DB3205/T 1042-2022 数字政府 城市网络安全评价指标体系

ICS35.020

CCSA90

DB3205

苏州市地方标准

DB3205/T1042—2022

数字政府城市网络安全评价指标体系

Digitalgovernment-Citycybersecurityevaluationindexsystem

2022-08-19发布2022-08-26实施

苏州市市场监督管理局发布

DB3205/T1042—2022

目次

前言.......................................................................................................................................................................II

引言.....................................................................................................................................................................III

1范围...................................................................................................................................................................1

2规范性引用文件...............................................................................................................................................1

3术语和定义.......................................................................................................................................................1

4缩略语...............................................................................................................................................................1

5基本原则...........................................................................................................................................................2

6政策规范实施...................................................................................................................................................2

6.1基本制度规范实施...............................................................................................................................2

6.2等级保护制度实施...............................................................................................................................2

6.3关键信息基础设施保护实施...............................................................................................................2

6.4安全审查制度实施...............................................................................................................................2

6.5应急管理实施.......................................................................................................................................3

7风险控制...........................................................................................................................................................3

7.1网络犯罪控制.......................................................................................................................................3

7.2威胁和漏洞通报...................................................................................................................................3

7.3事件监测、评估与响应.......................................................................................................................4

7.4信息共享...............................................................................................................................................4

7.5城市整体防护.......................................................................................................................................4

7.6数据安全...............................................................................................................................................5

8网络安全文化...................................................................................................................................................5

8.1网络安全宣传与活动...........................................................................................................................5

8.2网络安全报送机制...............................................................................................................................5

8.3网络安全人才培养...............................................................................................................................5

9研究创新...........................................................................................................................................................6

9.1网络安全创新投资...............................................................................................................................6

9.2网络安全创新环境...............................................................................................................................6

9.3网络安全创新水平...............................................................................................................................6

10发展协同.........................................................................................................................................................6

10.1网络安全产业发展.............................................................................................................................6

10.2政企合作.............................................................................................................................................7

10.3跨城市合作.........................................................................................................................................7

10.4网络安全市场.....................................................................................................................................7

附录A（资料性）评价方法原理........................................................................................................................8

附录B（资料性）评价细则..............................................................................................................................10

参考文献...............................................................................................................................................................18

I

DB3205/T1042—2022

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起

草。

本文件由苏州市市委网信办、苏州市公安局提出。

本文件由苏州市公安局归口。

本文件起草单位：苏州市公安局、国家计算机网络与信息安全管理中心江苏分中心、苏州市质量和

标准化院、三六零科技集团有限公司、北京鸿腾智能科技有限公司、苏州如意云网络科技有限公司、北

京天云海数技术有限公司、北京信息科技大学。

本文件主要起草人：李晶、庄唯、袁欣、厉白、高威、朱泽洲、赵云、顾弘、周文渊、高昕、许蔓

舒、何宛罄、姚一楠、张彬哲、王志威、张记卫、罗冬雪、张欣艺、钱国祥、李冬月、薛陈根、金临耘。

本文件为首次发布。

DB3205/T1042—2022

引言

从世界范围看，日益突出的网络安全威胁和风险，对组织机构和公共设施的危害日益严重，进而阻

碍城市正常运转，甚至瘫痪城市运作。城市正在成为网络威胁的受害者，评价数字化时代城市发展与安

全建设，是世界各国共同面对的一个难题。因此，对城市进行网络安全评价，全面掌握城市网络安全的

状况和存在的问题，是保障城市网络安全的前提，也是支撑城市正常运行的基础。

本文件对城市网络安全评价指标体系进行标准化设计，构建合理的评价指标体系框架，从多维度反

映城市网络安全体系的能力和运行状态，并形成与之匹配的、具备可操作性的评价方法，进而为城市网

络安全体系改进和城市管理部门决策提供科学、合理的支撑。

本文件提出的城市网络安全评价指标，是一个逐级展开的三层指标体系框架，其中一级指标设定了

政策规范实施、风险控制、网络安全文化、研究创新和发展协同，规定了城市网络安全评价的主要维度；

二级指标设定了对应一级指标的基本要素；三级指标对应二级指标的具体评估内容和要求。

本文件旨在为县级行政区和地级市开展相关工作提供参考。在实际应用中，可根据实际业务进行调

整，具体包括：确定评价范围、决定开展全面评估还是局部评估，以及对考核内容和权重进行调整等，

以符合当前城市状况和当地网络安全建设战略。

III

DB3205/T1042—2022

数字政府城市网络安全评价指标体系

1范围

本文件给出了城市网络安全评价指标体系的基本原则、政策规范实施、风险控制、网络安全文化、

研究创新、发展协同等内容。

本文件适用于城市网络安全评价工作。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件，不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T25069信息安全技术术语

GB/T28448-2019信息安全技术网络安全等级保护测评要求

GB/T36637-2018信息安全技术ICT供应链安全风险管理指南

3术语和定义

GB/T25069界定的以及下列术语和定义适用于本文件。

3.1

城市网络安全citycybersecurity

整个城市包括政府、机构和个人在内的主要实体，在网络空间中所面对的风险和应对状况。

3.2

监测monitoring

通过部署探针，收集城市重要资产的安全状况。

3.3

评价evaluate

采集指标体系相关数据，通过专家评估或分析计算，得出反映现实状况的结果。

3.4

信息技术应用创新产业informationtechnologyapplicationinnovationindustry

以信息技术产业为根基，通过科技创新，构建国内信息技术产业生态体系，简称信创。

4缩略语

下列缩略语适用于本文件。

ICT：信息与通信技术（Informationandcommunicationstechnology）

PC：个人计算机（Personalcomputer）

APP：移动互联网应用程序（Application）

1

DB3205/T1042—2022

5基本原则

城市网络安全评价指标体系的确立主要符合以下原则：

a）全面性——覆盖城市网络安全体系的组织、管理、技术、运行和社会基础等方面；

b）代表性——有效刻画城市网络安全体系能力和状态的特定维度和方面；

c）可比性——不同城市和城市不同阶段都可根据指标进行科学比较；

d）可考核性——通过访谈、检查、测试和监测等多种手段实现可靠、科学的收集历史和当前数据，

进而开展综合评价，评价方法可参考附录A，评价细则可参考附录B；

e）可扩展性——根据实际发展情况对指标体系框架进行修订；

f）前瞻性——体现城市网络安全防护发展趋势，引导城市网络安全体系建设、运行与调整。

6政策规范实施

6.1基本制度规范实施

通过相关工作制度、工作流程及规范，统筹与推进国家网络安全等级保护制度、关键信息基础设施

保护制度、应急管理制度等法律法规规定要求的制度，并统筹各类安全审查制度，在财力、物力、人力

等方面多维度保障制度规范实施。

6.2等级保护制度实施

6.2.1定级备案

根据国家网络安全等级保护制度相关要求，组建专家团队，主导定级备案工作，为区域各单位定级，

保障定级备案工作覆盖全区所有单位及重点业务。

6.2.2测评整改

根据国家网络安全等级保护制度相关要求，监管测评机构参考GB/T28448-2019开展网络安全测评

工作，在安全建设与自查整改中提供技术指导和专家人员支持。

6.3关键信息基础设施保护实施

6.3.1识别认定

各保护工作部门结合本行业、本领域实际，制定关键信息基础设施认定规则，并组织认定本行业、

本领域的关键信息基础设施。

6.3.2安全监督

指导监督运营者在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全

事件，防范网络攻击和违法犯罪活动，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密

性和可用性，并采取必要措施，优先保障能源、电信等关键信息基础设施安全运行。

6.3.3自主可控

为关键信息基础设施信息化工作的信创工作提供必要的政策、资金支持，鼓励保护工作部门有序实

施信创工程。

6.4安全审查制度实施

2

DB3205/T1042—2022

6.4.1ICT供应链安全审查

指导监督区域重要系统或关键信息基础设施ICT供应链安全管理工作，通过专业工作小组按照GB/T

36637-2018要求定期检查ICT供应链安全风险管理过程与控制措施情况。

6.4.2政府采购安全审查

采取必要的措施，保证政府采购计划、采购活动及信息化运维过程的网络安全持续投入，通过项目

评审及专业的工作小组定期检查安全投入情况。

6.4.3外资并购安全审查

为外资并购提供政策与流程支持，监测外资并购活动可能产生的风险，通过专业的工作小组定期评

估外资并购活动风险。

6.4.4信息安全相关审查

组织专业队伍评估区域采购的关键网络产品和服务安全风险，对发生重大安全事故的单位，展开强

制安全审查工作。

6.5应急管理实施

6.5.1应急预案

结合区域网络安全环境，制定区域化的网络安全应急预案，并监督区域各单位制定各自应急预案。

6.5.2演习演练

定期组织演练，检验和完善预案，提高实战能力，并记录演练情况。

7风险控制

7.1网络犯罪控制

7.1.1网络犯罪防范

针对网络犯罪危害情况，建立与完善城市网络犯罪防范体系，对网络犯罪进行预警、阻断和劝阻，

并与上级或其他公安机关协同防范。

7.1.2网络犯罪打击

针对网络犯罪手段情况，建立城市网络犯罪打击体系，对网络犯罪进行侦查、研判和溯源，并建立

联合侦办机制。

7.2威胁和漏洞通报

7.2.1威胁预警

建立网络安全威胁预警机制，构建与维护威胁情报库，及时发布威胁信息。

7.2.2漏洞披露

3

DB3205/T1042—2022

建立漏洞披露机制，构建漏洞库和漏洞披露机制，定期向社会发布漏洞、危害、修补措施等信息，

推动区域内漏洞的修复。

7.3事件监测、评估与响应

7.3.1事件监测

建立网络安全事件监测机制，成立专项工作组和专业监测技术团队，制定与执行事件的监测和报送

流程。

7.3.2事件评估

建立网络安全事件评估机制，成立专项工作组和安全事件研判团队，对安全事件中发现的威胁信息

进行关联分析，给出评估结论。

7.3.3事件响应

建立网络安全事件应急响应机制，制定城市网络安全事件的管理制度和处置流程，并组建相关技术

团队和平台支撑相关事件响应活动。

7.4信息共享

7.4.1威胁情报共享

建立网络安全威胁情报共享机制，导入城市网络安全威胁流量监测数据，规范威胁情报的收集、存

储与分发，及时发布最新的威胁情报。

7.4.2安全大数据共享

建立网络安全大数据共享机制，规范安全大数据的采集、存储、分析与分发，支撑城市网络风险控

制。

7.5城市整体防护

7.5.1测绘与资产管理

建立网络安全测绘与资产管理机制，通过测绘掌握城市网络空间资产清单，明晰城市网络安全防护

范围。

7.5.2网络安全状态监测

对于城市重要信息资源，从个人、组织和城市三个角度开展城市网络安全状态监测，综合感知与分

析暴露在互联网上的个人终端、网站、APP和重要系统所遭遇的主要网络攻击情况。

7.5.3体系建设与运行

建立城市网络安全防护体系，统筹与协同城市各政府部门、各机构和社会力量，有序应对重大网络

安全事件与威胁。

7.5.4基础设施建设

建立城市网络安全基础设施，组建安全专家团队运营各项网络安全基础设施，支撑各项城市网络安

全风险控制的开展与落实。

4

DB3205/T1042—2022

7.6数据安全

7.6.1数据分类分级

建立数据分类分级管理制度，制定相关方案与措施，推进数据排查和安全治理。

7.6.2数据安全保护

建立不同数据处理活动的安全保护机制，制定与执行数据保护和应急响应的方案与措施，并开展相

关宣传与培训。

7.6.3数据安全流通