互联网交互式服务安全管理要求 第5部分 论坛服务.pdf

GA1277.5—2020

互联网交互式服务安全管理要求第5部分：论坛服务

1范围

GA1277的本部分规定了论坛服务安全管理要求。

本部分适用于互联网交互式服务提供者落实论坛服务的安全管理制度和安全保护技术措施。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。

凡是不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。

GA1277.1-2020互联网交互式服务安全管理要求第1部分：基本要求

3术语和定义

GA1277.1-2020界定的以及下列术语和定义适用于本文件。

3.1

论坛bulletinboardsystem；BBS

一种交互性强、内容丰富的互联网信息服务类型。

3.2

论坛服务提供商BBSserviceprovider

通过搭建社交网络平台，提供论坛服务的互联网服务商。

3.3

安全管理员securityadministrator

论坛服务提供商委托或授权的负责论坛服务运行安全、服务审计、帐号管理和信息发布审核等职责

的单位或个人。

3.4

论坛用户useroftheBBS

在论坛服务提供商处具有身份注册信息并使用论坛服务的个人。

3.5

匿名用户anonymoususer

在论坛服务提供商处不具有身份注册信息的个人。

4安全管理制度要求

1

GA/T1277.5-2020

论坛服务提供商应根据GA1277.1-2020第4章的要求制订并维护安全管理制度。

5机构要求

论坛服务提供商应根据GA1277.1-2020第5章的要求建立相关机构并明确其职责。

6人员安全管理

论坛服务提供商应符合GA1277.1-2020第6章的要求。

7访问控制管理

7.1基本要求

论坛服务提供商应根据GA1277.1-2020第7章的要求进行访问控制管理。

7.2身份鉴别

论坛服务提供商应对用户进行身份鉴别，并满足以下要求：

a)使用实名信息与用户标识进行关联，如身份证、手机号或第三方登录信息等；

b)用户口令应具有一定复杂性，并根据业务需要提示用户定期更换；

c)必要时采用多因素鉴别方式；

d)采用技术措施防止用户的鉴别信息被未授权访问。

7.3用户权限设置

论坛服务提供商应提供用户权限的设置能力，并满足以下要求：

a)限制用户发布、评论、转发论坛信息；

b)匿名用户仅能浏览未设限制的论坛发布信息。

7.4安全登录规程

论坛服务提供商应制定安全登录规程，并满足以下要求：

a)使用技术手段防止暴力登录尝试，如要求输入验证码、限制错误登录次数、锁定用户账号等；

b)在成功登录后，能够按用户要求显示前一次成功登录的日期、时间和地点；

c)在成功登录后，能够按用户要求显示最近一次不成功登录尝试的细节；

d)不明文显示输入的口令；

e)不以明文方式在网络上传输口令；

f)用户修改口令时或用户账号在不同的设备首次登录时,重新验证用户注册信息，如注册手机短信

验证、注册邮箱邮件验证等。

8安全保护技术措施

论坛服务提供商应根据GA1277.1-2020第8章的要求采取相应的安全保护技术措施。

2

GA1277.5—2020

9论坛服务安全

9.1基本要求

论坛服务提供商应在满足GA1277.1-2020第9章要求的基础上保护论坛服务的安全。

9.2用户管理

9.2.1用户控制

论坛服务提供商应将制作、复制、发布、传播违法有害信息的、多次被其他用户举报或投诉的以及公

安机关通报的涉嫌违法犯罪的用户纳入黑名单管理，并根据情节轻重，采取以下控