新機房建設(shè)等保要求(20210314074237)

1、級、三級等級保護要求比較 技術(shù)要求 技術(shù)要求項 二級等保 三級等保 物理 1）機房和辦公場地應(yīng)選擇 1）機房和辦公場地應(yīng)選擇在具有防震、防 安全 在具有防震、防風和防雨 風和防雨等能力的建筑內(nèi)； 物理 位置 等能力的建筑內(nèi)。 2）機房場地應(yīng)避免設(shè)在建筑物的高層或地 1位置 下室，以及用水設(shè)備的下層或隔壁； 的選 3）機房場地應(yīng)當避開強電場、強磁場、強 擇 震動源、強噪聲源、重度環(huán)境污染、易 發(fā)生火災(zāi)、水災(zāi)、易遭受雷擊的地區(qū)。 物理 1）機房出入口應(yīng)有專人值 1）機房出入口應(yīng)有專人值守，鑒別進入的 訪問 守，鑒別進入的人員身份 人員身份并登記在案； 控制 并登記在案； 2）應(yīng)批準進入機房的來訪人

2、員，限制和監(jiān) 2）應(yīng)批準進入機房的來訪 控其活動范圍； 人員，限制和監(jiān)控其活動 3）應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū) 范圍。 域之間設(shè)置物理隔離裝置，在重要區(qū)域 前設(shè)置交付或安裝等過度區(qū)域； 4）應(yīng)對重要區(qū)域配置電子門禁系統(tǒng)，鑒別 和記錄進入的人員身份并監(jiān)控其活動。 防盜 1）應(yīng)將主要設(shè)備放置在物 1）應(yīng)將主要設(shè)備放置在物理受限的范圍 竊和 理受限的范圍內(nèi)； 內(nèi)； 防破 2）應(yīng)對設(shè)備或主要部件進 2）應(yīng)對設(shè)備或主要部件進行固定，并設(shè)置 壞 行固定，并設(shè)置明顯的不 明顯的無法除去的標記； 易除去的標記； 3）應(yīng)將通信線纜鋪設(shè)在隱蔽處，如鋪設(shè)在 3）應(yīng)將通信線纜鋪設(shè)在隱 地下或管道中等； 敝處，

3、如鋪設(shè)在地下或管 4）應(yīng)對介質(zhì)分類標識，存儲在介質(zhì)庫或檔 道中等； 案室中； 4）應(yīng)對介質(zhì)分類標識，存儲 5）設(shè)備或存儲介質(zhì)攜帶出工作環(huán)境時，應(yīng) 在介質(zhì)庫或檔案至中； 受到監(jiān)控和內(nèi)容加密； 5）應(yīng)安裝必要的防盜報警 6）應(yīng)利用光、電等技術(shù)設(shè)置機房的防盜報 設(shè)施，以防進入機房的盜 警系統(tǒng)，以防進入機房的盜竊和破壞行 竊和破壞行為。 為； 技術(shù)要求項 二級等保 三級等保 7）應(yīng)對機房設(shè)置監(jiān)控報警系統(tǒng)。 防雷 1）機房建筑應(yīng)設(shè)置避雷裝 1）機房建筑應(yīng)設(shè)置避雷裝置； 擊 置； 2）應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷； 2）應(yīng)設(shè)置交流電源地線。 3）應(yīng)設(shè)置交流電源地線。 防火 1）應(yīng)設(shè)置火火設(shè)備和火災(zāi) 1）應(yīng)

4、設(shè)置火災(zāi)自動消防系統(tǒng)，自動檢測火 自動報警系統(tǒng)，并保持滅 情、自動報警，并自動滅火； 火設(shè)備和火災(zāi)自動報警 2）機房及相關(guān)的工作房間和輔助房，其建 系統(tǒng)的良好狀態(tài)。 筑材料應(yīng)具有耐火等級； 3）機房采取區(qū)域隔離防火措施，將重要設(shè) 備與其他設(shè)備隔離開。 防水 1）水管安裝，不得穿過屋頂 1）水管安裝，不得穿過屋頂和活動地板下； 和防 和活動地板下； 2）應(yīng)對穿過墻壁和樓板的水管增加必要的 潮 2）應(yīng)對穿過墻壁和樓板的 保護措施，如設(shè)置套管； 水管增加必要的保護措 3）應(yīng)采取措施防止雨水通過屋頂和墻壁滲 施，如設(shè)置套管； 透； 3）應(yīng)采取措施防止雨水通 4）應(yīng)采取措施防止室內(nèi)水蒸氣結(jié)露和地下 過屋

5、頂和墻壁滲透； 積水的轉(zhuǎn)移與滲透。 4）應(yīng)采取措施防止室內(nèi)水 蒸氣結(jié)露和地下積水的 轉(zhuǎn)移與滲透。 防靜 1）應(yīng)采用必要的接地等防 1）應(yīng)采用必要的接地等防靜電措施； 電 靜電措施 2）應(yīng)采用防靜電地板。 溫濕 1）應(yīng)設(shè)置溫、濕度自動調(diào)節(jié) 1）應(yīng)設(shè)置恒溫恒濕系統(tǒng)，使機房溫、濕度 度控 設(shè)施，使機房溫、濕度的 的變化在設(shè)備運行所允許的范圍之內(nèi)。 制 變化在設(shè)備運行所允許 的范圍之內(nèi)。 電力 1）計算機系統(tǒng)供電應(yīng)與其 1）計算機系統(tǒng)供電應(yīng)與其他供電分開； 供應(yīng) 他供電分開； 2）應(yīng)設(shè)置穩(wěn)壓器和過電壓防護設(shè)備； 2）應(yīng)設(shè)置穩(wěn)壓器和過電壓 3）應(yīng)提供短期的備用電力供應(yīng)（如UPS設(shè) 防護設(shè)備； 備）； 3

6、）應(yīng)提供短期的備用電力 4）應(yīng)設(shè)置冗余或并行的電力電纜線路； 供應(yīng)（如UPS設(shè)備）。 5）應(yīng)建立備用供電系統(tǒng)（如備用發(fā)電機）， 以備常用供電系統(tǒng)停電時啟用。 技術(shù)要求項 二級等保 三級等保 1）應(yīng)米用接地方式防止外 1）應(yīng)米用接地方式防止外界電磁干擾和設(shè) 界電磁干擾和設(shè)備寄生 備寄生耦合干擾； 電磁 防護 耦合干擾； 2） 電源線和通信線纜應(yīng)隔離，避免互相十 lyJ v 2）電源線和通信線纜應(yīng)隔 擾； 離，避免互相干擾。 3）對重要設(shè)備和磁介質(zhì)實施電磁屏蔽。 網(wǎng)絡(luò) 結(jié)構(gòu) 1）網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能 1）網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)具備冗余空 安全 安全 力應(yīng)具備冗余空間，要求 間，要求滿足業(yè)務(wù)高峰期

7、需要； 與網(wǎng) 滿足業(yè)務(wù)高峰期需要； 2）應(yīng)設(shè)計和繪制與當前運行情況相符的網(wǎng) 段劃 2）應(yīng)設(shè)計和繪制與當前運 絡(luò)拓撲結(jié)構(gòu)圖； 分 行情況相符的網(wǎng)絡(luò)拓撲 3）應(yīng)根據(jù)機構(gòu)業(yè)務(wù)的特點，在滿足業(yè)務(wù)高 結(jié)構(gòu)圖； 峰期需要的基礎(chǔ)上，合理設(shè)計網(wǎng)絡(luò)帶寬； 3）應(yīng)根據(jù)機構(gòu)業(yè)務(wù)的特點， 4）應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路 在滿足業(yè)務(wù)高峰期需要 由控制建立安全的訪問路徑； 的基礎(chǔ)上，合理設(shè)計網(wǎng)絡(luò) 5）應(yīng)根據(jù)各部門的工作職能、重要性、所 帶寬； 涉及信息的重要程度等因素，劃分不冋 4）應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服 的子網(wǎng)或網(wǎng)段，并按照方便管理和控制 務(wù)器之間進行路由控制， 的原則為各子網(wǎng)、網(wǎng)段分配地址段； 建立安全的訪問路

8、徑； 6）重要網(wǎng)段應(yīng)米取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路 5）應(yīng)根據(jù)各部門的工作職 層地址綁定措施，防止地址欺騙； 能、重要性、所涉及信息 7）應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶 的重要程度等因素，劃分 寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵 不同的子網(wǎng)或網(wǎng)段，并按 的時候優(yōu)先保護重要業(yè)務(wù)數(shù)據(jù)主機。 照方便管理和控制的原 則為各子網(wǎng)、網(wǎng)段分配地 址段； 6） 重要網(wǎng)段應(yīng)米取網(wǎng)絡(luò)層 地址與數(shù)據(jù)鏈路層地址 綁定措施，防止地址欺 騙。 網(wǎng)絡(luò) 1）應(yīng)能根據(jù)會話狀態(tài)信息 1）應(yīng)能根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的 訪問 （包括數(shù)據(jù)包的源地址、 源地址、目的地址、源端口號、目的端 控制 目的地址、源端口號、目 口號、協(xié)議、出

9、入的接口、會話序列號、 的端口號、協(xié)議、出入的 發(fā)出信息的主機名等信息，并應(yīng)支持地 技術(shù)要求項 二級等保 三級等保 接口、會話序列號、發(fā)出 信息的主機名等信息，并 應(yīng)支持地址通配符的使2) 用)，為數(shù)據(jù)流提供明確 的允許/拒絕訪問的能 力。 3) 址通配符的使用)，為數(shù)據(jù)流提供明確的 允許/拒絕訪問的能力； 應(yīng)對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實 現(xiàn)對應(yīng)用層 HTTP FTP TELNET SMTP POP3等協(xié)議命令級的控制； 應(yīng)依據(jù)安全策略允許或者拒絕便攜式和 移動式設(shè)備的網(wǎng)絡(luò)接入； 應(yīng)在會話處于非活躍一定時間或會話結(jié) 束后終止網(wǎng)絡(luò)連接； 5) 撥號 訪問 控制 1) 2) 應(yīng)在基于安全屬性的

10、允1) 許遠程用戶對系統(tǒng)訪問 的規(guī)則的基礎(chǔ)上，對系統(tǒng) 所有資源允許或拒絕用 戶進行訪問，控制粒度為 單個用戶；2) 應(yīng)限制具有撥號訪問權(quán) 3) 限的用戶數(shù)量。 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)。 應(yīng)在基于安全屬性的允許遠程用戶對系 統(tǒng)訪問的規(guī)則的基礎(chǔ)上，對系統(tǒng)所有資 源允許或拒絕用戶進行訪問，控制粒度 為單個用戶； 應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量； 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則, 決定允許用戶對受控系統(tǒng)進行資源訪 問。 網(wǎng)絡(luò) 安全 審計 1) 2) 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò) 設(shè)備運行狀況、網(wǎng)絡(luò)流 量、用戶行為等事件進行 日志記錄； 對于每一個事件，其審計 記錄應(yīng)包括：事件的日期 和時間、用戶

11、、事件類型、 事件是否成功，及其他與 審計相關(guān)的信息。 1) 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、 網(wǎng)絡(luò)流量、用戶行為等進行全面的監(jiān)測、 記錄； 2) 對于每一個事件，其審計記錄應(yīng)包括： 事件的日期和時間、用戶、事件類型、 事件是否成功，及其他與審計相關(guān)的信 息; 3)安全審計應(yīng)可以根據(jù)記錄數(shù)據(jù)進行分 析，并生成審計報表； 4) 安全審計應(yīng)可以對特定事件，提供指定 方式的實時報警； 5) 審計記錄應(yīng)受到保護避免受到未預期的 刪除、修改或覆蓋等。 技術(shù)要求項 二級等保 三級等保 邊界 完整 性檢 查 1）應(yīng)能夠檢測內(nèi)部網(wǎng)絡(luò)中 出現(xiàn)的內(nèi)部用戶未通過 準許私自聯(lián)到外部網(wǎng)絡(luò) 的行為（即“非法外聯(lián)” 行為

12、）。 1）應(yīng)能夠檢測內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶 未通過準許私自聯(lián)到外部網(wǎng)絡(luò)的行為 （即“非法外聯(lián)”行為）； 2）應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到網(wǎng)絡(luò)的行 為進行檢查，并準確定出位置，對其進 行有效阻斷； 3）應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng) 絡(luò)的行為進行檢測后準確定出位置，并 對其進行有效阻斷。 網(wǎng)絡(luò) 入侵 防范 1）應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以 下攻擊行為：端口掃描、 強力攻擊、木馬后門攻 擊、拒絕服務(wù)攻擊、緩沖 區(qū)溢出攻擊、IP碎片攻 擊、網(wǎng)絡(luò)蠕蟲攻擊等入侵 事件的發(fā)生。 1）應(yīng)在網(wǎng)絡(luò)邊界處應(yīng)監(jiān)視以下攻擊行為： 端口掃描、強力攻擊、木馬后門攻擊、 拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎 片攻擊、網(wǎng)絡(luò)蠕蟲攻

13、擊等入侵事件的發(fā) 生； 2）當檢測到入侵事件時，應(yīng)記錄入侵的源 IP、攻擊的類型、攻擊的目的、攻擊的 時間，并在發(fā)生嚴重入侵事件時提供報 警。 惡意 代碼 防范 1）應(yīng)在網(wǎng)絡(luò)邊界及核心業(yè) 務(wù)網(wǎng)段處對惡意代碼進 行檢測和清除； 2）應(yīng)維護惡意代碼庫的升 級和檢測系統(tǒng)的更新； 3）應(yīng)支持惡意代碼防范的 統(tǒng)一管理。 1）應(yīng)在網(wǎng)絡(luò)邊界及核心業(yè)務(wù)網(wǎng)段處對惡意 代碼進行檢測和清除； 2）應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的 更新； 3）應(yīng)支持惡意代碼防范的統(tǒng)一管理。 網(wǎng)絡(luò) 設(shè)備 防護 1）應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用 戶進行身份鑒別； 2）應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員 登錄地址進行限制； 3）網(wǎng)絡(luò)設(shè)備用戶的標識應(yīng) 1）應(yīng)對

14、登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒 別； 2）應(yīng)對網(wǎng)絡(luò)上的對等實體進行身份鑒別； 3）應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限 技術(shù)要求項 二級等保 三級等保 唯一； 制; 4) 身份鑒別信息應(yīng)具有不 4) 網(wǎng)絡(luò)設(shè)備用戶的標識應(yīng)唯一； 易被冒用的特點，例如口 5) 身份鑒別信息應(yīng)具有不易被冒用的特 令長度、復雜性和定期的 點，例如口令長度、復雜性和定期的更 更新等； 新等； 5) 應(yīng)具有登錄失敗處理功 能，如：結(jié)束會話、限制 6) 應(yīng)對冋一用戶選擇兩種或兩種以上組合 非法登錄次數(shù)，當網(wǎng)絡(luò)登 的鑒別技術(shù)來進行身份鑒別； 錄連接超時，自動退出。 7) 應(yīng)具有登錄失敗處理功能，如：結(jié)束會 話、限制非法登錄次數(shù)，

15、當網(wǎng)絡(luò)登錄連 接超時，自動退出； 8) 應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離，例如 將管理與審計的權(quán)限分配給不冋的網(wǎng)絡(luò) 設(shè)備用戶。 主機 身份 1) 操作系統(tǒng)和數(shù)據(jù)庫管理 1) 操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的身份 系統(tǒng) 鑒別 系統(tǒng)用戶的身份標識應(yīng) 標識應(yīng)具有唯一性； 安全 2) 具有唯一性； 應(yīng)對登錄操作系統(tǒng)和數(shù) 據(jù)庫管理系統(tǒng)的用戶進 行身份標識和鑒別； 2) 3) 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的 用戶進行身份標識和鑒別； 應(yīng)對冋一用戶采用兩種或兩種以上組合 3) 操作系統(tǒng)和數(shù)據(jù)庫管理 的鑒別技術(shù)實現(xiàn)用戶身份鑒別； 系統(tǒng)身份鑒別信息應(yīng)具 4) 操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的身份 有不易被冒用的特點

16、，例 鑒別信息應(yīng)具有不易被冒用的特點，例 如口令長度、復雜性和定 期的更新等； 如口令長度、復雜性和定期的更新等； 5) 應(yīng)具有登錄失敗處理功能，如：結(jié)束會 4) 應(yīng)具有登錄失敗處理功 能，女口：結(jié)束會話、限制 話、限制非法登錄次數(shù)，當?shù)卿涍B接超 非法登錄次數(shù)，當?shù)卿涍B 時，自動退出； 接超時，自動退出。 6) 應(yīng)具有鑒別警示功能； 7) 重要的主機系統(tǒng)應(yīng)對與之相連的服務(wù)器 或終端設(shè)備進行身份標識和鑒別。 自主 1) 應(yīng)依據(jù)安全策略控制主 1) 應(yīng)依據(jù)安全策略控制主體對客體的訪 技術(shù)要求項 二級等保 三級等保 訪問 控制 體對客體的訪問； 2） 自主訪問控制的覆蓋范2） 圍應(yīng)包括與信息安全直

17、接相關(guān)的主體、客體及它 們之間的操作； 3） 3）自主訪問控制的粒度應(yīng) 達到主體為用戶級，客體 為文件、數(shù)據(jù)庫表級；4） 4）應(yīng)由授權(quán)主體設(shè)置對客 體訪問和操作的權(quán)限； 5） 5）應(yīng)嚴格限制默認用戶的 訪問權(quán)限。 6） 7） 問； 自主訪問控制的覆蓋范圍應(yīng)包括與信息 安全直接相關(guān)的主體、客體及它們之間 的操作； 自主訪問控制的粒度應(yīng)達到主體為用戶 級，客體為文件、數(shù)據(jù)庫表級； 應(yīng)由授權(quán)主體設(shè)置對客體訪問和操作的 權(quán)限； 權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授 予不同用戶各自為完成自己承擔任務(wù)所 需的最小權(quán)限，并在他們之間形成相互 制約的關(guān)系； 應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)特權(quán) 用戶的權(quán)限分離；

18、應(yīng)嚴格限制默認用戶的訪問權(quán)限。 強制 訪問 控制 安全 審計 1）安全審計應(yīng)覆蓋到服務(wù) 器上的每個操作系統(tǒng)用 戶和數(shù)據(jù)庫用戶； 2）安全審計應(yīng)記錄系統(tǒng)內(nèi) 重要的安全相關(guān)事件， 括重要用戶行為和重要 系統(tǒng)命令的使用等； 3）安全相關(guān)事件的記錄應(yīng) 無1）應(yīng)對重要信息資源和訪問重要信息資源 的所有主體設(shè)置敏感標記； 2）強制訪問控制的覆蓋范圍應(yīng)包括與重要 信息資源直接相關(guān)的所有主體、客體及 它們之間的操作； 3）強制訪問控制的粒度應(yīng)達到主體為用戶 級，客體為文件、數(shù)據(jù)庫表級。 1）安全審計應(yīng)覆蓋到服務(wù)器和客戶端上的 每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶； 2）安全審計應(yīng)記錄系統(tǒng)內(nèi)重要的安全相關(guān) 事件，包括重

19、要用戶行為、系統(tǒng)資源的 包 異常使用和重要系統(tǒng)命令的使用； 3）安全相關(guān)事件的記錄應(yīng)包括日期和時 技術(shù)要求項 二級等保 包括日期和時間、類型、 主體標識、客體標識、事 件的結(jié)果等； 4）審計記錄應(yīng)受到保護避 免受到未預期的刪除、修 改或覆蓋等。 三級等保 系統(tǒng) 保護 1）系統(tǒng)應(yīng)提供在管理維護 狀態(tài)中運行的能力，管理 維護狀態(tài)只能被系統(tǒng)管 間、類型、主體標識、客體標識、事件 的結(jié)果等； 4）安全審計應(yīng)可以根據(jù)記錄數(shù)據(jù)進行分 析，并生成審計報表； 5）安全審計應(yīng)可以對特定事件，提供指定 方式的實時報警； 6）審計進程應(yīng)受到保護避免受到未預期的 中斷； 7）審計記錄應(yīng)受到保護避免受到未預期的 刪除、

20、修改或覆蓋等。 1）系統(tǒng)因故障或其他原因中斷后，應(yīng)能夠 以手動或自動方式恢復運行。 剩余 信息 保護 入侵 防范 理員使用。 1）應(yīng)保證操作系統(tǒng)和數(shù)據(jù) 庫管理系統(tǒng)用戶的鑒別 信息所在的存儲空間，被 釋放或再分配給其他用 戶前得到完全清除，無論 這些信息是存放在硬盤 上還是在內(nèi)存中； 2）應(yīng)確保系統(tǒng)內(nèi)的文件、目 錄和數(shù)據(jù)庫記錄等資源 所在的存儲空間，被釋放 或重新分配給其他用戶 前得到完全清除。 無 1）應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶 的鑒別信息所在的存儲空間，被釋放或 再分配給其他用戶前得到完全清除，無 論這些信息是存放在硬盤上還是在內(nèi)存 中； 2）應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記 錄等

21、資源所在的存儲空間，被釋放或重 新分配給其他用戶前得到完全清除。 1）應(yīng)進行主機運行監(jiān)視，包括監(jiān)視主機的 CPU硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情 況； 2）應(yīng)設(shè)定資源報警域值，以便在資源使用 超過規(guī)定數(shù)值時發(fā)出報警； 技術(shù)要求項 二級等保 三級等保 3）應(yīng)進行特定進程監(jiān)控，限制操作人員運 行非法進程； 4）應(yīng)進行主機賬戶監(jiān)控，限制對重要賬戶 的添加和更改； 5）應(yīng)檢測各種已知的入侵行為，記錄入侵 的源IP、攻擊的類型、攻擊的目的、攻 擊的時間，并在發(fā)生嚴重入侵事件時提 供報警； 6）應(yīng)能夠檢測重要程序完整性受到破壞， 并在檢測到完整性錯誤時米取必要的恢 復措施。 惡意 代碼 防范 1）服務(wù)器和重

22、要終端設(shè)備 （包括移動設(shè)備）應(yīng)安裝 實時檢測和查殺惡意代 碼的軟件產(chǎn)品； 2）主機系統(tǒng)防惡意代碼產(chǎn) 品應(yīng)具有與網(wǎng)絡(luò)防惡意 代碼產(chǎn)品不冋的惡意代 碼庫； 1）服務(wù)器和終端設(shè)備（包括移動設(shè)備）均 應(yīng)安裝實時檢測和查殺惡意代碼的軟件 產(chǎn)品； 2）主機系統(tǒng)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò) 防惡意代碼產(chǎn)品不冋的惡意代碼庫； 3）應(yīng)支持惡意代碼防范的統(tǒng)一管理。 資源 控制 1）應(yīng)限制單個用戶的會話 數(shù)量； 2）應(yīng)通過設(shè)定終端接入方 式、網(wǎng)絡(luò)地址范圍等條件 限制終端登錄。 1）應(yīng)限制單個用戶的多重并發(fā)會話； 2）應(yīng)對最大并發(fā)會話連接數(shù)進行限制； 3）應(yīng)對一個時間段內(nèi)可能的并發(fā)會話連接 數(shù)進行限制； 4）應(yīng)通過設(shè)定

23、終端接入方式、網(wǎng)絡(luò)地址范 圍等條件限制終端登錄； 5）應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超 時鎖定和鑒別失敗鎖定，并規(guī)定解鎖或 終止方式； 6）應(yīng)禁止冋一用戶賬號在冋一時間內(nèi)并發(fā) 登錄； 技術(shù)要求項 二級等保 三級等保 7）應(yīng)限制單個用戶對系統(tǒng)資源的最大或最 小使用限度； 8）當系統(tǒng)的服務(wù)水平降低到預先規(guī)定的最 小值時，應(yīng)能檢測和報警； 9）應(yīng)根據(jù)安全策略設(shè)定主體的服務(wù)優(yōu)先 級，根據(jù)優(yōu)先級分配系統(tǒng)資源，保證優(yōu) 先級低的主體處理能力不會影響到優(yōu)先 級高的主體的處理能力。 應(yīng)用 安全 身份 鑒別 1）應(yīng)用系統(tǒng)用戶的身份標 識應(yīng)具有唯一性； 2）應(yīng)對登錄的用戶進行身 份標識和鑒別； 3）系統(tǒng)用戶身份鑒

24、別信息 應(yīng)具有不易被冒用的特 點，例如口令長度、復雜 性和定期的更新等； 4）應(yīng)具有登錄失敗處理功 能，如：結(jié)束會話、限制 非法登錄次數(shù)，當?shù)卿涍B 接超時，自動退出。 1）系統(tǒng)用戶的身份標識應(yīng)具有唯一性； 2）應(yīng)對登錄的用戶進行身份標識和鑒別； 3）系統(tǒng)用戶的身份鑒別信息應(yīng)具有不易被 冒用的特點，例如口令長度、復雜性和 定期的更新等； 4）應(yīng)對冋一用戶采用兩種或兩種以上組合 的鑒別技術(shù)實現(xiàn)用戶身份鑒別； 5）應(yīng)具有登錄失敗處理功能，如：結(jié)束會 話、限制非法登錄次數(shù)，當?shù)卿涍B接超 時，自動退出； 6）應(yīng)具有鑒別警示功能； 7）應(yīng)用系統(tǒng)應(yīng)及時清除存儲空間中動態(tài)使 用的鑒別信息。 訪問 控制 1）應(yīng)

25、依據(jù)安全策略控制用 戶對客體的訪問； 2）自主訪問控制的覆蓋范 圍應(yīng)包括與信息安全直 接相關(guān)的主體、客體及它 們之間的操作； 3）自主訪問控制的粒度應(yīng) 達到主體為用戶級，客體 為文件、數(shù)據(jù)庫表級； 4）應(yīng)由授權(quán)主體設(shè)置用戶 1）應(yīng)依據(jù)安全策略控制用戶對客體的訪 問； 2）自主訪問控制的覆蓋范圍應(yīng)包括與信息 安全直接相關(guān)的主體、客體及它們之間 的操作； 3）自主訪問控制的粒度應(yīng)達到主體為用戶 級，客體為文件、數(shù)據(jù)庫表級； 4）應(yīng)由授權(quán)主體設(shè)置用戶對系統(tǒng)功能操作 技術(shù)要求項 二級等保 三級等保 對系統(tǒng)功能操作和對數(shù) 據(jù)訪問的權(quán)限； 5）應(yīng)實現(xiàn)應(yīng)用系統(tǒng)特權(quán)用 戶的權(quán)限分離，例如將管 理與審計的權(quán)限分

26、配給 不同的應(yīng)用系統(tǒng)用戶； 6）權(quán)限分離應(yīng)采用最小授 權(quán)原則，分別授予不同用 戶各自為完成自己承擔 任務(wù)所需的最小權(quán)限，并 在它們之間形成相互制 約的關(guān)系； 7）應(yīng)嚴格限制默認用戶的 訪問權(quán)限。 安全 1）安全審計應(yīng)覆蓋到應(yīng)用 審計系統(tǒng)的每個用戶； 2）安全審計應(yīng)記錄應(yīng)用系 統(tǒng)重要的安全相關(guān)事件， 包括重要用戶行為和重 要系統(tǒng)功能的執(zhí)行等； 3）安全相關(guān)事件的記錄應(yīng) 包括日期和時間、類型、 主體標識、客體標識、事 件的結(jié)果等； 4）審計記錄應(yīng)受到保護避 免受到未預期的刪除、修 改或覆蓋等。 剩余 1）應(yīng)保證用戶的鑒別信息 和對數(shù)據(jù)訪問的權(quán)限； 5）應(yīng)實現(xiàn)應(yīng)用系統(tǒng)特權(quán)用戶的權(quán)限分離， 例如將管理

27、與審計的權(quán)限分配給不同的 應(yīng)用系統(tǒng)用戶； 6）權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授 予不同用戶各自為完成自己承擔任務(wù)所 需的最小權(quán)限，并在它們之間形成相互 制約的關(guān)系； 7）應(yīng)嚴格限制默認用戶的訪問權(quán)限。 1）安全審計應(yīng)覆蓋到應(yīng)用系統(tǒng)的每個用 戶； 2）安全審計應(yīng)記錄應(yīng)用系統(tǒng)重要的安全相 關(guān)事件，包括重要用戶行為、系統(tǒng)資源 的異常使用和重要系統(tǒng)功能的執(zhí)行等； 3）安全相關(guān)事件的記錄應(yīng)包括日期和時 間、類型、主體標識、客體標識、事件 的結(jié)果等； 4）安全審計應(yīng)可以根據(jù)記錄數(shù)據(jù)進行分 析，并生成審計報表； 5）安全審計應(yīng)可以對特定事件，提供指定 方式的實時報警； 6）審計進程應(yīng)受到保護避免受到未預期

28、的 中斷； 7）審計記錄應(yīng)受到保護避免受到未預期的 刪除、修改或覆蓋等。 1）應(yīng)保證用戶的鑒別信息所在的存儲空 技術(shù)要求項 二級等保 三級等保 信息 所在的存儲空間，被釋放 間，被釋放或再分配給其他用戶前得到 保護 或再分配給其他用戶前 完全清除，無論這些信息是存放在硬盤 得到完全清除，無論這些 上還是在內(nèi)存中； 2) 信息是存放在硬盤上還 是在內(nèi)存中； 應(yīng)確保系統(tǒng)內(nèi)的文件、目 2) 應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記 錄等資源所在的存儲空間，被釋放或重 錄和數(shù)據(jù)庫記錄等資源 新分配給其他用戶前得到完全清除。 所在的存儲空間，被釋放 或重新分配給其他用戶 前得到完全清除。 通信 1) 通信雙方

29、應(yīng)約定單向的 1) 通信雙方應(yīng)約定密碼算法，計算通信數(shù) 完整 校驗碼算法，計算通信數(shù) 據(jù)報文的報文驗證碼，在進行通信時， 性 據(jù)報文的校驗碼，在進行 雙方根據(jù)校驗碼判斷對方報文的有效 通信時，雙方根據(jù)校驗碼 性。 判斷對方報文的有效性。 抗抵 無 1) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或 賴 接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能； 2) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或 接收者提供數(shù)據(jù)接收證據(jù)的功能。 通信 1) 當通信雙方中的一方在 1) 當通信雙方中的一方在一段時間內(nèi)未作 保密 一段時間內(nèi)未作任何響 任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話； 性 應(yīng)，另一方應(yīng)能夠自動結(jié) 束會話； 2) 在通信雙方建立

30、連接之前，利用密碼技 術(shù)進行會話初始化驗證； 2) 在通信雙方建立連接之 前，利用密碼技術(shù)進行會 3) 在通信過程中，應(yīng)對整個報文或會話過 話初始化驗證； 4) 程進行加密； 3) 在通信過程中，應(yīng)對敏感 應(yīng)選用符合國豕有關(guān)部門要求的密碼算 信息字段進行加密。 法。 軟件 1) 應(yīng)對通過人機接口輸入 1) 應(yīng)對通過人機接口輸入或通過通信接口 容錯 2) 或通過通信接口輸入的 數(shù)據(jù)進行有效性檢驗； 應(yīng)對通過人機接口方式 2) 輸入的數(shù)據(jù)進行有效性檢驗； 應(yīng)對通過人機接口方式進行的操作提供 “回退”功能，即允許按照操作的序列 技術(shù)要求項 二級等保 三級等保 進行的操作提供“回 退”功能，即允許按照

31、操 作的序列進行回退； 3）在故障發(fā)生時，應(yīng)繼續(xù)提 供一部分功能，確保能夠 實施必要的措施。 進行回退； 3）應(yīng)有狀態(tài)監(jiān)測能力，當故障發(fā)生時，能 實時檢測到故障狀態(tài)并報警； 4）應(yīng)有自動保護能力，當故障發(fā)生時，自 動保護當前所有狀態(tài)。 資源 控制 1）應(yīng)限制單個用戶的多重 并發(fā)會話； 2）應(yīng)對應(yīng)用系統(tǒng)的最大并 發(fā)會話連接數(shù)進行限制； 3）應(yīng)對一個時間段內(nèi)可能 的并發(fā)會話連接數(shù)進行 限制。 1）應(yīng)限制單個用戶的多重并發(fā)會話； 2）應(yīng)對應(yīng)用系統(tǒng)的最大并發(fā)會話連接數(shù)進 行限制； 3）應(yīng)對一個時間段內(nèi)可能的并發(fā)會話連接 數(shù)進行限制； 4）應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超 時鎖定和鑒別失敗鎖定，并規(guī)定

32、解鎖或 終止方式； 5）應(yīng)禁止冋一用戶賬號在冋一時間內(nèi)并發(fā) 登錄； 6）應(yīng)對一個訪問用戶或一個請求進程占用 的資源分配最大限額和最小限額； 7）應(yīng)根據(jù)安全屬性（用戶身份、訪問地址、 時間范圍等）允許或拒絕用戶建立會話 連接； 8）當系統(tǒng)的服務(wù)水平降低到預先規(guī)定的最 小值時，應(yīng)能檢測和報警； 9）應(yīng)根據(jù)安全策略設(shè)定主體的服務(wù)優(yōu)先 級，根據(jù)優(yōu)先級分配系統(tǒng)資源，保證優(yōu) 先級低的主體處理能力不會影響到優(yōu)先 級高的主體的處理能力。 代碼 安全 1）應(yīng)對應(yīng)用程序代碼進行 惡意代碼掃描； 2）應(yīng)對應(yīng)用程序代碼進行 1）應(yīng)制定應(yīng)用程序代碼編寫安全規(guī)范，要 求開發(fā)人員參照規(guī)范編寫代碼； 2）應(yīng)對應(yīng)用程序代碼進行

33、代碼復審，識別 技術(shù)要求項 二級等保 三級等保 安全脆弱性分析。 可能存在的惡意代碼； 3) 應(yīng)對應(yīng)用程序代碼進行安全脆弱性分 析； 4) 應(yīng)對應(yīng)用程序代碼進行穿透性測試。 數(shù)據(jù) 數(shù)據(jù) 1) 應(yīng)能夠檢測到系統(tǒng)管理 1) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息 安全 完整 數(shù)據(jù)、鑒別信息和用戶數(shù) 和用戶數(shù)據(jù)在傳輸過程中完整性受到破 性 據(jù)在傳輸過程中完整性 受到破壞； 壞，并在檢測到完整性錯誤時米取必要 的恢復措施； 2) 應(yīng)能夠檢測到系統(tǒng)管理 數(shù)據(jù)、鑒別信息和用戶數(shù) 2) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息 據(jù)在存儲過程中完整性 和用戶數(shù)據(jù)在存儲過程中完整性受到破 受到破壞。 壞，并在檢測到完整性

34、錯誤時米取必要 的恢復措施； 3) 應(yīng)能夠檢測到重要程序的完整性受到破 壞，并在檢測到完整性錯誤時米取必要 的恢復措施。 數(shù)據(jù) 1) 網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù) 1) 網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng) 保密 據(jù)庫管理系統(tǒng)和應(yīng)用系 和應(yīng)用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管 性 統(tǒng)的鑒別信息、敏感的系 理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應(yīng)采用加密或 統(tǒng)管理數(shù)據(jù)和敏感的用 其他有效措施實現(xiàn)傳輸保密性； 戶數(shù)據(jù)應(yīng)米用加密或其 他有效措施實現(xiàn)傳輸保 2) 網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng) 密性； 和應(yīng)用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管 2) 網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù) 理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應(yīng)采用加密或 據(jù)庫管理系統(tǒng)和應(yīng)用系 其

35、他保護措施實現(xiàn)存儲保密性； 統(tǒng)的鑒別信息、敏感的系 3) 當使用便攜式和移動式設(shè)備時，應(yīng)加密 統(tǒng)管理數(shù)據(jù)和敏感的用 或者采用可移動磁盤存儲敏感信息； 戶數(shù)據(jù)應(yīng)米用加密或其 他保護措施實現(xiàn)存儲保 4) 用于特定業(yè)務(wù)通信的通信信道應(yīng)符合相 密性； 關(guān)的國家規(guī)定。 3) 當使用便攜式和移動式 設(shè)備時，應(yīng)加密或者米用 技術(shù)要求項 二級等保 三級等保 可移動磁盤存儲敏感信 息。 數(shù)據(jù) 備份 和恢 復 1）應(yīng)提供自動機制對重要 信息進行有選擇的數(shù)據(jù) 備份； 2）應(yīng)提供恢復重要信息的 功能； 3）應(yīng)提供重要網(wǎng)絡(luò)設(shè)備、通 信線路和服務(wù)器的硬件 冗余 1）應(yīng)提供自動機制對重要信息進行本地和 異地備份； 2）應(yīng)提

36、供恢復重要信息的功能； 3）應(yīng)提供重要網(wǎng)絡(luò)設(shè)備、通信線路和服務(wù) 器的硬件冗余； 4）應(yīng)提供重要業(yè)務(wù)系統(tǒng)的本地系統(tǒng)級熱備 份。 管理要求 管理要求項 二級等保 三級等保 安全 崗位 1）應(yīng)設(shè)立信息安全管理工 1）應(yīng)設(shè)立信息安全管理工作的職能部門， 管理 設(shè)置 作的職能部門，設(shè)立安全 設(shè)立安全主管人、安全管理各個方面的 機構(gòu) 主管人、安全管理各個方 負責人崗位，定義各負責人的職責； 面的負責人崗位，定義各 2）應(yīng)設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、 負責人的職責； 安全管理人員崗位，定義各個工作崗位 2）應(yīng)設(shè)立系統(tǒng)管理人員、網(wǎng) 的職責； 絡(luò)管理人員、安全管理人 3）應(yīng)成立指導和管理信息安全工作的委員

37、員崗位，定義各個工作崗 會或領(lǐng)導小組，其最高領(lǐng)導應(yīng)由單位主 位的職責； 管領(lǐng)導委任或授權(quán)； 3）應(yīng)制定文件明確安全管 4）應(yīng)制定文件明確安全管理機構(gòu)各個部門 理機構(gòu)各個部門和崗位 和崗位的職責、分工和技能要求。 的職責、分工和技能要 求。 人員 1）應(yīng)配備一疋數(shù)量的系統(tǒng) 1）應(yīng)配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡(luò) 配備 管理人員、網(wǎng)絡(luò)管理人 管理人員、安全管理人員等； 員、安全管理人員等； 2）應(yīng)配備專職安全管理人員，不可兼任； 2）安全管理人員不能兼任 3）關(guān)鍵崗位應(yīng)定期輪崗。 網(wǎng)絡(luò)管理員、系統(tǒng)管理 員、數(shù)據(jù)庫管理員等。 授權(quán) 1）應(yīng)授權(quán)審批部門及批準 1）應(yīng)授權(quán)審批部門及批準人，對關(guān)鍵活動 和

38、審 人，對關(guān)鍵活動進行審 進行審批； 管理要求項 二級等保 三級等保 批 批； 2）應(yīng)列表說明須審批的事項、審批部門和 2）應(yīng)列表說明須審批的事 可批準人； 項、審批部門和可批準 3）應(yīng)建立各審批事項的審批程序，按照審 人。 批程序執(zhí)行審批過程； 4）應(yīng)建立關(guān)鍵活動的雙重審批制度； 5）不再適用的權(quán)限應(yīng)及時取消授權(quán)； 6）應(yīng)定期審查、更新需授權(quán)和審批的項目； 7）應(yīng)記錄授權(quán)過程并保存授權(quán)文檔。 溝通 1）應(yīng)加強各類管理人員和 1）應(yīng)加強各類管理人員和組織內(nèi)部機構(gòu)之 和合 組織內(nèi)部機構(gòu)之間的合 間的合作與溝通，定期或不定期召開協(xié) 作 作與溝通，定期或不定期 調(diào)會議，共同協(xié)助處理信息安全問題； 召

39、開協(xié)調(diào)會議，共同協(xié)助 2）信息安全職能部門應(yīng)疋期或不疋期召集 處理信息安全問題； 相關(guān)部門和人員召開安全工作會議，協(xié) 2）信息安全職能部門應(yīng)定 調(diào)安全工作的實施； 期或不定期召集相關(guān)部 3）信息安全領(lǐng)導小組或者安全管理委員會 門和人員召開安全工作 定期召開例會，對信息安全工作進行指 會議，協(xié)調(diào)安全工作的實 導、決策； 施； 4）應(yīng)加強與兄弟單位、公安機關(guān)、電信公 3）應(yīng)加強與兄弟單位、公安 司的合作與溝通，以便在發(fā)生安全事件 機關(guān)、電信公司的合作與 時能夠得到及時的支持； 溝通，以便在發(fā)生安全事 5）應(yīng)加強與供應(yīng)商、業(yè)界專家、專業(yè)的安 件時能夠得到及時的支 全公司、安全組織的合作與溝通，獲取

40、持。 信息安全的最新發(fā)展動態(tài)，當發(fā)生緊急 事件的時候能夠及時得到支持和幫助； 6）應(yīng)文件說明外聯(lián)單位、合作內(nèi)容和聯(lián)系 方式； 7）聘請信息安全專家，作為常年的安全顧 問，指導信息安全建設(shè)，參與安全規(guī)劃 和安全評審等。 審核 1）應(yīng)由安全管理人員定期 1）應(yīng)由安全管理人員定期進行安全檢查， 和檢 進行安全檢查，檢查內(nèi)容 檢查內(nèi)容包括用戶賬號情況、系統(tǒng)漏洞 查 包括用戶賬號情況、系統(tǒng) 情況、系統(tǒng)審計情況等； 漏洞情況、系統(tǒng)審計情況 2）應(yīng)由安全管理部門組織相關(guān)人員定期進 管理要求項 二級等保 三級等保 等。 仃全面安全檢查，檢查內(nèi)容包括現(xiàn)有安 全技術(shù)措施的有效性、安全配置與安全 策略的一致性、安全

41、管理制度的執(zhí)行情 況等； 3）應(yīng)由安全管理部門組織相關(guān)人員定期分 析、評審異常行為的審計記錄，發(fā)現(xiàn)可 疑行為，形成審計分析報告，并采取必 要的應(yīng)對措施； 4）應(yīng)制定安全檢查表格實施安全檢查，匯 總安全檢查數(shù)據(jù)，形成安全檢查報告， 并對安全檢查結(jié)果進行通報； 5）應(yīng)制定安全審核和安全檢查制度規(guī)范安 全審核和安全檢查工作，定期按照程序 進行安全審核和安全檢查活動。 安全 管理 制度 管理 制度 1）應(yīng)制定信息安全工作的 總體方針、政策性文件和 安全策略等，說明機構(gòu)安 全工作的總體目標、范 圍、方針、原則、責任等； 2）應(yīng)對安全管理活動中重 要的管理內(nèi)容建立安全 管理制度，以規(guī)范安全管 理活動，約束

42、人員的行為 方式； 3）應(yīng)對要求管理人員或操 作人員執(zhí)行的重要管理 操作，建立操作規(guī)程，以 規(guī)范操作行為，防止操作 失誤。 1）應(yīng)制定信息安全工作的總體方針、政策 性文件和安全策略等，說明機構(gòu)安全工 作的總體目標、范圍、方針、原則、責 任等； 2）應(yīng)對安全管理活動中的各類管理內(nèi)容建 立安全管理制度，以規(guī)范安全管理活動， 約束人員的行為方式； 3）應(yīng)對要求管理人員或操作人員執(zhí)行的日 常管理操作，建立操作規(guī)程，以規(guī)范操 作行為，防止操作失誤； 4）應(yīng)形成由安全政策、安全策略、管理制 度、操作規(guī)程等構(gòu)成的全面的信息安全 管理制度體系； 5）應(yīng)由安全管理職能部門定期組織相關(guān)部 門和相關(guān)人員對安全管理制

43、度體系的合 理性和適用性進行審定。 制定 和發(fā) 布 1）應(yīng)在信息安全職能部門 的總體負責下，組織相關(guān) 人員制定； 1）應(yīng)在信息安全領(lǐng)導小組的負責下，組織 相關(guān)人員制定； 2）應(yīng)保證安全管理制度具有統(tǒng)一的格式風 管理要求項 二級等保 三級等保 2）應(yīng)保證安全管理制度具 格，并進行版本控制； 有統(tǒng)一的格式風格，并進 3）應(yīng)組織相關(guān)人員對制定的安全管理進行 行版本控制； 論證和審定； 3）應(yīng)組織相關(guān)人員對制定 4）安全管理制度應(yīng)經(jīng)過管理層簽發(fā)后按照 的安全管理進行論證和 一定的程序以文件形式發(fā)布； 審定； 5）安全管理制度應(yīng)注明發(fā)布范圍，并對收 4）安全管理制度應(yīng)經(jīng)過管 發(fā)文進仃登記。 理層簽發(fā)后按

44、照一定的 程序以文件形式發(fā)布。 評審 1）應(yīng)定期對安全管理制度 1）應(yīng)定期對安全管理制度進行評審和修 和修 進行評審和修訂，對存在 訂，對存在不足或需要改進的安全管理 訂 不足或需要改進的安全 制度進行修訂； 管理制度進行修訂。 2）當發(fā)生重大安全事故、出現(xiàn)新的安全漏 洞以及技術(shù)基礎(chǔ)結(jié)構(gòu)發(fā)生變更時，應(yīng)對 安全管理制度進行檢查、審定和修訂； 3）每個制度文檔應(yīng)有相應(yīng)負責人或負責部 門，負責對明確需要修訂的制度文檔的 維護。 人員 人員 1）應(yīng)保證被錄用人具備基 1）應(yīng)保證被錄用人具備基本的專業(yè)技術(shù)水 安全 錄用 本的專業(yè)技術(shù)水平和安 平和安全管理知識； 管理 全管理知識； 2）應(yīng)對被錄用人的身份

45、、背景、專業(yè)資格 2）應(yīng)對被錄用人的身份、背 和資質(zhì)等進行審查； 景、專業(yè)資格和資質(zhì)等進 3）應(yīng)對被錄用人所具備的技術(shù)技能進仃考 行審查； 核； 3）應(yīng)對被錄用人所具備的 4）應(yīng)對被錄用人說明其角色和職責； 技術(shù)技能進仃考核； 5）應(yīng)簽署保密協(xié)議； 4）應(yīng)對被錄用人說明其角 6）從事關(guān)鍵崗位的人員應(yīng)從內(nèi)部人員選 色和職責； 拔，并定期進行信用審查； 5）應(yīng)簽署保密協(xié)議。 7）從事關(guān)鍵崗位的人員應(yīng)簽署崗位安全協(xié) 議。 人員 1）應(yīng)立即終止由于各種原 1）應(yīng)立即終止由于各種原因即將離崗的員 離崗 因即將離崗的員工的所 工的所有訪問權(quán)限； 有訪問權(quán)限； 2）應(yīng)取回各種身份證件、鑰匙、徽章等以 管理要

46、求項 二級等保 三級等保 2）應(yīng)取回各種身份證件、鑰 及機構(gòu)提供的軟硬件設(shè)備； 匙、徽章等以及機構(gòu)提供 3）應(yīng)經(jīng)機構(gòu)人事部門辦理嚴格的調(diào)離手 的軟硬件設(shè)備； 續(xù)，并承諾調(diào)離后的保密義務(wù)后方可離 3）應(yīng)經(jīng)機構(gòu)人事部門辦理 開。 嚴格的調(diào)離手續(xù)，并承諾 調(diào)離后的保密義務(wù)后方 可離開。 人員 1）應(yīng)定期對各個崗位的人 1）應(yīng)對所有人員進行全面、嚴格的安全審 考核 員進行安全技能及安全 查； 認知的考核； 2）應(yīng)定期對各個崗位的人員進行安全技能 2）應(yīng)對關(guān)鍵崗位的人員進 及安全認知的考核； 行全面、嚴格的安全審 3）應(yīng)對考核結(jié)果進行記錄并保存； 查； 4）應(yīng)對違背安全策略和規(guī)定的人員進行懲 3）應(yīng)對違

47、背安全策略和規(guī) 戒。 定的人員進行懲戒 安全 1）應(yīng)對各類人員進行安全 1）應(yīng)對各類人員進行安全意識教育； 意識 意識教育； 2）應(yīng)告知人員相關(guān)的安全責任和懲戒措 教育 2）應(yīng)告知人員相關(guān)的安全 施； 和培 責任和懲戒措施； 3）應(yīng)制定安全教育和培訓計劃，對信息安 訓 3）應(yīng)制定安全教育和培訓 全基礎(chǔ)知識、岡位操作規(guī)程等進仃培訓； 計劃，對信息安全基礎(chǔ)知 4）應(yīng)針對不同崗位制定不同培訓計劃； 識、岡位操作規(guī)程等進仃 5）應(yīng)對安全教育和培訓的情況和結(jié)果進行 培訓； 記錄并歸檔保存。 4）應(yīng)對安全教育和培訓的 情況和結(jié)果進行記錄并 歸檔保存。 第三 1）第三方人員應(yīng)在訪冋前 1）第三方人員應(yīng)在訪問

48、前與機構(gòu)簽署安全 方人 與機構(gòu)簽署安全責任合 責任合同書或保密協(xié)議； 員訪 同書或保密協(xié)議； 2）對重要區(qū)域的訪問，須提出書面申請， 問管 2） 對重要區(qū)域的訪冋，必須 批準后由專人全程陪冋或監(jiān)督，并記錄 理 經(jīng)過有關(guān)負責人的批準， 備案； 并由專人陪冋或監(jiān)督下 3）對第三方人員允許訪問的區(qū)域、系統(tǒng)、 進行，并記錄備案。 設(shè)備、信息等內(nèi)容應(yīng)進行書面的規(guī)定， 管理要求項 二級等保 三級等保 并按照規(guī)定執(zhí)行。 系統(tǒng) 系統(tǒng) 1）應(yīng)明確信息系統(tǒng)劃分的 1）應(yīng)明確信息系統(tǒng)劃分的方法； 建設(shè) 定級 方法； 2）應(yīng)確定信息系統(tǒng)的安全等級； 管理 2）應(yīng)確定信息系統(tǒng)的安全 3）應(yīng)以書面的形式定義確定了安全等級

49、的 等級； 信息系統(tǒng)的屬性，包括使命、業(yè)務(wù)、網(wǎng) 3）應(yīng)以書面的形式定義確 絡(luò)、硬件、軟件、數(shù)據(jù)、邊界、人員等； 定了安全等級的信息系 4）應(yīng)以書面的形式說明確定一個信息系統(tǒng) 統(tǒng)的屬性，包括使命、業(yè) 為某個安全等級的方法和理由； 務(wù)、網(wǎng)絡(luò)、硬件、軟件、 5）應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對 數(shù)據(jù)、邊界、人員等； 信息系統(tǒng)的定級結(jié)果的合理性和正確性 4）應(yīng)確保信息系統(tǒng)的定級 進行論證和審定； 結(jié)果經(jīng)過相關(guān)部門的批 6）應(yīng)確保信息系統(tǒng)的疋級纟口果經(jīng)過相關(guān)部 準。 門的批準。 安全 1）應(yīng)根據(jù)系統(tǒng)的安全級別 1）應(yīng)根據(jù)系統(tǒng)的安全級別選擇基本安全措 、- A 萬案 選擇基本安全措施，依據(jù) 施，依據(jù)風險

50、分析的結(jié)果補充和調(diào)整安 設(shè)計 風險分析的結(jié)果補充和 全措施； 調(diào)整安全措施； 2）應(yīng)指定和授權(quán)專門的部門對信息系統(tǒng)的 2）應(yīng)以書面的形式描述對 安全建設(shè)進行總體規(guī)劃，制定近期和遠 系統(tǒng)的安全保護要求和 期的安全建設(shè)工作計劃； 策略、安全措施等內(nèi)容， 3）應(yīng)根據(jù)信息系統(tǒng)的等級劃分情況，統(tǒng)一 形成系統(tǒng)的安全方案； 考慮安全保障體系的總體安全策略、安 3）應(yīng)對安全方案進行細化， 全技術(shù)框架、安全管理策略、總體建設(shè) 形成能指導安全系統(tǒng)建 規(guī)劃和詳細設(shè)計方案， 并形成配套文件； 設(shè)和安全產(chǎn)品采購的詳 4）應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對 細設(shè)計方案； 總體安全策略、安全技術(shù)框架、安全管 4）應(yīng)組織相關(guān)

51、部門和有關(guān) 理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案 安全技術(shù)專家對安全設(shè) 等相關(guān)配套文件的合理性和正確性進行 計方案的合理性和正確 論證和審定； 性進行論證和審定； 5）應(yīng)確?？傮w安全策略、安全技術(shù)框架、 5）應(yīng)確保安全設(shè)計方案必 安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè) 須經(jīng)過批準，才能正式實 計方案等文件必須經(jīng)過批準，才能正式 施。 實施； 6）應(yīng)根據(jù)安全測評、安全評估的結(jié)果定期 管理要求項 二級等保 三級等保 調(diào)整和修訂總體安全策略、安全技術(shù)框 架、安全管理策略、總體建設(shè)規(guī)劃、詳 細設(shè)計方案等相關(guān)配套文件。 產(chǎn)品 1）應(yīng)確保安全產(chǎn)品的使用 1）應(yīng)確保安全產(chǎn)品的使用符合國家的有關(guān) 采購 符合國家的有

52、關(guān)規(guī)定； 規(guī)定； 2）應(yīng)確保密碼產(chǎn)品的使用 2）應(yīng)確保密碼產(chǎn)品的使用符合國家密碼主 符合國家密碼主管部門 管部門的要求； 的要求； 3）應(yīng)指疋或授權(quán)專門的部門負責產(chǎn)品的采 3） 應(yīng)指定或授權(quán)專門的部 購； 門負責產(chǎn)品的采購。 4）應(yīng)制定產(chǎn)品采購方面的管理制度明確說 明采購過程的控制方法和人員行為準 則； 5） 應(yīng)預先對產(chǎn)品進行選型測試，確定產(chǎn)品 的候選范圍，并定期審定和更新候選產(chǎn) 品名單。 自行 1）應(yīng)確保開發(fā)環(huán)境與實際 1）應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分 軟件 運行環(huán)境物理分開； 開； 開發(fā) 2）應(yīng)確保提供軟件設(shè)計的 2）應(yīng)確保系統(tǒng)開發(fā)文檔由專人負責保管， 相關(guān)文檔和使用指南； 系統(tǒng)開發(fā)

53、文檔的使用受到控制； 3）應(yīng)確保系統(tǒng)開發(fā)文檔由 3）應(yīng)制定開發(fā)方面的管理制度明確說明開 專人負責保管，系統(tǒng)開發(fā) 發(fā)過程的控制方法和人員行為準則； 文檔的使用受到控制。 4）應(yīng)確保開發(fā)人員和測試人員的分離，測 試數(shù)據(jù)和測試結(jié)果受到控制； 5）應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用 指南； 6）應(yīng)確保對程序資源庫的修改、更新、發(fā) 布進行授權(quán)和批準。 外包 1）應(yīng)與軟件開發(fā)單位簽訂 1）應(yīng)與軟件開發(fā)單位簽訂協(xié)議，明確知識 軟件 協(xié)議，明確知識產(chǎn)權(quán)的歸 產(chǎn)權(quán)的歸屬和安全方面的要求； 開發(fā) 屬和安全方面的要求； 2）應(yīng)根據(jù)協(xié)議的要求檢測軟件質(zhì)量； 2）應(yīng)根據(jù)協(xié)議的要求檢測 3）應(yīng)在軟件安裝之前檢測軟件包中可

54、能存 軟件質(zhì)里； 在的惡意代碼； 3）應(yīng)在軟件安裝之前檢測 4）應(yīng)要求開發(fā)單位提供技術(shù)培訓和服務(wù)承 管理要求項 二級等保 三級等保 軟件包中可能存在的惡 諾； 意代碼； 5）應(yīng)要求開發(fā)單位提供軟件設(shè)計的相關(guān)文 4）應(yīng)確保提供軟件設(shè)計的 檔和使用指南。 相關(guān)文檔和使用指南。 工程 1）應(yīng)與工程實施單位簽訂 1）應(yīng)與工程實施單位簽訂與安全相關(guān)的協(xié) 實施 與安全相關(guān)的協(xié)議，約束 議，約束工程實施單位的行為； 工程實施單位的行為； 2）應(yīng)指定或授權(quán)專門的人員或部門負責工 2） 應(yīng)指定或授權(quán)專門的人 程實施過程的管理； 員或部門負責工程實施 3）應(yīng)制定詳細的工程實施方案控制實施過 過程的管理； 程，并要

55、求工程實施單位能正式地執(zhí)行 3）應(yīng)制定詳細的工程實施 安全工程過程； 方案控制實施過程。 4）應(yīng)制定工程實施方面的管理制度，明確 說明實施過程的控制方法和人員行為準 貝農(nóng) 測試 1）應(yīng)對系統(tǒng)進行安全性測 1）應(yīng)對系統(tǒng)進行安全性測試驗收； 驗收 試驗收； 2）應(yīng)在測試驗收前根據(jù)設(shè)計方案或合冋要 2）應(yīng)在測試驗收前根據(jù)設(shè) 求等制訂測試驗收方案，測試驗收過程 計方案或合冋要求等制 中詳細記錄測試驗收結(jié)果，形成測試驗 訂測試驗收方案，測試驗 收報告； 收過程中詳細記錄測試 3）應(yīng)委托公正的第三方測試單位對系統(tǒng)進 驗收結(jié)果，形成測試驗收 行測試，并出具測試報告； 報告； 4）應(yīng)制定系統(tǒng)測試驗收方面的管理

56、制度明 3）應(yīng)組織相關(guān)部門和相關(guān) 確說明系統(tǒng)測試驗收的控制方法和人員 人員對系統(tǒng)測試驗收報 行為準則； 告進行審定，沒有疑問后 5）應(yīng)指定或授權(quán)專門的部門負責系統(tǒng)測試 由雙方簽字。 驗收的管理，并按照管理制度的要求完 成系統(tǒng)測試驗收工作； 6）應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試 驗收報告進行審定，沒有疑問后由雙方 簽字。 系統(tǒng) 1）應(yīng)明確系統(tǒng)的交接手續(xù)， 1）應(yīng)明確系統(tǒng)的交接手續(xù)，并按照交接手 交付 并按照交接手續(xù)完成交 續(xù)完成交接工作； 接工作； 2）應(yīng)由系統(tǒng)建設(shè)方完成對委托建設(shè)方的運 管理要求項 二級等保 三級等保 2）應(yīng)由系統(tǒng)建設(shè)方完成對 委托建設(shè)方的運維技術(shù) 人員的培訓； 3）應(yīng)由系統(tǒng)

57、建設(shè)方提交系 統(tǒng)建設(shè)過程中的文檔和 指導用戶進行系統(tǒng)運行 維護的文檔； 4）應(yīng)由系統(tǒng)建設(shè)方進行服 務(wù)承諾，并提交服務(wù)承諾 書，確保對系統(tǒng)運行維護 的支持。 維技術(shù)人員的培訓； 3）應(yīng)由系統(tǒng)建設(shè)方提交系統(tǒng)建設(shè)過程中的 文檔和指導用戶進行系統(tǒng)運行維護的文 檔； 4）應(yīng)由系統(tǒng)建設(shè)方進行服務(wù)承諾，并提交 服務(wù)承諾書，確保對系統(tǒng)運行維護的支 持； 5）應(yīng)制定系統(tǒng)交付方面的管理制度明確說 明系統(tǒng)交付的控制方法和人員行為準 則； 6）應(yīng)指定或授權(quán)專門的部門負責系統(tǒng)交付 的管理工作，并按照管理制度的要求完 成系統(tǒng)交付工作。 系統(tǒng) 備案 無 1）應(yīng)將系統(tǒng)定級、系統(tǒng)屬性等材料指定專 門的人員或部門負責管理，并控制

58、這些 材料的使用； 2）應(yīng)將系統(tǒng)等級和系統(tǒng)屬性等資料報系統(tǒng) 主管部門備案； 3）應(yīng)將系統(tǒng)等級、系統(tǒng)屬性、等級劃分理 由及其他要求的備案材料報相應(yīng)公安機 關(guān)備案。 安全 測評 無 1）應(yīng)在系統(tǒng)投入運行前進行安全測評，測 評后符合相應(yīng)等級保護標準要求的才能 投入使用； 2）應(yīng)在系統(tǒng)運行過程中定期對系統(tǒng)進行安 全測評，發(fā)現(xiàn)不符合相應(yīng)等級保護標準 要求的及時整改； 3）應(yīng)在系統(tǒng)發(fā)生變更時及時對系統(tǒng)進行安 全測評，發(fā)現(xiàn)級別發(fā)生變化的及時調(diào)整 級別并進行安全改造；發(fā)現(xiàn)不符合相應(yīng) 等級保護標準要求的及時整改； 4）應(yīng)選擇具有國家相關(guān)技術(shù)資質(zhì)和安全資 質(zhì)的測評單位進行安全測評； 管理要求項 二級等保 三級等保

59、 5）應(yīng)與測評單位簽訂與安全相關(guān)的協(xié)議， 約束測評單位的行為； 6）應(yīng)指疋或授權(quán)專門的人員或部門負責安 全測評的管理。 安全 1）應(yīng)確保安全服務(wù)商的選 1）應(yīng)確保安全服務(wù)商的選擇符合國家的有 服務(wù) 擇符合國家的有關(guān)規(guī)定。 關(guān)規(guī)定。 商選 擇 系統(tǒng) 環(huán)境 1）應(yīng)對機房供配電、空調(diào)、 1）應(yīng)對機房供配電、空調(diào)、溫濕度控制等 運維 管理 溫濕度控制等設(shè)施指定 設(shè)施指定專人或?qū)ｉT的部門定期進行維 管理 專人或?qū)ｉT的部門定期 護管理； 進行維護管理； 2）應(yīng)配備機房安全管理人員，對機房的出 2）應(yīng)配備機房安全管理人 入、服務(wù)器的開機或關(guān)機等工作進行管 員，對機房的出入、服務(wù) 理； 器的開機或關(guān)機等工作

60、3）應(yīng)建立機房安全管理制度，對有關(guān)機房 進行管理； 物理訪問，物品帶進、帶出機房和機房 3）應(yīng)建立機房安全管理制 環(huán)境安全等方面的管理作出規(guī)定； 度，對有關(guān)機房物理訪 4）加強對辦公環(huán)境的保密性管理，包括如 問，物品帶進、帶出機房 工作人員調(diào)離辦公室應(yīng)立即交還該辦公 和機房環(huán)境安全等方面 室鑰匙和不在辦公區(qū)接待來訪人員等； 的管理作出規(guī)定； 5）應(yīng)有指定的部門負責機房安全，并配置 4）應(yīng)對機房來訪人員實行 電子門禁系統(tǒng)，對機房來訪人員實行登 登記、備案管理，同時限 記記錄和電子記錄雙重備案管理； 制來訪人員的活動范圍； 6）應(yīng)對辦公環(huán)境的人員行為，如工作人員 5）加強對辦公環(huán)境的保密 離開座位