信息系統(tǒng)安全等級保護基本要求-一級

精選優(yōu)質文檔-----傾情為你奉上精選優(yōu)質文檔-----傾情為你奉上專心---專注---專業(yè)專心---專注---專業(yè)精選優(yōu)質文檔-----傾情為你奉上專心---專注---專業(yè)基本要求規(guī)定的范圍：對象：不同安全保護等級信息系統(tǒng)內容：基本技術要求管理要求作用：指導分等級信息系統(tǒng)安全建設監(jiān)督管理引用：保護等級： 依重要程度、危害程度、由低到高分5級見：GB/T22240-2008不同等級的安全保護能力： 共5級基本技術要求和管理要求： 信統(tǒng)安全等保應讓系統(tǒng)有它們相應等級的基本安全保護能力。 基本安全要求，依實現(xiàn)方式，分基本技術要求、基本管理要求。技術要求：立基于技術安全機制，通過在信統(tǒng)中部署軟硬件，正確配置其安全功能。管理要求：聚焦于信統(tǒng)中各種角色和角色參與的活動。控制角色活動、從政策、制度、規(guī)范、流程以及記錄等方面做出規(guī)定來實現(xiàn)。 基本技術要求：從物理、網(wǎng)絡、主機、應用和數(shù)據(jù)安全，4個層面提出要求?；竟芾硪螅簭陌踩芾碇贫?、機構、人員、系統(tǒng)建設、運維幾方面提要求?；景踩髲母鱾€層面方面，提出系統(tǒng)的每個組件應該滿足的安全要求。整體的安全保護能力依賴于其內部各不同組件的安全實現(xiàn)來滿足。基本技術要求的三種類型： 技術類安全要求進一步細分為：保護數(shù)據(jù)在存儲、傳輸、處理過程中不被泄漏、破壞、和免受未授權的修改的要求（S要求） 保護系統(tǒng)正常運行、免受對系統(tǒng)未授權修改、破壞而導致系統(tǒng)不可用的服務保護類要求（S要求） 通用安全保護類要求（G要求）第一級基本要求： 技術要求： 物理安全： 訪問控制： 防盜竊、破壞： 防雷擊： 防火： 防水和防潮： 溫濕度控制： 電力控制： 網(wǎng)絡安全： 結構安全：保證關鍵網(wǎng)絡設備的業(yè)務處理能力滿足基本業(yè)務需要保證接入網(wǎng)絡和核心網(wǎng)絡的帶寬滿足基本業(yè)務需要繪制與當前運行情況相符的網(wǎng)絡拓撲結構圖訪問控制：（G1）在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能根據(jù)訪問控制列表對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，允許/拒絕數(shù)據(jù)包出入通過訪問控制列表對系統(tǒng)資源實現(xiàn)允許或拒絕用戶訪問，控制粒度至少為用戶組。網(wǎng)絡設備防護：應對登錄網(wǎng)絡設備的用戶進行身份鑒別有登錄失敗處理功能，采取結束會話、限制非法登錄次數(shù)、和當網(wǎng)絡登錄連接超時自動退出等措施對網(wǎng)絡設備進行遠程管理時，采措施防止信息傳輸中被竊聽主機安全： 身份鑒別：（S1） 對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別。 訪問控制：啟用訪問控制功能，依安全策略控制用戶對資源的訪問限制默認帳戶的訪問權限，重命名系統(tǒng)默認賬戶，修改這些賬戶的默認口令及時刪除多余的、過期的的賬戶、避免共享賬戶的存在入侵防范（G1） 操作系統(tǒng)遵循最小安裝原則，僅安裝需要組件和應用程序，保持系統(tǒng)補丁及時更新。 惡意代碼防范（G1） 安裝防惡意代碼軟件，及時更新防惡意代碼軟件版本和代碼庫 應用安全： 身份鑒別（S1）提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別提供登錄失敗處理功能啟用身份鑒別和登錄失敗處理功能，根據(jù)安全策略配置相關參數(shù)訪問控制應提供訪問控制功能控制用戶組/用戶對系統(tǒng)功能和用戶數(shù)據(jù)的訪問由授權主體配置訪問控制策略，嚴格限制默認用戶的訪問權限通信完整性（S1） 應采用約定通信會話方式的方法保證通信過程中數(shù)據(jù)的完整性。軟件容錯（A1） 提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設定要求。數(shù)據(jù)安全及備份恢復 數(shù)據(jù)完整性（S1） 檢測重要用戶數(shù)據(jù)在傳輸過程中完整性受到破壞。 備份和恢復（A1） 應能夠對重要信息進行備份和恢復。管理要求 安全管理制度 管理制度（G1） 建立日常管理活動中常用的安全管理制度 制定和發(fā)布（G1）指定或授權專門的人員負責安全管理制度的制定將安全管理制度以某種方式發(fā)布到相關人員手中。安全管理機構 崗位設置（G1） 設立系統(tǒng)管理員、網(wǎng)絡管理員、安全管理員等崗位，定義各個工作崗位職責。 人員配備（G1） 應配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡管理員、安全管理員等。 授權和審批（G1） 根據(jù)各個部門和崗位的職責明確授權審批部門及批準人，對系統(tǒng)投入運行、網(wǎng)絡系統(tǒng)接入和重要資源的訪問等關鍵活動進行審批。 溝通和合作 應加強與兄弟單位、公關機關、電信公司的合作與溝通。 人員安全管理 人員錄用指定或授權專門的部門或人員負責人員錄用對被錄用人員的身份和專業(yè)資格等進行審查，并確保其具有基本的專業(yè)技術水平和安全管理知識。人員離崗立即終止由于各種原因離崗員工的所有訪問權限應取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬件設備。安全意識教育和培訓（G1）應對各類人員進行安全意識教育和崗位技能培訓應告知人員相關的安全責任和懲戒措施外部人員訪問管理（G1） 確保外部人員訪問受控區(qū)域前得到授權或審批。 系統(tǒng)建設管理 系統(tǒng)定級明確信息系統(tǒng)的邊界和安全保護等級以書面形式說明信息系統(tǒng)確定為某個安全保護等級的方法和理由確保信息系統(tǒng)的定級結果經(jīng)過相關部門的批準安全方案設計（G1）根據(jù)系統(tǒng)的安全保護等級選擇基本安全措施，依據(jù)風險分析的結果補充和調整安全措施。以書面的形式描述對系統(tǒng)的安全保護要求和策略、安全措施等內容，形成系統(tǒng)的安全方案對安全方案進行細化，形成能指導安全系統(tǒng)建設、安全產品采購和使用的詳細設計方案。產品采購和使用（G1） 安全產品采購和使用符合國家有關規(guī)定自行軟件開發(fā)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開確保軟件設計相關文檔由專人負責保管外包軟件開發(fā)（G1）根據(jù)開發(fā)要求檢測軟件質量在軟件安裝之前檢測軟件包中可能存在的惡意代碼確保提供軟件設計的相關文檔和使用指南工程實施 指定或授權專門的部門或人員負責工程實施過程的管理測試驗收對系統(tǒng)進行安全性測試驗收在測試驗收前根據(jù)設計方案或合同要求等制訂測試驗收方案，在測試驗收過程中應詳細記錄測試驗收結果，并形成測試驗收報告。系統(tǒng)交付制定系統(tǒng)交付清單，根據(jù)交付清單對所交接的設備、軟件和文檔等進行清點對負責系統(tǒng)運行維護的技術人員進行相應的技能培訓確保提供系統(tǒng)建設過程中的文檔和指導用戶進行系統(tǒng)運行維護的文檔。安全服務商選擇確保安全服務商的選擇符合國家的有關規(guī)定應與選定的安全服務商簽訂與安全相關的協(xié)議，明確約定相關責任系統(tǒng)運維管理 環(huán)境管理指定專門的部門或者人員定期對機房供配電、空調、溫濕度控制等設施進行維護管理對機房的出入、服務器的開關機等工作進行管理建立機房安全管理制度，對有關機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定。資產管理 編制與信息系統(tǒng)相關的資產清單，包括資產責任部門、重要程度和所處位置等內容介質管理（G1）確保介質存放在安全的環(huán)境中，對各類介質進行控制和保護對介質歸檔和查詢等過程進行記錄，根據(jù)存檔介質的目錄清單定期盤點設備管理對信息系統(tǒng)相關的各種設備、線路等指定專門的部門或人員定期進行維護管理建立基于申報、審批和專人負責的設備安全管理制度，對信息系統(tǒng)的各種軟硬件設備的選型、采購發(fā)放和領用等過程進行規(guī)范化管理。網(wǎng)絡安全管理（G1）指定人員對網(wǎng)絡進行管理，負責運行日志、網(wǎng)絡監(jiān)控記錄的日常維護和報警信息分析和處理工作定期進行網(wǎng)絡系統(tǒng)漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡系統(tǒng)安全漏洞進行及時修補系統(tǒng)安全管理（G1）根據(jù)業(yè)務需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略定期進行漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞及時修補安裝系統(tǒng)最新補丁程序，在安裝補丁前，先備份當前重要文件惡意代碼防范管理（G1） 提高用戶防病毒意識，告知及時升級防病毒軟件，在讀取移動存儲設備上的數(shù)據(jù)以及網(wǎng)絡上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設備接入網(wǎng)絡系統(tǒng)之前也應進行病毒檢查。備份與恢復管理識別需要定期備份的重要業(yè)務信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等規(guī)定備份信息的備份方式、備份頻度、存儲介質、保存期等安全事件處置報告所發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應嘗試驗證弱點制定安全事件報告和處置管理制度，制定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責蘭亭序永和九年，歲在癸丑，暮春之初，會于會稽山陰之蘭亭，修禊事也。群賢畢至，少長咸集。此地有崇山峻嶺，茂林修竹；又有清流激湍，映帶左右，引以為流觴曲水，列坐其次。雖無絲竹管弦之盛，一觴一詠，亦足以暢敘幽情。是日也，天朗氣清，惠風和暢，仰觀宇宙之大，俯察品類之盛，所以游目騁懷，足以極視聽之娛，信可樂也。

夫人之相與，俯仰一世，或取諸懷抱，晤言一室之內；或因寄所托，放浪形骸之外。雖取舍萬殊，靜躁不同，當其欣于所遇，暫