、安 全 管 理、客户端保护和安全审计等七个方面,安全保障要求则主要包括开发、指导性文档、生命周期支持和测 试等方面。 6 安全技术要求 6. 1 基本级安全技术要求 6. 1. 1 安全功能要求 6. 1. 1. 1 终端管理 6. 1. 1. 1. 1 终端注册 应提供对移动终端的注册功能,注册信息包括注册日期、硬 件 型 号、设 备 序 列 号、系 统 软 件 版 本、所 属部门等。 6. 1. 1. 1. 2 远程管理 应支持以下远程管理功能: a) 远程锁定移动终端; b) 远程擦除移动终端存储的敏感业务数据; c) 远程备份移动终端存储的敏感业务数据; d) 授权人员远程设置功能限制策略,至少应包括禁用摄像头、禁止截屏、禁用 Wi F i、限制 SD 卡读 写权限等。 6. 1. 1. 1. 3 存储介质管理 应支持对移动终端外接存储介质的管理、监测等功能,对违规使用行为进行告警和阻断。 6. 1. 1. 1. 4 安全监测 应支持以下监测功能: a) 监测移动终端中恶意程序检测软件的安装、运行情况等; b) 监测移动终端位置信息、运行服务、设备性能、软件版本(至少应包括操作系统等)等信息。 6. 1. 1. 1. 5 口令或生物特征鉴别策略 应支持以下功能: a) 远程设置终端开机口令策略,阻断未设置口令的终端接入,支持生物特征鉴别功能; b) 监测是否设置用户账户口令,阻断未设置用户口令的终端接入; c) 远程设置用户口令策略,至少应包括口令类型、定期更换策略、失败次数限制等。 6. 1. 1. 2 应用管理 应支持授权人员设置应用程序白名单、黑名单的功能,并能够根据白名单、黑名单执行相应的操作。 6. 1. 1. 3 数据安全 6. 1. 1. 3. 1 数据安全传输 应采用加密、数据完整性保护等安全机制,保障终端数据安全可靠传输。 2 GB/T 37952—2019 6. 1. 1. 3. 2 数据安全存储 应支持以下安全存储功能: a) 对服务端中的敏感数据进行加密存储和完整性保护; b) 对服务端中敏感数据实现基于角色或属性等的授权访问控制; c) 对移动终端、外置存储设备存储的敏感数据应进行加密处理,并能擦除未加密的敏感数据; d) 对移动终端、外置存储设备存储的敏感数据进行完整性保护。 6. 1. 1. 3. 3 数据防泄露 应支持敏感数据防泄露安全策略 配 置,对 终 端 中 业 务 系 统 数 据 进 行 实 时 监 测,支 持 数 据 内 容 的 扫 描、过滤和敏感数据外传阻断等功能。 6. 1. 1. 3. 4 个人信息保护 应采取必要的措施,确保移动终端和服务端存储的个人信息安全,防止信息泄露、毁损、丢失等。 6. 1. 1. 4 终端接入控制 6. 1. 1. 4. 1 接入鉴别 应支持仅允许经服务端注册的移动终端接入组织业务系统的功能。 6. 1. 1. 4. 2 访问控制策略 应支持以下访问控制策略配置功能: a) 针对不同终端制定不同的应用资源访问控制策略。 b) 提供以下访问限制能力: ———仅允许授权终端对应用资源进行访问; ———授权终端对应用资源进行访问的内容不能超出预定义的范围; ———授权终端对应用资源进行访问的操作(如对文件、文件夹进行读、写、复制、下载等操作)不 能超出预定义的范围(有则适用); ———授权终端对应用资源进行访问的时间不能超出预定义的范围(有则适用); ———授权终端通过网络对应用资源进行访问时,该终端所使用的移动终端的序列号/地址不能 超出预定义的范围(有则适用); ———授权终端对应用资源进行访问的次数不能超出预定义的范围(有则适用)。 c) 移动终端对应用资源的接入应受访问控制策略的约束。 6. 1. 1. 5 安全管理 6. 1. 1. 5. 1 管理员属性初始化 应支持对授权管理员的账户、口令等属性进行初始化的功能。 6. 1. 1. 5. 2 管理员唯一性标识 应支持授权管理员唯一身份标识功能,并将授权管理员的身份标识与其所有可审计事件进行关联。 6. 1. 1. 5. 3 管理员属性修改 应支持授权管理员属性(至少包括管理员口令)修改功能。 3 GB/T 37952—2019 6. 1. 1. 5. 4 管理员身份鉴别 应在登录和执行重要安全功能操作时,对声称履行授权管理员职责的用户进行身份鉴别,并支持鉴 别失败处理功能,当身份鉴别失败的次数达到指定阈值后,应能阻断鉴别请求。 6. 1. 1. 5. 5 配置管理能力 应