等級(jí)保護(hù)安全建設(shè)方案課件

民生行業(yè)等級(jí)保護(hù)安全建設(shè)方案民生行業(yè)等級(jí)保護(hù)安全建設(shè)方案PART/01標(biāo)準(zhǔn)介紹PART/02PART/03PART/04建設(shè)清單CONTENTS/目錄PART/05等保優(yōu)勢建設(shè)方案行業(yè)現(xiàn)狀360企業(yè)安全.民生行業(yè)

PART/01標(biāo)準(zhǔn)介紹PART/02PART/0PART/01等級(jí)保護(hù)標(biāo)準(zhǔn)介紹360企業(yè)安全.民生行業(yè)

PART/01等級(jí)保護(hù)標(biāo)準(zhǔn)介紹360企業(yè)安全.民生行業(yè)3網(wǎng)絡(luò)安全法第二十一條

國家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改：（一）制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負(fù)責(zé)人，落實(shí)網(wǎng)絡(luò)安全保護(hù)責(zé)任；（二）采取防范計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技術(shù)措施；（三）采取監(jiān)測、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月；第二十五條

網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，及時(shí)處置系統(tǒng)漏洞、計(jì)算機(jī)病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等安全風(fēng)險(xiǎn)；在發(fā)生危害網(wǎng)絡(luò)安全的事件時(shí)，立即啟動(dòng)應(yīng)急預(yù)案，采取相應(yīng)的補(bǔ)救措施，并按照規(guī)定向有關(guān)主管部門報(bào)告。2014年2月首次在政府工作報(bào)告中提及2016年7月5日網(wǎng)絡(luò)安全法草案二審稿啟動(dòng)關(guān)鍵信息基礎(chǔ)設(shè)施全國檢查工作2016年7月8日2016年11月1日網(wǎng)絡(luò)安全法草案三審稿人大常委會(huì)表決通過網(wǎng)絡(luò)安全法2016年11月7日2016年12月末結(jié)束關(guān)鍵信息基礎(chǔ)設(shè)施全國檢查工作實(shí)施網(wǎng)絡(luò)安全法2017年6月1日應(yīng)急響應(yīng)：將監(jiān)測預(yù)警與應(yīng)急處置工作制度化、法制化，明確國家建立網(wǎng)絡(luò)安全監(jiān)測預(yù)警和信息通報(bào)制度。CII保護(hù)：《網(wǎng)絡(luò)安全法》明確了對(duì)國家關(guān)鍵信息基礎(chǔ)設(shè)施（簡稱CII）要加強(qiáng)安全保護(hù)，初步給出了CII的范圍，在法案第三章專門對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)行安全提出了具體要求。等保制度：《網(wǎng)絡(luò)安全法》明確國家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)全等級(jí)保護(hù)制度的要求，切實(shí)加強(qiáng)網(wǎng)絡(luò)安全建設(shè)日志留存：記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月。網(wǎng)絡(luò)安全法草案一審稿2015年7月7日網(wǎng)絡(luò)安全法第二十一條國家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。網(wǎng)絡(luò)運(yùn)4等保2.0擴(kuò)展—安全通用要求+五個(gè)擴(kuò)展分冊(cè)GB/T22239.1-XXXX信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第1部分安全通用要求GB/T22239.2-XXXX信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第2部分云計(jì)算安全擴(kuò)展要求GB/T22239.3-XXXX信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第3部分移動(dòng)互聯(lián)安全擴(kuò)展要求GB/T22239.4-XXXX信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第4部分物聯(lián)網(wǎng)安全擴(kuò)展要求GB/T22239.5-XXXX信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第5部分工業(yè)控制系統(tǒng)安全擴(kuò)展要求GB/T22239.6-XXXX信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第6部分大數(shù)據(jù)安全擴(kuò)展要求等保2.0擴(kuò)展—安全通用要求+五個(gè)擴(kuò)展分冊(cè)GB/T22239三級(jí)安全控制項(xiàng)1.0：290項(xiàng)技術(shù)136管理154技術(shù)要求應(yīng)用和數(shù)據(jù)安全設(shè)備和計(jì)算安全網(wǎng)絡(luò)和通信安全物理和環(huán)境安全管理要求安全策略和管理制度安全管理機(jī)構(gòu)和人員安全建設(shè)管理安全運(yùn)維管理等保三級(jí)安全的控制項(xiàng)技術(shù)要求數(shù)據(jù)安全及備份恢復(fù)應(yīng)用安全主機(jī)安全網(wǎng)絡(luò)安全物理安全管理要求系統(tǒng)運(yùn)維管理系統(tǒng)建設(shè)管理人員安全管理安全管理機(jī)構(gòu)安全管理制度三級(jí)安全控制項(xiàng)2.0：229項(xiàng)技術(shù)116管理113三級(jí)安全控制項(xiàng)1.0：技術(shù)要求應(yīng)用和數(shù)據(jù)安全設(shè)備和計(jì)算安全網(wǎng)等級(jí)保護(hù)生命周期安全服務(wù)定級(jí)備案安全設(shè)計(jì)實(shí)施安全運(yùn)行維護(hù)應(yīng)急響應(yīng)保障總體安全規(guī)劃等保咨詢服務(wù)安全規(guī)劃設(shè)計(jì)服務(wù)等保集成服務(wù)安全運(yùn)維服務(wù)系統(tǒng)調(diào)查系統(tǒng)定級(jí)定級(jí)報(bào)告專家評(píng)審協(xié)助備案安全需求分析安全策略設(shè)計(jì)解決方案設(shè)計(jì)安全建設(shè)規(guī)劃詳細(xì)設(shè)計(jì)技術(shù)實(shí)現(xiàn)管理實(shí)現(xiàn)安全培訓(xùn)運(yùn)行管理服務(wù)商管控等級(jí)測評(píng)檢測改進(jìn)基礎(chǔ)環(huán)境評(píng)估服務(wù)現(xiàn)場評(píng)估報(bào)告編制應(yīng)急預(yù)案監(jiān)測響應(yīng)評(píng)估改進(jìn)應(yīng)急保障安全應(yīng)急服務(wù)行業(yè)/領(lǐng)域主管部門屬地公安機(jī)關(guān)有等保建設(shè)資質(zhì)的廠商，設(shè)計(jì)院等有等保建設(shè)資質(zhì)的廠商等保用戶專業(yè)安全廠商等保用戶專業(yè)安全廠商等級(jí)保護(hù)生命周期安全服務(wù)定級(jí)備案安全設(shè)計(jì)實(shí)施安全運(yùn)行維護(hù)應(yīng)急PART/02行業(yè)現(xiàn)狀概覽360企業(yè)安全.民生行業(yè)

PART/02行業(yè)現(xiàn)狀概覽360企業(yè)安全.民生行業(yè)8“十二五”國家政務(wù)信息化工程與金保二期工程關(guān)系“十二五”國家政務(wù)信息化工程與金保二期工程關(guān)系9人力資源和社會(huì)保障事業(yè)發(fā)展“十三五”規(guī)劃綱要加快實(shí)施人力資源和社會(huì)保障信息化建設(shè)工程，建設(shè)人力資源和社會(huì)保障信息資源庫，繼續(xù)推進(jìn)信息系統(tǒng)和數(shù)據(jù)省級(jí)集中。加快推進(jìn)人員、單位、管理服務(wù)機(jī)構(gòu)等基礎(chǔ)信息庫及異地就醫(yī)聯(lián)網(wǎng)結(jié)算、社保關(guān)系轉(zhuǎn)移接續(xù)、公共就業(yè)信息服務(wù)、就業(yè)信息監(jiān)測等重點(diǎn)建設(shè)任務(wù)。積極實(shí)施“互聯(lián)網(wǎng)+人社”行動(dòng)，促進(jìn)勞動(dòng)就業(yè)、社會(huì)保障、人才服務(wù)等工作與互聯(lián)網(wǎng)深度融合。建立一體化公共服務(wù)信息平臺(tái)，逐步實(shí)現(xiàn)線上線下服務(wù)渠道的有機(jī)銜接，形成跨領(lǐng)域、跨部門、跨層級(jí)的聯(lián)動(dòng)服務(wù)能力。加快推進(jìn)社會(huì)保障卡應(yīng)用，實(shí)現(xiàn)社會(huì)保障一卡通。加快推動(dòng)信息資源開發(fā)利用，構(gòu)建大數(shù)據(jù)應(yīng)用體系。依托政府?dāng)?shù)據(jù)共享交換平臺(tái)，實(shí)現(xiàn)與相關(guān)政府部門的協(xié)同共享，逐步拓展基于互聯(lián)網(wǎng)等社會(huì)化途徑的信息資源獲取途徑。運(yùn)用云計(jì)算技術(shù)，提升信息化基礎(chǔ)設(shè)施的支撐保障能力。逐步建成全網(wǎng)安全監(jiān)測系統(tǒng)，提升信息安全保障能力。十三五規(guī)劃的網(wǎng)絡(luò)安全部分主要是金保二期工程建設(shè)內(nèi)容。人力資源和社會(huì)保障事業(yè)發(fā)展“十三五”規(guī)劃綱要加快實(shí)施人力資源10金保二期工程網(wǎng)絡(luò)安全目標(biāo)金保工程二期基礎(chǔ)安全防護(hù)系統(tǒng)建設(shè)目標(biāo)1套體系2個(gè)重點(diǎn)3個(gè)全面4項(xiàng)機(jī)制建立一套包括技術(shù)和管理兩方面，外防和內(nèi)控兼顧，以縱深防御、分等級(jí)分區(qū)域保護(hù)為核心的綜合安全防護(hù)體系。重點(diǎn)解決應(yīng)用安全和數(shù)據(jù)安全兩方面突出問題。全面通過等級(jí)保護(hù)測評(píng)防火墻、入侵檢測和防護(hù)系統(tǒng)、網(wǎng)絡(luò)監(jiān)控和審計(jì)系統(tǒng)等邊界防護(hù)系統(tǒng)全面部署到網(wǎng)絡(luò)互聯(lián)邊界數(shù)據(jù)訪問控制和審計(jì)功能全面配置到核心業(yè)務(wù)區(qū)域的重要系統(tǒng)加強(qiáng)信息安全風(fēng)險(xiǎn)評(píng)估和測評(píng)工作機(jī)制信息安全通報(bào)和檢查機(jī)制信息安全應(yīng)急處理協(xié)調(diào)機(jī)制信息安全綜合管理和監(jiān)督機(jī)制的四項(xiàng)安全保障機(jī)制的建設(shè)。金保二期工程網(wǎng)絡(luò)安全目標(biāo)金保工程二期基礎(chǔ)安全防護(hù)系統(tǒng)建設(shè)目標(biāo)11金保工程二期安全建設(shè)內(nèi)容部省兩級(jí)基礎(chǔ)安全防護(hù)、電子認(rèn)證體系、災(zāi)備系統(tǒng)，納入全國統(tǒng)一立項(xiàng)的金保工程二期建設(shè)任務(wù)，主要內(nèi)容包括：1. 按照信息安全等級(jí)保護(hù)基本要求，結(jié)合金保工程已建、新建和改擴(kuò)建信息系統(tǒng)對(duì)信息安全防護(hù)能力的差異性安全需求分析，立足于金保工程一期信息安全建設(shè)成果，完善部、省、市各級(jí)人力資源社會(huì)保障部門的基礎(chǔ)安全防護(hù)系統(tǒng)的建設(shè)。2. 優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)，合理劃分網(wǎng)絡(luò)安全防護(hù)邊界和安全區(qū)域，實(shí)現(xiàn)縱深防御、區(qū)域訪問控制和有效安全隔離。3. 按照互聯(lián)部門業(yè)務(wù)數(shù)據(jù)和用戶屬性分類規(guī)劃統(tǒng)一的數(shù)據(jù)交換區(qū)，實(shí)現(xiàn)網(wǎng)絡(luò)互聯(lián)出入口的集中防護(hù)和監(jiān)控。4. 建立重要信息系統(tǒng)、重要網(wǎng)絡(luò)區(qū)域的安全監(jiān)控和審計(jì)機(jī)制。5. 加強(qiáng)面向互聯(lián)網(wǎng)業(yè)務(wù)信息系統(tǒng)的安全防護(hù)和監(jiān)控，建立網(wǎng)站防滲透、防篡改、防信息泄露和安全監(jiān)測審計(jì)機(jī)制。6. 加強(qiáng)關(guān)鍵業(yè)務(wù)數(shù)據(jù)的防丟失、防泄露和防篡改。7. 加強(qiáng)信息安全風(fēng)險(xiǎn)評(píng)估和測評(píng)工作,建立信息安全等級(jí)保護(hù)綜合工作平臺(tái)，落實(shí)信息安全等級(jí)保護(hù)的各項(xiàng)制度和要求。8. 建立和完善信息安全監(jiān)控平臺(tái)和安全審計(jì)平臺(tái)。在部、省、市各級(jí)網(wǎng)絡(luò)系統(tǒng)部署統(tǒng)一信息安全監(jiān)控平臺(tái)和安全審計(jì)平臺(tái)，實(shí)現(xiàn)邊界防御、網(wǎng)絡(luò)監(jiān)控、主機(jī)監(jiān)控、應(yīng)用保護(hù)和桌面終端安全的全方位安全審計(jì)和安全監(jiān)管功能。9. 建立和完善安全管理機(jī)制和組織體系，建立健全信息安全應(yīng)急處理協(xié)調(diào)機(jī)制、安全通報(bào)機(jī)制和制度化專業(yè)化的檢查機(jī)制，提高對(duì)網(wǎng)絡(luò)安全事件應(yīng)對(duì)和防范能力。金保工程二期安全建設(shè)內(nèi)容部省兩級(jí)基礎(chǔ)安全防護(hù)、電子認(rèn)證體系、12行業(yè)等級(jí)保護(hù)現(xiàn)狀金保二期等級(jí)保護(hù)安全建設(shè)目標(biāo)：部級(jí)信息系統(tǒng)的信息安全等級(jí)保護(hù)符合度達(dá)到85%以上，省級(jí)達(dá)到80%以上，市級(jí)達(dá)到75%以上。全國已定級(jí)備案系統(tǒng)：988個(gè)，還未定級(jí)350個(gè)。系統(tǒng)定級(jí)情況：一級(jí)系統(tǒng)占比1.39%,二級(jí)系統(tǒng)占比43.01%,三級(jí)系統(tǒng)占比55.4%,四級(jí)系統(tǒng)占比0.2%整改系統(tǒng)情況：未整改645個(gè)，已整改693個(gè)。測評(píng)情況：未測評(píng)790個(gè)，已測評(píng)548。業(yè)務(wù)模式：省集中模式（青海、寧夏、內(nèi)蒙），其余省份的業(yè)務(wù)系統(tǒng)多數(shù)在市級(jí)。目前正在由市集中向省集中遷移。等級(jí)保護(hù)安全建設(shè)是人社行業(yè)最大的安全需求，資金來源于金保二期，市級(jí)等級(jí)保護(hù)建設(shè)需求大。行業(yè)等級(jí)保護(hù)現(xiàn)狀金保二期等級(jí)保護(hù)安全建設(shè)目標(biāo)：部級(jí)信息系統(tǒng)的13網(wǎng)絡(luò)架構(gòu)概述面向互聯(lián)網(wǎng)用戶的業(yè)務(wù)應(yīng)用，如網(wǎng)站、12333等；部、省、市各自建設(shè)，沒有互聯(lián)關(guān)系。安全部分按照等級(jí)保護(hù)標(biāo)準(zhǔn)建設(shè)，最高三級(jí)。人社行業(yè)主要業(yè)務(wù)區(qū)，數(shù)據(jù)生產(chǎn)匯集；部、省、市各自建設(shè)，部具備指導(dǎo)檢查權(quán)力，網(wǎng)絡(luò)互聯(lián)，最終全國數(shù)據(jù)匯集到部里。業(yè)務(wù)系統(tǒng)多數(shù)集中在地市中，目前正在進(jìn)行省集中，如內(nèi)蒙、青海等。安全部分按照等級(jí)保護(hù)標(biāo)準(zhǔn)建設(shè)，最高三級(jí)。接入電子政務(wù)外網(wǎng)。終端不允許上外網(wǎng)，業(yè)務(wù)數(shù)據(jù)通過網(wǎng)閘與公眾服務(wù)網(wǎng)交互。內(nèi)部業(yè)務(wù)系統(tǒng)，如OA等。部、省、市各自建設(shè)。FJBH，JM級(jí)。公眾服務(wù)網(wǎng)業(yè)務(wù)專網(wǎng)內(nèi)部辦公網(wǎng)網(wǎng)絡(luò)架構(gòu)概述面向互聯(lián)網(wǎng)用戶的業(yè)務(wù)應(yīng)用，如網(wǎng)站、12333等；14人社業(yè)務(wù)內(nèi)容人社業(yè)務(wù)內(nèi)容15PART/03建設(shè)設(shè)計(jì)360企業(yè)安全.民生行業(yè)

PART/03建設(shè)設(shè)計(jì)360企業(yè)安全.民生行業(yè)16部級(jí)網(wǎng)絡(luò)架構(gòu)兩地三中心雙活數(shù)據(jù)中心省生產(chǎn)中心、部生產(chǎn)中心間，利用電子政務(wù)外網(wǎng)人社專用MPLSVPN部署生產(chǎn)雙鏈路，承載生產(chǎn)業(yè)務(wù)流量、視頻流量，保證鏈路可靠性，并進(jìn)行負(fù)載分擔(dān)。在省同城災(zāi)備至部同城災(zāi)備中心間，部署災(zāi)備單鏈路，當(dāng)生產(chǎn)雙鏈路故障時(shí)（部生產(chǎn)中心發(fā)生災(zāi)難時(shí)），災(zāi)備單鏈路可承載災(zāi)備業(yè)務(wù)流量，提高省、部中心間連接的可靠性，保證業(yè)務(wù)流量不中斷。部同城災(zāi)備中心、異地災(zāi)備中心間，采用電子政務(wù)外網(wǎng)人社專用MPLS專線或電信運(yùn)營商專線連接，形成部級(jí)三中心環(huán)狀網(wǎng)絡(luò)，提高部級(jí)三中心互聯(lián)的可靠性。當(dāng)其中一條中斷時(shí)，災(zāi)備流量仍然可以正常運(yùn)行。部級(jí)網(wǎng)絡(luò)架構(gòu)兩地三中心雙活數(shù)據(jù)中心17部級(jí)業(yè)務(wù)專網(wǎng)與各省數(shù)據(jù)中心連接，自有業(yè)務(wù)專網(wǎng)，逐漸向電子政務(wù)外網(wǎng)轉(zhuǎn)移。接入層：具備4個(gè)接入?yún)^(qū)，業(yè)務(wù)專網(wǎng)接入?yún)^(qū)采用FW、IPS、WAF防護(hù)措施，其他采用FW、IPS。DMZ區(qū)：采用數(shù)據(jù)庫審計(jì)、網(wǎng)絡(luò)審計(jì)、入侵檢測系統(tǒng)?？v向DMZ與公眾服務(wù)網(wǎng)DMZ區(qū)采用網(wǎng)閘對(duì)接。核心交換區(qū)：部署防火墻、網(wǎng)絡(luò)審計(jì)、入侵檢測、數(shù)據(jù)庫審計(jì)等措施。與公眾服務(wù)網(wǎng)采用網(wǎng)閘對(duì)接。應(yīng)用層：具備安全管理區(qū)，NGSOC、防病毒、漏洞掃描、堡壘機(jī)、天眼、數(shù)據(jù)庫審計(jì)等系統(tǒng)。部級(jí)業(yè)務(wù)專網(wǎng)與各省數(shù)據(jù)中心連接，自有業(yè)務(wù)專網(wǎng)，逐漸向電子政務(wù)18部級(jí)公眾服務(wù)網(wǎng)接入層：公眾服務(wù)網(wǎng)接入?yún)^(qū)采用抗DDOS、FW、IPS防護(hù)措施。具備多個(gè)運(yùn)營商線路，采用負(fù)載均衡措施。DMZ區(qū)：采用網(wǎng)絡(luò)審計(jì)、入侵檢測系統(tǒng)。對(duì)外業(yè)務(wù)服務(wù)器部署WAF、網(wǎng)頁防篡改系統(tǒng)。公眾服務(wù)網(wǎng)DMZ區(qū)與業(yè)務(wù)專網(wǎng)縱向DMZ采用網(wǎng)閘對(duì)接。核心交換區(qū)：部署防火墻、網(wǎng)絡(luò)審計(jì)、入侵檢測、網(wǎng)絡(luò)數(shù)據(jù)包日志和安全取證系統(tǒng)等措施。與業(yè)務(wù)專網(wǎng)采用網(wǎng)閘對(duì)接。與二級(jí)單位采用防火墻隔離，內(nèi)部用戶區(qū)采用防病毒網(wǎng)關(guān)隔離。應(yīng)用層：具備安全管理區(qū)，NGSOC、防病毒、漏洞掃描、堡壘機(jī)、天眼、數(shù)據(jù)庫審計(jì)等系統(tǒng)。部級(jí)公眾服務(wù)網(wǎng)接入層：公眾服務(wù)網(wǎng)接入?yún)^(qū)采用抗DDOS、FW、19等級(jí)保護(hù)安全建設(shè)分析業(yè)務(wù)專網(wǎng)與公眾服務(wù)網(wǎng)均遵守等級(jí)保護(hù)建設(shè)要求，多數(shù)為等保三級(jí)系統(tǒng)（全國僅江蘇存在2個(gè)四級(jí)系統(tǒng)）。內(nèi)部辦公網(wǎng)采用FJBH標(biāo)準(zhǔn)，最高為JM級(jí)。等級(jí)保護(hù)建設(shè)涉及安全產(chǎn)品眾多，我司絕大部分產(chǎn)品均可覆蓋，全國各地均有各類產(chǎn)品案例?？赏ㄟ^代理商、與用戶直接交流等方式參與建設(shè)部級(jí)完成了NGSOC、天眼、天擎、EDR等新產(chǎn)品的建設(shè)。根據(jù)網(wǎng)絡(luò)安全法、等保2.0的要求，應(yīng)提升安全服務(wù)地位，建議直接與用戶交流，拿下安全服務(wù)，提升與用戶的交流粘度。專網(wǎng)天擎專網(wǎng)NGSOC部級(jí)案例標(biāo)準(zhǔn)執(zhí)行四大抓手等級(jí)保護(hù)安全建設(shè)分析業(yè)務(wù)專網(wǎng)與公眾服務(wù)網(wǎng)均遵守等級(jí)保護(hù)建設(shè)要20PART/

04建設(shè)及服務(wù)清單360企業(yè)安全.民生行業(yè)

PART/04建設(shè)及服務(wù)清單360企業(yè)安全.民生行業(yè)21等保合規(guī)–解決方案安全運(yùn)維網(wǎng)絡(luò)技術(shù)要求物理安全網(wǎng)絡(luò)與通信安全設(shè)備和計(jì)算安全應(yīng)用和數(shù)據(jù)安全機(jī)構(gòu)人員數(shù)據(jù)安全應(yīng)用安全操作系統(tǒng)虛擬化NGFWAntiDDoS虛擬化安全天擎NACWAF網(wǎng)頁防篡改鷹眼VPNDB審計(jì)等保咨詢物理環(huán)境CCTV門禁漏掃管理要求機(jī)構(gòu)人員建設(shè)管理等保集成滲透測試建設(shè)管理SNINGSOC安全運(yùn)維堡壘機(jī)等級(jí)保護(hù)安全架構(gòu)策略制度等保咨詢策略制度360ID應(yīng)急響應(yīng)駐場保障DLP安全培訓(xùn)ICGIPS天眼防病毒墻防火防水電力保障機(jī)房抗震日志審計(jì)LAS電磁防護(hù)基礎(chǔ)環(huán)境評(píng)估注：物理安全由等保防護(hù)對(duì)象或電信基礎(chǔ)設(shè)施運(yùn)營商提供網(wǎng)閘天巡漏掃代碼衛(wèi)士SMAC等保二級(jí)要求等保三級(jí)增加要求CA應(yīng)用改造郵件網(wǎng)關(guān)容災(zāi)備份等保二級(jí)要求等保三級(jí)增加要求第三方設(shè)備：360自有設(shè)備：等保合規(guī)–解決方案安全運(yùn)維網(wǎng)絡(luò)技術(shù)要求物理安全網(wǎng)絡(luò)與通信22行業(yè)風(fēng)險(xiǎn)點(diǎn)(一)業(yè)務(wù)專網(wǎng)與互聯(lián)網(wǎng)安全隔離不充分(二)辦公區(qū)域覆蓋無線網(wǎng)絡(luò)，且未采取無線安全控制措施。(三)服務(wù)器存在高風(fēng)險(xiǎn)漏洞，可被遠(yuǎn)程控制利用。(四)應(yīng)用系統(tǒng)存在安全漏洞，可能造成數(shù)據(jù)泄露。(五)數(shù)據(jù)的共享和交換存在安全隱患。(六)計(jì)算機(jī)終端的日常安全管理需進(jìn)一步加強(qiáng)。(七)風(fēng)險(xiǎn)評(píng)估機(jī)制未建立，安全服務(wù)未定期開展。(八)系統(tǒng)運(yùn)維嚴(yán)重依賴外包服務(wù)單位，且缺少內(nèi)控機(jī)制。(九)日常安全管理執(zhí)行力度不夠，未定期開展安全檢查和監(jiān)管。(十)安全管理制度尚不健全。檢查手段：天擎非法外聯(lián)實(shí)施手段：網(wǎng)閘檢查手段：天擎運(yùn)維管理模塊、天巡實(shí)施手段：天擎、天巡檢查手段：網(wǎng)站云監(jiān)測、漏掃、補(bǔ)天漏洞感知實(shí)施手段：安域、WAF、眾測檢查手段：風(fēng)險(xiǎn)評(píng)估、滲透測試、眾測實(shí)施手段：安全制度、安全運(yùn)維、安全服務(wù)檢查手段：天擎數(shù)據(jù)價(jià)值評(píng)估、EDA實(shí)施手段：DLP、安全U盤人社部發(fā)文安全風(fēng)險(xiǎn)提示行業(yè)風(fēng)險(xiǎn)點(diǎn)(一)業(yè)務(wù)專網(wǎng)與互聯(lián)網(wǎng)安全隔離不充分檢查手段：天擎23網(wǎng)絡(luò)和通信安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能網(wǎng)絡(luò)架構(gòu)a)

應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要；1、防火墻、網(wǎng)閘隔離安全域2、防火墻、網(wǎng)閘、行為管理、WAF、抗DDOS和堡壘機(jī)具備HA功能b)

應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高峰期需要；c)

應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址；d)

應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在網(wǎng)絡(luò)邊界處且沒有邊界防護(hù)措施；e)

應(yīng)提供通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備的硬件冗余，保證系統(tǒng)的可用性。通信傳輸a)

應(yīng)采用校驗(yàn)碼技術(shù)或加解密技術(shù)保證通信過程中數(shù)據(jù)的完整性；防火墻和網(wǎng)閘均可滿足b)

應(yīng)采用加解密技術(shù)保證通信過程中敏感信息字段或整個(gè)報(bào)文的保密性。邊界防護(hù)a)

應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界防護(hù)設(shè)備提供的受控接口進(jìn)行通信；防火墻和網(wǎng)閘提供訪問控制和身份認(rèn)證b)

應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行限制或檢查；c)

應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行限制或檢查；行為管理具備防私接能力d)

應(yīng)限制無線網(wǎng)絡(luò)的使用，確保無線網(wǎng)絡(luò)通過受控的邊界防護(hù)設(shè)備接入內(nèi)部網(wǎng)絡(luò)。天巡網(wǎng)絡(luò)和通信安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能網(wǎng)絡(luò)網(wǎng)絡(luò)和通信安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能訪問控制a)

應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認(rèn)情況下除允許通信外受控接口拒絕所有通信；防火墻、網(wǎng)閘b)

應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化；c)

應(yīng)對(duì)源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出；d)

應(yīng)能根據(jù)會(huì)話狀態(tài)信息為進(jìn)出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級(jí)；e)

應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對(duì)內(nèi)容的訪問控制。入侵防范a)

應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為；1、防火墻和IPS的入侵防御2、天眼的威脅檢測b)

應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測和限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為；c)

應(yīng)采取技術(shù)措施對(duì)網(wǎng)絡(luò)行為進(jìn)行分析，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)攻擊特別是未知的新型網(wǎng)絡(luò)攻擊的檢測和分析；d)

當(dāng)檢測到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警。惡意代碼防范a)

應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處對(duì)惡意代碼進(jìn)行檢測和清除，并維護(hù)惡意代碼防護(hù)機(jī)制的升級(jí)和更新；防火墻和網(wǎng)閘的病毒防護(hù)功能b)

應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處對(duì)垃圾郵件進(jìn)行檢測和防護(hù)，并維護(hù)垃圾郵件防護(hù)機(jī)制的升級(jí)和更新。網(wǎng)絡(luò)和通信安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能訪問網(wǎng)絡(luò)和通信安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能安全審計(jì)a)

應(yīng)在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行安全審計(jì)，審計(jì)覆蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全事件進(jìn)行審計(jì)；1、防火墻、網(wǎng)閘、行為管理、抗DDOS、WAF等產(chǎn)品2、數(shù)據(jù)庫審計(jì)系統(tǒng)、堡壘機(jī)、SNI、LAS等產(chǎn)品b)

審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；c)

應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；d)

審計(jì)記錄產(chǎn)生時(shí)的時(shí)間應(yīng)由系統(tǒng)范圍內(nèi)唯一確定的時(shí)鐘產(chǎn)生，以確保審計(jì)分析的正確性；e)

應(yīng)能對(duì)遠(yuǎn)程訪問的用戶行為、訪問互聯(lián)網(wǎng)的用戶行為等單獨(dú)進(jìn)行行為審計(jì)和數(shù)據(jù)分析。集中管控a)

應(yīng)劃分出特定的管理區(qū)域，對(duì)分布在網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管控；1、防火墻通過SMAC做集中管控2、網(wǎng)閘可集中監(jiān)控3、SNI支持ssh網(wǎng)絡(luò)管理防火墻和網(wǎng)閘的病毒防護(hù)功能b)

應(yīng)能夠建立一條安全的信息傳輸路徑，對(duì)網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管理；c)

應(yīng)對(duì)網(wǎng)絡(luò)鏈路、安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等的運(yùn)行狀況進(jìn)行集中監(jiān)測；d)

應(yīng)對(duì)分散在各個(gè)設(shè)備上的審計(jì)數(shù)據(jù)進(jìn)行收集匯總和集中分析；e)

應(yīng)對(duì)安全策略、惡意代碼、補(bǔ)丁升級(jí)等安全相關(guān)事項(xiàng)進(jìn)行集中管理；f)

應(yīng)能對(duì)網(wǎng)絡(luò)中發(fā)生的各類安全事件進(jìn)行識(shí)別、報(bào)警和分析。網(wǎng)絡(luò)和通信安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能安全設(shè)備和計(jì)算安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能身份鑒別a)

應(yīng)對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；防火墻、網(wǎng)閘、行為管理、數(shù)據(jù)庫審計(jì)系統(tǒng)、堡壘機(jī)和天擎、360IDb)

應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時(shí)自動(dòng)退出等相關(guān)措施；c)

當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；d)

應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對(duì)用戶進(jìn)行身份鑒別。訪問控制a)

應(yīng)對(duì)登錄的用戶分配賬號(hào)和權(quán)限；1、防火墻、網(wǎng)閘、數(shù)據(jù)庫審計(jì)系統(tǒng)、堡壘機(jī)和天擎的功能完整2、行為管理、WAF、抗DDOS和漏掃支持用戶權(quán)限管理和三權(quán)分立b)

應(yīng)重命名默認(rèn)賬號(hào)或修改默認(rèn)口令；c)

應(yīng)及時(shí)刪除或停用多余的、過期的賬號(hào)，避免共享賬號(hào)的存在；d)

應(yīng)授予管理用戶所需的最小權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離；e)

應(yīng)由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對(duì)客體的訪問規(guī)則；f)

訪問控制的粒度應(yīng)達(dá)到主體為用戶級(jí)或進(jìn)程級(jí)，客體為文件、數(shù)據(jù)庫表級(jí)；g)

應(yīng)對(duì)敏感信息資源設(shè)置安全標(biāo)記，并控制主體對(duì)有安全標(biāo)記信息資源的訪問。設(shè)備和計(jì)算安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能身份安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能安全審計(jì)a)

應(yīng)啟用安全審計(jì)功能，審計(jì)覆蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全事件進(jìn)行審計(jì)；數(shù)據(jù)庫審計(jì)、堡壘機(jī)、天擎、行為管理、LAS和SNIb)

審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；c)

應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；d)

應(yīng)對(duì)審計(jì)進(jìn)程進(jìn)行保護(hù)，防止未經(jīng)授權(quán)的中斷；e)審計(jì)記錄產(chǎn)生時(shí)的時(shí)間應(yīng)由系統(tǒng)范圍內(nèi)唯一確定的時(shí)鐘產(chǎn)生，以確保審計(jì)分析的正確性入侵防范a)

應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序。1、天擎的準(zhǔn)入、綁定、漏洞管理等功能滿足2、WAF和抗DDOS可以抵御對(duì)應(yīng)的WEB攻擊和DDOS攻擊b)

應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口；c)

應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對(duì)通過網(wǎng)絡(luò)進(jìn)行管理的管理終端進(jìn)行限制；d)

應(yīng)能發(fā)現(xiàn)可能存在的漏洞，并在經(jīng)過充分測試評(píng)估后，及時(shí)修補(bǔ)漏洞；e)

應(yīng)能夠檢測到對(duì)重要節(jié)點(diǎn)進(jìn)行入侵的行為，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警。惡意代碼防范應(yīng)采用免受惡意代碼攻擊的技術(shù)措施或采用可信計(jì)算技術(shù)建立從系統(tǒng)到應(yīng)用的信任鏈，實(shí)現(xiàn)系統(tǒng)運(yùn)行過程中重要程序或文件完整性檢測，并在檢測到破壞后進(jìn)行恢復(fù)。天擎的殺毒功能設(shè)備和計(jì)算安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能安全審計(jì)a)

安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能資源控制a)

應(yīng)限制單個(gè)用戶或進(jìn)程對(duì)系統(tǒng)資源的最大使用限度；行為管理、抗DDOS、WAF、堡壘機(jī)和天擎b)

應(yīng)提供重要節(jié)點(diǎn)設(shè)備的硬件冗余，保證系統(tǒng)的可用性；c)

應(yīng)對(duì)重要節(jié)點(diǎn)進(jìn)行監(jiān)視，包括監(jiān)視CPU、硬盤、內(nèi)存等資源的使用情況；d)

應(yīng)能夠?qū)χ匾?jié)點(diǎn)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警。設(shè)備和計(jì)算安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能資源控制a)

應(yīng)用和數(shù)據(jù)安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能身份鑒別a)

應(yīng)對(duì)登錄的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，身份標(biāo)識(shí)具有唯一性，鑒別信息具有復(fù)雜度要求并定期更換；數(shù)據(jù)庫審計(jì)和堡壘機(jī)的用戶管理及認(rèn)證管理功能b)

應(yīng)提供并啟用登錄失敗處理功能，多次登錄失敗后應(yīng)采取必要的保護(hù)措施；c)

應(yīng)強(qiáng)制用戶首次登錄時(shí)修改初始口令；d)

用戶身份鑒別信息丟失或失效時(shí)，應(yīng)采用鑒別信息重置或其他技術(shù)措施保證系統(tǒng)安全；訪問控制a)

應(yīng)提供訪問控制功能，對(duì)登錄的用戶分配賬號(hào)和權(quán)限；網(wǎng)閘、數(shù)據(jù)庫審計(jì)和堡壘機(jī)b)

應(yīng)重命名默認(rèn)賬號(hào)或修改這些賬號(hào)的默認(rèn)口令；c)

應(yīng)及時(shí)刪除或停用多余的、過期的賬號(hào)，避免共享賬號(hào)的存在；d)

應(yīng)授予不同賬號(hào)為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系；e)

應(yīng)由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對(duì)客體的訪問規(guī)則；f)

訪問控制的粒度應(yīng)達(dá)到主體為用戶級(jí)，客體為文件、數(shù)據(jù)庫表級(jí)、記錄或字段級(jí)；g)

應(yīng)對(duì)敏感信息資源設(shè)置安全標(biāo)記，并控制主體對(duì)有安全標(biāo)記信息資源的訪問。應(yīng)用和數(shù)據(jù)安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能身份應(yīng)用和數(shù)據(jù)安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能安全審計(jì)a)

應(yīng)提供安全審計(jì)功能，審計(jì)覆蓋到每個(gè)用戶，對(duì)重要的用戶行為和重要安全事件進(jìn)行審計(jì)；數(shù)據(jù)庫審計(jì)、堡壘機(jī)、網(wǎng)閘、LAS和SNIb)

審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；c)

應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；d)

應(yīng)對(duì)審計(jì)進(jìn)程進(jìn)行保護(hù)，防止未經(jīng)授權(quán)的中斷；e)

審計(jì)記錄產(chǎn)生時(shí)的時(shí)間應(yīng)由系統(tǒng)范圍內(nèi)唯一確定的時(shí)鐘產(chǎn)生，以確保審計(jì)分析的正確性。軟件容錯(cuò)a)

應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求；1、數(shù)據(jù)庫審計(jì)、堡壘機(jī)的內(nèi)置系統(tǒng)機(jī)制2、WAF的系統(tǒng)回滾功能b)

在故障發(fā)生時(shí)，應(yīng)能夠繼續(xù)提供一部分功能，確保能夠?qū)嵤┍匾拇胧籧)

應(yīng)提供自動(dòng)保護(hù)功能，當(dāng)故障發(fā)生時(shí)自動(dòng)保護(hù)當(dāng)前所有狀態(tài)，保證系統(tǒng)能夠進(jìn)行恢復(fù)。資源控制b)

應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制；數(shù)據(jù)庫審計(jì)、堡壘機(jī)的許可限制數(shù)據(jù)完整性a)應(yīng)采用校驗(yàn)碼技術(shù)或加解密技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性；VPNb)應(yīng)采用校驗(yàn)碼技術(shù)或加解密技術(shù)保證重要數(shù)據(jù)在存儲(chǔ)過程中的完整性。數(shù)據(jù)保密性a)

應(yīng)采用加解密技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性；b)

應(yīng)采用加解密技術(shù)保證重要數(shù)據(jù)在存儲(chǔ)過程中的保密性。應(yīng)用和數(shù)據(jù)安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能安全應(yīng)用和數(shù)據(jù)安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能數(shù)據(jù)備份恢復(fù)a)

應(yīng)提供重要數(shù)據(jù)的本地?cái)?shù)據(jù)備份與恢復(fù)功能；1、數(shù)據(jù)庫審計(jì)、堡壘機(jī)的數(shù)據(jù)備份機(jī)制2、WAF和防篡改軟件的網(wǎng)頁數(shù)據(jù)還原功能b)

應(yīng)提供異地實(shí)時(shí)備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實(shí)時(shí)備份至備份場地；c)

應(yīng)提供重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性。剩余信息保護(hù)a)

應(yīng)保證鑒別信息所在的存儲(chǔ)空間被釋放或重新分配前得到完全清除；須安服介入b)

應(yīng)保證存有敏感數(shù)據(jù)的存儲(chǔ)空間被釋放或重新分配前得到完全清除。個(gè)人信息保護(hù)a)

應(yīng)僅采集和保存業(yè)務(wù)必需的用戶個(gè)人信息；數(shù)據(jù)庫審計(jì)、堡壘機(jī)可合規(guī)審計(jì)b)

應(yīng)禁止未授權(quán)訪問和使用用戶個(gè)人信息。應(yīng)用和數(shù)據(jù)安全安全要求分類安全要求細(xì)則主要應(yīng)對(duì)產(chǎn)品及功能數(shù)據(jù)安全服務(wù)產(chǎn)品名稱產(chǎn)品描述產(chǎn)品形態(tài)滿足的等保控制域等級(jí)保護(hù)咨詢1、定級(jí)咨詢；2、差距評(píng)估；3、方案設(shè)計(jì)；4、協(xié)助測評(píng)服務(wù)一次性安全管理機(jī)構(gòu)和人員安全策略和管理制度等級(jí)保護(hù)建設(shè)集成1、安全技術(shù)體系設(shè)計(jì)；2、安全管理體系設(shè)計(jì)；3、安全產(chǎn)品集成實(shí)施；4、風(fēng)險(xiǎn)評(píng)估；5、安全加固服務(wù)一次性安全建設(shè)管理滲透測試采用人工或眾測的方式進(jìn)行滲透測試服務(wù)。服務(wù)一次性安全策略和管理制度安全運(yùn)維管理代碼審計(jì)對(duì)業(yè)務(wù)代碼進(jìn)行安全審計(jì)。服務(wù)一次性安全運(yùn)維管理基礎(chǔ)環(huán)境評(píng)估1，漏洞掃描2，對(duì)操作系統(tǒng)、數(shù)據(jù)庫、中間件、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備、網(wǎng)絡(luò)邊界進(jìn)行配置核查一次性，人工服務(wù)安全建設(shè)管理應(yīng)急響應(yīng)在用戶發(fā)生確切的安全事件時(shí)，應(yīng)急響應(yīng)實(shí)施人員及時(shí)采取行動(dòng)限制事件擴(kuò)散和影響的范圍，限制潛在的損失與破壞服務(wù)一次性安全運(yùn)維管理駐場安全保障服務(wù)安全策略優(yōu)化，定期風(fēng)險(xiǎn)評(píng)估，安全監(jiān)控服務(wù)年付安全運(yùn)維管理機(jī)構(gòu)和人員管理業(yè)務(wù)安全技能培訓(xùn)培訓(xùn)內(nèi)容從攻擊者、防御者、管理者等多角度對(duì)企業(yè)安全進(jìn)行深入淺出的解一次學(xué)員不超過10人安全管理機(jī)構(gòu)和人員安全服務(wù)產(chǎn)品名稱產(chǎn)品描述產(chǎn)品形態(tài)滿足的等?？刂朴虻燃?jí)保護(hù)咨詢PART/

05等級(jí)保護(hù)建設(shè)優(yōu)勢360企業(yè)安全.民生行業(yè)

PART/05等級(jí)保護(hù)建設(shè)優(yōu)勢360企業(yè)安全.民生行業(yè)341安全風(fēng)險(xiǎn)評(píng)估3安全運(yùn)維2等保咨詢4應(yīng)急響應(yīng)5安全架構(gòu)設(shè)計(jì)安全集成一站式新等保三級(jí)解決方案優(yōu)勢1--產(chǎn)品覆蓋最全1安全風(fēng)險(xiǎn)評(píng)估3安全運(yùn)維2等保咨詢4應(yīng)急響應(yīng)5安全架構(gòu)設(shè)計(jì)一優(yōu)勢2--公司資質(zhì)最全序號(hào)資質(zhì)名稱網(wǎng)神啟明星辰綠盟科技天融信深信服華為東軟藍(lán)盾北信源亞信安恒阿里云認(rèn)定認(rèn)可類1計(jì)算機(jī)信息系統(tǒng)集成企業(yè)資質(zhì)（大型一級(jí)為最高級(jí)）二級(jí)二級(jí)二級(jí)二級(jí)×一級(jí)一級(jí)一級(jí)××二級(jí)×2商用密碼產(chǎn)品銷售許可證√√√√√√√×√×××3商用密碼產(chǎn)品生產(chǎn)定點(diǎn)單位證書√√√√××××√×××4納稅信用A級(jí)企業(yè)√√√√√√√√√√√√5ISO9001:2008質(zhì)量管理體系(包含網(wǎng)神科技)√√√√√√√√√×√×6ISO20000:2011信息技術(shù)服務(wù)管理體系√××√×√√√×√×√7ISO27001:2005