ICS 35.240 A90 GA 中华人民共和国公共安全行业标准 GA/T912—2018 代替GA/T912—2010 信息安全技术 数据泄露防护产品 安全技术要求 Information security technology-Security technical requirements for data leakagepreventionproducts 2018-01-26发布 2018-01-26实施 中华人民共和国公安部 发布 GA/T912—2018 前言 本标准按照GB/T1.1一2009给出的规则起草， 本标准代替GA/T912一2010《信息安全技术 主机数据泄露防护产品安全技术要求》，与 GA/T912一2010相比主要技术变化如下： 修改了等级划分要求，将等级划分为基本级和增强级两级（见第9章，2010年版的第7章）； 将针对主机的主机型数据泄露防护产品和针对网络的网络型数据泄露防护产品统一整合为数 据泄露防护产品（见第5章）； 采用通过识别数据内容的方式进行泄露防护，删除了端口、协议禁用等防泄漏方式（见第7章， 2010年版第4章）； 增加了对数据的语言支持（见第7章)； 一增加了策略调整功能，应根据被防护的数据内容进行识别方法和规则的调整（见第7章）； 增加了防止数据二次泄露的技术要求（见第7章）。 本标准由公安部网络安全保卫局提出。 本标准由公安部信息安全标准化技术委员会归口。 本标准起草单位：公安部计算机信息系统安全产品质量监督检验中心、公安部第三研究所、杭州世 平信息科技有限公司、思睿嘉得（北京）信息技术有限公司、合肥赛祝腾龙信息技术有限公司、北京关融 信网络安全技术有限公司。 本标准主要起草人：李旋、吴其聪、沈亮、李毅、赵婷、顾玮、徐建忠、董靖、张晶、刘斯宇。 本标准所代替标准的历次版本发布情况为： GA/T912—2010。 I GA/T912—2018 信息安全技术数据泄露防护产品 安全技术要求 1范围 本标准规定了数据泄露防护产品的安全功能要求、安全保障要求及等级划分要求 本标准适用于数据泄露防护产品的设计、开发与测试。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件 GB/T18336.3—2015信息技术安全技术 信息技术安全性评估准则 GB/T25069—2010信息安全技术术语 3术语和定义 GB/T18336.3一2015和GB/T25069一2010界定的以及下列术语和定义适用于本文件。 3.1 数据泄露防护 dataleakageprevention 防止数据以未授权的方式流出安全域的行为 3.2 数据泄露防护产品 data leakage prevention product 防止数据以非授权的形式流出安全域的产品 4缩略语 下列缩略语适用于本文件 HTTP：超文本传输协议（HyperTextTransferProtocol) SMTP：简单邮件传输协议（SimpleMailTransferProtocol) FTP：文件传输协议（FileTransferProtocol) IM：即时通讯（InstantMessaging) SMS：短消息业务（ShortMessagingService） HTTPS：超文本传输协议（HyperTextTransferProtocoloverSecureSocketLayer) C 数据泄露防护产品描述 数据泄露防护产品通过对运行、存储于主机内或者网络中传输的文件、数据进行内容识别，对数据 的操作和传输过程进行监视和控制，实现对数据以非授权的形式流出安全域进行防护的功能；同时该类 产品还应具有基本的身份鉴别、安全管理、审计和报警功能。该类产品的部署和实现方式可分为主机 1 GA/T912—2018 型、网络型或综合型（包含主机客户端和网络设备），主机型数据泄露防护产品的拓扑图如图1所示，网 管理控 制台 终端服 终端服 务器 务器 主机客户端（发现、阻断/放行） 主机客户端（发现、阻断/放行） 图1 主机型数据泄露防护产品拓扑图 接入交换机 代理服务器 边界设备 Wel IM 不可信网络 图 三 数据露防护产品 （发现、阻断/放行） 图2 网络型数据泄露防护产品拓扑图 6 数据泄露防护产品总体说明 6.1 安全技术要求分类 本标准将数据泄露防护产品安全技术要求分为安全功能和安全保障要求两类。其中，安全功能要 求是对数据泄露防护产品应具备的安全功能提出具体要求，包括数据输出方式监测、数据内容识别、数 据泄露防护响应动作、策略调整、安全策略不可旁路、安全管理、审计功能和报警；安全保障要求针对数 据泄露防护产品的开发和使用文档的内容提出具体的要求，例如配置管理、交付和运行、开发和指南文 件等。 2 GA/T912—2018 6.2 2安全等级划分 本标准按照数据泄露防护安全功能的强度划分安全功能要求的级别，按照GB/T18336.3一2015 划分安全保障要求的级别。安全等级突出安全特性，分为基本级和增强级，安全功能强弱和安全保障要 求高低是等级划分的具体依据。 7安全功能要求 7.1 数据输出方式监测 产品应能够对用户使用如下途径进行数据传输或操作的行为进行监测，包括： a 存储介质（包括：光盘、闪存盘、硬盘、存储卡等）； b) 接口方式（包括：蓝牙等）； c) 基于网络的数据泄露防护（包括：网页提交、IM工具、文件共享、邮件等）； d) 打印输出方式的数据泄露防护（包括：网络打印、本地打印）； e) 剪切板、拷贝方式； f) 自定义的应用程序（包括：云应用）。 7.2 数据内容识别 7.2.1 文件数据内容识别 产品应对文件中的数据内容进行识别，能够被识别的文件包括： 文档类文件（文本文档、office文档、wps文档、pdf文档等）； b) 压缩类文件（rar、zip等）； c) 图像类文件（jpg、bmp等）； d) 其他自定义格式的文件。 其中b)项嵌套压缩层数不小于3层。 7.2.2 网络协议数据内容识别 产品应对网络协议中的数据内容进行识别，能够被识别的网络协议包括： a) HTTP协议； b) FTP协议； c) SMTP协议； d) 文件共享类协议； e) IM类协议； f) HTTPS协议。 7.2.3 支持的语言格式 产品应支持识别不同语言类型的数据内容，能够支持的语言包含： a） 简体中文和英文； b) 繁体中文、日文、德文和其他小语种（包括蒙文、藏文、维吾尔文等）。 7.3 3数据泄露防护的响应动作 产品应能够按照预定义的策略对需要被识别的数据的操作或传输的行为进行控制，控制粒度包括： 3