政务计算机终端是支撑政务部门业务工作开展的重要载体,其安全性不仅依赖硬件,更需要系统与软件层面的安全可靠保障。当前,政务办公实践活动不断开展,多样化软件、复杂安全配置以及即时通信等新技术广泛应用,政务办公有了新的安全要求。
2025年6月1日,国家标准管理委员会发布的《网络安全技术政务计算机终端核心配置规范》(GB/T30278-2024,以下简称《配置规范》)正式实施,全面替代此前的两项国家标准,明确了政务计算机终端核心配置对象、配置范围、配置要求、自动化部署及实证要求等内容,为政务计算机终端安全提供切实可落地的规范指引。
通信软件纳入核心配置
降低非授权传播风险
《配置规范》对政务计算机终端的核心配置范围进行了重要扩展。在原有操作系统、办公软件、浏览器等6项核心配置范围基础上,新增通信软件作为第7项核心配置。
"政务移动办公已得到普及,但即时通信软件仍面临着敏感信息泄露、身份冒用等重大安全风险。"某参与《配置规范》起草的业内人士说,“将即时通信软件纳入核心配置范围,旨在降低非授权传播风险。《配置规范》要求此类软件必须强制开启麦克风、摄像头访问提示,并在会话界面显示含身份标识码、姓名及日期的安全水印。"
政府采购信息报记者了解到,《配置规范》结合《信息安全技术网络安全等级保护基本要求》(GB/T22239-2019),将政务计算机的安全控制点增至12个,包括访问控制、入侵防范、恶意代码防范、安全审计、身份鉴别、数据完整性、数据保密性、可信验证、数据备份恢复、剩余信息保护、个人信息保护、应用管控,为政务终端安全提供了多维度的审查依据。
明确配置要求落地路径
确保政务计算机安全可靠
如何确保政务计算机安全可靠?《配置规范》从配置要求、自动化部署、实证方法等方面提出可操作指南。
在配置要求与证实方面,《配置规范》基于12个安全控制点,对7项核心配置范围提出具体要求。例如,身份鉴别要求支持动态口令、指纹、人脸、声纹等多种技术,参与《配置规范》起草的某中心工作人员称:“动态口令和生物识别技术可以有效防止密码泄露和冒用,提高身份验证的安全性。”在身份识别实证层面,《配置规范》明确6种证实方法,如检查账户身份验证机制是否启用、登录失败处理策略等,未达预期结果即判定为不符合要求。
为应对政务终端数量庞大、分布广泛的挑战,《配置规范》提供了规模化场景的解决方案——配备自动化部署及监测平台。某参与《配置规范》起草的业内人士介绍,上述平台含配置编辑、验证、部署、监测4个模块。编辑模块将配置清单转为基线包,验证模块测试基线包可行性,部署模块实现批量更新,监测模块实时监控状态。“该平台是《配置规范》实施的关键,解决了统一配置的难题。”上述业内人士说。
对政务终端采购而言,《配置规范》提供了清晰的安全基线。一位业内资深人士说:“《配置规范》直接影响后续政务计算机终端系统和软件采购需求设置,如明确要求安全防护软件必须启用行为审计功能,保护审计记录完整性,并开启特征库自动更新。将标准条款转化为采购需求,将成为确保供应商产品合规的核心手段。随着新规实施,政务终端安全防护能力有望获得提升,遏制政务数据泄露风险,为政务计算机的自主可控筑牢根基。”