信息系統(tǒng)安全等級(jí)保護(hù)基本要求

1、藍(lán)色部分是操作系統(tǒng)安全等級(jí)劃分，紅色部分是四 級(jí)操作系統(tǒng)關(guān)于網(wǎng)絡(luò)部分的要求:） 信息系統(tǒng)安全等級(jí)保護(hù)基本要求 中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)GB/T 22239-2008 引言 依據(jù)中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例（國(guó)務(wù)院147號(hào)令）、國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于 加強(qiáng)信息安全保障工作的意見（中辦發(fā)200327號(hào)）、關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見（公通字 200466號(hào)）和信息安全等級(jí)保護(hù)管理辦法（公通字200743號(hào)），制定本標(biāo)準(zhǔn)。b5E2RGbCAP 本標(biāo)準(zhǔn)是信息安全等級(jí)保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一。 與本標(biāo)準(zhǔn)相關(guān)的系列標(biāo)準(zhǔn)包括： GB/T AAAA-AAAA 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)

2、指南； GB/T CCCC-CCCC 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南。 本標(biāo)準(zhǔn)與 GB17859-1999、GB/T 20269-2006、GB/T 20270-2006、GB/T 20271-2006 等標(biāo)準(zhǔn)共同構(gòu)成 了信息系統(tǒng)安全等級(jí)保護(hù)的相關(guān)配套標(biāo)準(zhǔn)。其中GB17859-1999是基礎(chǔ)性標(biāo)準(zhǔn)，本標(biāo)準(zhǔn)、 GB/T20269-2006、 GB/T20270-2006、GB/T20271-2006 等是在 GB17859-1999 基礎(chǔ)上的進(jìn)一步細(xì)化和擴(kuò)展。 p1EanqFDPw 本標(biāo)準(zhǔn)在 GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/

3、T20271-2006 等技術(shù)類標(biāo)準(zhǔn)的基礎(chǔ) 上,根據(jù)現(xiàn)有技術(shù)的發(fā)展水平，提岀和規(guī)定了不同安全保護(hù)等級(jí)信息系統(tǒng)的最低保護(hù)要求，即基本安全要求，基 本安全要求包括基本技術(shù)要求和基本管理要求，本標(biāo)準(zhǔn)適用于指導(dǎo)不同安全保護(hù)等級(jí)信息系統(tǒng)的安全建設(shè)和監(jiān)督 管理。DXDiTa9E3d 在本標(biāo)準(zhǔn)文本中，黑體字表示較低等級(jí)中沒有岀現(xiàn)或增強(qiáng)的要求。 信息系統(tǒng)安全等級(jí)保護(hù)基本要求 1 范圍 本標(biāo)準(zhǔn)規(guī)定了不同安全保護(hù)等級(jí)信息系統(tǒng)的基本保護(hù)要求，包括基本技術(shù)要求和基本管理要求，適用于指導(dǎo) 分等級(jí)的信息系統(tǒng)的安全建設(shè)和監(jiān)督管理。RTCrpUDGiT 2 規(guī)范性引用文件 下列文件中的條款通過在本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款

4、。凡是注日期的引用文件，其隨后所有的修改單 （不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵(lì)根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否使用這些文 件的最新版本。凡是不注明日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。5PCzVD7HxA GB/T 5271.8 信息技術(shù) 詞匯第8部分：安全 GB17859-1999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則 GB/T AAAA-AAAA 信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南 3 術(shù)語和定義 GB/T 5271.8和GB 17859-1999 確立的以及下列術(shù)語和定義適用于本標(biāo)準(zhǔn)。 3.1 安全保護(hù)能力 security protection abilit

5、y 系統(tǒng)能夠抵御威脅、發(fā)現(xiàn)安全事件以及在系統(tǒng)遭到損害后能夠恢復(fù)先前狀態(tài)等的程度。 4 信息系統(tǒng)安全等級(jí)保護(hù)概述 4.1 信息系統(tǒng)安全保護(hù)等級(jí) 信息系統(tǒng)根據(jù)其在國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，遭到破壞后對(duì)國(guó)家安全、社會(huì)秩序、公共 利益以及公民、法人和其他組織的合法權(quán)益的危害程度等，由低到高劃分為五級(jí)，五級(jí)定義見GB/T AAAA-AAAA 。 jLBHrnAlLg 4.2 不同等級(jí)的安全保護(hù)能力 不同等級(jí)的信息系統(tǒng)應(yīng)具備的基本安全保護(hù)能力如下： 第一級(jí)安全保護(hù)能力：應(yīng)能夠防護(hù)系統(tǒng)免受來自個(gè)人的、擁有很少資源的威脅源發(fā)起的惡意攻擊、一般的自 然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的關(guān)鍵

6、資源損害，在系統(tǒng)遭到損害后，能夠恢復(fù)部分功能。 XHAQX74J0X 第二級(jí)安全保護(hù)能力：應(yīng)能夠防護(hù)系統(tǒng)免受來自外部小型組織的、擁有少量資源的威脅源發(fā)起的惡意攻擊、 一般的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的重要資源損害，能夠發(fā)現(xiàn)重要的安全漏洞和安全事件， 在系統(tǒng)遭到損害后，能夠在一段時(shí)間內(nèi)恢復(fù)部分功能。LDAYtRyKfE 第三級(jí)安全保護(hù)能力：應(yīng)能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來自外部有組織的團(tuán)體、擁有較為豐富資源的 威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的主要資源損害，能夠發(fā)現(xiàn) 安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大部分功能。Zz

7、z6ZB2Ltk 第四級(jí)安全保護(hù)能力： 應(yīng)能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來自國(guó)家級(jí)別的、敵對(duì)組織的、擁有豐富資源 的威脅源發(fā)起的惡意攻擊、嚴(yán)重的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的資源損害，能夠發(fā)現(xiàn)安全漏 洞和安全事件，在系統(tǒng)遭到損害后，能夠迅速恢復(fù)所有功能。dvzfvkwMI1 第五級(jí)安全保護(hù)能力：（略）。 4.3 基本技術(shù)要求和基本管理要求 信息系統(tǒng)安全等級(jí)保護(hù)應(yīng)依據(jù)信息系統(tǒng)的安全保護(hù)等級(jí)情況保證它們具有相應(yīng)等級(jí)的基本安全保護(hù)能力，不 同安全保護(hù)等級(jí)的信息系統(tǒng)要求具有不同的安全保護(hù)能力。rqyn14ZNXI 基本安全要求是針對(duì)不同安全保護(hù)等級(jí)信息系統(tǒng)應(yīng)該具有的基本安全保護(hù)能力提岀

8、的安全要求，根據(jù)實(shí)現(xiàn) 方式的不同，基本安全要求分為基本技術(shù)要求和基本管理要求兩大類。技術(shù)類安全要求與信息系統(tǒng)提供的技術(shù) 安全機(jī)制有關(guān)，主要通過在信息系統(tǒng)中部署軟硬件并正確的配置其安全功能來實(shí)現(xiàn)；管理類安全要求與信息系統(tǒng) 中各種角色參與的活動(dòng)有關(guān)，主要通過控制各種角色的活動(dòng)，從政策、制度、規(guī)范、流程以及記錄等方面做岀 規(guī)定來實(shí)現(xiàn)。EmxvxOtOco 基本技術(shù)要求從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全幾個(gè)層面提出； 基本管理要求從安全 管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理幾個(gè)方面提岀，基本技術(shù)要求和基本管 理要求是確保信息系統(tǒng)安全不可分割的兩個(gè)部分。Six

9、E2yXPq5 基本安全要求從各個(gè)層面或方面提岀了系統(tǒng)的每個(gè)組件應(yīng)該滿足的安全要求，信息系統(tǒng)具有的整體安全保 護(hù)能力通過不同組件實(shí)現(xiàn)基本安全要求來保證。除了保證系統(tǒng)的每個(gè)組件滿足基本安全要求外，還要考慮組件 之間的相互關(guān)系，來保證信息系統(tǒng)的整體安全保護(hù)能力。關(guān)于信息系統(tǒng)整體安全保護(hù)能力的說明見附錄Ao 6ewMyirQFL 對(duì)于涉及國(guó)家秘密的信息系統(tǒng)，應(yīng)按照國(guó)家保密工作部門的相關(guān)規(guī)定和標(biāo)準(zhǔn)進(jìn)行保護(hù)。對(duì)于涉及密碼的使用 和管理，應(yīng)按照國(guó)家密碼管理的相關(guān)規(guī)定和標(biāo)準(zhǔn)實(shí)施。kavU42VRUs 4.4 基本技術(shù)要求的三種類型 根據(jù)保護(hù)側(cè)重點(diǎn)的不同，技術(shù)類安全要求進(jìn)一步細(xì)分為：保護(hù)數(shù)據(jù)在存儲(chǔ)、傳輸、處理

10、過程中不被泄漏、破 壞和免受未授權(quán)的修改的信息安全類要求（簡(jiǎn)記為S）;保護(hù)系統(tǒng)連續(xù)正常的運(yùn)行，免受對(duì)系統(tǒng)的未授權(quán)修改、 破壞而導(dǎo)致系統(tǒng)不可用的服務(wù)保證類要求（簡(jiǎn)記為A）;通用安全保護(hù)類要求（簡(jiǎn)記為G）o y6v3ALoS89 本標(biāo)準(zhǔn)中對(duì)基本安全要求使用了標(biāo)記，其中的字母表示安全要求的類型，數(shù)字表示適用的安全保護(hù)等級(jí)。關(guān) 于各類安全要求的選擇和使用見附錄B。M2ub6vSTnP 5 第一級(jí)基本要求 5.1 技術(shù)要求 5.1.1 物理安全 5.1.1.1 物理訪問控制（G1） 機(jī)房岀入應(yīng)安排專人負(fù)責(zé)，控制、鑒別和記錄進(jìn)入的人員。 5.1.1.2 防盜竊和防破壞（G1 ） 本項(xiàng)要求包括： a）應(yīng)將主

11、要設(shè)備放置在機(jī)房?jī)?nèi)； b）應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記。 5.1.1.3 防雷擊（G1） 機(jī)房建筑應(yīng)設(shè)置避雷裝置。 5.1.1.4 防火（G1 ） 機(jī)房應(yīng)設(shè)置滅火設(shè)備。 5.1.1.5 防水和防潮（G1 ） 本項(xiàng)要求包括： a）應(yīng)對(duì)穿過機(jī)房墻壁和樓板的水管增加必要的保護(hù)措施； b）應(yīng)采取措施防止雨水通過機(jī)房窗戶、屋頂和墻壁滲透。 5.1.1.6 溫濕度控制（G1） 機(jī)房應(yīng)設(shè)置必要的溫、濕度控制設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。 5.1.1.7 電力供應(yīng)（A1） 應(yīng)在機(jī)房供電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備。 5.1.2 網(wǎng)絡(luò)安全 5.1.2.1 結(jié)

12、構(gòu)安全（G1 ） 本項(xiàng)要求包括： a）應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足基本業(yè)務(wù)需要； b）應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足基本業(yè)務(wù)需要； c）應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖。 5.1.2.2 訪問控制（G1 ） 本項(xiàng)要求包括： a）應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能； b）應(yīng)根據(jù)訪問控制列表對(duì)源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包 出入；OYujCfmUCw c）應(yīng)通過訪問控制列表對(duì)系統(tǒng)資源實(shí)現(xiàn)允許或拒絕用戶訪問，控制粒度至少為用戶組。 5.1.2.3 網(wǎng)絡(luò)設(shè)備防護(hù)（G1） 本項(xiàng)要求包括： a）應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別； b

13、）應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退岀等措施； eUts8ZQVRd c）當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。 5.1.3 主機(jī)安全 5.1.3.1 身份鑒別（S1） 應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別。 5.132 訪問控制（S1） 本項(xiàng)要求包括： a）應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問； b）應(yīng)限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令； c）應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在。 5.133 入侵防范（G1） 操作系統(tǒng)應(yīng)遵循最小

14、安裝的原則，僅安裝需要的組件和應(yīng)用程序，并保持系統(tǒng)補(bǔ)丁及時(shí)得到更新。 5.1.3.4 惡意代碼防范（G1） 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫。 5.1.4 應(yīng)用安全 5.141 身份鑒別（S1） 本項(xiàng)要求包括： a）應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別； b）應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退岀等措施； c）應(yīng)啟用身份鑒別和登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。 5.1.4.2 訪問控制（S1） 本項(xiàng)要求包括： a）應(yīng)提供訪問控制功能控制用戶組/用戶對(duì)系統(tǒng)功能和用戶數(shù)據(jù)的訪問； b）應(yīng)由授權(quán)主體配置訪問控制策略

15、，并嚴(yán)格限制默認(rèn)用戶的訪問權(quán)限。 5.1.4.3 通信完整性（S1 ） 應(yīng)采用約定通信會(huì)話方式的方法保證通信過程中數(shù)據(jù)的完整性。 5.1.4.4 軟件容錯(cuò)（A1） 應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長(zhǎng)度符合系統(tǒng)設(shè)定要 求。 5.1.5數(shù)據(jù)安全及備份恢復(fù) 5.1.5.1 數(shù)據(jù)完整性（S1 ） 應(yīng)能夠檢測(cè)到重要用戶數(shù)據(jù)在傳輸過程中完整性受到破壞。 5.1.5.2 備份和恢復(fù)（A1 ） 應(yīng)能夠?qū)χ匾畔⑦M(jìn)行備份和恢復(fù)。 5.2 管理要求 5.2.1 安全管理制度 5.2.1.1 管理制度（G1 ） 應(yīng)建立日常管理活動(dòng)中常用的安全管理制度。 5.2.1.2 制

16、定和發(fā)布（G1 ） 本項(xiàng)要求包括： a）應(yīng)指定或授權(quán)專門的人員負(fù)責(zé)安全管理制度的制定； b）應(yīng)將安全管理制度以某種方式發(fā)布到相關(guān)人員手中。 5.2.2 安全管理機(jī)構(gòu) 5.2.2.1 崗位設(shè)置（G1） 應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個(gè)工作崗位的職責(zé)。 5.2.2.2 人員配備（G1 ） 應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。 5.2.2.3 授權(quán)和審批 （G1 ） 應(yīng)根據(jù)各個(gè)部門和崗位的職責(zé)明確授權(quán)審批部門及批準(zhǔn)人，對(duì)系統(tǒng)投入運(yùn)行、網(wǎng)絡(luò)系統(tǒng)接入和重要資源的訪 問等關(guān)鍵活動(dòng)進(jìn)行審批。sQsAEJkW5T 522.4 溝通和合作 （G1） 應(yīng)加強(qiáng)與兄弟單位、

17、公安機(jī)關(guān)、電信公司的合作與溝通。 5.2.3 人員安全管理 5.2.3.1 人員錄用（G1） 本項(xiàng)要求包括： a）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)人員錄用； b）應(yīng)對(duì)被錄用人員的身份和專業(yè)資格等進(jìn)行審查，并確保其具有基本的專業(yè)技術(shù)水平和安全管理知識(shí)。 5.2.3.2 人員離崗（G1） 本項(xiàng)要求包括： a）應(yīng)立即終止由于各種原因離崗員工的所有訪問權(quán)限； b）應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備。 523.3 安全意識(shí)教育和培訓(xùn)（G1） 本項(xiàng)要求包括： a）應(yīng)對(duì)各類人員進(jìn)行安全意識(shí)教育和崗位技能培訓(xùn)； b）應(yīng)告知人員相關(guān)的安全責(zé)任和懲戒措施。 5.2.3.4 外部人員訪問管理

18、（G1） 應(yīng)確保在外部人員訪問受控區(qū)域前得到授權(quán)或?qū)徟?5.2.4 系統(tǒng)建設(shè)管理 5.2.4.1 系統(tǒng)定級(jí)（G1） 本項(xiàng)要求包括： a）應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級(jí)； b）應(yīng)以書面的形式說明信息系統(tǒng)確定為某個(gè)安全保護(hù)等級(jí)的方法和理由； c）應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過相關(guān)部門的批準(zhǔn)。 5.2.4.2 安全方案設(shè)計(jì) （G1） 本項(xiàng)要求包括： a）應(yīng)根據(jù)系統(tǒng)的安全保護(hù)等級(jí)選擇基本安全措施，依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施； b）應(yīng)以書面的形式描述對(duì)系統(tǒng)的安全保護(hù)要求和策略、安全措施等內(nèi)容，形成系統(tǒng)的安全方案； c）應(yīng)對(duì)安全方案進(jìn)行細(xì)化，形成能指導(dǎo)安全系統(tǒng)建設(shè)、安全產(chǎn)品采購和使用的詳細(xì)設(shè)

19、計(jì)方案。 5.2.4.3 產(chǎn)品采購和使用（G1） 應(yīng)確保安全產(chǎn)品采購和使用符合國(guó)家的有關(guān)規(guī)定。 5.2.4.4 自行軟件開發(fā)（G1） 本項(xiàng)要求包括： a）應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開； b）應(yīng)確保軟件設(shè)計(jì)相關(guān)文檔由專人負(fù)責(zé)保管。 5.2.4.5 外包軟件開發(fā)（G1） 本項(xiàng)要求包括： a）應(yīng)根據(jù)開發(fā)要求檢測(cè)軟件質(zhì)量； b）應(yīng)在軟件安裝之前檢測(cè)軟件包中可能存在的惡意代碼； c）應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南。 5.2.4.6 工程實(shí)施（G1） 應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實(shí)施過程的管理。 5.2.4.7 測(cè)試驗(yàn)收（G1） 本項(xiàng)要求包括： a）應(yīng)對(duì)系統(tǒng)進(jìn)行安全性測(cè)試驗(yàn)收； b

20、）在測(cè)試驗(yàn)收前應(yīng)根據(jù)設(shè)計(jì)方案或合同要求等制訂測(cè)試驗(yàn)收方案，在測(cè)試驗(yàn)收過程中應(yīng)詳細(xì)記錄測(cè)試驗(yàn)收 結(jié)果，并形成測(cè)試驗(yàn)收?qǐng)?bào)告。GMslasNXkA 524.8 系統(tǒng)交付（G1） 本項(xiàng)要求包括： a）應(yīng)制定系統(tǒng)交付清單，并根據(jù)交付清單對(duì)所交接的設(shè)備、軟件和文檔等進(jìn)行清點(diǎn)； b）應(yīng)對(duì)負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)行相應(yīng)的技能培訓(xùn)； c）應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔。 524.9 安全服務(wù)商選擇 （G1） 本項(xiàng)要求包括： a）應(yīng)確保安全服務(wù)商的選擇符合國(guó)家的有關(guān)規(guī)定； b）應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān)責(zé)任。 5.2.5系統(tǒng)運(yùn)維管理 5.2.5.1

21、環(huán)境管理（G1） 本項(xiàng)要求包括： a）應(yīng)指定專門的部門或人員定期對(duì)機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)管理； b）應(yīng)對(duì)機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理； c）應(yīng)建立機(jī)房安全管理制度，對(duì)有關(guān)機(jī)房物理訪問，物品帶進(jìn)、帶岀機(jī)房和機(jī)房環(huán)境安全等方面的管理作 出規(guī)定。TlrRGchYzg 525.2 資產(chǎn)管理（G1 ） 應(yīng)編制與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容。 5.2.5.3 介質(zhì)管理（G1 ） 本項(xiàng)要求包括： a）應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對(duì)各類介質(zhì)進(jìn)行控制和保護(hù)； b）應(yīng)對(duì)介質(zhì)歸檔和查詢等過程進(jìn)行記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點(diǎn)。 5.

22、2.5.4 設(shè)備管理（G1） 本項(xiàng)要求包括： a）應(yīng)對(duì)信息系統(tǒng)相關(guān)的各種設(shè)備、線路等指定專門的部門或人員定期進(jìn)行維護(hù)管理； b）應(yīng)建立基于申報(bào)、審批和專人負(fù)責(zé)的設(shè)備安全管理制度，對(duì)信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、 發(fā)放和領(lǐng)用等過程進(jìn)行規(guī)范化管理。7EqZcWLZNX 5.2.5.5 網(wǎng)絡(luò)安全管理 （G1） 本項(xiàng)要求包括： a）應(yīng)指定人員對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作； b）應(yīng)定期進(jìn)行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)。 5.2.5.6 系統(tǒng)安全管理 （G1） 本項(xiàng)要求包括： a）應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問

23、控制策略； b）應(yīng)定期進(jìn)行漏洞掃描，對(duì)發(fā)現(xiàn)的系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)； c）應(yīng)安裝系統(tǒng)的最新補(bǔ)丁程序，并在安裝系統(tǒng)補(bǔ)丁前對(duì)現(xiàn)有的重要文件進(jìn)行備份。 5.2.5.7 惡意代碼防范管理 （G1） 應(yīng)提高所有用戶的防病毒意識(shí)，告知及時(shí)升級(jí)防病毒軟件，在讀取移動(dòng)存儲(chǔ)設(shè)備上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文 件或郵件之前，先進(jìn)行病毒檢查，對(duì)外來計(jì)算機(jī)或存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進(jìn)行病毒檢查。lzq7IGfO2E 5.2.5.8 備份與恢復(fù)管理 （G1 ） 本項(xiàng)要求包括： a）應(yīng)識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等； b）應(yīng)規(guī)定備份信息的備份方式、備份頻度、存儲(chǔ)介質(zhì)、保存期等。 525.9 安全事

24、件處置 （G1） 本項(xiàng)要求包括： a）應(yīng)報(bào)告所發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)； b）應(yīng)制定安全事件報(bào)告和處置管理制度，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)。 6 第二級(jí)基本要求 6.1 技術(shù)要求 6.1.1 物理安全 6.1.1.1 物理位置的選擇（G2） 機(jī)房和辦公場(chǎng)地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)。 6.1.1.2 物理訪問控制（G2） 本項(xiàng)要求包括： a）機(jī)房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的人員； b）需進(jìn)入機(jī)房的來訪人員應(yīng)經(jīng)過申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范圍。 6.1.1.3 防盜竊和防破壞（G2） 本項(xiàng)要求包

25、括： a）應(yīng)將主要設(shè)備放置在機(jī)房?jī)?nèi)； b）應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記； c）應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中； d）應(yīng)對(duì)介質(zhì)分類標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫或檔案室中； e）主機(jī)房應(yīng)安裝必要的防盜報(bào)警設(shè)施。 6.1.1.4 防雷擊（G2） 本項(xiàng)要求包括： a）機(jī)房建筑應(yīng)設(shè)置避雷裝置； b）機(jī)房應(yīng)設(shè)置交流電源地線。 6.1.1.5 防火（G2） 機(jī)房應(yīng)設(shè)置滅火設(shè)備和 火災(zāi)自動(dòng)報(bào)警系統(tǒng)。 6.1.1.6 防水和防潮（G2） 本項(xiàng)要求包括： a）水管安裝，不得穿過機(jī)房屋頂和活動(dòng)地板下； b）應(yīng)采取措施防止雨水通過機(jī)房窗戶、屋頂和墻壁滲透； c）應(yīng)采取措施防止機(jī)房?jī)?nèi)水蒸

26、氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。 6.1.1.7 防靜電（G2） 關(guān)鍵設(shè)備應(yīng)采用必要的接地防靜電措施。 6.1.1.8 溫濕度控制（G2） 機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。 6.1.1.9 電力供應(yīng)（A2） 本項(xiàng)要求包括： a）應(yīng)在機(jī)房供電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備； b）應(yīng)提供短期的備用電力供應(yīng)，至少滿足關(guān)鍵設(shè)備在斷電情況下的正常運(yùn)行要求。 6.1.1.10 電磁防護(hù)（S2） 電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾。 6.1.2 網(wǎng)絡(luò)安全 6.121結(jié)構(gòu)安全（G2） 本項(xiàng)要求包括： a）應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)

27、務(wù)高峰期需要； b）應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要； c）應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖； d）應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方 便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段。zvpgeqJIhk 6.1.2.2 訪問控制（G2） 本項(xiàng)要求包括： a）應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能； b）應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為網(wǎng)段級(jí)。 c）應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問，控制粒度為 單個(gè) 用戶；NrpoJac3v1 d）

28、應(yīng)限制具有撥號(hào)訪問權(quán)限的用戶數(shù)量。 6.1.2.3 安全審計(jì)（G2） 本項(xiàng)要求包括： a）應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄； b）審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。 6.1.2.4 邊界完整性檢查（S2） 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查。 6.1.2.5 入侵防范（G2） 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢岀攻 擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等。1nowfTG4KI 6.1.2.6 網(wǎng)絡(luò)設(shè)備防護(hù)（G2） 本項(xiàng)要求包括

29、： a）應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別； b）應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制； c）網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一； d）身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換； e）應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退岀等措施； fjnFLDa5Zo f）當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。 6.1.3 主機(jī)安全 6.1.3.1 身份鑒別（S2） 本項(xiàng)要求包括： a）應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別； b）操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)

30、有復(fù)雜度要求并定期更換； c）應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施； d）當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽； e）應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。 6.1.3.2 訪問控制（S2） 本項(xiàng)要求包括： a）應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問； b）應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離； c）應(yīng)限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令； d）應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在。 6.133 安全審計(jì)（G2） 本項(xiàng)要

31、求包括： a）審計(jì)范圍應(yīng)覆蓋到服務(wù)器上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫用戶； b）審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事 件；tfnNhnE6e5 c）審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等； d）應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。 6.1.3.4 入侵防范（G2） 操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級(jí)服務(wù)器等方式 保持系統(tǒng) 補(bǔ)丁及時(shí)得到更新。 HbmVN777sL 6.1.3.5 惡意代碼防范（G2） 本項(xiàng)要求包括： a）應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件

32、版本和惡意代碼庫； b）應(yīng)支持防惡意代碼軟件的統(tǒng)一管理。 6.1.3.6 資源控制（A2） 本項(xiàng)要求包括： a）應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄； b）應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定； c）應(yīng)限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度。 6.1.4 應(yīng)用安全 6.141身份鑒別（S2） 本項(xiàng)要求包括： a）應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別； b）應(yīng)提供用戶身份標(biāo)識(shí)唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識(shí)，身份 鑒別信息不易被冒用；V7l4jRB8Hs c）應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)

33、退岀等措施； d）應(yīng)啟用身份鑒別、用戶身份標(biāo)識(shí)唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能， 并根據(jù)安全策略配置相關(guān)參數(shù)。83ICPA59W9 6.1.4.2 訪問控制（S2） 本項(xiàng)要求包括： a）應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對(duì)文件、數(shù)據(jù)庫表等客體的訪問； b）訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作； c）應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限； d）應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。 6.1.4.3 安全審計(jì)（G2） 本項(xiàng)要求包括： a）應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，