1 范圍

      本標準規定了辦公信息系統的安全基本技術要求。

      本標準適用于指導黨政部門的辦公信息系統建設，包括在系統設計、產品采購、系統集成等方面應遵循的基本原則，以及應滿足的基本技術要求。涉密辦公信息系統的建設管理依據相關國家保密法規和標準要求實施。

2 規范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 2887-2011 計算機場地通用規范

      GB/T 18018 信息安全技術 路由器安全技術要求

      GB 18030-2005 信息技術 中文編碼字符集

      GB/T 20272 信息安全技術 操作系統安全技術要求

      GB/T 20273 信息安全技術 數據庫管理系統安全技術要求

      GB/T 20275-2013 信息安全技術 網絡入侵檢測系統技術要求和測試評價方法

      GB/T 20281-2015 信息安全技術 防火墻技術要求和測試評價方法

      GB/T 21028-2007 信息安全技術 服務器安全技術要求

      GB/T 21050-2007 信息安全技術 網絡交換機安全技術要求（評估保證級3）

      GB/T 21052-2007 信息安全技術 信息系統物理安全技術要求

      GB/T 22239-2008 信息安全技術 信息系統安全等級保護基本要求

      GB/T 25069-2010 信息安全技術 術語

      GB/T 26856-2011 中文辦公軟件基礎要求及符合性測試規范

      GB/T 28452-2012 信息安全技術 應用軟件系統通用安全技術要求

      GB/T 29240-2012 信息安全技術 終端計算機通用安全技術要求與測試評價方法

      GB/T 33190-2016 電子文件存儲與交換格式 版式文檔

3 術語和定義

      GB/T 25069-2010界定的以及下列術語和定義適用于本文件。

3.1

      辦公信息系統 office information system

      由服務器、桌面PC、操作系統、數據庫管理系統、應用服務器中間件、辦公軟件、網絡設施、應用軟件系統等軟硬件組成，通過數據的收集、存儲、傳遞、管理和處理等手段，提供辦公服務的信息系統。

3.2

      用戶相關信息 user related information

      使用辦公信息系統的自然人或法人的信息及其元數據。

      注：用戶相關信息包括用戶個人信息，辦公信息系統中用戶生成的文檔、程序、多媒體資料，用戶通信的內容、地址、時間，產品的配置、運行及位置數據等。

3.3

      第三方測試機構 third party test organization

      與產品供應方、產品應用方等相關各方均獨立的專業測試機構。

4 縮略語

      下列縮略語適用于本文件。

      BIOS：基本輸入輸出系統（Basic Input Output System）

      CA：認證授權（Certificate Authority）

      CPU：中央處理器（Central Processing Unit）

      PC：個人計算機（Personal Computer）

      USB：通用串行總線（Universal Serial Bus）

5 基本原則

5.1 標準符合原則

      辦公信息系統所采用的軟硬件產品在功能性、性能、可靠性、安全性等方面應符合相關的國家標準。

5.2 開放兼容原則

      辦公信息系統所采用的軟硬件產品應在同類產品之間可替換，并支持兩種或以上操作系統架構，相關產品之間應具備良好的兼容適配性，保證辦公信息系統的互操作性和可移植性。

5.3 安全性原則

      辦公信息系統軟硬件產品提供商應當為其產品、服務持續提供安全維護；不得在產品中預置、加載禁用安全機制或繞過安全機制的功能；承諾在產品維護升級更新活動中，不侵害用戶信息安全；收集用戶個人敏感信息前，應取得用戶的明示同意；不將搜集掌握的用戶相關信息在境外存儲和處理，不得泄退止提供安全維護。

6 技術要求

6.1 概述

      本章對辦公信息系統部署和運維的物理環境提出了要求，并對辦公信息系統的重要組成部分，包括基礎軟硬件產品、網絡設施、應用軟件系統提出了要求。

6.2 通用要求

      辦公信息系統應按照GB/T 22239-2008的第三級及以上要求進行設計、建設和運維。

6.3 物理環境

      辦公信息系統的物理環境應滿足以下要求：

      a）辦公信息系統部署、運維的機房建設應符合GB/T 2887-2011的相應要求；

      b）辦公信息系統部署、運維的物理環境應符合GB/T 21052-2007的相應要求。

6.4 基礎軟硬件產品

6.4.1 硬件產品

6.4.1.1 服務器

6.4.1.1.1 服務器硬件指標

      服務器硬件指標應符合GB/T 21028-2007中第三級及以上安全要求。

6.4.1.1.2 BIOS

      服務器的BIOS要求主要包括：

      a）BIOS的配置界面應支持中文顯示；

      b）BIOS應支持固件軟件安全升級；

      c）針對CPU及芯片組固件驅動、操作系統內核等，BIOS應支持上述設備經過國家認可的第三方CA機構頒發的代碼簽名驗證。

6.4.1.2 桌面PC

6.4.1.2.1 桌面PC硬件指標

      桌面PC硬件指標主要包括：

      a）應符合GB/T 29240-2012中安全技術要求第三級及以上要求；

      b）應提供禁止無線網絡模塊、紅外模塊、藍牙模塊、接入USB設備的功能。

6.4.1.2.2 BIOS

      桌面PC的BIOS要求主要包括：

      a） BIOS的配置界面應支持中文顯示；

      b）BIOS應支持固件軟件安全升級；

      c）針對CPU及芯片組固件驅動、操作系統內核等，BIOS應支持上述設備經過國家認可的第三方CA機構頒發的代碼簽名驗證。

以上為標準部分內容，也可點擊下方鏈接下載標準原文：

下載地址：《GB/T 37095-2018 信息安全技術 辦公信息系統安全基本技術要求》