信息系統(tǒng)安全等級保護基本要求三級要求

信息系統(tǒng)安全等級保護基本要求TOC\o"1-4"\h\z\u1三級基本要求 31.1技術(shù)要求 31.1.1物理安全 3物理位置選擇（G3） 3物理訪問控制（G3） 3防偷竊和防破壞（G3） 3防雷擊（G3） 3防火（G3） 4防水和防潮（G3） 4防靜電（G3） 4溫濕度控制（G3） 4電力供給（A3） 40電磁防護（S3） 41.1.2網(wǎng)絡(luò)安全 4結(jié)構(gòu)安全（G3） 4訪問控制（G3） 5安全審計（G3） 5邊界完整性檢驗（S3） 5入侵防范（G3） 5惡意代碼防范（G3） 6網(wǎng)絡(luò)設(shè)備防護（G3） 61.1.3主機安全 6身份判別（S3） 6訪問控制（S3） 6安全審計（G3） 7剩下信息保護（S3） 7入侵防范（G3） 7惡意代碼防范（G3） 7資源控制（A3） 71.1.4應(yīng)用安全 7身份判別（S3） 8訪問控制（S3） 8安全審計（G3） 8剩下信息保護（S3） 8通信完整性（S3） 8通信保密性（S3） 8抗抵賴（G3） 8軟件容錯（A3） 9資源控制（A3） 91.1.5數(shù)據(jù)安全及備份恢復(fù) 9數(shù)據(jù)完整性（S3） 9數(shù)據(jù)保密性（S3） 9備份和恢復(fù)（A3） 91.2管理要求 101.2.1安全管理制度 10管理制度（G3） 10制訂和公布（G3） 10評審和修訂（G3） 101.2.2安全管理機構(gòu) 10崗位設(shè)置（G3） 10人員配置（G3） 10授權(quán)和審批（G3） 10溝通和合作（G3） 11審核和檢驗（G3） 111.2.3人員安全管理 11人員錄用（G3） 11人員離崗（G3） 11人員考評（G3） 12安全意識教育和培訓(xùn)（G3） 12外部人員訪問管理（G3） 121.2.4系統(tǒng)建設(shè)管理 12系統(tǒng)定級（G3） 12安全方案設(shè)計（G3） 12產(chǎn)品采購和使用（G3） 13自行軟件開發(fā)（G3） 13外包軟件開發(fā)（G3） 13工程實施（G3） 13測試驗收（G3） 13系統(tǒng)交付（G3） 14系統(tǒng)立案（G3） 140等級測評（G3） 141安全服務(wù)商選擇（G3） 141.2.5系統(tǒng)運維管理 14環(huán)境管理（G3） 14資產(chǎn)管理（G3） 15介質(zhì)管理（G3） 15設(shè)備管理（G3） 15監(jiān)控管理和安全管理中心（G3） 16網(wǎng)絡(luò)安全管理（G3） 16系統(tǒng)安全管理（G3） 16惡意代碼防范管理（G3） 16密碼管理（G3） 170變更管理（G3） 171備份與恢復(fù)管理（G3） 172安全事件處置（G3） 173應(yīng)急預(yù)案管理（G3） 18第三級安全保護能力：應(yīng)能夠在統(tǒng)一安全策略下防護系統(tǒng)免受來自外部有組織團體、擁有較為豐富資源威脅源發(fā)起惡意攻擊、較為嚴(yán)重自然災(zāi)難、以及其余相當(dāng)危害程度威脅所造成主要資源損害，能夠發(fā)覺安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大部分功效。1三級基本要求1.1技術(shù)要求1.1.1物理安全物理位置選擇（G3）本項要求包含：a)機房和辦公場地應(yīng)選擇在具備防震、防風(fēng)和防雨等能力建筑內(nèi)；b)機房場地應(yīng)防止設(shè)在建筑物高層或地下室，以及用水設(shè)備下層或隔壁。物理訪問控制（G3）本項要求包含：a)機房出入口應(yīng)安排專員值守，控制、判別和統(tǒng)計進入人員；b)需進入機房來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；c)應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在主要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；d)主要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、判別和統(tǒng)計進入人員。防偷竊和防破壞（G3）本項要求包含：a)應(yīng)將主要設(shè)備放置在機房內(nèi)；b)應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置顯著不易除去標(biāo)識；c)應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；d)應(yīng)對介質(zhì)分類標(biāo)識，存放在介質(zhì)庫或檔案室中；e)應(yīng)利用光、電等技術(shù)設(shè)置機房防盜報警系統(tǒng)；f)應(yīng)對機房設(shè)置監(jiān)控報警系統(tǒng)。防雷擊（G3）本項要求包含：a)機房建筑應(yīng)設(shè)置避雷裝置；b)應(yīng)設(shè)置防雷保安器，預(yù)防感應(yīng)雷；c)機房應(yīng)設(shè)置交流電源地線。防火（G3）本項要求包含：a)機房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；b)機房及相關(guān)工作房間和輔助房應(yīng)采取具備耐火等級建筑材料；c)機房應(yīng)采取區(qū)域隔離防火方法，將主要設(shè)備與其余設(shè)備隔離開。防水和防潮（G3）本項要求包含：a)水管安裝，不得穿過機房屋頂和活動地板下；b)應(yīng)采取方法預(yù)防雨水經(jīng)過機房窗戶、屋頂和墻壁滲透；c)應(yīng)采取方法預(yù)防機房內(nèi)水蒸氣結(jié)露和地下積水轉(zhuǎn)移與滲透；d)應(yīng)安裝對水敏感檢測儀表或元件，對機房進行防水檢測和報警。防靜電（G3）本項要求包含：a)主要設(shè)備應(yīng)采取必要接地防靜電方法；b)機房應(yīng)采取防靜電地板。溫濕度控制（G3）機房應(yīng)設(shè)置溫、濕度自動調(diào)整設(shè)施，使機房溫、濕度改變在設(shè)備運行所允許范圍之內(nèi)。電力供給（A3）本項要求包含：a)應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備；b)應(yīng)提供短期備用電力供給，最少滿足主要設(shè)備在斷電情況下正常運行要求；c)應(yīng)設(shè)置冗余或并行電力電纜線路為計算機系統(tǒng)供電；d)應(yīng)建立備用供電系統(tǒng)。0電磁防護（S3）本項要求包含：a)應(yīng)采取接地方式預(yù)防外界電磁干擾和設(shè)備寄生耦合干擾；b)電源線和通信線纜應(yīng)隔離鋪設(shè)，防止相互干擾；c)應(yīng)對關(guān)鍵設(shè)備和磁介質(zhì)實施電磁屏蔽。1.1.2網(wǎng)絡(luò)安全結(jié)構(gòu)安全（G3）本項要求包含：a)應(yīng)確保主要網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；b)應(yīng)確保網(wǎng)絡(luò)各個部分帶寬滿足業(yè)務(wù)高峰期需要；c)應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全訪問路徑；d)應(yīng)繪制與當(dāng)前運行情況相符網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；e)應(yīng)依照各部門工作職能、主要性和所包括信息主要程度等原因，劃分不一樣子網(wǎng)或網(wǎng)段，并按照方便管理和控制標(biāo)準(zhǔn)為各子網(wǎng)、網(wǎng)段分配地址段；f)應(yīng)防止將主要網(wǎng)段布署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，主要網(wǎng)段與其余網(wǎng)段之間采取可靠技術(shù)隔離伎倆；g)應(yīng)按照對業(yè)務(wù)服務(wù)主要次序來指定帶寬分配優(yōu)先級別，確保在網(wǎng)絡(luò)發(fā)生擁堵時候優(yōu)先保護主要主機。訪問控制（G3）本項要求包含：a)應(yīng)在網(wǎng)絡(luò)邊界布署訪問控制設(shè)備，啟用訪問控制功效；b)應(yīng)能依照會話狀態(tài)信息為數(shù)據(jù)流提供明確允許/拒絕訪問能力，控制粒度為端口級；c)應(yīng)對進出網(wǎng)絡(luò)信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級控制；d)應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；e)應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；f)主要網(wǎng)段應(yīng)采取技術(shù)伎倆預(yù)防地址坑騙；g)應(yīng)按用戶和系統(tǒng)之間允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；h)應(yīng)限制具備撥號訪問權(quán)限用戶數(shù)量。安全審計（G3）本項要求包含：a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中網(wǎng)絡(luò)設(shè)備運行情況、網(wǎng)絡(luò)流量、用戶行為等進行日志統(tǒng)計；b)審計統(tǒng)計應(yīng)包含：事件日期和時間、用戶、事件類型、事件是否成功及其余與審計相關(guān)信息；c)應(yīng)能夠依照統(tǒng)計數(shù)據(jù)進行分析，并生成審計報表；d)應(yīng)對審計統(tǒng)計進行保護，防止受到未預(yù)期刪除、修改或覆蓋等。邊界完整性檢驗（S3）本項要求包含：a)應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)行為進行檢驗，準(zhǔn)確定出位置，并對其進行有效阻斷；b)應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)行為進行檢驗，準(zhǔn)確定出位置，并對其進行有效阻斷。入侵防范（G3）本項要求包含：a)應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；b)當(dāng)檢測到攻擊行為時，統(tǒng)計攻擊源IP、攻擊類型、攻擊目標(biāo)、攻擊時間，在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報警。惡意代碼防范（G3）本項要求包含：a)應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和去除；b)應(yīng)維護惡意代碼庫升級和檢測系統(tǒng)更新。網(wǎng)絡(luò)設(shè)備防護（G3）本項要求包含：a)應(yīng)對登錄網(wǎng)絡(luò)設(shè)備用戶進行身份判別；b)應(yīng)對網(wǎng)絡(luò)設(shè)備管理員登錄地址進行限制；c)網(wǎng)絡(luò)設(shè)備用戶標(biāo)識應(yīng)唯一；d)主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或兩種以上組合判別技術(shù)來進行身份判別；e)身份判別信息應(yīng)具備不易被冒用特點，口令應(yīng)有復(fù)雜度要求并定時更換；f)應(yīng)具備登錄失敗處理功效，可采取結(jié)束會話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時自動退出等方法；g)當(dāng)對網(wǎng)絡(luò)設(shè)備進行遠程管理時，應(yīng)采取必要方法預(yù)防判別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；h)應(yīng)實現(xiàn)設(shè)備特權(quán)用戶權(quán)限分離。1.1.3主機安全身份判別（S3）本項要求包含：a)應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶進行身份標(biāo)識和判別；b)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具備不易被冒用特點，口令應(yīng)有復(fù)雜度要求并定時更換；c)應(yīng)啟用登錄失敗處理功效，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等方法；d)當(dāng)對服務(wù)器進行遠程管理時，應(yīng)采取必要方法，預(yù)防判別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；e)應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)不一樣用戶分配不一樣用戶名，確保用戶名具備唯一性。f)應(yīng)采取兩種或兩種以上組合判別技術(shù)對管理用戶進行身份判別。訪問控制（S3）本項要求包含：a)應(yīng)啟用訪問控制功效，依據(jù)安全策略控制用戶對資源訪問；b)應(yīng)依照管理用戶角色分配權(quán)限，實現(xiàn)管理用戶權(quán)限分離，僅授予管理用戶所需最小權(quán)限；c)應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶權(quán)限分離；d)應(yīng)嚴(yán)格限制默認(rèn)帳戶訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶默認(rèn)口令；e)應(yīng)及時刪除多出、過期帳戶，防止共享帳戶存在。f)應(yīng)對主要信息資源設(shè)置敏感標(biāo)識；g)應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)識主要信息資源操作；安全審計（G3）本項要求包含：a)審計范圍應(yīng)覆蓋到服務(wù)器和主要客戶端上每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；b)審計內(nèi)容應(yīng)包含主要用戶行為、系統(tǒng)資源異常使用和主要系統(tǒng)命令使用等系統(tǒng)內(nèi)主要安全相關(guān)事件；c)審計統(tǒng)計應(yīng)包含事件日期、時間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；d)應(yīng)能夠依照統(tǒng)計數(shù)據(jù)進行分析，并生成審計報表；e)應(yīng)保護審計進程，防止受到未預(yù)期中止；f)應(yīng)保護審計統(tǒng)計，防止受到未預(yù)期刪除、修改或覆蓋等。剩下信息保護（S3）本項要求包含：a)應(yīng)確保操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶判別信息所在存放空間，被釋放或再分配給其余用戶前得到完全去除，不論這些信息是存放在硬盤上還是在內(nèi)存中；b)應(yīng)確保系統(tǒng)內(nèi)文件、目錄和數(shù)據(jù)庫統(tǒng)計等資源所在存放空間，被釋放或重新分配給其余用戶前得到完全去除。入侵防范（G3）本項要求包含：a)應(yīng)能夠檢測到對主要服務(wù)器進行入侵行為，能夠統(tǒng)計入侵源IP、攻擊類型、攻擊目標(biāo)、攻擊時間，并在發(fā)生嚴(yán)重入侵事件時提供報警；b)應(yīng)能夠?qū)χ饕绦蛲暾赃M行檢測，并在檢測到完整性受到破壞后具備恢復(fù)方法；c)操作系統(tǒng)應(yīng)遵照最小安裝標(biāo)準(zhǔn)，僅安裝需要組件和應(yīng)用程序，并經(jīng)過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補丁及時得到更新。惡意代碼防范（G3）本項要求包含：a)應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；b)主機防惡意代碼產(chǎn)品應(yīng)具備與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不一樣惡意代碼庫；c)應(yīng)支持防惡意代碼統(tǒng)一管理。資源控制（A3）本項要求包含：a)應(yīng)經(jīng)過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b)應(yīng)依照安全策略設(shè)置登錄終端操作超時鎖定；c)應(yīng)對主要服務(wù)器進行監(jiān)視，包含監(jiān)視服務(wù)器CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源使用情況；d)應(yīng)限制單個用戶對系統(tǒng)資源最大或最小使用程度；e)應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先要求最小值進行檢測和報警。1.1.4應(yīng)用安全身份判別（S3）本項要求包含：a)應(yīng)提供專用登錄控制模塊對登錄用戶進行身份標(biāo)識和判別；b)應(yīng)對同一用戶采取兩種或兩種以上組合判別技術(shù)實現(xiàn)用戶身份判別；c)應(yīng)提供用戶身份標(biāo)識唯一和判別信息復(fù)雜度檢驗功效，確保應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份判別信息不易被冒用；d)應(yīng)提供登錄失敗處理功效，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等方法；e)應(yīng)啟用身份判別、用戶身份標(biāo)識唯一性檢驗、用戶身份判別信息復(fù)雜度檢驗以及登錄失敗處理功效，并依照安全策略配置相關(guān)參數(shù)。訪問控制（S3）本項要求包含：a)應(yīng)提供訪問控制功效，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體訪問；b)訪問控制覆蓋范圍應(yīng)包含與資源訪問相關(guān)主體、客體及它們之間操作；c)應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶訪問權(quán)限；d)應(yīng)授予不一樣帳戶為完成各自負(fù)擔(dān)任務(wù)所需最小權(quán)限，并在它們之間形成相互制約關(guān)系。e)應(yīng)具備對主要信息資源設(shè)置敏感標(biāo)識功效；f)應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)識主要信息資源操作；安全審計（G3）本項要求包含：a)應(yīng)提供覆蓋到每個用戶安全審計功效，對應(yīng)用系統(tǒng)主要安全事件進行審計；b)應(yīng)確保無法單獨中止審計進程，無法刪除、修改或覆蓋審計統(tǒng)計；c)審計統(tǒng)計內(nèi)容最少應(yīng)包含事件日期、時間、發(fā)起者信息、類型、描述和結(jié)果等；d)應(yīng)提供對審計統(tǒng)計數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表功效。剩下信息保護（S3）本項要求包含：a)應(yīng)確保用戶判別信息所在存放空間被釋放或再分配給其余用戶前得到完全去除，不論這些信息是存放在硬盤上還是在內(nèi)存中；b)應(yīng)確保系統(tǒng)內(nèi)文件、目錄和數(shù)據(jù)庫統(tǒng)計等資源所在存放空間被釋放或重新分配給其余用戶前得到完全去除。通信完整性（S3）應(yīng)采取密碼技術(shù)確保通信過程中數(shù)據(jù)完整性。通信保密性（S3）本項要求包含：a)在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進行會話初始化驗證；b)應(yīng)對通信過程中整個報文或會話過程進行加密?？沟仲嚕℅3）本項要求包含：a)應(yīng)具備在請求情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)功效；b)應(yīng)具備在請求情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)功效。軟件容錯（A3）本項要求包含：a)應(yīng)提供數(shù)據(jù)有效性檢驗功效，確保經(jīng)過人機接口輸入或經(jīng)過通信接口輸入數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求；b)應(yīng)提供自動保護功效，當(dāng)故障發(fā)生時自動保護當(dāng)前全部狀態(tài)，確保系統(tǒng)能夠進行恢復(fù)。資源控制（A3）本項要求包含：a)當(dāng)應(yīng)用系統(tǒng)通信雙方中一方在一段時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；b)應(yīng)能夠?qū)ο到y(tǒng)最大并發(fā)會話連接數(shù)進行限制；c)應(yīng)能夠?qū)蝹€帳戶多重并發(fā)會話進行限制；d)應(yīng)能夠?qū)σ粋€時間段內(nèi)可能并發(fā)會話連接數(shù)進行限制；e)應(yīng)能夠?qū)σ粋€訪問帳戶或一個請求進程占用資源分配最大限額和最小限額；f)應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先要求最小值進行檢測和報警；g)應(yīng)提供服務(wù)優(yōu)先級設(shè)定功效，并在安裝后依照安全策略設(shè)定訪問帳戶或請求進程優(yōu)先級，依照優(yōu)先級分配系統(tǒng)資源。1.1.5數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)完整性（S3）本項要求包含：a)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、判別信息和主要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要恢復(fù)方法；b)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、判別信息和主要業(yè)務(wù)數(shù)據(jù)在存放過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要恢復(fù)方法。數(shù)據(jù)保密性（S3）本項要求包含：a)應(yīng)采取加密或其余有效方法實現(xiàn)系統(tǒng)管理數(shù)據(jù)、判別信息和主要業(yè)務(wù)數(shù)據(jù)傳輸保密性；b)應(yīng)采取加密或其余保護方法實現(xiàn)系統(tǒng)管理數(shù)據(jù)、判別信息和主要業(yè)務(wù)數(shù)據(jù)存放保密性。備份和恢復(fù)（A3）本項要求包含：a)應(yīng)提供當(dāng)?shù)財?shù)據(jù)備份與恢復(fù)功效，完全數(shù)據(jù)備份最少天天一次，備份介質(zhì)場外存放；b)應(yīng)提供異地數(shù)據(jù)備份功效，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時批量傳送至備用場地；c)應(yīng)采取冗余技術(shù)設(shè)計網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，防止關(guān)鍵節(jié)點存在單點故障；d)應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)硬件冗余，確保系統(tǒng)高可用性。1.2管理要求1.2.1安全管理制度管理制度（G3）本項要求包含：a)應(yīng)制訂信息安全工作總體方針和安全策略，說明機構(gòu)安全工作總體目標(biāo)、范圍、標(biāo)準(zhǔn)和安全框架等；b)應(yīng)對安全管理活動中各類管理內(nèi)容建立安全管理制度；c)應(yīng)對要求管理人員或操作人員執(zhí)行日常管理操作建立操作規(guī)程；d)應(yīng)形成由安全策略、管理制度、操作規(guī)程等組成全方面信息安全管理制度體系。制訂和公布（G3）本項要求包含：a)應(yīng)指定或授權(quán)專門部門或人員負(fù)責(zé)安全管理制度制訂；b)安全管理制度應(yīng)具備統(tǒng)一格式，并進行版本控制；c)應(yīng)組織相關(guān)人員對制訂安全管理制度進行論證和審定；d)安全管理制度應(yīng)經(jīng)過正式、有效方式公布；e)安全管理制度應(yīng)注明公布范圍，并對收發(fā)文進行登記。評審和修訂（G3）本項要求包含：a)信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定時組織相關(guān)部門和相關(guān)人員對安全管理制度體系合理性和適用性進行審定；b)應(yīng)定時或不定時對安全管理制度進行檢驗和審定，對存在不足或需要改進安全管理制度進行修訂。1.2.2安全管理機構(gòu)崗位設(shè)置（G3）本項要求包含：a)應(yīng)設(shè)置信息安全管理工作職能部門，設(shè)置安全主管、安全管理各個方面責(zé)任人崗位，并定義各責(zé)任人職責(zé)；b)應(yīng)設(shè)置系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個工作崗位職責(zé)；c)應(yīng)成立指導(dǎo)和管理信息安全工作委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；d)應(yīng)制訂文件明確安全管理機構(gòu)各個部門和崗位職責(zé)、分工和技能要求。人員配置（G3）本項要求包含：a)應(yīng)配置一定數(shù)量系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等；b)應(yīng)配置專職安全管理員，不可兼任；c)關(guān)鍵事務(wù)崗位應(yīng)配置多人共同管理。授權(quán)和審批（G3）本項要求包含：a)應(yīng)依照各個部門和崗位職責(zé)明確授權(quán)審批事項、審批部門和同意人等；b)應(yīng)針對系統(tǒng)變更、主要操作、物理訪問和系統(tǒng)接入等事項建立審批程序，按照審批程序執(zhí)行審批過程，對主要活動建立逐層審批制度；c)應(yīng)定時審查審批事項，及時更新需授權(quán)和審批項目、審批部門和審批人等信息；d)應(yīng)統(tǒng)計審批過程并保留審批文檔。溝通和合作（G3）本項要求包含：a)應(yīng)加強各類管理人員之間、組織內(nèi)部機構(gòu)之間以及信息安全職能部門內(nèi)部合作與溝通，定時或不定時召開協(xié)調(diào)會議，共同協(xié)作處理信息安全問題；b)應(yīng)加強與弟兄單位、公安機關(guān)、電信企業(yè)合作與溝通；c)應(yīng)加強與供給商、業(yè)界教授、專業(yè)安全企業(yè)、安全組織合作與溝通；d)應(yīng)建立外聯(lián)單位聯(lián)絡(luò)列表，包含外聯(lián)單位名稱、合作內(nèi)容、聯(lián)絡(luò)人和聯(lián)絡(luò)方式等信息；e)應(yīng)聘請信息安全教授作為常年安全顧問，指導(dǎo)信息安全建設(shè)，參加安全規(guī)劃和安全評審等。審核和檢驗（G3）本項要求包含：a)安全管理員應(yīng)負(fù)責(zé)定時進行安全檢驗，檢驗內(nèi)容包含系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；b)應(yīng)由內(nèi)部人員或上級單位定時進行全方面安全檢驗，檢驗內(nèi)容包含現(xiàn)有安全技術(shù)方法有效性、安全配置與安全策略一致性、安全管理制度執(zhí)行情況等；c)應(yīng)制訂安全檢驗表格實施安全檢驗，匯總安全檢驗數(shù)據(jù)，形成安全檢驗匯報，并對安全檢驗結(jié)果進行通報；d)應(yīng)制訂安全審核和安全檢驗制度規(guī)范安全審核和安全檢驗工作，定時按照程序進行安全審核和安全檢驗活動。1.2.3人員安全管理人員錄用（G3）本項要求包含：a)應(yīng)指定或授權(quán)專門部門或人員責(zé)任人員錄用；b)應(yīng)嚴(yán)格規(guī)范人員錄用過程，對被錄用人身份、背景、專業(yè)資格和資質(zhì)等進行審查，對其所具備技術(shù)技能進行考評；c)應(yīng)簽署保密協(xié)議；d)應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位人員，并簽署崗位安全協(xié)議。人員離崗（G3）本項要求包含：a)應(yīng)嚴(yán)格規(guī)范人員離崗過程，及時終止離崗員工全部訪問權(quán)限；b)應(yīng)取回各種身份證件、鑰匙、徽章等以及機構(gòu)提供軟硬件設(shè)備；c)應(yīng)辦理嚴(yán)格調(diào)離手續(xù)，關(guān)鍵崗位人員離崗須承諾調(diào)離后保密義務(wù)后方可離開。人員考評（G3）本項要求包含：a)應(yīng)定時對各個崗位人員進行安全技能及安全認(rèn)知考評；b)應(yīng)對關(guān)鍵崗位人員進行全方面、嚴(yán)格安全審查和技能考評；c)應(yīng)對考評結(jié)果進行統(tǒng)計并保留。安全意識教育和培訓(xùn)（G3）本項要求包含：a)應(yīng)對各類人員進行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)；b)應(yīng)對安全責(zé)任和懲戒方法進行書面要求并通知相關(guān)人員，對違反違反安全策略和要求人員進行懲戒；c)應(yīng)對定時安全教育和培訓(xùn)進行書面要求，針對不一樣崗位制訂不一樣培訓(xùn)計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進行培訓(xùn)；d)應(yīng)對安全教育和培訓(xùn)情況和結(jié)果進行統(tǒng)計并歸檔保留。外部人員訪問管理（G3）本項要求包含：a)應(yīng)確保在外部人員訪問受控區(qū)域前先提出書面申請，同意后由專員全程陪同或監(jiān)督，并登記立案；b)對外部人員允許訪問區(qū)域、系統(tǒng)、設(shè)備、信息等內(nèi)容應(yīng)進行書面要求，并按照要求執(zhí)行。1.2.4系統(tǒng)建設(shè)管理系統(tǒng)定級（G3）本項要求包含：a)應(yīng)明確信息系統(tǒng)邊界和安全保護等級；b)應(yīng)以書面形式說明確定信息系統(tǒng)為某個安全保護等級方法和理由；c)應(yīng)組織相關(guān)部門和關(guān)于安全技術(shù)教授對信息系統(tǒng)定級結(jié)果合理性和正確性進行論證和審定；d)應(yīng)確保信息系統(tǒng)定級結(jié)果經(jīng)過相關(guān)部門同意。安全方案設(shè)計（G3）本項要求包含：a)應(yīng)依照系統(tǒng)安全保護等級選擇基本安全方法，并依據(jù)風(fēng)險分析結(jié)果補充和調(diào)整安全方法；b)應(yīng)指定和授權(quán)專門部門對信息系統(tǒng)安全建設(shè)進行總體規(guī)劃，制訂近期和遠期安全建設(shè)工作計劃；c)應(yīng)依照信息系統(tǒng)等級劃分情況，統(tǒng)一考慮安全保障體系總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細設(shè)計方案，并形成配套文件；d)應(yīng)組織相關(guān)部門和關(guān)于安全技術(shù)教授對總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套文件合理性和正確性進行論證和審定，而且經(jīng)過同意后，才能正式實施；e)應(yīng)依照等級測評、安全評定結(jié)果定時調(diào)整和修訂總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套文件。產(chǎn)品采購和使用（G3）本項要求包含：a)應(yīng)確保安全產(chǎn)品采購和使用符合國家關(guān)于要求；b)應(yīng)確保密碼產(chǎn)品采購和使用符合國家密碼主管部門要求；c)應(yīng)指定或授權(quán)專門部門負(fù)責(zé)產(chǎn)品采購；d)應(yīng)預(yù)先對產(chǎn)品進行選型測試，確定產(chǎn)品候選范圍，并定時審定和更新候選產(chǎn)品名單。自行軟件開發(fā)（G3）本項要求包含：a)應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開，開發(fā)人員和測試人員分離，測試數(shù)據(jù)和測試結(jié)果受到控制；b)應(yīng)制訂軟件開發(fā)管理制度，明確說明開發(fā)過程控制方法和人員行為準(zhǔn)則；c)應(yīng)制訂代碼編寫安全規(guī)范，要求開發(fā)人員參考規(guī)范編寫代碼；d)應(yīng)確保提供軟件設(shè)計相關(guān)文檔和使用指南，并由專員負(fù)責(zé)保管；e)應(yīng)確保對程序資源庫修改、更新、公布進行授權(quán)和同意。外包軟件開發(fā)（G3）本項要求包含：a)應(yīng)依照開發(fā)需求檢測軟件質(zhì)量；b)應(yīng)在軟件安裝之前檢測軟件包中可能存在惡意代碼；c)應(yīng)要求開發(fā)單位提供軟件設(shè)計相關(guān)文檔和使用指南；d)應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在后門。工程實施（G3）本項要求包含：a)應(yīng)指定或授權(quán)專門部門或人員負(fù)責(zé)工程實施過程管理；b)應(yīng)制訂詳細工程實施方案控制實施過程，并要求工程實施單位能正式地執(zhí)行安全工程過程；c)應(yīng)制訂工程實施方面管理制度，明確說明實施過程控制方法和人員行為準(zhǔn)則。測試驗收（G3）本項要求包含：a)應(yīng)委托公正第三方測試單位對系統(tǒng)進行安全性測試，并出具安全性測試匯報；b)在測試驗收前應(yīng)依照設(shè)計方案或協(xié)議要求等制訂測試驗收方案，在測試驗收過程中應(yīng)詳細統(tǒng)計測試驗收結(jié)果，并形成測試驗收匯報；c)應(yīng)對系統(tǒng)測試驗收控制方法和人員行為準(zhǔn)則進行書面要求；d)應(yīng)指定或授權(quán)專門部門負(fù)責(zé)系統(tǒng)測試驗收管理，并按照管理要求要求完成系統(tǒng)測試驗收工作；e)應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗收匯報進行審定，并簽字確認(rèn)。系統(tǒng)交付（G3）本項要求包含：a)應(yīng)制訂詳細系統(tǒng)交付清單，并依照交付清單對所交接設(shè)備、軟件和文檔等進行清點；b)應(yīng)對負(fù)責(zé)系統(tǒng)運行維護技術(shù)人員進行對應(yīng)技能培訓(xùn)；c)應(yīng)確保提供系統(tǒng)建設(shè)過程中文檔和指導(dǎo)用戶進行系統(tǒng)運行維護文檔；d)應(yīng)對系統(tǒng)交付控制方法和人員行為準(zhǔn)則進行書面要求；e)應(yīng)指定或授權(quán)專門部門負(fù)責(zé)系統(tǒng)交付管理工作，并按照管理要求要求完成系統(tǒng)交付工作。系統(tǒng)立案（G3）本項要求包含：a)應(yīng)指定專門部門或人員負(fù)責(zé)管理系統(tǒng)定級相關(guān)材料，并控制這些材料使用；b)應(yīng)將系統(tǒng)等級及相關(guān)材料報系統(tǒng)主管部門立案；c)應(yīng)將系統(tǒng)等級及其余要求立案材料報對應(yīng)公安機關(guān)立案。0等級測評（G3）本項要求包含：a)在系統(tǒng)運行過程中，應(yīng)最少每年對系統(tǒng)進行一次等級測評，發(fā)覺不符合對應(yīng)等級保護標(biāo)準(zhǔn)要求及時整改；b)應(yīng)在系統(tǒng)發(fā)生變更時及時對系統(tǒng)進行等級測評，發(fā)覺級別發(fā)生改變及時調(diào)整級別并進行安全改造，發(fā)覺不符合對應(yīng)等級保護標(biāo)準(zhǔn)要求及時整改；c)應(yīng)選擇具備國家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)測評單位進行等級測評；d)應(yīng)指定或授權(quán)專門部門或人員負(fù)責(zé)等級測評管理。1安全服務(wù)商選擇（G3）本項要求包含：a)應(yīng)確保安全服務(wù)商選擇符合國家關(guān)于要求；b)應(yīng)與選定安全服務(wù)商訂立與安全相關(guān)協(xié)議，明確約定相關(guān)責(zé)任；c)應(yīng)確保選定安全服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)承諾，必要與其訂立服務(wù)協(xié)議。1.2.5系統(tǒng)運維管理環(huán)境管理（G3）本項要求包含：a)應(yīng)指定專門部門或人員定時對機房供配電、空調(diào)、溫濕度控制等設(shè)施進行維護管理；b)應(yīng)指定部門負(fù)責(zé)機房安全，并配置機房安全管理人員，對機房出入、服務(wù)器開機或關(guān)機等工作進行管理；c)應(yīng)建立機房安全管理制度，對關(guān)于機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面管理作出要求；d)應(yīng)加強對辦公環(huán)境保密性管理，規(guī)范辦公環(huán)境人員行為，包含工作人員調(diào)離辦公室應(yīng)立刻交還該辦公室鑰匙、不在辦公區(qū)接待來訪人員、工作人員離開座位應(yīng)確保終端計算機退出登錄狀態(tài)和桌面上沒有包含敏感信息紙檔文件等。資產(chǎn)管理（G3）本項要求包含：a)應(yīng)編制并保留與信息系統(tǒng)相關(guān)資產(chǎn)清單，包含資產(chǎn)責(zé)任部門、主要程度和所處位置等內(nèi)容；b)應(yīng)建立資產(chǎn)安全管理制度，要求信息系統(tǒng)資產(chǎn)管理責(zé)任人員或責(zé)任部門，并規(guī)范資產(chǎn)管理和使用行為；c)應(yīng)依照資產(chǎn)主要程度對資產(chǎn)進行標(biāo)識管理，依照資產(chǎn)價值選擇對應(yīng)管理方法；d)應(yīng)對信息分類與標(biāo)識方法作出要求，并對信息使用、傳輸和存放等進行規(guī)范化管理。介質(zhì)管理（G3）本項要求包含：a)應(yīng)建立介質(zhì)安全管理制度，對介質(zhì)存放環(huán)境、使用、維護和銷毀等方面作出要求；b)應(yīng)確保介質(zhì)存放在安全環(huán)境中，對各類介質(zhì)進行控制和保護，并實施存放環(huán)境專員管理；c)應(yīng)對介質(zhì)在物理傳輸過程中人員選擇、打包、交付等情況進行控制，對介質(zhì)歸檔和查詢等進行登記統(tǒng)計，并依照存檔介質(zhì)目錄清單定時盤點；d)應(yīng)對存放介質(zhì)使用過程、送出維修以及銷毀等進行嚴(yán)格管理，對帶出工作環(huán)境存放介質(zhì)進行內(nèi)容加密和監(jiān)控管理，對送出維修或銷毀介質(zhì)應(yīng)首先去除介質(zhì)中敏感數(shù)據(jù)，對保密性較高存放介質(zhì)未經(jīng)同意不得自行銷毀；e)應(yīng)依照數(shù)據(jù)備份需要對一些介質(zhì)實施異地存放，存放地環(huán)境要求和管理方法應(yīng)與當(dāng)?shù)叵嗤?；f)應(yīng)對主要介質(zhì)中數(shù)據(jù)和軟件采取加密存放，并依照所承載數(shù)據(jù)和軟件主要程度對介質(zhì)進行分類和標(biāo)識管理。設(shè)備管理（G3）本項要求包含：a)應(yīng)對信息系統(tǒng)相關(guān)各種設(shè)備（包含備份和冗余設(shè)備）、線路等指定專門部門或人員定時進行維護管理；b)應(yīng)建立基于申報、審批和專員負(fù)責(zé)設(shè)備安全管理制度，對信息系統(tǒng)各種軟硬件設(shè)備選型、采購、發(fā)放和領(lǐng)用等過程進行規(guī)范化管理；c)應(yīng)建立配套設(shè)施、軟硬件維護方面管理制度，對其維護進行有效管理，包含明確維護人員責(zé)任、涉外維修和服務(wù)審批、維修過程監(jiān)督控制等；d)應(yīng)對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備操作和使用進行規(guī)范化管理，按操作規(guī)程實現(xiàn)主要設(shè)備（包含備份和冗余設(shè)備）開啟/停頓、加電/斷電等操作；e)應(yīng)確保信息處理設(shè)備必須經(jīng)過審批才能帶離機房或辦公地點。監(jiān)控管理和安全管理中心（G3）本項要求包含：a)應(yīng)對通信線路、主機、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件運行情況、網(wǎng)絡(luò)流量、用戶行為等進行監(jiān)測和報警，形成統(tǒng)計并妥善保留；b)應(yīng)組織相關(guān)人員定時對監(jiān)測和報警統(tǒng)計進行分析、評審，發(fā)覺可疑行為，形成份析匯報，并采取必要應(yīng)對方法；c)應(yīng)建立安全管理中心，對設(shè)備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關(guān)事項進行集中管理。網(wǎng)絡(luò)安全管理（G3）本項要求包含：a)應(yīng)指定專員對網(wǎng)絡(luò)進行管理，負(fù)責(zé)運行日志、網(wǎng)絡(luò)監(jiān)控統(tǒng)計日常維護和報警信息分析和處理工作；b)應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、日志保留時間、安全策略、升級與打補丁、口令更新周期等方面作出要求；c)應(yīng)依照廠家提供軟件升級版本對網(wǎng)絡(luò)設(shè)備進行更新，并在更新前對現(xiàn)有主要文件進行備份；d)應(yīng)定時對網(wǎng)絡(luò)系統(tǒng)進行漏洞掃描，對發(fā)覺網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時修補；e)應(yīng)實現(xiàn)設(shè)備最小服務(wù)配置，并對配置文件進行定時離線備份；f)應(yīng)確保全部與外部系統(tǒng)連接均得到授權(quán)和同意；g)應(yīng)依據(jù)安全策略允許或者拒絕便攜式和移動式設(shè)備網(wǎng)絡(luò)接入；h)應(yīng)定時檢驗違反要求撥號上網(wǎng)或其余違反