本标准规定了环境信息系统的物理安全、网络安全、主机安全、应用安全、数据安全与备份恢复、系统建设、系统运维、终端与办公安全的安全要求。
本标准适用于国家环境保护业务专网内的环境信息系统的规划、设计、开发、运行及维护等各个阶段。
本标准内容引用了下列文件或其中的条款。凡是不注明日期的引用文件，其有效版本适用于本标准。
GB/T 5271.8-2001 信息技术 词汇
GB/T 17859-1999 计算机信息系统 安全保护等级划分准则
GB/T 20270-2006 信息安全技术 网络基础安全技术要求
GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求
GB/T 20282-2006 信息安全技术 信息系统安全工程管理要求
GB/T 20988-2007 信息系统灾难恢复规范
GB/T 21052-2007 信息安全技术 信息系统物理安全技术要求
GB/T 22239-2008 信息系统安全等级保护基本要求
GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南
GB/T 25070-2010 信息安全技术 信息系统等级保护安全设计技术要求
GB/T 50052-2009 供配电系统设计规范
GB/T 50174-2008 电子信息系统机房设计规范
HJ 511-2009 环境信息化标准指南
GB/T 5271.8-2001 第八部分 安全 中确立的术语和定义，以及下列术语和定义适用于本标准。
3.1 信息系统 information system
用于采集、处理、存储、传输、分发和部署信息的整个基础设施、组织结构、人员和组件的总和。
3.2 信息系统安全 information system security
使用合理安全措施保护信息系统中的信息在存储、处理或传输等过程中不会被未授权用户访问，并保障授权用户能够正常使用系统。
3.3 机密性 confidentiality
数据所具有的特性，表示数据所达到的未提供或未泄露给未授权的个人、过程或其它实体的程度。
3.4 完整性 integrity
保证信息及信息系统不会被有意地或无意地更改或破坏的特性。
3.5 可用性 availability
保证信息和通信服务能够按预期投入使用的特性。
3.6 安全域 security domain
一个逻辑范围或区域，在同一安全区域中的各信息单元具有相同或相近的安全等级或安全防护需求，安全服务的管理员定义和实施统一的安全策略。它是从安全策略的角度划分的区域。
3.7 威胁 threat
来自于信息系统外部的，能够通过未授权访问、毁坏、泄露、数据修改和/或拒绝服务对信息系统造成潜在危害的任何环境或事件。
3.8 风险 risk
表现为一种可能性，由威胁发生的可能性、威胁所能导致的不利影响以及影响的严重程度共同决定。
环境信息系统安全保护的对象包括国家环境保护业务专网范围内的信息网络、业务系统、环境信息及其物理环境、支撑性基础设施与安全设备设施等。
4.1 环境信息网络
环境信息系统安全保护的网络对象是国家环境保护业务专网范围内的各个信息网络，国家环境保护业务专网包括国家、省、地市、县四级，网络结构如图 1 所示。
图 1 环境保护业务专网网络结构示意图
4.2 环境信息应用系统
环境信息系统安全保护的业务对象是环境信息系统中运行的各类环境业务应用系统，依据HJ511-2 009，环境信息系统按业务应用类型可以分为环境保护核心业务应用系统和综合应用系统两大类，其中：
a) 环境保护核心业务应用系统包括环境监测管理、污染监控管理、生态保护管理、核安全与辐射管理、环境应急管理信息系统。各系统的作用分别为：
1) 环境监测管理信息系统用于实现对全国环境质量数据（包括环境空气、地表水、地下水、声环境、近岸海域、酸雨、沙尘暴等数据）的管理，并覆盖生态监测、污染源监测等业务；
2) 污染监控管理信息系统覆盖污染控制管理、环境监察管理以及环境影响评价和环境统计等业务；
3) 生态保护管理信息系统覆盖区域生态环境管理、农村环境保护管理、生物多样性保护等业务；
4) 核安全与辐射管理信息系统覆盖核设施与材料监督管理、放射源监督管理、辐射环境监测管理；
5) 环境应急管理信息系统覆盖环境应急指挥调度、环境应急监测管理、环境应急决策支持、环境应急现场处置管理、环境突发事件后评估等业务。
b) 环境保护综合应用系统包括各类行政办公管理信息系统、环境保护政府网站、环境科技管理信息系统、环境政策法规管理信息系统、环境财务与资产管理信息系统和环境外事管理信息系统等综合性的、为核心业务应用系统提供支持与服务的应用系统。
4.3 环境信息
环境信息系统安全保护的信息对象是环境信息系统中的各类业务与办公信息，其中信息类型分为公开信息和部门信息两类，根据不同类别的信息应采取不同的保护措施，其中：
公开信息是在互联网上可以向公众完全开放的环境信息，对公开信息的保护应保证信息的完整性和可用性。
部门信息只限于各级环境保护部门人员访问，主要包括不宜公开的工作信息、政府的商业秘密、个人隐私等。部门信息分为部门公开信息和部门受控信息两种，部门公开信息允许所有各级环境保护部门人员访问，部门受控信需要经授权允许的各级环境保护部门人员才能访问。
环境信息系统安全目标是保持环境信息系统的持续可用和可靠，为国家环境保护工作正常运行提供有力的支撑，保护环境保护信息系统中的信息网络、业务系统、环境信息及其物理环境、支撑性基础设施与安全设备设施等，防止来自内、外部的非法攻击与损坏。
环境信息系统安全建设应符合国家的信息安全规范的相关要求，遵照国家等级保护的相关规定，参考国际上的安全标准，并且以风险防范为核心加强环境信息安全保护建设。环境信息系统中有关安全保密问题应遵守国家保密相关规定。
环境信息系统安全保障体系在风险评估的基础上，通过安全管理体系、安全技术体系的建设实现不同等级保护对象、不同安全域的安全保护。环境信息系统安全保障体系见图 2。
更多标准内容点击以下链接获取标准全文:
下载地址:《HJ 729-2014 环境信息系统安全技术规范》
