精华内容
下载资源
问答
  • 《信息安全等级保护管理办法》规定,国家信息安全等级保护坚持自主定级、自主保护...信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织合法权益危害程度等因素确定,文档为第三级等保要求
  • 国家三级等保要求文件,做安全可以参考,或者需要三级等保的可以下载
  • 等保2.0三级安全要求

    万次阅读 2020-06-07 12:22:55
    第三级安全保护能力:应能够在统一安全策略下防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾害,以及其他相当危害程度...以下加粗字段为等保三级与二级的区别,需重点关注。

    第三级安全保护能力:应能够在统一安全策略下防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾害,以及其他相当危害程度的威胁所造成的主要资源损害,能够及时发现、监测攻击行为和处置安全事件,在自身遭到损害后,能够较快恢复绝大部分功能。

    以下加粗字段为等保三级与二级的区别,需重点关注。

    1安全通用要求

    1.1安全物理环境

    1.1.1物理位置选择
    本项要求包括:
    a)机房场地应选择在具有防震、防风和防雨等能力的建筑内;
    b)机房场地应避免设在建筑物的顶层或地下室,否则应加强防水和防潮措施。

    1.1.2物理访问控制
    机房出入口应配置电子门禁系统,控制、鉴别和记录进入的人员。

    1.1.3防盗窃和防破坏
    本项要求包括:
    a)应将设备或主要部件进行固定,并设置明显的不易去除的标识;
    b)应将通信线缆铺设在隐蔽安全处;
    c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。

    1.1.4防雷击
    本项要求包括:
    a)应将各类机柜、设施和设备等通过接地系统安全接地;
    b)应采取措施防止感应雷,例如设置防雷保安器或过压保护装置等。

    1.1.5 防火
    本项要求包括:
    a)机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;
    b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
    c)应对机房划分区域进行管理,区域和区域之间设置隔离防火措施。

    1.1.6防水和防潮
    本项要求包括:
    a)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
    b)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;
    c)应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。

    1.1.7防静电
    本项要求包括:
    a)应采用防静电地板或地面并采用必要的接地防静电措施;
    b)应采取措施防止静电的产生,例如釆用静电消除器、佩戴防静电手环等。

    1.1.8温湿度控制
    应设置温湿度自动调节设施,使机房温湿度的变化在设备运行所允许的范围之内。

    1.1.9电力供应
    本项要求包括:
    a)应在机房供电线路上配置稳压器和过电压防护设备;
    b)应提供短期的备用电力供应,至少满足设备在断电情况下的正常运行要求;
    c)应设置冗余或并行的电力电缆线路为计算机系统供电。

    1.1.10电磁防护
    本项要求包括:
    a)电源线和通信线缆应隔离铺设,避免互相干扰;
    b)应对关键设备实施电磁屏蔽。

    1.2安全通信网络

    1.2.1网络架构
    本项要求包括:
    a)应保证网络设备的业务处理能力满足业务高峰期需要;
    b)应保证网络各个部分的带宽满足业务高峰期需要;
    c)应划分不同的网络区域,并按照方便管理和控制的原则为各网络区域分配地址;
    d)应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应釆取可靠的技术隔离手段;
    e)应提供通信线路、关键网络设备和关键计算设备的硬件冗余,保证系统的可用性。

    1.2.2通信传输
    本项要求包括:
    a)应采用校验技术或密码技术保证通信过程中数据的完整性;
    b)应釆用密码技术保证通信过程中数据的保密性。

    1.2.3可信验证
    可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证,**并在应用程序的关键执行环节进行动态可信验证,**在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。

    1.3安全区域边界

    1.3.1边界防护
    本项要求包括:
    a)应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信;
    b)应能够对非授权设备私自联到内部网络的行为进行检査或限制;
    c)应能够对内部用户非授权联到外部网络的行为进行检查或限制;
    d)应限制无线网络的使用,保证无线网络通过受控的边界设备接入内部网络。

    1.3.2访问控制
    本项要求包括:
    a)应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受
    控接口拒绝所有通信;
    b)应删除多余或无效的访问控制规则,优化访问控制列表,并保证访问控制规则数量最小化;
    c)应对源地址、目的地址、源端口、目的端口和协议等进行检査,以允许/拒绝数据包进出;
    d)应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力;
    e)应对进出网络的数据流实现基于应用协议和应用内容的访问控制。

    1.3.3入侵防范
    本项要求包括:
    a)应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为;
    b)应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为;
    c)应采取技术措施对网络行为进行分析,实现对网络攻击特别是新型网络攻击行为的分析;
    d)当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目标、攻击事件,在发生严重入侵事件时应提供报警。

    1.3.4恶意代码和垃圾邮件防范
    本项要求包括:
    a)应在关键网络节点处对恶意代码进行检测和清楚,并维护恶意代码防护机制的升级和更新;
    b)应在关键网络节点处对垃圾邮件进行检测和防护,并维护垃圾邮件防护机制的升级和更新。

    1.3.5安全审计
    本项要求包括:
    a)应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要的安全事件进行审计;
    b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功以及其他与审计相关的信息;
    c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;
    d)应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。

    1.3.6 可信验证
    可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证,**并在应用程序的关键执行环节进行动态可信验证,**在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。

    1.4安全计算环境

    1.4.1身份鉴别
    本项要求包括:
    a)应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换;
    b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;
    c)当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
    d)应釆用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现。

    1.4.2访问控制
    本项要求包括:
    a)应对登录的用户分配账户和权限;
    b)应重命名或删除默认账户,修改默认账户的默认口令;
    c)应及时删除或停用多余的、过期的账户,避免共享账户的存在;
    d)应授予管理用户所需的最小权限,实现管理用户的权限分离;
    e)应由授权主体配置访问控制策略,访问控制策略规定主体对客体的访问规则;
    f)访问控制的粒度应达到主体为用户级或进程级,客体为文件、数据库表级;
    g)应对重要主体和客体设置安全标记,并控制主体对有安全标记信息资源的访问。

    1.4.3 安全审计
    本项要求包括:
    a)应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;
    b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
    c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;
    d)应对审计进程进行保护,防止未经授权的中断。

    1.4.4入侵防范
    本项要求包括:
    a)应遵循最小安装的原则,仅安装需要的组件和应用程序;
    b)应关闭不需要的系统服务、默认共享和高危端口;
    c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制;
    d)应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的内容符合系统设 定要求;
    e)应能发现可能存在的已知漏洞,并在经过充分测试评估后,及时修补漏洞;
    f)应能够检测到对重要节点进行入侵的行为,并在发生严重入侵事件时提供报警。

    1.4.5恶意代码防范
    应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为,并将其有效阻断。

    1.4.6可信验证
    可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证, **并在应用程序的关键执行环节进行动态可信验证,**在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。

    1.4.7数据完整性
    本项要求包括:
    a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性,包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等;
    b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性,包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

    1.4.8数据保密性
    本项要求包括:
    a)应釆用密码技术保证重要数据在传输过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等;
    b)应采用密码技术保证重要数据在存储过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等。

    1.4.9数据备份恢复
    本项要求包括:
    a)应提供重要数据的本地数据备份与恢复功能;
    b)应提供异地实时备份功能,利用通信网络将重要数据实时备份至备份场地;
    c)应提供重要数据处理系统的热冗余,保证系统的高可用性。

    1.4.10剩余信息保护
    本项要求包括:
    a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除;
    b)应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。

    1.4.11个人信息保护
    本项要求包括:
    a)应仅采集和保存业务必需的用户个人信息;
    b)应禁止未授权访问和非法使用用户个人信息。

    1.5安全管理中心

    1.5.1系统管理
    本项要求包括:
    a)应对系统管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行系统管理操作,并对这些操作进行审计;
    b)应通过系统管理员对系统的资源和运行进行配置、控制和管理,包括用户身份、系统资源配置、 系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。

    1.5.2审计管理
    本项要求包括:
    a)应对审计管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全审计操作,并对这些操作进行审计;
    b)应通过审计管理员对审计记录应进行分析,并根据分析结果进行处理,包括根据安全审计策略对审计记录进行存储、管理和査询等。

    1.5.3安全管理
    本项要求包括:
    a)应对安全管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全管理操作,并对这些操作进行审计;
    b)应通过安全管理员对系统中的安全策略进行配置,包括安全参数的设置,主体、客体进行统一 安全标记,对主体进行授权,配置可信验证策略等。

    1.5.4集中管控
    本项要求包括:
    a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控;
    b)应能够建立一条安全的信息传输路径,对网络中的安全设备或安全组件进行管理;
    c)应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测;
    d)应对分散在各个设备上的审计数据进行收集汇总和集中分析,并保证审计记录的留存时间符 合法律法规要求;
    e)应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理;
    f)应能对网络中发生的各类安全事件进行识别、报警和分析。

    1.6安全管理制度

    1.6.1安全策略
    应制定网络安全工作的总体方针和安全策略,阐明机构安全工作的总体目标、范围、原则和安全框架等。

    8.1.6.2管理制度
    本项要求包括:
    a)应对安全管理活动中的各类管理内容建立安全管理制度;
    b)应对管理人员或操作人员执行的日常管理操作建立操作规程;
    c)应形成由安全策略、管理制度、操作规程、记录表単等构成的全面的安全管理制度体系。

    1.6.3制定和发布
    本项要求包括:
    a)应指定或授权专门的部门或人员负责安全管理制度的制定;
    b)安全管理制度应通过正式、有效的方式发布,并进行版本控制。

    1.6.4评审和修订
    应定期对安全管理制度的合理性和适用性进行论证和审定,对存在不足或需要改进的安全管理制度进行修订。

    1.7安全管理机构

    1.7.1岗位设置
    本项要求包括:
    a)应成立指导和管理网络安全工作的委员会或领导小组,其最高领导由单位主管领导担任或授权;
    b)应设立网络安全管理工作的职能部门,设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责;
    c)应设立系统管理员、审计管理员和安全管理员等岗位,并定义部门及各个工作岗位的职责。

    8.1.7.2人员配备
    本项要求包括:
    a)应配备一定数量的系统管理员、审计管理员和安全管理员等;
    b)应配备专职安全管理员,不可兼任。

    1.7.3授权和审批
    本项要求包括:
    a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等;
    b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活动建立逐级审批制度;
    c)应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息。

    1.7.4沟通和合作
    本项要求包括:
    a)应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通,定期召开协调会议,共同协作处理网络安全问题;
    b)应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通;
    c)应建立外联单位联系列表,包括外联单位名称、合作内容、联系人和联系方式等信息。

    1.7.5审核和检查
    本项要求包括:
    a)应定期进行常规安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况;
    b)应定期进行全面安全检査,检査内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等;
    c)应制定安全检査表格实施安全检查,汇总安全检查数据,形成安全检查报告,并对安全检查结果进行通报。

    1.8安全管理人员

    1.8.1人员录用
    本项要求包括:
    a)应指定或授权专门的部门或人员负责人员录用;
    b)应对被录用人员的身份、安全背景、专业资格或资质等进行审查,对其所具有的技术技能进行考核;
    c)应与被录用人员签署保密协议,与关键岗位人员签署岗位责任协议

    1.8.2人员离岗
    本项要求包括:
    a)应及时终止离岗人员的所有访问权限,取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;
    b)应办理严格的调离手续,并承诺调离后的保密义务后方可离开。

    1.8.3安全意识教育和培训
    本项要求包括:
    a)应对各类人员进行安全意识教育和岗位技能培训,并告知相关的安全责任和惩戒措施;
    b)应针对不同岗位制定不同的培训计划,对安全基础知识、岗位操作规程等进行培训;
    c)应定期对不同岗位的人员进行技能考核。

    1.8.4外部人员访问管理
    本项要求包括:
    a)应在外部人员物理访问受控区域前先提出书面申请,批准后由专人全程陪同,并登记备案;
    b)应在外部人员接入受控网络访问系统前先提出书面申请,批准后由专人开设账户、分配权限,并登记备案;
    c)外部人员离场后应及时清除其所有的访问权限;
    d)获得系统访问授权的外部人员应签署保密协议,不得进行非授权操作,不得复制和泄露任何敏感信息。

    1.9安全建设管理

    1.9.1定级和备案
    本项要求包括:
    a)应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由;
    b)应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定;
    c)应保证定级结果经过相关部门的批准;
    d)应将备案材料报主管部门和相应公安机关备案。

    1.9.2安全方案设计
    本项要求包括:
    a)应根据安全保护等级选择基本安全措施,依据风险分析的结果补充和调整安全措施;
    b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计,设计内容应包含密码技术相关内容,并形成配套文件;
    c)应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定,经过批准后才能正式实施。

    8.1.9.3产品釆购和使用
    本项要求包括:
    a)应确保网络安全产品釆购和使用符合国家的有关规定;
    b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求;
    c)应预先对产品进行选型测试,确定产品的候选范围,并定期审定和更新候选产品名单。

    1.9.4自行软件开发
    本项要求包括:
    a)应将开发环境与实际运行环境物理分开,测试数据和测试结果受到控制;
    b)应制定软件开发管理制度,明确说明开发过程的控制方法和人员行为准则;
    c)应制定代码编写安全规范,要求开发人员参照规范编写代码;
    d)应具备软件设计的相关文档和使用指南,并对文档使用进行控制;
    e)应保证在软件开发过程中对安全性进行测试,在软件安装前对可能存在的恶意代码进行检测;
    f)应对程序资源库的修改、更新、发布进行授权和批准,并严格进行版本控制;
    g)应保证开发人员未专职人员,开发人员的开发活动受到控制、监视和审查。

    1.9.5外包软件开发
    本项要求包括:
    a)应在软件交付前检测其中可能存在的恶意代码;
    b)应保证开发单位提供软件设计文档和使用指南;
    c)应保证开发单位提供软件源代码,并审查软件中可能存在的后门和隐蔽信道

    1.9.6工程实施
    本项要求包括:
    a)应指定或授权专门的部门或人员负责工程实施过程的管理;
    b)应制定安全工程实施方案控制工程实施过程;
    c)应通过第三方工程监理控制项目的实施过程。

    1.9.7测试验收
    本项要求包括:
    a)应制订测试验收方案,并依据测试验收方案实施测试验收,形成测试验收报告;
    b)应进行上线前的安全性测试,并出具安全测试报告,安全测试报告应包含密码应用安全性测试相关内容。

    1.9.8系统交付
    本项要求包括:
    a)应制定交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点;
    b)应对负责运行维护的技术人员进行相应的技能培训;
    c)应提供建设过程文档和运行维护文档。

    1.9.9等级测评
    本项要求包括:
    a)应定期进行等级测评,发现不符合相应等级保护标准要求的及时整改;
    b)应在发生重大变更或级别发生变化时进行等级测评;
    c)应确保测评机构的选择符合国家有关规定。

    1.9.10服务供应商选择
    本项要求包括:
    a)应确保服务供应商的选择符合国家的有关规定;
    b)应与选定的服务供应商签订相关协议,明确整个服务供应链各方需履行的网络安全相关义务;
    c)应定期监督、评审和审核服务供应商提供的服务,并对其变更服务内容加以控制。

    1.10 安全运维管理

    1.10.1环境管理
    本项要求包括:
    a)应指定专门的部门或人员负责机房安全,对机房出入进行管理,定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理;
    b)应建立机房安全管理制度,对有关物理访问、物品带进出和环境安全等方面的管理作出规定;
    c)应不在重要区域接待来访人员,不随意放置含有敏感信息的纸档文件和移动介质等。

    1.10.2资产管理
    本项要求包括:
    a)应编制并保存与保护对象相关的资产清单,包括资产责任部门、重要程度和所处位置等内容;
    b)应根据资产的重要程度对资产进行标识管理,根据资产的价值选择相应的管理措施;
    c)应对信息分类与标识方法作出规定,并对信息的使用、传输和存储等进行规范化管理。

    1.10.3介质管理
    本项要求包括:
    a)应将介质存放在安全的环境中,对各类介质进行控制和保护,实行存储环境专人管理,并根据存档介质的目录清单定期盘点;
    b)应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制,并对介质的归档和查询等进行登记记录。

    1.10.4设备维护管理
    本项要求包括:
    a)应对各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理;
    b)应建立配套设施、软硬件维护方面的管理制度,对其维护进行有效的管理,包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等;
    c)信息处理设备应经过审批才能带离机房或办公地点,含有存储介质的设备带出工作环境时其中重要数据应加密;
    d)含有存储介质的设备在报废或重用前,应进行完全清除或被安全覆盖,保证该设备上的敏感数据和授权软件无法被恢复重用。

    1.10.5漏洞和风险管理
    本项要求包括:
    a)应采取必要的措施识别安全漏洞和隐患,对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补;
    b)应定期开展安全测评,形成安全测评报告,采取措施应对发现的安全问题。

    1.10.6网络和系统安全管理
    本项要求包括:
    a)应划分不同的管理员角色进行网络和系统的运维管理,明确各个角色的责任和权限;
    b)应指定专门的部门或人员进行账户管理,对申请账户、建立账户、删除账户等进行控制;
    c)应建立网络和系统安全管理制度,对安全策略、账户管理、配置管理、日志管理、日常管理、日常操作、升级与打补丁、口令更新周期等方面做出规定;
    d)应制定重要设备的配置和操作手册,依据手册对设备进行安全配置和优化配置等;
    e)应详细记录运维操作日志,包括日常巡检工作、运行维护记录、参数的设置和修改等内容;
    f)应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计,及时发现可疑行为;
    g)应严格控制变更性运维,经过审批后才可改变连接、安装系统组件或调整配置参数,操作过程中应保留不可更改的审计日志,操作结束后应同步更新配置信息库;
    h)应严格控制运维工具的使用,经过审批后才可接入进行操作,操作过程中应保留不可更改的审计日志,操作结束后应删除工具中的敏感数据;
    i)应严格控制远程运维的开通,经过审批后才可开通远程运维接口或通道,操作过程中应保留不可更改的审计日志,操作结束后立即关闭接口或通道;
    j)应保证所有与外部的连接均得到授权和批准,应定期检查违反规定无线上网及其他违反网络安全策略的行为。

    1.10.7恶意代码防范管理
    本项要求包括:
    a)提高所有用户的防恶意代码意识,对外来计算机或存储设备接入系统前进行恶意代码检查等;
    b)应定期验证防范恶意代码攻击的技术措施的有效性。

    1.10.8配置管理
    本项要求包括:
    a)应记录和保存基本配置信息,包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等;
    b)应将基本配置信息改变纳入变更范畴,实施对配置信息改变的控制,并及时更新基本配置信息库。

    1.10.9 密码管理
    本项要求包括:
    a)应遵循密码相关国家标准和行业标准;
    b)应使用国家密码管理主管部门认证核准的密码技术和产品。

    1.10.10 变更管理
    本项要求包括:
    a)应明确变更需求,变更前根据变更需求制定变更方案,变更方案经过评审、审批后方可实施;
    b)应建立变更的申报和审批控制程序,依据程序控制所有的变更,记录变更实施过程;
    c)应建立中止变更并从失败变更中恢复的程序,明确过程控制方法和人员职责。必要时对恢复过程进行演练。

    1.10.11备份与恢复管理
    本项要求包括:
    a)应识别需要定期备份的重要业务信息、系统数据及软件系统等;
    b)应规定备份信息的备份方式、备份频度、存储介质、保存期等;
    c)应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略、备份程序和恢复程序等。

    1.10.12安全事件处置
    本项要求包括:
    a)应及时向安全管理部门报告所发现的安全弱点和可疑事件;
    b)应制定安全事件报告和处置管理制度,明确不同安全事件的报告、处置和响应流程,规定安全事件的现场处理、事件报告和后期恢复的管理职责等;
    c)应在安全事件报告和响应处理过程中,分析和鉴定事件产生的原因,收集证据,记录处理过程,总结经验教训;
    d)对造成系统中断和造成信息泄漏的重大安全事件应采用不同的处理程序和报告程序。

    1.10.13应急预案管理
    本项要求包括:
    a)应规定统一的应急预案框架,包括启动预案的条件、应急组织构成、应急资源保障、事后教育和培训等内容;
    b)应制定重要事件的应急预案,包括应急处理流程、系统恢复流程等内容;
    c)应定期对系统相关的人员进行应急预案培训,并进行应急预案的演练;
    d)应定期对原有的应急预案重新评估,修订完善。

    1.10.14 外包运维管理
    本项要求包括:
    a)应确保外包运维服务商的选择符合国家的有关规定;
    b)应与选定的外包运维服务商签订相关的协议,明确约定外包运维的范围、工作内容;
    c)应保证选择的外包运维服务商在技术和管理方面均应具有按照等级保护要求开展安全运维工作的能力,并将能力要求在签订的协议中明确;
    d)应在与外包运维服务商签订的协议中明确所有相关的安全要求,如可能涉及对敏感信息的访问、处理、存储要求,对IT基础设施中断服务的应急保障要求等。

    2云计算安全扩展要求

    2.1安全物理环境

    2.1.1基础设施位置
    应保证云计算基础设施位于中国境内。

    2.2安全通信网络

    2.2.1网络架构
    本项要求包括:
    a)应保证云计算平台不承载高于其安全保护等级的业务应用系统;
    b)应实现不同云服务客户虚拟网络之间的隔离;
    c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力;
    d)应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略;
    e)应提供开放接口或开放性安全服务,允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。

    2.3安全区域边界

    2.3.1访问控制
    本项要求包括:
    a)应在虚拟化网络边界部署访问控制机制,并设置访问控制规则;
    b)应在不同等级的网络区域边界部署访问控制机制,设置访问控制规则。

    2.3.2入侵防范
    本项要求包括:
    a)应能检测到云服务客户发起的网络攻击行为,并能记录攻击类型、攻击时间、攻击流量等;
    b)应能检测到对虚拟网络节点的网络攻击行为,并能记录攻击类型、攻击时间、攻击流量等;
    c)应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量;
    d)应在检测到网络攻击行为、异常流量情况时进行告警。

    2.3.3安全审计
    本项要求包括:
    a)应对云服务商和云服务客户在远程管理时执行的特权命令进行审计,至少包括虚拟机删除、虚拟机重启;
    b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。

    2.4安全计算环境

    2.4.1身份鉴别
    当远程管理云计算平台中设备时,管理终端和云计算平台之间应建立双向身份验证机制。

    2.4.2访问控制
    本项要求包括:
    a)应保证当虚拟机迁移时,访问控制策略随其迁移;
    b)应允许云服务客户设置不同虚拟机之间的访问控制策略。

    2.4.3入侵防范
    本项要求包括:
    a)应能检测虚拟机之间的资源隔离失效,并进行告警;
    b)应能检测非授权新建虚拟机或者重新启用虚拟机,并进行告警;
    c)应能够检测恶意代码感染及在虚拟机间蔓延的情况,并进行告警。

    2.4.4镜像和快照保护
    本项要求包括:
    a)应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务;
    b)应提供虚拟机镜像、快照完整性校验功能,防止虚拟机镜像被恶意篡改;
    c)应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。

    2.4.5数据完整性和保密性
    本项要求包括:
    a)应确保云服务客户数据、用户个人信息等存储于中国境内,如需岀境应遵循国家相关规定;
    b)应确保只有在云服务客户授权下,云服务商或第三方才具有云服务客户数据的管理权限;
    c)应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性,并在检测到完整性受到破坏时釆取必要的恢复措施;
    d)应支持云服务客户部署密钥管理解决方案,保证云服务客户自行实现数据的加解密过程。

    2.4.6数据备份恢复
    本项要求包括:
    a)云服务客户应在本地保存其业务数据的备份;
    b)应提供査询云服务客户数据及备份存储位置的能力;
    c)云服务商的云存储服务应保证云服务客户数据存在若干个可用的副本,各副本之间的内容应保持一致;
    d)应为云服务客户将业务系统及数据迁移到其他云计算平台和本地系统提供技术手段,并协助完成迁移过程。

    2.4.7剩余信息保护
    本项要求包括:
    a)应保证虚拟机所使用的内存和存储空间回收时得到完全清除;
    b)云服务客户删除业务应用数据时,云计算平台应将云存储中所有副本删除。

    2.5安全管理中心

    2.5.1集中管控
    本项要求包括:
    a)应能对物理资源和虚拟资源按照策略做统一管理调度与分配;
    b)应保证云计算平台管理流量与云服务客户业务流量分离;
    c)应根据云服务商和云服务客户的职责划分,收集各自控制部分的审计数据并实现各自的集中审计;
    d)应根据云服务商和云服务客户的职责划分,实现各自控制部分,包括虚拟化网络、虚拟机、虚拟化安全设备等的运行状况的集中监测。

    2.6安全建设管理

    2.6.1云服务商选择
    本项要求包括:
    a)应选择安全合规的云服务商,其所提供的云计算平台应为其所承载的业务应用系统提供相应等级的安全保护能力;
    b)应在服务水平协议中规定云服务的各项服务内容和具体技术指标;
    c)应在服务水平协议中规定云服务商的权限与责任,包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等;
    d)应在服务水平协议中规定服务合约到期时,完整提供云服务客户数据,并承诺相关数据在云计算平台上清除;
    e)应与选定的云服务商签署保密协议,要求其不得泄露云服务客户数据。

    2.6.2供应链管理
    本项要求包括:
    a)应确保供应商的选择符合国家有关规定;
    b)应将供应链安全事件信息或安全威胁信息及时传达到云服务客户;
    c)应将供应商的重要变更及时传达到云服务客户,并评估变更带来的安全风险,采取措施对风险进行控制。

    2.7 安全运维管理

    2.7.1云计算环境管理
    云计算平台的运维地点应位于中国境内,境外对境内云计算平台实施运维操作应遵循国家相关规定。

    3移动互联安全扩展要求

    3.1安全物理环境

    3.1.1无线接入点的物理位置
    应为无线接入设备的安装选择合理位置,避免过度覆盖和电磁干扰。

    3.2安全区域边界

    3.2.1边界防护
    应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。

    3.2.2访问控制
    无线接入设备应开启接入认证功能,并支持釆用认证服务器认证或国家密码管理机构批准的密码模块进行认证。

    3.2.3入侵防范
    本项要求包括:
    a)应能够检测到非授权无线接入设备和非授权移动终端的接入行为;
    b)应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为;
    c)应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态;
    d)应禁用无线接入设备和无线接入网关存在风险的功能,如:SSID广播、WEP认证等;
    e)应禁止多个AP使用同一个认证密钥;
    f)应能够阻断非授权无线接入设备或非授权移动终端。

    3.3安全计算环境

    3.3.1移动终端管控
    本项要求包括:
    a)应保证移动终端安装、注册并运行终端管理客户端软件;
    b)移动终端应接受移动终端管理服务端的设备生命周期管理、设备远程控制,如:远程锁定、远程擦除等。

    3.3.2移动应用管控
    本项要求包括:
    a)应具有选择应用软件安装、运行的功能;
    b)应只允许指定证书签名的应用软件安装和运行;
    c)应具有软件白名単功能,应能根据白名单控制应用软件安装、运行。

    3.4安全建设管理

    3.4.1移动应用软件采购
    本项要求包括:
    a)应保证移动终端安装、运行的应用软件来自可靠分发渠道或使用可靠证书签名;
    b)应保证移动终端安装、运行的应用软件由指定的开发者开发。

    3.4.2移动应用软件开发
    本项要求包括:
    a)应对移动业务应用软件开发者进行资格审查;
    b)应保证开发移动业务应用软件的签名证书合法性。

    3.5安全运维管理

    3.5.1配置管理
    应建立合法无线接入设备和合法移动终端配置库,用于对非法无线接入设备和非法移动终端的识别。

    4物联网安全扩展要求

    4.1安全物理环境

    4.1.1感知节点设备物理防护
    本项要求包括:
    a)感知节点设备所处的物理环境应不对感知节点设备造成物理破坏,如挤压、强振动;
    b)感知节点设备在工作状态所处物理环境应能正确反映环境状态(如温湿度传感器不能安装在阳光直射区域);
    c)感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响,如强干扰、阻挡屏蔽等;
    d)关键感知节点设备应具有可供长时间工作的电力供应(关键网关节点设备应具有持久稳定的电力供应能力)。

    4.2安全区域边界

    4.2.1接入控制
    应保证只有授权的感知节点可以接入。

    4.2.2入侵防范
    本项要求包括:
    a)应能够限制与感知节点通信的目标地址,以避免对陌生地址的攻击行为;
    b)应能够限制与网关节点通信的目标地址,以避免对陌生地址的攻击行为。

    4.3安全计算环境

    4.3.1感知节点设备安全
    本项要求包括:
    a)应保证只有授权的用户可以对感知节点设备上的软件应用进行配置或变更;
    b)应具有对其连接的网关节点设备(包括读卡器)进行身份标识和鉴别的能力;
    c)应具有对其连接的其他感知节点设备(包括路由节点)进行身份标识和鉴别的能力。

    4.3.2网关节点设备安全
    本项要求包括:
    a)应具备对合法连接设备(包括终端节点、路由节点、数据处理中心)进行标识和鉴别的能力;
    b)应具备过滤非法节点和伪造节点所发送的数据的能力;
    c)授权用户应能够在设备使用过程中对关键密钥进行在线更新;
    d)授权用户应能够在设备使用过程中对关键配置参数进行在线更新。

    4.3.3抗数据重放
    本项要求包括:
    a)应能够鉴别数据的新鲜性,避免历史数据的重放攻击;
    b)应能够鉴别历史数据的非法修改,避免数据的修改重放攻击。

    4.3.4数据融合处理
    应对来自传感网的数据进行数据融合处理,使不同种类的数据可以在同一个平台被使用。

    4.4安全运维管理

    4.4.1感知节点管理
    本项要求包括:
    a)应指定人员定期巡视感知节点设备、网关节点设备的部署环境,对可能影响感知节点设备、网关节点设备正常工作的环境异常进行记录和维护;
    b)应对感知节点设备、网关节点设备入库、存储、部署、携带、维修、丢失和报废等过程作出明确规定,并进行全程管理;
    c)应加强对感知节点设备、网关节点设备部署环境的保密性管理,包括负责检查和维护的人员调离工作岗位应立即交还相关检查工具和检查维护记录等。

    5工业控制系统安全扩展要求

    5.1安全物理环境

    5.1.1室外控制设备物理防护
    本项要求包括:
    a)室外控制设备应放置于采用铁板或其他防火材料制作的箱体或装置中并紧固;箱体或装置具有透风、散热、防盗、防雨和防火能力等;
    b)室外控制设备放置应远离强电磁干扰、强热源等环境,如无法避免应及时做好应急处置及检修,保证设备正常运行。

    5.2安全通信网络

    5.2.1网络架构
    本项要求包括:
    a)工业控制系统与企业其他系统之间应划分为两个区域,区域间应采用单向的技术隔离手段;
    b)工业控制系统内部应根据业务特点划分为不同的安全域,安全域之间应釆用技术隔离手段;
    c)涉及实时控制和数据传输的工业控制系统,应使用独立的网络设备组网,在物理层面上实现与其他数据网及外部公共信息网的安全隔离。

    5.2.2通信传输
    在工业控制系统内使用广域网进行控制指令或相关数据交换的应釆用加密认证技术手段实现身份认证、访问控制和数据加密传输。

    5.3安全区域边界

    5.3.1访问控制
    本项要求包括:
    a)应在工业控制系统与企业其他系统之间部署访问控制设备,配置访问控制策略,禁止任何穿越区域边界的E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务;
    b)应在工业控制系统内安全域和安全域之间的边界防护机制失效时,及时进行报警。

    5.3.2拨号使用控制
    本项要求包括:
    a)工业控制系统确需使用拨号访问服务的,应限制具有拨号访问权限的用户数量,并釆取用户身份鉴别和访问控制等措施;
    b)拨号服务器和客户端均应使用经安全加固的操作系统,并采取数字证书认证、传输加密和访问控制等措施。

    5.3.3无线使用控制
    本项要求包括:
    a)应对所有参与无线通信的用户(人员、软件进程或者设备)提供唯一性标识和鉴别;
    b)应对所有参与无线通信的用户(人员、软件进程或者设备)进行授权以及执行使用进行限制;
    c)应对无线通信采取传输加密的安全措施,实现传输报文的机密性保护;
    d)对采用无线通信技术进行控制的工业控制系统,应能识别其物理环境中发射的未经授权的无线设备,报告未经授权试图接入或干扰控制系统的行为。

    5.4安全计算环境

    5.4.1控制设备安全
    本项要求包括:
    a)控制设备自身应实现相应级别安全通用要求提出的身份鉴别、访问控制和安全审计等安全要求,如受条件限制控制设备无法实现上述要求,应由其上位控制或管理设备实现同等功能或通过管理手段控制;
    b)应在经过充分测试评估后,在不影响系统安全稳定运行的情况下对控制设备进行补丁更新、固件更新等工作;
    c)应关闭或拆除控制设备的软盘驱动、光盘驱动、USB接口、串行口或多余网口等,确需保留的应通过相关的技术措施实施严格的监控管理;
    d)应使用专用设备和专用软件对控制设备进行更新;
    e)应保证控制设备在上线前经过安全性检测,避免控制设备固件中存在恶意代码程序。

    5.5安全建设管理

    5.5.1产品采购和使用
    工业控制系统重要设备应通过专业机构的安全性检测后方可采购使用。

    5.5.2外包软件开发
    应在外包开发合同中规定针对开发单位、供应商的约束条款,包括设备及系统在生命周期内有关保密、禁止关键技术扩散和设备行业专用等方面的内容。

    展开全文
  • 等保2.0安全通用要求一级二级三级四级测评项详细对比,附每一级别权重值; 权重对比表,明细表,测评项对比表。
  • 重磅:等保2.0 第三级 安全通用要求 权重赋值表。各类控制点 要求项 权重赋值,有需要可以下载。
  • 等保三级以及二级的要求和设备清单,包括机房物理建设设备和安全设备,如机房电子门禁系统、负载均衡、防火墙、Web应用防火墙等
  • 等保2.0物联网安全扩展要求一级二级三级四级测评项详细对比,附每一级别权重值; 权重对比表,明细表,测评项对比表。
  • 等保2.0移动互联安全扩展要求一级二级三级四级测评项详细对比,附每一级别权重值; 权重对比表,明细表,测评项对比表。
  • 等保2.0大数据安全扩展要求一级二级三级四级测评项详细对比,附每一级别权重值; 权重对比表,明细表,测评项对比表。
  • 附件为个人研究GB∕T 22239-2019 信息安全技术网络安全等级保护基本要求后整理的等保思维导图,主要描述等保的标准要求,测评内容以及对应解决方案,希望对想了解等保,需要通过等保的单位有帮助,下载后通过...
  • 最新有关于国家等级保护的要求与评分标准共计有200多项,涉及物理安全到管理安全、应用安全、数据安全、主机安全、网络安全等各个项
  • 等保2.0工业控制系统安全扩展要求一级二级三级四级测评项详细对比,附每一级别权重值; 权重对比表,明细表,测评项对比表。
  • 有关于国家等级保护的要求与评分标准共计有200+的项目,涉及物理安全安全管理体系各个部分
  • 安全物理环境 室外控制设备物理防护 室外控制设备应放置于采用铁板或其他防火材料制作箱体或装置中并紧固;箱体或装置具有透风、散热、防盗、防雨和防火能力; 室外控制设备放置应远离强电磁干扰、强热源环境...

    安全物理环境

    室外控制设备物理防护

    • 室外控制设备应放置于采用铁板或其他防火材料制作的箱体或装置中并紧固;箱体或装置具有透风、散热、防盗、防雨和防火能力等;
    • 室外控制设备放置应远离强电磁干扰、强热源等环境,如无法避免应及时做好应急处置及检修,保证设备正常运行。

    安全通信网络

    网络架构

    • 工业控制系统与企业其他系统之间应划分为两个区域,区域间应采用单向的技术隔离手段;
    • 工业控制系统内部应根据业务特点划分为不同的安全域,安全域之间应采用技术隔离手段;
    • 涉及实时控制和数据传输的工业控制系统,应使用独立的网络设备组网,在物理层面上实现与其他数据网及外部公共信息网的安全隔离。

    通信传输

    • 在工业控制系统内使用广域网进行控制指令或相关数据交换的应采用加密认证技术手段实现身份认证、访问控制和数据加密传输。

    安全区域边界

    访问控制

    • 应在工业控制系统与企业其他系统之间部署访问控制设备,配置访问控制策略,禁止任何穿越区域边界的E-Mail、Web、Telnet、Rlogin、FTP等通用网络设备;
    • 应在工业控制系统内安全域和安全域之间的边界防护机制失效时,及时进行报警。

    拨号使用控制

    • 工业控制系统确需使用拨号服务的,应限制具有拨号访问权限的用户数量,并采取用户身份鉴别和访问控制等措施;
    • 拨号服务器和客户端均应使用经安全加固的操作系统,并采取数字证书认证、传输加密和访问控制等措施。

    无线使用控制

    • 应对所有参与无线通信的用户(人员、软件进程或者设备)提供唯一性标识和鉴别;
    • 应对所有参与无线通信的用户(人员、软件进程或者设备)进行授权以及执行使用进行限制;
    • 应对无线通信采取传输加密的安全措施,实现传输报文的机密性保护;
    • 对采用无线通信技术进行控制的工业控制系统,应能识别其物理环境中发射的未经授权的无线设备,报告未经授权试图接入或干扰控制系统的行为。

    安全计算环境

    控制设备安全

    • 控制设备自身应实现相应级别安全通用要求提出的身份鉴别、访问控制和安全审计等安全要求,如受条件限制控制设备无法实现上述要求,应由其上位控制或管理设备实现同等功能或通过管理手段控制;
    • 应在经过充分测试评估后,在不影响系统安全稳定运行的情况下对控制设备进行补丁更新、固件更新等工作;
    • 应关闭或拆除控制设备的软盘驱动、光盘驱动、USB接口、串行口或多余网口等,确需保留的应通过相关的技术措施实施严格的监控管理;
    • 应使用专用设备和专用软件对控制设备进行更新;
    • 应保证控制设备在上线前经过安全性检测,避免控制设备固件中存在恶意代码程序。

    安全建设管理

    产品采购和使用

    • 工业控制系统重要设备应通过专业机构的安全性检测后方可采购使用。

    外包软件开发

    • 应在外包开发合同中规定针对开发单位、供应商的约束条款,包括设备及系统在生命周期内有关保密、禁止关键技术扩散和设备行业专用等方面的内容。
    展开全文
  • 医疗行业等保三级要求

    千次阅读 2020-03-05 08:54:11
    三级基本要求 1.1 技术要求 1.1.1 物理安全 1.1.1.1 物理位置选择( G3) 本项要求包括: a) 机房和办公场地应选择在具有防震、防风和防雨能力建筑内; b) 机房场地应避免设在建筑物...
    第三级基本要求
    1.1
    技术要求
    1.1.1
    物理安全
    1.1.1.1
    物理位置的选择( G3
    本项要求包括:
    a)
    机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;
    b)
    机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。
    1.1.1.2
    物理访问控制( G3
    本项要求包括:
    a)
    机房出入口应安排专人值守,控制、鉴别和记录进入的人员;
    b)
    需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围;
    c)
    应对机房划分区域进行管理,
    区域和区域之间设置物理隔离装置,
    在重要区域前设
    置交付或安装等过渡区域;
    d)
    重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。
    1.1.1.3
    防盗窃和防破坏( G3
    本项要求包括:
    a)
    应将主要设备放置在机房内;
    b)
    应将设备或主要部件进行固定,并设置明显的不易除去的标记;
    c)
    应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;
    d)
    应对介质分类标识,存储在介质库或档案室中;
    e)
    应利用光、电等技术设置机房防盗报警系统;
    f)
    应对机房设置监控报警系统。
    1.1.1.4
    防雷击( G3
    本项要求包括:
    a)
    机房建筑应设置避雷装置;
    b)
    应设置防雷保安器,防止感应雷;
    c)
    机房应设置交流电源地线。
    1.1.1.5
    防火( G3
    本项要求包括:
    a)
    机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;
    b)
    机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
    c)
    机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。
    1.1.1.6
    防水和防潮( G3
    本项要求包括:
    a)
    水管安装,不得穿过机房屋顶和活动地板下;
    b)
    应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
    c)
    应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;d)
    应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。
    1.1.1.7
    防静电( G3
    本项要求包括:
    a)
    主要设备应采用必要的接地防静电措施;
    b)
    机房应采用防静电地板。
    1.1.1.8
    温湿度控制( G3
    机房应设置温、 湿度自动调节设施, 使机房温、 湿度的变化在设备运行所允许的范围之
    内。
    1.1.1.9
    电力供应( A3
    本项要求包括:
    a)
    应在机房供电线路上配置稳压器和过电压防护设备;
    b)
    应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运行要求;
    c)
    应设置冗余或并行的电力电缆线路为计算机系统供电;
    d)
    应建立备用供电系统。
    1.1.1.10
    电磁防护( S3
    本项要求包括:
    a)
    应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;
    b)
    电源线和通信线缆应隔离铺设,避免互相干扰;
    c)
    应对关键设备和磁介质实施电磁屏蔽。
    1.1.2
    网络安全
    1.1.2.1
    结构安全( G3
    本项要求包括:
    a)
    应保证主要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;
    b)
    应保证网络各个部分的带宽满足业务高峰期需要;
    c)
    应在业务终端与业务服务器之间进行路由控制建立安全的访问路径;
    d)
    应绘制与当前运行情况相符的网络拓扑结构图;
    e)
    应根据各部门的工作职能、
    重要性和所涉及信息的重要程度等因素,
    划分不同的子
    网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段;
    f)
    应避免将重要网段部署在网络边界处且直接连接外部信息系统,
    重要网段与其他网
    段之间采取可靠的技术隔离手段;
    g)
    应按照对业务服务的重要次序来指定带宽分配优先级别,
    保证在网络发生拥堵的时
    候优先保护重要主机。
    1.1.2.2
    访问控制( G3
    本项要求包括:
    a)
    应在网络边界部署访问控制设备,启用访问控制功能;
    b)
    应能根据会话状态信息为数据流提供明确的允许
    / 拒绝访问的能力,控制粒度为端
    口级;
    c)
    应对进出网络的信息内容进行过滤,实现对应用层
    HTTPFTPTELNETSMTPPOP3等协议命令级的控制;
    d)
    应在会话处于非活跃一定时间或会话结束后终止网络连接;
    e)
    应限制网络最大流量数及网络连接数;
    f)
    重要网段应采取技术手段防止地址欺骗;
    g)
    应按用户和系统之间的允许访问规则,
    决定允许或拒绝用户对受控系统进行资源访
    问,控制粒度为单个用户;
    h)
    应限制具有拨号访问权限的用户数量。
    1.1.2.3
    安全审计( G3
    本项要求包括:
    a)
    应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;
    b)
    审计记录应包括:事件的日期和时间、用户、
    事件类型、 事件是否成功及其他与审
    计相关的信息;
    c)
    应能够根据记录数据进行分析,并生成审计报表;
    d)
    应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等。
    1.1.2.4
    边界完整性检查( S3
    本项要求包括:
    a)
    应能够对非授权设备私自联到内部网络的行为进行检查,
    准确定出位置, 并对其进
    行有效阻断;
    b)
    应能够对内部网络用户私自联到外部网络的行为进行检查,
    准确定出位置, 并对其
    进行有效阻断。
    1.1.2.5
    入侵防范( G3
    本项要求包括:
    a)
    应在网络边界处监视以下攻击行为:
    端口扫描、强力攻击、木马后门攻击、
    拒绝服
    务攻击、缓冲区溢出攻击、
    IP 碎片攻击和网络蠕虫攻击等;
    b)
    当检测到攻击行为时,记录攻击源
    IP、攻击类型、攻击目的、攻击时间,在发生严
    重入侵事件时应提供报警。
    1.1.2.6
    恶意代码防范( G3
    本项要求包括:
    a)
    应在网络边界处对恶意代码进行检测和清除;
    b)
    应维护恶意代码库的升级和检测系统的更新。
    1.1.2.7
    网络设备防护( G3
    本项要求包括:
    a)
    应对登录网络设备的用户进行身份鉴别;
    b)
    应对网络设备的管理员登录地址进行限制;
    c)
    网络设备用户的标识应唯一;
    d)
    主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别;
    e)
    身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
    f)
    应具有登录失败处理功能,
    可采取结束会话、 限制非法登录次数和当网络登录连接超时自动退出等措施;
    g)
    当对网络设备进行远程管理时,
    应采取必要措施防止鉴别信息在网络传输过程中被
    窃听;
    h)
    应实现设备特权用户的权限分离。
    1.1.3
    主机安全
    1.1.3.1
    身份鉴别( S3
    本项要求包括:
    a)
    应对登录操作系统和数据库系统的用户进行身份标识和鉴别;
    b)
    操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,
    口令应有复杂
    度要求并定期更换;
    c)
    应启用登录失败处理功能, 可采取结束会话、 限制非法登录次数和自动退出等措施;
    d)
    当对服务器进行远程管理时,
    应采取必要措施, 防止鉴别信息在网络传输过程中被
    窃听;
    e)
    应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一
    性。
    f)
    应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。
    1.1.3.2
    访问控制( S3
    本项要求包括:
    a)
    应启用访问控制功能,依据安全策略控制用户对资源的访问;
    b)
    应根据管理用户的角色分配权限,
    实现管理用户的权限分离,
    仅授予管理用户所需
    的最小权限;
    c)
    应实现操作系统和数据库系统特权用户的权限分离;
    d)
    应严格限制默认帐户的访问权限,
    重命名系统默认帐户, 修改这些帐户的默认口令;
    e)
    应及时删除多余的、过期的帐户,避免共享帐户的存在。
    f)
    应对重要信息资源设置敏感标记;
    g)
    应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;
    1.1.3.3
    安全审计( G3
    本项要求包括:
    a)
    审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;
    b)
    审计内容应包括重要用户行为、
    系统资源的异常使用和重要系统命令的使用等系统
    内重要的安全相关事件;
    c)
    审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;
    d)
    应能够根据记录数据进行分析,并生成审计报表;
    e)
    应保护审计进程,避免受到未预期的中断;
    f)
    应保护审计记录,避免受到未预期的删除、修改或覆盖等。
    1.1.3.4
    剩余信息保护( S3
    本项要求包括:a)
    应保证操作系统和数据库系统用户的鉴别信息所在的存储空间,
    被释放或再分配给
    其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
    b)
    应确保系统内的文件、 目录和数据库记录等资源所在的存储空间,
    被释放或重新分
    配给其他用户前得到完全清除。
    1.1.3.5
    入侵防范( G3
    本项要求包括:
    a)
    应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源
    IP 、攻击的类型、
    攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;
    b)
    应能够对重要程序的完整性进行检测,
    并在检测到完整性受到破坏后具有恢复的措
    施;
    c)
    操作系统应遵循最小安装的原则,
    仅安装需要的组件和应用程序,
    并通过设置升级
    服务器等方式保持系统补丁及时得到更新。
    1.1.3.6
    恶意代码防范( G3
    本项要求包括:
    a)
    应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;
    b)
    主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库;
    c)
    应支持防恶意代码的统一管理。
    1.1.3.7
    资源控制( A3
    本项要求包括:
    a)
    应通过设定终端接入方式、网络地址范围等条件限制终端登录;
    b)
    应根据安全策略设置登录终端的操作超时锁定;
    c)
    应对重要服务器进行监视,包括监视服务器的
    CPU、硬盘、内存、网络等资源的使
    用情况;
    d)
    应限制单个用户对系统资源的最大或最小使用限度;
    e)
    应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。
    1.1.4
    应用安全
    1.1.4.1
    身份鉴别( S3
    本项要求包括:
    a)
    应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
    b)
    应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;
    c)
    应提供用户身份标识唯一和鉴别信息复杂度检查功能,
    保证应用系统中不存在重复
    用户身份标识,身份鉴别信息不易被冒用;
    d)
    应提供登录失败处理功能, 可采取结束会话、 限制非法登录次数和自动退出等措施;
    e)
    应启用身份鉴别、 用户身份标识唯一性检查、
    用户身份鉴别信息复杂度检查以及登
    录失败处理功能,并根据安全策略配置相关参数。
    1.1.4.2
    访问控制( S3
    本项要求包括:
    a)
    应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;b)
    访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作;
    c)
    应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;
    d)
    应授予不同帐户为完成各自承担任务所需的最小权限,
    并在它们之间形成相互制约
    的关系。
    e)
    应具有对重要信息资源设置敏感标记的功能;
    f)
    应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;
    1.1.4.3
    安全审计( G3
    本项要求包括:
    a)
    应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计;
    b)
    应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;
    c)
    审计记录的内容至少应包括事件的日期、
    时间、发起者信息、 类型、描述和结果等;
    d)
    应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。
    1.1.4.4
    剩余信息保护( S3
    本项要求包括:
    a)
    应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,
    无论这些信息是存放在硬盘上还是在内存中;
    b)
    应保证系统内的文件、 目录和数据库记录等资源所在的存储空间被释放或重新分配
    给其他用户前得到完全清除。
    1.1.4.5
    通信完整性( S3
    应采用密码技术保证通信过程中数据的完整性。
    1.1.4.6
    通信保密性( S3
    本项要求包括:
    a)
    在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证;
    b)
    应对通信过程中的整个报文或会话过程进行加密。
    1.1.4.7
    抗抵赖( G3
    本项要求包括:
    a)
    应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;
    b)
    应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。
    1.1.4.8
    软件容错( A3
    本项要求包括:
    a)
    应提供数据有效性检验功能, 保证通过人机接口输入或通过通信接口输入的数据格
    式或长度符合系统设定要求;
    b)
    应提供自动保护功能, 当故障发生时自动保护当前所有状态,
    保证系统能够进行恢
    复。
    1.1.4.9
    资源控制( A3
    本项要求包括:
    a)
    当应用系统的通信双方中的一方在一段时间内未作任何响应,
    另一方应能够自动结
    束会话;b)
    应能够对系统的最大并发会话连接数进行限制;
    c)
    应能够对单个帐户的多重并发会话进行限制;
    d)
    应能够对一个时间段内可能的并发会话连接数进行限制;
    e)
    应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额;
    f)
    应能够对系统服务水平降低到预先规定的最小值进行检测和报警;
    g)
    应提供服务优先级设定功能, 并在安装后根据安全策略设定访问帐户或请求进程的
    优先级,根据优先级分配系统资源。
    1.1.5
    数据安全及备份恢复
    1.1.5.1
    数据完整性( S3
    本项要求包括:
    a)
    应能够检测到系统管理数据、 鉴别信息和重要业务数据在传输过程中完整性受到破
    坏,并在检测到完整性错误时采取必要的恢复措施;
    b)
    应能够检测到系统管理数据、 鉴别信息和重要业务数据在存储过程中完整性受到破
    坏,并在检测到完整性错误时采取必要的恢复措施。
    1.1.5.2
    数据保密性( S3
    本项要求包括:
    a)
    应采用加密或其他有效措施实现系统管理数据、
    鉴别信息和重要业务数据传输保密
    性;
    b)
    应采用加密或其他保护措施实现系统管理数据、
    鉴别信息和重要业务数据存储保密
    性。
    1.1.5.3
    备份和恢复( A3
    本项要求包括:
    a)
    应提供本地数据备份与恢复功能,
    完全数据备份至少每天一次, 备份介质场外存放;
    b)
    应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地;
    c)
    应采用冗余技术设计网络拓扑结构,避免关键节点存在单点故障;
    d)
    应提供主要网络设备、 通信线路和数据处理系统的硬件冗余,
    保证系统的高可用性。
    1.2
    管理要求
    1.2.1
    安全管理制度
    1.2.1.1
    管理制度( G3
    本项要求包括:
    a)
    应制定信息安全工作的总体方针和安全策略,
    说明机构安全工作的总体目标、
    范围、
    原则和安全框架等;
    b)
    应对安全管理活动中的各类管理内容建立安全管理制度;
    c)
    应对要求管理人员或操作人员执行的日常管理操作建立操作规程;
    d)
    应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
    1.2.1.2
    制定和发布( G3
    本项要求包括:
    a)
    应指定或授权专门的部门或人员负责安全管理制度的制定;b)
    安全管理制度应具有统一的格式,并进行版本控制;
    c)
    应组织相关人员对制定的安全管理制度进行论证和审定;
    d)
    安全管理制度应通过正式、有效的方式发布;
    e)
    安全管理制度应注明发布范围,并对收发文进行登记。
    1.2.1.3
    评审和修订( G3
    本项要求包括:
    a)
    信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合
    理性和适用性进行审定;
    b)
    应定期或不定期对安全管理制度进行检查和审定,
    对存在不足或需要改进的安全管
    理制度进行修订。
    1.2.2
    安全管理机构
    1.2.2.1
    岗位设置( G3
    本项要求包括:
    a)
    应设立信息安全管理工作的职能部门,
    设立安全主管、 安全管理各个方面的负责人
    岗位,并定义各负责人的职责;
    b)
    应设立系统管理员、 网络管理员、 安全管理员等岗位, 并定义各个工作岗位的职责;
    c)
    应成立指导和管理信息安全工作的委员会或领导小组,
    其最高领导由单位主管领导
    委任或授权;
    d)
    应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
    1.2.2.2
    人员配备( G3
    本项要求包括:
    a)
    应配备一定数量的系统管理员、网络管理员、安全管理员等;
    b)
    应配备专职安全管理员,不可兼任;
    c)
    关键事务岗位应配备多人共同管理。
    1.2.2.3
    授权和审批( G3
    本项要求包括:
    a)
    应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等;
    b)
    应针对系统变更、 重要操作、 物理访问和系统接入等事项建立审批程序,
    按照审批
    程序执行审批过程,对重要活动建立逐级审批制度;
    c)
    应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息;
    d)
    应记录审批过程并保存审批文档。
    1.2.2.4
    沟通和合作( G3
    本项要求包括:
    a)
    应加强各类管理人员之间、 组织内部机构之间以及信息安全职能部门内部的合作与
    沟通,定期或不定期召开协调会议,共同协作处理信息安全问题;
    b)
    应加强与兄弟单位、公安机关、电信公司的合作与沟通;
    c)
    应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通;d)
    应建立外联单位联系列表,
    包括外联单位名称、 合作内容、 联系人和联系方式等信
    息;
    e)
    应聘请信息安全专家作为常年的安全顾问,
    指导信息安全建设, 参与安全规划和安
    全评审等。
    1.2.2.5
    审核和检查( G3
    本项要求包括:
    a)
    安全管理员应负责定期进行安全检查,
    检查内容包括系统日常运行、
    系统漏洞和数
    据备份等情况;
    b)
    应由内部人员或上级单位定期进行全面安全检查,
    检查内容包括现有安全技术措施
    的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等;
    c)
    应制定安全检查表格实施安全检查,
    汇总安全检查数据, 形成安全检查报告, 并对
    安全检查结果进行通报;
    d)
    应制定安全审核和安全检查制度规范安全审核和安全检查工作,
    定期按照程序进行
    安全审核和安全检查活动。
    1.2.3
    人员安全管理
    1.2.3.1
    人员录用( G3
    本项要求包括:
    a)
    应指定或授权专门的部门或人员负责人员录用;
    b)
    应严格规范人员录用过程,
    对被录用人的身份、 背景、专业资格和资质等进行审查,
    对其所具有的技术技能进行考核;
    c)
    应签署保密协议;
    d)
    应从内部人员中选拔从事关键岗位的人员,并签署岗位安全协议。
    1.2.3.2
    人员离岗( G3
    本项要求包括:
    a)
    应严格规范人员离岗过程,及时终止离岗员工的所有访问权限;
    b)
    应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;
    c)
    应办理严格的调离手续,关键岗位人员离岗须承诺调离后的保密义务后方可离开。
    1.2.3.3
    人员考核( G3
    本项要求包括:
    a)
    应定期对各个岗位的人员进行安全技能及安全认知的考核;
    b)
    应对关键岗位的人员进行全面、严格的安全审查和技能考核;
    c)
    应对考核结果进行记录并保存。
    1.2.3.4
    安全意识教育和培训(
    G3
    本项要求包括:
    a)
    应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训;
    b)
    应对安全责任和惩戒措施进行书面规定并告知相关人员,
    对违反违背安全策略和规
    定的人员进行惩戒;c)
    应对定期安全教育和培训进行书面规定,
    针对不同岗位制定不同的培训计划,
    对信
    息安全基础知识、岗位操作规程等进行培训;
    d)
    应对安全教育和培训的情况和结果进行记录并归档保存。
    1.2.3.5
    外部人员访问管理(
    G3
    本项要求包括:
    a)
    应确保在外部人员访问受控区域前先提出书面申请,批准后由专人全程陪同或监
    督,并登记备案;
    b)
    对外部人员允许访问的区域、系统、
    设备、 信息等内容应进行书面的规定,并按照
    规定执行。
    1.2.4
    系统建设管理
    1.2.4.1
    系统定级( G3
    本项要求包括:
    a)
    应明确信息系统的边界和安全保护等级;
    b)
    应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由;
    c)
    应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行
    论证和审定;
    d)
    应确保信息系统的定级结果经过相关部门的批准。
    1.2.4.2
    安全方案设计( G3
    本项要求包括:
    a)
    应根据系统的安全保护等级选择基本安全措施,
    并依据风险分析的结果补充和调整
    安全措施;
    b)
    应指定和授权专门的部门对信息系统的安全建设进行总体规划,
    制定近期和远期的
    安全建设工作计划;
    c)
    应根据信息系统的等级划分情况,
    统一考虑安全保障体系的总体安全策略、
    安全技
    术框架、安全管理策略、总体建设规划和详细设计方案,并形成配套文件;
    d)
    应组织相关部门和有关安全技术专家对总体安全策略、
    安全技术框架、 安全管理策
    略、总体建设规划、 详细设计方案等相关配套文件的合理性和正确性进行论证和审
    定,并且经过批准后,才能正式实施;
    e)
    应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、
    安全管理策略、总体建设规划、详细设计方案等相关配套文件。
    1.2.4.3
    产品采购和使用( G3
    本项要求包括:
    a)
    应确保安全产品采购和使用符合国家的有关规定;
    b)
    应确保密码产品采购和使用符合国家密码主管部门的要求;
    c)
    应指定或授权专门的部门负责产品的采购;
    d)
    应预先对产品进行选型测试,
    确定产品的候选范围, 并定期审定和更新候选产品名
    单。
    1.2.4.4
    自行软件开发( G3本项要求包括:
    a)
    应确保开发环境与实际运行环境物理分开,
    开发人员和测试人员分离,
    测试数据和
    测试结果受到控制;
    b)
    应制定软件开发管理制度,明确说明开发过程的控制方法和人员行为准则;
    c)
    应制定代码编写安全规范,要求开发人员参照规范编写代码;
    d)
    应确保提供软件设计的相关文档和使用指南,并由专人负责保管;
    e)
    应确保对程序资源库的修改、更新、发布进行授权和批准。
    1.2.4.5
    外包软件开发( G3
    本项要求包括:
    a)
    应根据开发需求检测软件质量;
    b)
    应在软件安装之前检测软件包中可能存在的恶意代码;
    c)
    应要求开发单位提供软件设计的相关文档和使用指南;
    d)
    应要求开发单位提供软件源代码,并审查软件中可能存在的后门。
    1.2.4.6
    工程实施( G3
    本项要求包括:
    a)
    应指定或授权专门的部门或人员负责工程实施过程的管理;
    b)
    应制定详细的工程实施方案控制实施过程,
    并要求工程实施单位能正式地执行安全
    工程过程;
    c)
    应制定工程实施方面的管理制度,明确说明实施过程的控制方法和人员行为准则。
    1.2.4.7
    测试验收( G3
    本项要求包括:
    a)
    应委托公正的第三方测试单位对系统进行安全性测试,并出具安全性测试报告;
    b)
    在测试验收前应根据设计方案或合同要求等制订测试验收方案,
    在测试验收过程中
    应详细记录测试验收结果,并形成测试验收报告;
    c)
    应对系统测试验收的控制方法和人员行为准则进行书面规定;
    d)
    应指定或授权专门的部门负责系统测试验收的管理,
    并按照管理规定的要求完成系
    统测试验收工作;
    e)
    应组织相关部门和相关人员对系统测试验收报告进行审定,并签字确认。
    1.2.4.8
    系统交付( G3
    本项要求包括:
    a)
    应制定详细的系统交付清单,
    并根据交付清单对所交接的设备、
    软件和文档等进行
    清点;
    b)
    应对负责系统运行维护的技术人员进行相应的技能培训;
    c)
    应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档;
    d)
    应对系统交付的控制方法和人员行为准则进行书面规定;
    e)
    应指定或授权专门的部门负责系统交付的管理工作,
    并按照管理规定的要求完成系
    统交付工作。
    1.2.4.9
    系统备案( G3本项要求包括:
    a) 应指定专门的部门或人员负责管理系统定级的相关材料,并控制这些材料的使用;
    b) 应将系统等级及相关材料报系统主管部门备案;
    c) 应将系统等级及其他要求的备案材料报相应公安机关备案。
    1.2.4.10
    等级测评( G3
    本项要求包括:
    a)
    在系统运行过程中, 应至少每年对系统进行一次等级测评,
    发现不符合相应等级保
    护标准要求的及时整改;
    b)
    应在系统发生变更时及时对系统进行等级测评,
    发现级别发生变化的及时调整级别
    并进行安全改造,发现不符合相应等级保护标准要求的及时整改;
    c)
    应选择具有国家相关技术资质和安全资质的测评单位进行等级测评;
    d)
    应指定或授权专门的部门或人员负责等级测评的管理。
    1.2.4.11
    安全服务商选择( G3
    本项要求包括:
    a)
    应确保安全服务商的选择符合国家的有关规定;
    b)
    应与选定的安全服务商签订与安全相关的协议,明确约定相关责任;
    c)
    应确保选定的安全服务商提供技术培训和服务承诺,必要的与其签订服务合同。
    1.2.5
    系统运维管理
    1.2.5.1
    环境管理( G3
    本项要求包括:
    a)
    应指定专门的部门或人员定期对机房供配电、
    空调、温湿度控制等设施进行维护管
    理;
    b)
    应指定部门负责机房安全,
    并配备机房安全管理人员,
    对机房的出入、 服务器的开
    机或关机等工作进行管理;
    c)
    应建立机房安全管理制度,
    对有关机房物理访问,
    物品带进、 带出机房和机房环境
    安全等方面的管理作出规定;
    d)
    应加强对办公环境的保密性管理,
    规范办公环境人员行为,
    包括工作人员调离办公
    室应立即交还该办公室钥匙、
    不在办公区接待来访人员、
    工作人员离开座位应确保
    终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等。
    1.2.5.2
    资产管理( G3
    本项要求包括:
    a)
    应编制并保存与信息系统相关的资产清单,
    包括资产责任部门、 重要程度和所处位
    置等内容;
    b)
    应建立资产安全管理制度,
    规定信息系统资产管理的责任人员或责任部门,
    并规范
    资产管理和使用的行为;
    c)
    应根据资产的重要程度对资产进行标识管理,根据资产的价值选择相应的管理措
    施;d)
    应对信息分类与标识方法作出规定,
    并对信息的使用、 传输和存储等进行规范化管
    理。
    1.2.5.3
    介质管理( G3
    本项要求包括:
    a)
    应建立介质安全管理制度,
    对介质的存放环境、 使用、维护和销毁等方面作出规定;
    b)
    应确保介质存放在安全的环境中,
    对各类介质进行控制和保护,
    并实行存储环境专
    人管理;
    c)
    应对介质在物理传输过程中的人员选择、
    打包、 交付等情况进行控制, 对介质归档
    和查询等进行登记记录,并根据存档介质的目录清单定期盘点;
    d)
    应对存储介质的使用过程、
    送出维修以及销毁等进行严格的管理,
    对带出工作环境
    的存储介质进行内容加密和监控管理,
    对送出维修或销毁的介质应首先清除介质中
    的敏感数据,对保密性较高的存储介质未经批准不得自行销毁;
    e)
    应根据数据备份的需要对某些介质实行异地存储,
    存储地的环境要求和管理方法应
    与本地相同;
    f)
    应对重要介质中的数据和软件采取加密存储,
    并根据所承载数据和软件的重要程度
    对介质进行分类和标识管理。
    1.2.5.4
    设备管理( G3
    本项要求包括:
    a)
    应对信息系统相关的各种设备
    (包括备份和冗余设备)
    、线路等指定专门的部门或
    人员定期进行维护管理;
    b)
    应建立基于申报、 审批和专人负责的设备安全管理制度,
    对信息系统的各种软硬件
    设备的选型、采购、发放和领用等过程进行规范化管理;
    c)
    应建立配套设施、 软硬件维护方面的管理制度,
    对其维护进行有效的管理,
    包括明
    确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等;
    d)
    应对终端计算机、 工作站、 便携机、 系统和网络等设备的操作和使用进行规范化管
    理,按操作规程实现主要设备(包括备份和冗余设备)的启动
    / 停止、加电 / 断电等
    操作;
    e)
    应确保信息处理设备必须经过审批才能带离机房或办公地点。
    1.2.5.5
    监控管理和安全管理中心(
    G3
    本项要求包括:
    a)
    应对通信线路、 主机、网络设备和应用软件的运行状况、
    网络流量、用户行为等进
    行监测和报警,形成记录并妥善保存;
    b)
    应组织相关人员定期对监测和报警记录进行分析、
    评审, 发现可疑行为, 形成分析
    报告,并采取必要的应对措施;
    c)
    应建立安全管理中心,对设备状态、
    恶意代码、补丁升级、安全审计等安全相关事
    项进行集中管理。
    1.2.5.6
    网络安全管理( G3
    本项要求包括:a)
    应指定专人对网络进行管理,
    负责运行日志、 网络监控记录的日常维护和报警信息
    分析和处理工作;
    b)
    应建立网络安全管理制度,对网络安全配置、
    日志保存时间、 安全策略、升级与打
    补丁、口令更新周期等方面作出规定;
    c)
    应根据厂家提供的软件升级版本对网络设备进行更新,
    并在更新前对现有的重要文
    件进行备份;
    d)
    应定期对网络系统进行漏洞扫描,对发现的网络系统安全漏洞进行及时的修补;
    e)
    应实现设备的最小服务配置,并对配置文件进行定期离线备份;
    f)
    应保证所有与外部系统的连接均得到授权和批准;
    g)
    应依据安全策略允许或者拒绝便携式和移动式设备的网络接入;
    h)
    应定期检查违反规定拨号上网或其他违反网络安全策略的行为。
    1.2.5.7
    系统安全管理( G3
    本项要求包括:
    a)
    应根据业务需求和系统安全分析确定系统的访问控制策略;
    b)
    应定期进行漏洞扫描,对发现的系统安全漏洞及时进行修补;
    c)
    应安装系统的最新补丁程序,
    在安装系统补丁前, 首先在测试环境中测试通过,
    对重要文件进行备份后,方可实施系统补丁程序的安装;
    d)
    应建立系统安全管理制度,
    对系统安全策略、 安全配置、 日志管理和日常操作流程
    等方面作出具体规定;
    e)
    应指定专人对系统进行管理,
    划分系统管理员角色, 明确各个角色的权限、 责任和
    风险,权限设定应当遵循最小授权原则;
    f)
    应依据操作手册对系统进行维护,
    详细记录操作日志, 包括重要的日常操作、 运行
    维护记录、参数的设置和修改等内容,严禁进行未经授权的操作;
    g)
    应定期对运行日志和审计数据进行分析,以便及时发现异常行为。
    1.2.5.8
    恶意代码防范管理(
    G3
    本项要求包括:
    a)
    应提高所有用户的防病毒意识,
    及时告知防病毒软件版本,
    在读取移动存储设备上
    的数据以及网络上接收文件或邮件之前,
    先进行病毒检查, 对外来计算机或存储设
    备接入网络系统之前也应进行病毒检查;
    b)
    应指定专人对网络和主机进行恶意代码检测并保存检测记录;
    c)
    应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定;
    d)
    应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录,
    对主机防病
    毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析
    处理,并形成书面的报表和总结汇报。
    1.2.5.9
    密码管理( G3
    应建立密码使用管理制度,使用符合国家密码管理规定的密码技术和产品。
    1.2.5.10
    变更管理( G3
    本项要求包括:a)
    应确认系统中要发生的变更,并制定变更方案;
    b)
    应建立变更管理制度, 系统发生变更前, 向主管领导申请, 变更和变更方案经过评
    审、审批后方可实施变更,并在实施后将变更情况向相关人员通告;
    c)
    应建立变更控制的申报和审批文件化程序,
    对变更影响进行分析并文档化,
    记录变
    更实施过程,并妥善保存所有文档和记录;
    d)
    应建立中止变更并从失败变更中恢复的文件化程序,明确过程控制方法和人员职
    责,必要时对恢复过程进行演练。
    1.2.5.11
    备份与恢复管理( G3
    本项要求包括:
    a)
    应识别需要定期备份的重要业务信息、系统数据及软件系统等;
    b)
    应建立备份与恢复管理相关的安全管理制度,对备份信息的备份方式、备份频度、
    存储介质和保存期等进行规范;
    c)
    应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略,
    备份策略须指明备份数据的放置场所、
    文件命名规则、 介质替换频率和将数据离站
    运输的方法;
    d)
    应建立控制数据备份和恢复过程的程序,
    对备份过程进行记录, 所有文件和记录应
    妥善保存;
    e)
    应定期执行恢复程序, 检查和测试备份介质的有效性,
    确保可以在恢复程序规定的
    时间内完成备份的恢复。
    1.2.5.12
    安全事件处置( G3
    本项要求包括:
    a)
    应报告所发现的安全弱点和可疑事件,但任何情况下用户均不应尝试验证弱点;
    b)
    应制定安全事件报告和处置管理制度,
    明确安全事件的类型, 规定安全事件的现场
    处理、事件报告和后期恢复的管理职责;
    c)
    应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产
    生的影响,对本系统计算机安全事件进行等级划分;
    d)
    应制定安全事件报告和响应处理程序,确定事件的报告流程,响应和处置的范围、
    程度,以及处理方法等;
    e)
    应在安全事件报告和响应处理过程中,
    分析和鉴定事件产生的原因,
    收集证据, 记
    录处理过程, 总结经验教训, 制定防止再次发生的补救措施,
    过程形成的所有文件
    和记录均应妥善保存;
    f)
    对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序。
    1.2.5.13
    应急预案管理( G3
    本项要求包括:
    a)
    应在统一的应急预案框架下制定不同事件的应急预案,
    应急预案框架应包括启动应
    急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容;
    b)
    应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障;
    c)
    应对系统相关的人员进行应急预案培训,应急预案的培训应至少每年举办一次;d)
    应定期对应急预案进行演练,根据不同的应急恢复内容,确定演练的周期;
    e)
    应规定应急预案需要定期审查和根据实际情况更新的内容,并按照执行。
    展开全文
  • 等保2.0四级安全要求

    千次阅读 2020-06-07 15:14:16
    第四级安全保护能力:应能够在统一安全策略下防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾害,以及其他相当危害程度的...以下加粗字段为等保四级与三级的区别,需重点关注。

    第四级安全保护能力:应能够在统一安全策略下防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾害,以及其他相当危害程度的威胁所造成的资源损害,能够及时发现、监测发现攻击行为和安全事件,在自身遭到损害后,能够迅速恢复所有功能。

    以下加粗字段为等保四级与三级的区别,需重点关注。

    1安全通用要求

    1.1安全物理环境

    1.1.1物理位置选择
    本项要求包括:
    a)机房场地应选择在具有防震、防风和防雨等能力的建筑内;
    b)机房场地应避免设在建筑物的顶层或地下室,否则应加强防水和防潮措施。

    1.1.2物理访问控制
    a)机房出入口应配置电子门禁系统,控制、鉴别和记录进入的人员;
    b)重要区域应配置第二道电子门禁系统,控制、鉴别和记录进入的人员。

    1.1.3防盗窃和防破坏
    本项要求包括:
    a)应将设备或主要部件进行固定,并设置明显的不易去除的标识;
    b)应将通信线缆铺设在隐蔽安全处;
    c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。

    1.1.4防雷击
    本项要求包括:
    a)应将各类机柜、设施和设备等通过接地系统安全接地;
    b)应采取措施防止感应雷,例如设置防雷保安器或过压保护装置等。

    1.1.5 防火
    本项要求包括:
    a)机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;
    b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
    c)应对机房划分区域进行管理,区域和区域之间设置隔离防火措施。

    1.1.6防水和防潮
    本项要求包括:
    a)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
    b)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;
    c)应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。

    1.1.7防静电
    本项要求包括:
    a)应采用防静电地板或地面并采用必要的接地防静电措施;
    b)应采取措施防止静电的产生,例如釆用静电消除器、佩戴防静电手环等。

    1.1.8温湿度控制
    应设置温湿度自动调节设施,使机房温湿度的变化在设备运行所允许的范围之内。

    1.1.9电力供应
    本项要求包括:
    a)应在机房供电线路上配置稳压器和过电压防护设备;
    b)应提供短期的备用电力供应,至少满足设备在断电情况下的正常运行要求;
    c)应设置冗余或并行的电力电缆线路为计算机系统供电;
    d)应提供应急供电设备。

    1.1.10 电磁防护
    本项要求包括:
    a)电源线和通信线缆应隔离铺设,避免互相干扰;
    b)应对关键设备或关键区域实施电磁屏蔽。

    1.2安全通信网络

    1.2.1网络架构
    本项要求包括:
    a)应保证网络设备的业务处理能力满足业务高峰期需要;
    b)应保证网络各个部分的带宽满足业务高峰期需要;
    c)应划分不同的网络区域,并按照方便管理和控制的原则为各网络区域分配地址;
    d)应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应釆取可靠的技术隔离手段;
    e)应提供通信线路、关键网络设备和关键计算设备的硬件冗余,保证系统的可用性;
    f)应按照业务服务的重要程度分配带宽,优先保障重要业务。

    1.2.2通信传输
    本项要求包括:
    a)应采用校验技术或密码技术保证通信过程中数据的完整性;
    b)应釆用密码技术保证通信过程中数据的保密性;
    c)应在通信前基于密码技术对通信的双方进行验证或认证;
    d)应基于硬件密码模块对重要通信过程进行密码运算和密钥管理。

    1.2.3可信验证
    可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证,**并在应用程序的所有执行环节进行动态可信验证,**在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心,并进行动态关联感知。

    1.3安全区域边界

    1.3.1边界防护
    本项要求包括:
    a)应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信;
    b)应能够对非授权设备私自联到内部网络的行为进行检査或限制;
    c)应能够对内部用户非授权联到外部网络的行为进行检查或限制;
    d)应限制无线网络的使用,保证无线网络通过受控的边界设备接入内部网络;
    e)应能够在发现非授权设备私自联到内部网络的行为或内部用户非授权联到外部的行为时,对其进行有效阻断;
    f)应采用可信验证机制对接入到网络中的设备进行可信验证,保证接入网络的设备真实可信。

    1.3.2访问控制
    本项要求包括:
    a)应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受
    控接口拒绝所有通信;
    b)应删除多余或无效的访问控制规则,优化访问控制列表,并保证访问控制规则数量最小化;
    c)应对源地址、目的地址、源端口、目的端口和协议等进行检査,以允许/拒绝数据包进出;
    d)应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力;
    e)应在网络边界通过通信协议转换或通信协议隔离等方式进行数据交换。

    1.3.3入侵防范
    本项要求包括:
    a)应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为;
    b)应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为;
    c)应采取技术措施对网络行为进行分析,实现对网络攻击特别是新型网络攻击行为的分析;
    d)当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目标、攻击事件,在发生严重入侵事件时应提供报警。

    1.3.4恶意代码和垃圾邮件防范
    本项要求包括:
    a)应在关键网络节点处对恶意代码进行检测和清楚,并维护恶意代码防护机制的升级和更新;
    b)应在关键网络节点处对垃圾邮件进行检测和防护,并维护垃圾邮件防护机制的升级和更新。

    1.3.5安全审计
    本项要求包括:
    a)应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要的安全事件进行审计;
    b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功以及其他与审计相关的信息;
    c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;
    d)应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。

    1.3.6 可信验证
    可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证,**并在应用程序的所有执行环节进行动态可信验证,**在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心,并进行动态关联感知。

    1.4安全计算环境

    1.4.1身份鉴别
    本项要求包括:
    a)应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换;
    b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;
    c)当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
    d)应釆用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现。

    1.4.2访问控制
    本项要求包括:
    a)应对登录的用户分配账户和权限;
    b)应重命名或删除默认账户,修改默认账户的默认口令;
    c)应及时删除或停用多余的、过期的账户,避免共享账户的存在;
    d)应授予管理用户所需的最小权限,实现管理用户的权限分离;
    e)应由授权主体配置访问控制策略,访问控制策略规定主体对客体的访问规则;
    f)访问控制的粒度应达到主体为用户级或进程级,客体为文件、数据库表级;
    g)应对主体、客体设置安全标记,并依据安全标记和强制访问控制规则确定主体对客体的访问。

    1.4.3 安全审计
    本项要求包括:
    a)应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;
    b)审计记录应包括事件的日期和时间、事件类型、主体标识、客体标识和结果等;
    c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;
    d)应对审计进程进行保护,防止未经授权的中断。

    1.4.4入侵防范
    本项要求包括:
    a)应遵循最小安装的原则,仅安装需要的组件和应用程序;
    b)应关闭不需要的系统服务、默认共享和高危端口;
    c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制;
    d)应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的内容符合系统设 定要求;
    e)应能发现可能存在的已知漏洞,并在经过充分测试评估后,及时修补漏洞;
    f)应能够检测到对重要节点进行入侵的行为,并在发生严重入侵事件时提供报警。

    1.4.5恶意代码防范
    应采用主动免疫可信验证机制及时识别入侵和病毒行为,并将其有效阻断。

    1.4.6可信验证
    可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证, **并在应用程序的所有执行环节进行动态可信验证,**在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心,并进行动态关联感知。

    1.4.7数据完整性
    本项要求包括:
    a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性,包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等;
    b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性,包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等;
    c)在可能涉及法律责任认定的应用中,应采用密码技术提供数据原发证据和数据接受证据,实现数据原发行为的抗抵赖和数据接收行为的抗抵赖。

    1.4.8数据保密性
    本项要求包括:
    a)应釆用密码技术保证重要数据在传输过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等;
    b)应采用密码技术保证重要数据在存储过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等。

    1.4.9数据备份恢复
    本项要求包括:
    a)应提供重要数据的本地数据备份与恢复功能;
    b)应提供异地实时备份功能,利用通信网络将重要数据实时备份至备份场地;
    c)应提供重要数据处理系统的热冗余,保证系统的高可用性;
    d)应建立异地灾难备份中心,提供业务应用的实时切换。

    1.4.10剩余信息保护
    本项要求包括:
    a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除;
    b)应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。

    1.4.11个人信息保护
    本项要求包括:
    a)应仅采集和保存业务必需的用户个人信息;
    b)应禁止未授权访问和非法使用用户个人信息。

    1.5安全管理中心

    1.5.1系统管理
    本项要求包括:
    a)应对系统管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行系统管理操作,并对这些操作进行审计;
    b)应通过系统管理员对系统的资源和运行进行配置、控制和管理,包括用户身份、系统资源配置、 系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。

    1.5.2审计管理
    本项要求包括:
    a)应对审计管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全审计操作,并对这些操作进行审计;
    b)应通过审计管理员对审计记录应进行分析,并根据分析结果进行处理,包括根据安全审计策略对审计记录进行存储、管理和査询等。

    1.5.3安全管理
    本项要求包括:
    a)应对安全管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全管理操作,并对这些操作进行审计;
    b)应通过安全管理员对系统中的安全策略进行配置,包括安全参数的设置,主体、客体进行统一 安全标记,对主体进行授权,配置可信验证策略等。

    1.5.4集中管控
    本项要求包括:
    a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控;
    b)应能够建立一条安全的信息传输路径,对网络中的安全设备或安全组件进行管理;
    c)应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测;
    d)应对分散在各个设备上的审计数据进行收集汇总和集中分析,并保证审计记录的留存时间符 合法律法规要求;
    e)应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理;
    f)应能对网络中发生的各类安全事件进行识别、报警和分析;
    g)应保证系统范围内的时间由唯一确定的时钟产生,以保证各种数据的管理和分析在时间上的一致性。

    1.6安全管理制度

    1.6.1安全策略
    应制定网络安全工作的总体方针和安全策略,阐明机构安全工作的总体目标、范围、原则和安全框架等。

    8.1.6.2管理制度
    本项要求包括:
    a)应对安全管理活动中的各类管理内容建立安全管理制度;
    b)应对管理人员或操作人员执行的日常管理操作建立操作规程;
    c)应形成由安全策略、管理制度、操作规程、记录表単等构成的全面的安全管理制度体系。

    1.6.3制定和发布
    本项要求包括:
    a)应指定或授权专门的部门或人员负责安全管理制度的制定;
    b)安全管理制度应通过正式、有效的方式发布,并进行版本控制。

    1.6.4评审和修订
    应定期对安全管理制度的合理性和适用性进行论证和审定,对存在不足或需要改进的安全管理制度进行修订。

    1.7安全管理机构

    1.7.1岗位设置
    本项要求包括:
    a)应成立指导和管理网络安全工作的委员会或领导小组,其最高领导由单位主管领导担任或授权;
    b)应设立网络安全管理工作的职能部门,设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责;
    c)应设立系统管理员、审计管理员和安全管理员等岗位,并定义部门及各个工作岗位的职责。

    8.1.7.2人员配备
    本项要求包括:
    a)应配备一定数量的系统管理员、审计管理员和安全管理员等;
    b)应配备专职安全管理员,不可兼任;
    c)关键事务岗位应配备多人共同管理。

    1.7.3授权和审批
    本项要求包括:
    a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等;
    b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活动建立逐级审批制度;
    c)应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息。

    1.7.4沟通和合作
    本项要求包括:
    a)应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通,定期召开协调会议,共同协作处理网络安全问题;
    b)应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通;
    c)应建立外联单位联系列表,包括外联单位名称、合作内容、联系人和联系方式等信息。

    1.7.5审核和检查
    本项要求包括:
    a)应定期进行常规安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况;
    b)应定期进行全面安全检査,检査内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等;
    c)应制定安全检査表格实施安全检查,汇总安全检查数据,形成安全检查报告,并对安全检查结果进行通报。

    1.8安全管理人员

    1.8.1人员录用
    本项要求包括:
    a)应指定或授权专门的部门或人员负责人员录用;
    b)应对被录用人员的身份、安全背景、专业资格或资质等进行审查,对其所具有的技术技能进行考核;
    c)应与被录用人员签署保密协议,与关键岗位人员签署岗位责任协议;
    d)应从内部人员中选拔从事关键岗位的人员。

    1.8.2人员离岗
    本项要求包括:
    a)应及时终止离岗人员的所有访问权限,取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;
    b)应办理严格的调离手续,并承诺调离后的保密义务后方可离开。

    1.8.3安全意识教育和培训
    本项要求包括:
    a)应对各类人员进行安全意识教育和岗位技能培训,并告知相关的安全责任和惩戒措施;
    b)应针对不同岗位制定不同的培训计划,对安全基础知识、岗位操作规程等进行培训;
    c)应定期对不同岗位的人员进行技能考核。

    1.8.4外部人员访问管理
    本项要求包括:
    a)应在外部人员物理访问受控区域前先提出书面申请,批准后由专人全程陪同,并登记备案;
    b)应在外部人员接入受控网络访问系统前先提出书面申请,批准后由专人开设账户、分配权限,并登记备案;
    c)外部人员离场后应及时清除其所有的访问权限;
    d)获得系统访问授权的外部人员应签署保密协议,不得进行非授权操作,不得复制和泄露任何敏感信息;
    e)对关键区域或关键系统不允许外部人员访问。

    1.9安全建设管理

    1.9.1定级和备案
    本项要求包括:
    a)应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由;
    b)应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定;
    c)应保证定级结果经过相关部门的批准;
    d)应将备案材料报主管部门和相应公安机关备案。

    1.9.2安全方案设计
    本项要求包括:
    a)应根据安全保护等级选择基本安全措施,依据风险分析的结果补充和调整安全措施;
    b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计,设计内容应包含密码技术相关内容,并形成配套文件;
    c)应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定,经过批准后才能正式实施。

    8.1.9.3产品釆购和使用
    本项要求包括:
    a)应确保网络安全产品釆购和使用符合国家的有关规定;
    b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求;
    c)应预先对产品进行选型测试,确定产品的候选范围,并定期审定和更新候选产品名单;
    d)应对重要部位的产品委托专业测评单位进行专项测试,依据测试结果选用产品。

    1.9.4自行软件开发
    本项要求包括:
    a)应将开发环境与实际运行环境物理分开,测试数据和测试结果受到控制;
    b)应制定软件开发管理制度,明确说明开发过程的控制方法和人员行为准则;
    c)应制定代码编写安全规范,要求开发人员参照规范编写代码;
    d)应具备软件设计的相关文档和使用指南,并对文档使用进行控制;
    e)应保证在软件开发过程中对安全性进行测试,在软件安装前对可能存在的恶意代码进行检测;

    1.9.5外包软件开发
    本项要求包括:
    a)应在软件交付前检测其中可能存在的恶意代码;
    b)应保证开发单位提供软件设计文档和使用指南;
    c)应保证开发单位提供软件源代码,并审查软件中可能存在的后门和隐蔽信道

    1.9.6工程实施
    本项要求包括:
    a)应指定或授权专门的部门或人员负责工程实施过程的管理;
    b)应制定安全工程实施方案控制工程实施过程;
    c)应通过第三方工程监理控制项目的实施过程。

    1.9.7测试验收
    本项要求包括:
    a)应制订测试验收方案,并依据测试验收方案实施测试验收,形成测试验收报告;
    b)应进行上线前的安全性测试,并出具安全测试报告,安全测试报告应包含密码应用安全性测试相关内容。

    1.9.8系统交付
    本项要求包括:
    a)应制定交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点;
    b)应对负责运行维护的技术人员进行相应的技能培训;
    c)应提供建设过程文档和运行维护文档。

    1.9.9等级测评
    本项要求包括:
    a)应定期进行等级测评,发现不符合相应等级保护标准要求的及时整改;
    b)应在发生重大变更或级别发生变化时进行等级测评;
    c)应确保测评机构的选择符合国家有关规定。

    1.9.10服务供应商选择
    本项要求包括:
    a)应确保服务供应商的选择符合国家的有关规定;
    b)应与选定的服务供应商签订相关协议,明确整个服务供应链各方需履行的网络安全相关义务;
    c)应定期监督、评审和审核服务供应商提供的服务,并对其变更服务内容加以控制。

    1.10 安全运维管理

    1.10.1环境管理
    本项要求包括:
    a)应指定专门的部门或人员负责机房安全,对机房出入进行管理,定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理;
    b)应建立机房安全管理制度,对有关物理访问、物品带进出和环境安全等方面的管理作出规定;
    c)应不在重要区域接待来访人员,不随意放置含有敏感信息的纸档文件和移动介质等;
    d)应对出入人员进行相应级别的授权,对进入重要安全区域的人员和活动实时监视等。

    1.10.2资产管理
    本项要求包括:
    a)应编制并保存与保护对象相关的资产清单,包括资产责任部门、重要程度和所处位置等内容;
    b)应根据资产的重要程度对资产进行标识管理,根据资产的价值选择相应的管理措施;
    c)应对信息分类与标识方法作出规定,并对信息的使用、传输和存储等进行规范化管理。

    1.10.3介质管理
    本项要求包括:
    a)应将介质存放在安全的环境中,对各类介质进行控制和保护,实行存储环境专人管理,并根据存档介质的目录清单定期盘点;
    b)应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制,并对介质的归档和查询等进行登记记录。

    1.10.4设备维护管理
    本项要求包括:
    a)应对各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理;
    b)应建立配套设施、软硬件维护方面的管理制度,对其维护进行有效的管理,包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等;
    c)信息处理设备应经过审批才能带离机房或办公地点,含有存储介质的设备带出工作环境时其中重要数据应加密;
    d)含有存储介质的设备在报废或重用前,应进行完全清除或被安全覆盖,保证该设备上的敏感数据和授权软件无法被恢复重用。

    1.10.5漏洞和风险管理
    本项要求包括:
    a)应采取必要的措施识别安全漏洞和隐患,对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补;
    b)应定期开展安全测评,形成安全测评报告,采取措施应对发现的安全问题。

    1.10.6网络和系统安全管理
    本项要求包括:
    a)应划分不同的管理员角色进行网络和系统的运维管理,明确各个角色的责任和权限;
    b)应指定专门的部门或人员进行账户管理,对申请账户、建立账户、删除账户等进行控制;
    c)应建立网络和系统安全管理制度,对安全策略、账户管理、配置管理、日志管理、日常管理、日常操作、升级与打补丁、口令更新周期等方面做出规定;
    d)应制定重要设备的配置和操作手册,依据手册对设备进行安全配置和优化配置等;
    e)应详细记录运维操作日志,包括日常巡检工作、运行维护记录、参数的设置和修改等内容;
    f)应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计,及时发现可疑行为;
    g)应严格控制变更性运维,经过审批后才可改变连接、安装系统组件或调整配置参数,操作过程中应保留不可更改的审计日志,操作结束后应同步更新配置信息库;
    h)应严格控制运维工具的使用,经过审批后才可接入进行操作,操作过程中应保留不可更改的审计日志,操作结束后应删除工具中的敏感数据;
    i)应严格控制远程运维的开通,经过审批后才可开通远程运维接口或通道,操作过程中应保留不可更改的审计日志,操作结束后立即关闭接口或通道;
    j)应保证所有与外部的连接均得到授权和批准,应定期检查违反规定无线上网及其他违反网络安全策略的行为。

    1.10.7恶意代码防范管理
    本项要求包括:
    a)提高所有用户的防恶意代码意识,对外来计算机或存储设备接入系统前进行恶意代码检查等;
    b)应定期验证防范恶意代码攻击的技术措施的有效性。

    1.10.8配置管理
    本项要求包括:
    a)应记录和保存基本配置信息,包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等;
    b)应将基本配置信息改变纳入变更范畴,实施对配置信息改变的控制,并及时更新基本配置信息库。

    1.10.9 密码管理
    本项要求包括:
    a)应遵循密码相关国家标准和行业标准;
    b)应使用国家密码管理主管部门认证核准的密码技术和产品;
    c)应采用硬件密码模块实现密码运算和密钥管理。

    1.10.10 变更管理
    本项要求包括:
    a)应明确变更需求,变更前根据变更需求制定变更方案,变更方案经过评审、审批后方可实施;
    b)应建立变更的申报和审批控制程序,依据程序控制所有的变更,记录变更实施过程;
    c)应建立中止变更并从失败变更中恢复的程序,明确过程控制方法和人员职责。必要时对恢复过程进行演练。

    1.10.11备份与恢复管理
    本项要求包括:
    a)应识别需要定期备份的重要业务信息、系统数据及软件系统等;
    b)应规定备份信息的备份方式、备份频度、存储介质、保存期等;
    c)应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略、备份程序和恢复程序等。

    1.10.12安全事件处置
    本项要求包括:
    a)应及时向安全管理部门报告所发现的安全弱点和可疑事件;
    b)应制定安全事件报告和处置管理制度,明确不同安全事件的报告、处置和响应流程,规定安全事件的现场处理、事件报告和后期恢复的管理职责等;
    c)应在安全事件报告和响应处理过程中,分析和鉴定事件产生的原因,收集证据,记录处理过程,总结经验教训;
    d)对造成系统中断和造成信息泄漏的重大安全事件应采用不同的处理程序和报告程序;
    e)应建立联合防护和应急机制,负责处置跨单位安全事件。

    1.10.13应急预案管理
    本项要求包括:
    a)应规定统一的应急预案框架,包括启动预案的条件、应急组织构成、应急资源保障、事后教育和培训等内容;
    b)应制定重要事件的应急预案,包括应急处理流程、系统恢复流程等内容;
    c)应定期对系统相关的人员进行应急预案培训,并进行应急预案的演练;
    d)应定期对原有的应急预案重新评估,修订完善;
    e)应建立重大安全事件的跨单位联合应急预案,并进行应急预案的演练。

    1.10.14 外包运维管理
    本项要求包括:
    a)应确保外包运维服务商的选择符合国家的有关规定;
    b)应与选定的外包运维服务商签订相关的协议,明确约定外包运维的范围、工作内容;
    c)应保证选择的外包运维服务商在技术和管理方面均应具有按照等级保护要求开展安全运维工作的能力,并将能力要求在签订的协议中明确;
    d)应在与外包运维服务商签订的协议中明确所有相关的安全要求,如可能涉及对敏感信息的访问、处理、存储要求,对IT基础设施中断服务的应急保障要求等。

    2云计算安全扩展要求

    2.1安全物理环境

    2.1.1基础设施位置
    应保证云计算基础设施位于中国境内。

    2.2安全通信网络

    2.2.1网络架构
    本项要求包括:
    a)应保证云计算平台不承载高于其安全保护等级的业务应用系统;
    b)应实现不同云服务客户虚拟网络之间的隔离;
    c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力;
    d)应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略;
    e)应提供开放接口或开放性安全服务,允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。
    f)应提供对虚拟资源的主体和客体设置安全标记的能力,保证云服务客户可以依据安全标记和强制访问控制规则确定主体对客体的访问;
    g)应提供通信协议转换或通信协议隔离等的数据交换方式,保证云服务客户可以根据业务需求自主选择边界数据交换方式;
    h)应为第四级业务应用系统划分独立的资源池。

    2.3安全区域边界

    2.3.1访问控制
    本项要求包括:
    a)应在虚拟化网络边界部署访问控制机制,并设置访问控制规则;
    b)应在不同等级的网络区域边界部署访问控制机制,设置访问控制规则。

    2.3.2入侵防范
    本项要求包括:
    a)应能检测到云服务客户发起的网络攻击行为,并能记录攻击类型、攻击时间、攻击流量等;
    b)应能检测到对虚拟网络节点的网络攻击行为,并能记录攻击类型、攻击时间、攻击流量等;
    c)应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量;
    d)应在检测到网络攻击行为、异常流量情况时进行告警。

    2.3.3安全审计
    本项要求包括:
    a)应对云服务商和云服务客户在远程管理时执行的特权命令进行审计,至少包括虚拟机删除、虚拟机重启;
    b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。

    2.4安全计算环境

    2.4.1身份鉴别
    当远程管理云计算平台中设备时,管理终端和云计算平台之间应建立双向身份验证机制。

    2.4.2访问控制
    本项要求包括:
    a)应保证当虚拟机迁移时,访问控制策略随其迁移;
    b)应允许云服务客户设置不同虚拟机之间的访问控制策略。

    2.4.3入侵防范
    本项要求包括:
    a)应能检测虚拟机之间的资源隔离失效,并进行告警;
    b)应能检测非授权新建虚拟机或者重新启用虚拟机,并进行告警;
    c)应能够检测恶意代码感染及在虚拟机间蔓延的情况,并进行告警。

    2.4.4镜像和快照保护
    本项要求包括:
    a)应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务;
    b)应提供虚拟机镜像、快照完整性校验功能,防止虚拟机镜像被恶意篡改;
    c)应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。

    2.4.5数据完整性和保密性
    本项要求包括:
    a)应确保云服务客户数据、用户个人信息等存储于中国境内,如需岀境应遵循国家相关规定;
    b)应确保只有在云服务客户授权下,云服务商或第三方才具有云服务客户数据的管理权限;
    c)应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性,并在检测到完整性受到破坏时釆取必要的恢复措施;
    d)应支持云服务客户部署密钥管理解决方案,保证云服务客户自行实现数据的加解密过程。

    2.4.6数据备份恢复
    本项要求包括:
    a)云服务客户应在本地保存其业务数据的备份;
    b)应提供査询云服务客户数据及备份存储位置的能力;
    c)云服务商的云存储服务应保证云服务客户数据存在若干个可用的副本,各副本之间的内容应保持一致;
    d)应为云服务客户将业务系统及数据迁移到其他云计算平台和本地系统提供技术手段,并协助完成迁移过程。

    2.4.7剩余信息保护
    本项要求包括:
    a)应保证虚拟机所使用的内存和存储空间回收时得到完全清除;
    b)云服务客户删除业务应用数据时,云计算平台应将云存储中所有副本删除。

    2.5安全管理中心

    2.5.1集中管控
    本项要求包括:
    a)应能对物理资源和虚拟资源按照策略做统一管理调度与分配;
    b)应保证云计算平台管理流量与云服务客户业务流量分离;
    c)应根据云服务商和云服务客户的职责划分,收集各自控制部分的审计数据并实现各自的集中审计;
    d)应根据云服务商和云服务客户的职责划分,实现各自控制部分,包括虚拟化网络、虚拟机、虚拟化安全设备等的运行状况的集中监测。

    2.6安全建设管理

    2.6.1云服务商选择
    本项要求包括:
    a)应选择安全合规的云服务商,其所提供的云计算平台应为其所承载的业务应用系统提供相应等级的安全保护能力;
    b)应在服务水平协议中规定云服务的各项服务内容和具体技术指标;
    c)应在服务水平协议中规定云服务商的权限与责任,包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等;
    d)应在服务水平协议中规定服务合约到期时,完整提供云服务客户数据,并承诺相关数据在云计算平台上清除;
    e)应与选定的云服务商签署保密协议,要求其不得泄露云服务客户数据。

    2.6.2供应链管理
    本项要求包括:
    a)应确保供应商的选择符合国家有关规定;
    b)应将供应链安全事件信息或安全威胁信息及时传达到云服务客户;
    c)应将供应商的重要变更及时传达到云服务客户,并评估变更带来的安全风险,采取措施对风险进行控制。

    2.7 安全运维管理

    2.7.1云计算环境管理
    云计算平台的运维地点应位于中国境内,境外对境内云计算平台实施运维操作应遵循国家相关规定。

    3移动互联安全扩展要求

    3.1安全物理环境

    3.1.1无线接入点的物理位置
    应为无线接入设备的安装选择合理位置,避免过度覆盖和电磁干扰。

    3.2安全区域边界

    3.2.1边界防护
    应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。

    3.2.2访问控制
    无线接入设备应开启接入认证功能,并支持釆用认证服务器认证或国家密码管理机构批准的密码模块进行认证。

    3.2.3入侵防范
    本项要求包括:
    a)应能够检测到非授权无线接入设备和非授权移动终端的接入行为;
    b)应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为;
    c)应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态;
    d)应禁用无线接入设备和无线接入网关存在风险的功能,如:SSID广播、WEP认证等;
    e)应禁止多个AP使用同一个认证密钥;
    f)应能够阻断非授权无线接入设备或非授权移动终端。

    3.3安全计算环境

    3.3.1移动终端管控
    本项要求包括:
    a)应保证移动终端安装、注册并运行终端管理客户端软件;
    b)移动终端应接受移动终端管理服务端的设备生命周期管理、设备远程控制,如:远程锁定、远程擦除等;
    c)应保证移动终端只用于处理指定业务。

    3.3.2移动应用管控
    本项要求包括:
    a)应具有选择应用软件安装、运行的功能;
    b)应只允许指定证书签名的应用软件安装和运行;
    c)应具有软件白名単功能,应能根据白名单控制应用软件安装、运行;
    d)应具有接受移动终端管理服务端推送的移动应用软件管理策略,并根据该策略对软件实施管控的能力。

    3.4安全建设管理

    3.4.1移动应用软件采购
    本项要求包括:
    a)应保证移动终端安装、运行的应用软件来自可靠分发渠道或使用可靠证书签名;
    b)应保证移动终端安装、运行的应用软件由指定的开发者开发。

    3.4.2移动应用软件开发
    本项要求包括:
    a)应对移动业务应用软件开发者进行资格审查;
    b)应保证开发移动业务应用软件的签名证书合法性。

    3.5安全运维管理

    3.5.1配置管理
    应建立合法无线接入设备和合法移动终端配置库,用于对非法无线接入设备和非法移动终端的识别。

    4物联网安全扩展要求

    4.1安全物理环境

    4.1.1感知节点设备物理防护
    本项要求包括:
    a)感知节点设备所处的物理环境应不对感知节点设备造成物理破坏,如挤压、强振动;
    b)感知节点设备在工作状态所处物理环境应能正确反映环境状态(如温湿度传感器不能安装在阳光直射区域);
    c)感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响,如强干扰、阻挡屏蔽等;
    d)关键感知节点设备应具有可供长时间工作的电力供应(关键网关节点设备应具有持久稳定的电力供应能力)。

    4.2安全区域边界

    4.2.1接入控制
    应保证只有授权的感知节点可以接入。

    4.2.2入侵防范
    本项要求包括:
    a)应能够限制与感知节点通信的目标地址,以避免对陌生地址的攻击行为;
    b)应能够限制与网关节点通信的目标地址,以避免对陌生地址的攻击行为。

    4.3安全计算环境

    4.3.1感知节点设备安全
    本项要求包括:
    a)应保证只有授权的用户可以对感知节点设备上的软件应用进行配置或变更;
    b)应具有对其连接的网关节点设备(包括读卡器)进行身份标识和鉴别的能力;
    c)应具有对其连接的其他感知节点设备(包括路由节点)进行身份标识和鉴别的能力。

    4.3.2网关节点设备安全
    本项要求包括:
    a)应具备对合法连接设备(包括终端节点、路由节点、数据处理中心)进行标识和鉴别的能力;
    b)应具备过滤非法节点和伪造节点所发送的数据的能力;
    c)授权用户应能够在设备使用过程中对关键密钥进行在线更新;
    d)授权用户应能够在设备使用过程中对关键配置参数进行在线更新。

    4.3.3抗数据重放
    本项要求包括:
    a)应能够鉴别数据的新鲜性,避免历史数据的重放攻击;
    b)应能够鉴别历史数据的非法修改,避免数据的修改重放攻击。

    4.3.4数据融合处理
    本项要求包括:
    a)应对来自传感网的数据进行数据融合处理,使不同种类的数据可以在同一个平台被使用;
    b)应对不同数据之间的依赖关系和制约关系等进行智能处理,如一类数据达到某个门限时可以影响对另一类数据采集终端的管理指令。

    4.4安全运维管理

    4.4.1感知节点管理
    本项要求包括:
    a)应指定人员定期巡视感知节点设备、网关节点设备的部署环境,对可能影响感知节点设备、网关节点设备正常工作的环境异常进行记录和维护;
    b)应对感知节点设备、网关节点设备入库、存储、部署、携带、维修、丢失和报废等过程作出明确规定,并进行全程管理;
    c)应加强对感知节点设备、网关节点设备部署环境的保密性管理,包括负责检查和维护的人员调离工作岗位应立即交还相关检查工具和检查维护记录等。

    5工业控制系统安全扩展要求

    5.1安全物理环境

    5.1.1室外控制设备物理防护
    本项要求包括:
    a)室外控制设备应放置于采用铁板或其他防火材料制作的箱体或装置中并紧固;箱体或装置具有透风、散热、防盗、防雨和防火能力等;
    b)室外控制设备放置应远离强电磁干扰、强热源等环境,如无法避免应及时做好应急处置及检修,保证设备正常运行。

    5.2安全通信网络

    5.2.1网络架构
    本项要求包括:
    a)工业控制系统与企业其他系统之间应划分为两个区域,区域间应采用符合国家或行业规定的专用产品实现单向安全隔离;
    b)工业控制系统内部应根据业务特点划分为不同的安全域,安全域之间应釆用技术隔离手段;
    c)涉及实时控制和数据传输的工业控制系统,应使用独立的网络设备组网,在物理层面上实现与其他数据网及外部公共信息网的安全隔离。

    5.2.2通信传输
    在工业控制系统内使用广域网进行控制指令或相关数据交换的应釆用加密认证技术手段实现身份认证、访问控制和数据加密传输。

    5.3安全区域边界

    5.3.1访问控制
    本项要求包括:
    a)应在工业控制系统与企业其他系统之间部署访问控制设备,配置访问控制策略,禁止任何穿越区域边界的E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务;
    b)应在工业控制系统内安全域和安全域之间的边界防护机制失效时,及时进行报警。

    5.3.2拨号使用控制
    本项要求包括:
    a)工业控制系统确需使用拨号访问服务的,应限制具有拨号访问权限的用户数量,并釆取用户身份鉴别和访问控制等措施;
    b)拨号服务器和客户端均应使用经安全加固的操作系统,并采取数字证书认证、传输加密和访问控制等措施;
    c)涉及实时控制和数据传输的工业控制系统禁止使用拨号访问服务。

    5.3.3无线使用控制
    本项要求包括:
    a)应对所有参与无线通信的用户(人员、软件进程或者设备)提供唯一性标识和鉴别;
    b)应对所有参与无线通信的用户(人员、软件进程或者设备)进行授权以及执行使用进行限制;
    c)应对无线通信采取传输加密的安全措施,实现传输报文的机密性保护;
    d)对采用无线通信技术进行控制的工业控制系统,应能识别其物理环境中发射的未经授权的无线设备,报告未经授权试图接入或干扰控制系统的行为。

    5.4安全计算环境

    5.4.1控制设备安全
    本项要求包括:
    a)控制设备自身应实现相应级别安全通用要求提出的身份鉴别、访问控制和安全审计等安全要求,如受条件限制控制设备无法实现上述要求,应由其上位控制或管理设备实现同等功能或通过管理手段控制;
    b)应在经过充分测试评估后,在不影响系统安全稳定运行的情况下对控制设备进行补丁更新、固件更新等工作;
    c)应关闭或拆除控制设备的软盘驱动、光盘驱动、USB接口、串行口或多余网口等,确需保留的应通过相关的技术措施实施严格的监控管理;
    d)应使用专用设备和专用软件对控制设备进行更新;
    e)应保证控制设备在上线前经过安全性检测,避免控制设备固件中存在恶意代码程序。

    5.5安全建设管理

    5.5.1产品采购和使用
    工业控制系统重要设备应通过专业机构的安全性检测后方可采购使用。

    5.5.2外包软件开发
    应在外包开发合同中规定针对开发单位、供应商的约束条款,包括设备及系统在生命周期内有关保密、禁止关键技术扩散和设备行业专用等方面的内容。

    展开全文
  • 感知节点设备在工作状态所处物理环境应不对感知节点设备正常工作造成影响,如强干扰、阻挡屏蔽; 关键感知节点设备应具有可供长时间工作电力供应(关键网节点设备应具有持久稳定电力供应能力)...
  • 等保2.0-第三级-安全通用要求-权重赋值表文件,有需要请下载
  • 安全物理环境 无线接入点物理位置 应为无线接入设备安装选择合理位置,避免过度覆盖和电磁干扰。 安全区域边界 边界防护 应保证有线网络与无线网络边界之间访问和数据流通过无线接入网关设备。 访问控制 ...
  • 网络安全等级保护基本要求通用要求技术部分与信息安全等级保护基本要求技术部分结构由原来五个层面:物理安全、网络安全、主机安全、应用安全、数据安全,调整为四个部分:物理和环境安全、网络和通信安全、设备和...
  • 等保2.0系列标准即将发布, 网络安全等级保护基本要求通用要求在信息安全等级保护基本要 求技术部分基础上进行了一些调整,就网络安全等级保护基本要求通用要求在信息安全等级 保护基本要求进行了详细对比,下面以...
  • 关于计算机硬件及网络《信息系统安全等级保护基本要求》二级、三级等级保护要求比较。
  • 三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行监督、检查。 第四级,信息系统受到破坏后,会对社会秩序和...
  • 等保2.0云计算安全扩展要求一级二级三级四级测评项详细对比,附每一级别权重值; 权重对比表,明细表,测评项对比表。
  • 网络安全等级保护基本要求通用要求管理部分由原来五个...三级管理部分由原来153项调整为115项,要求项虽大幅减少,但安全要求并未降级,将原冗余条款进行优化合并。相对于原标准,新标准结构更合理,更具可操作性。
  • 等保基本要求三级通用要求

    千次阅读 2020-02-03 12:29:52
    a)机房场地应选择在具有防震、防风和防雨能力建筑内; b)机房场地应避免设在建筑物顶层或地下室,否则应加强防水和防潮措施。 1.2 物理访问控制 机房出入口应配置电子门禁系统,控制、鉴别和记录进人人员...
  • 8 第三级安全要求 8.1 安全通用要求 8.1.1 安全物理环境 8.1.1.1 物理位置选择 本项要求包括: a) 机房场地应选择在具有防震、防风和防雨能力建筑内; b) 机房场地应避免设在建筑物顶层或地下室,否则应...
  • 等保2.0三级通用要求

    千次阅读 2019-10-22 11:01:59
    机房场地应选择在具有防震、防风和防雨能力建筑内。 机房场地应避免设在建筑物顶层或地下室,否则应加强防水和防潮措施。 物理访问控制 机房出入口应配置电子门禁系统,控制、鉴别和记录进入人员。 防...
  • 等级保护基本要求技术部分结构由原来五个层面:物理安全、网络安全、主机安全、应用安全、数据安全,调整为四个部分:物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全
  • 信息安全等级保护2.0(第三级系统)测评权重赋值表,EXCEL版本,请于系统等级匹配使用!有需要请下载

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 411
精华内容 164
关键字:

安全等保三级的要求