等保四級保護技術(shù)交流

1、目錄等級保護基本知識介紹等級保護（四級）基本要求的具體介紹等級保護基本知識介紹等級保護的政策依據(jù)等級保護的關(guān)鍵環(huán)節(jié)（流程）等級保護的相關(guān)標準基本要求核心思想解讀等級保護政策依據(jù)2017年年6月月1號實施的號實施的中華人民共和國網(wǎng)絡(luò)安全法中華人民共和國網(wǎng)絡(luò)安全法網(wǎng)絡(luò)安全法規(guī)定，我國實行網(wǎng)絡(luò)安全等級保護制度。網(wǎng)絡(luò)安全等級保護制度是國家信息安全保障工作的基本制度、基本國策和基本方法，是促進信息化健康發(fā)展，維護國家安全、社會秩序和公共利益的根本保障。等級保護政策依據(jù)國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見（中辦發(fā)200327號 ）公安部、國家保密局、國家密碼管理委員會辦公室、國務(wù)院信息化工作辦

2、公室聯(lián)合下發(fā)的關(guān)于信息安全等級保護工作的實施意見（公通字200466號）公安部、國家保密局、國家密碼管理局、國務(wù)院信息化工作辦公室聯(lián)合下發(fā)的信息安全等級保護管理辦法（試行）（公通字20067號）關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知（公信安2007861號）關(guān)于印發(fā)信息安全等級保護管理辦法的通知（公通字200743號）n基礎(chǔ)類基礎(chǔ)類 n應(yīng)用類應(yīng)用類 信息系統(tǒng)通用安全技術(shù)要求GB/T 20271-2006 信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求 信息系統(tǒng)安全等級保護測評過程指南 信息系統(tǒng)安全管理要求GB/T 20269-2006 信息系統(tǒng)安全工程管理要求GB/T 20282-2006 等級

3、保護相關(guān)標準等級保護相關(guān)標準等級保護政策依據(jù)公通字公通字200743200743號文號文五個等級的基本情況五個等級的基本情況第一級：運營、使用單位根據(jù)國家管理規(guī)范、技術(shù)標準自主防護。第二級：運營、使用單位根據(jù)國家管理規(guī)范、技術(shù)標準自主防護。國家有關(guān)部門進行指導(dǎo)。第三級：自主防護。國家有關(guān)部門進行監(jiān)督、檢查。第四級：運營、使用單位根據(jù)國家管理規(guī)范、技術(shù)標準和業(yè)務(wù)專門需第四級：運營、使用單位根據(jù)國家管理規(guī)范、技術(shù)標準和業(yè)務(wù)專門需求進行保護，國家有關(guān)部門進行強制監(jiān)督、檢查。求進行保護，國家有關(guān)部門進行強制監(jiān)督、檢查。第五級：（略）。等級保護政策依據(jù)公通字公通字200743200743號文號文測評周期

4、要求測評周期要求第三級信息系統(tǒng)應(yīng)當(dāng)每年至少進行一次等級測評；第四級信息系統(tǒng)應(yīng)當(dāng)每半年至少進行一次等級測評；第四級信息系統(tǒng)應(yīng)當(dāng)每半年至少進行一次等級測評；第五級信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全需求進行等級測評。自查周期要求自查周期要求第三級信息系統(tǒng)應(yīng)當(dāng)每年至少進行一次自查；第四級信息系統(tǒng)應(yīng)當(dāng)每半年至少進行一次自查；第四級信息系統(tǒng)應(yīng)當(dāng)每半年至少進行一次自查；第五級信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全需求進行自查。根據(jù)測評、自查情況制定整改方案并實施。等級保護政策依據(jù)公通字公通字200743200743號文號文檢查周期要求檢查周期要求受理備案的公安機關(guān)應(yīng)當(dāng)對第三級、第四級信息系統(tǒng)的運營、使用單位的信息安全等級保護工作情

5、況進行檢查。對第三級信息系統(tǒng)每年至少檢查一次；對第四級信息系統(tǒng)每半年至少檢查一次。對第四級信息系統(tǒng)每半年至少檢查一次。對第五級信息系統(tǒng)，應(yīng)當(dāng)由國家指定的專門部門進行檢查。等級保護政策依據(jù)公通字公通字200743200743號文號文等級保護的檢查內(nèi)容等級保護的檢查內(nèi)容（一）信息系統(tǒng)安全需求是否發(fā)生變化，原定保護等級是否準確；（二）運營、使用單位安全管理制度、措施的落實情況；（三）運營、使用單位及其主管部門對信息系統(tǒng)安全狀況的檢查情況；（四）系統(tǒng)安全等級測評是否符合要求；（五）信息安全產(chǎn)品使用是否符合要求； （六）信息系統(tǒng)安全整改情況；（七）備案材料與運營、使用單位、信息系統(tǒng)的符合情況；（八）其他

6、應(yīng)當(dāng)進行監(jiān)督檢查的事項。等級保護政策依據(jù)公通字公通字200743200743號文號文第三級以上第三級以上信息系統(tǒng)應(yīng)當(dāng)選擇使用符合以下條件的信息安全產(chǎn)品信息安全產(chǎn)品：（一）產(chǎn)品研制、生產(chǎn)單位是由中國公民、法人投資或者國家投資或者控股的，在中華人民共和國境內(nèi)具有獨立的法人資格；（二）產(chǎn)品的核心技術(shù)、關(guān)鍵部件具有我國自主知識產(chǎn)權(quán)；（三）產(chǎn)品研制、生產(chǎn)單位及其主要業(yè)務(wù)、技術(shù)人員無犯罪記錄； （四）產(chǎn)品研制、生產(chǎn)單位聲明沒有故意留有或者設(shè)置漏洞、后門、木馬等程序和功能；（五）對國家安全、社會秩序、公共利益不構(gòu)成危害；（六）對已列入信息安全產(chǎn)品認證目錄的，應(yīng)當(dāng)取得國家信息安全產(chǎn)品認證機構(gòu)頒發(fā)的認證證書。等

7、級保護政策依據(jù)公通字公通字200743200743號文號文第三級以上第三級以上信息系統(tǒng)的安全測評機構(gòu)安全測評機構(gòu)應(yīng)具備的條件：（一）在中華人民共和國境內(nèi)注冊成立（港澳臺地區(qū)除外）；（二）由中國公民投資、中國法人投資或者國家投資的企事業(yè)單位（港澳臺地區(qū)除外）；（三）從事相關(guān)檢測評估工作兩年以上，無違法記錄；（四）工作人員僅限于中國公民；（五）法人及主要業(yè)務(wù)、技術(shù)人員無犯罪記錄；（六）使用的技術(shù)裝備、設(shè)施應(yīng)當(dāng)符合本辦法對信息安全產(chǎn)品的要求； （七）具有完備的保密管理、項目管理、質(zhì)量管理、人員管理和培訓(xùn)教育等安全管理制度；（八）對國家安全、社會秩序、公共利益不構(gòu)成威脅。等級保護基本安全要求某級系統(tǒng)物

8、理安全技術(shù)要求管理要求基本要求網(wǎng)絡(luò)安全主機安全應(yīng)用安全數(shù)據(jù)安全安全管理機構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理等級保護工作的主要流程 一 是定級。二 是備案（二級以上信息系統(tǒng)）。三 是系統(tǒng)建設(shè)、整改（按條件選擇產(chǎn)品）。四 是開展等級測評（按條件選擇測評機構(gòu)）。五 是信息安全監(jiān)管部門定期開展監(jiān)督檢查信息系統(tǒng)的定級各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)防護防護/監(jiān)測策略/防護/監(jiān)測/恢復(fù)策略/防護/監(jiān)測/恢復(fù)/響應(yīng)各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)通信/邊界（基本）通信/邊界/內(nèi)部（關(guān)鍵設(shè)備）通信/邊界/內(nèi)部（主要設(shè)備）通信/邊界/內(nèi)部/基礎(chǔ)設(shè)施（所

9、有設(shè)備）各級系統(tǒng)的保護要求差異一級系統(tǒng)二級系統(tǒng)三級系統(tǒng)四級系統(tǒng)計劃和跟蹤（主要制度）計劃和跟蹤（主要制度）良好定義（管理活動制度化）持續(xù)改進（管理活動制度化/及時改進）等級保護（四級）基本要求的具體介紹安全建設(shè)要求主要內(nèi)容技術(shù)要求技術(shù)要求物理安全物理安全網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全主機安全主機安全應(yīng)用安全應(yīng)用安全數(shù)據(jù)安全數(shù)據(jù)安全管理要求管理要求安全管理制度安全管理機構(gòu)人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理第三級第三級安全標記保護級安全標記保護級第四級第四級機構(gòu)化保護級機構(gòu)化保護級本級的計算機信息系統(tǒng)可信計算基具有系統(tǒng)審計保護級的所有功能。此外，還需提供有關(guān)安全策略模型、數(shù)據(jù)標記以及主體對客體強制訪問控制的非

10、形式化描述，具有準確地標記輸出信息的能力；消除通過測試發(fā)現(xiàn)的任何錯誤。 本級的計算機信息系統(tǒng)可信計算基建立于一個明確定義的形式化安全策略模一個明確定義的形式化安全策略模型之上型之上，它要求將第三級系統(tǒng)中的自主和強制訪問控制擴展到所有主體與客體。此外，還要考慮隱蔽通道還要考慮隱蔽通道。本級的計算機信息系統(tǒng)可信計算基必須結(jié)構(gòu)化為關(guān)關(guān)鍵保護元素鍵保護元素和非關(guān)鍵保護元素非關(guān)鍵保護元素。計算機信息系統(tǒng)可信計算基的借口也必須明確定義，使其設(shè)計與實現(xiàn)能經(jīng)受更充分的更充分的測試和更完整的復(fù)審測試和更完整的復(fù)審。加強了鑒別機制鑒別機制；支持系統(tǒng)管理員和操作員的職能；提供可信設(shè)施管理可信設(shè)施管理；增強了配置管理

11、控制配置管理控制。系統(tǒng)具有相當(dāng)?shù)目節(jié)B透能力相當(dāng)?shù)目節(jié)B透能力。第三級與第四級安全功能對比四級系統(tǒng)的控制類及控制項指標類指標類技術(shù)技術(shù)/管理管理層面層面類數(shù)量類數(shù)量項數(shù)量項數(shù)量小計小計小計小計安全技術(shù)物理安全10103333網(wǎng)絡(luò)安全7 73232主機安全9 93636應(yīng)用安全11113636數(shù)據(jù)安全3 31111安全管理安全管理制度3 31414安全管理機構(gòu)5 52020人員安全管理5 51818系統(tǒng)建設(shè)管理11114848系統(tǒng)運維管理13137070合 計不同級別系統(tǒng)控制點的差異安全要求類層面一級二級三級四級技術(shù)要求物理安全7 7101010101010網(wǎng)絡(luò)安全3 36 67 77 7主機安全4

12、 46 67 79 9應(yīng)用安全4 47 79 91111數(shù)據(jù)安全及備份恢復(fù)2 23 33 33 3管理要求安全管理制度2 23 33 33 3安全管理機構(gòu)4 45 55 55 5人員安全管理4 45 55 55 5系統(tǒng)建設(shè)管理9 99 911111111系統(tǒng)運維管理9 9121213131313合計/ /4848666673737777級差/ / /18187 74 4不同級別系統(tǒng)要求項的差異安全要求層面一級二級三級四級技術(shù)要求物理安全9 9191932323333網(wǎng)絡(luò)安全9 9181833333232主機安全6 6191932323636應(yīng)用安全7 7191931313636數(shù)據(jù)安全及備份恢

13、復(fù)2 24 48 81111管理要求安全管理制度3 37 711111414安全管理機構(gòu)4 49 920202020人員安全管理7 7111116161818系統(tǒng)建設(shè)管理2020282845454848系統(tǒng)運維管理1818414162627070合計/ /8585175175290290318318級差/ / /90901151152828物理安全控制點一級二級三級四級物理位置的選擇* * * *物理訪問控制* * * * *防盜竊和防破壞* * * * *防雷擊* * * * *防火* * * * *防水和防潮* * * * *防靜電* * * *溫濕度控制* * * * *電力供應(yīng)* *

14、* * *電磁防護* * * *合計7 7101010101010物理安全（一）物理位置選擇子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施a) 機房和辦公場地應(yīng)選擇在具有防震、防 風(fēng) 和 防 雨 等 能 力 的 建 筑 內(nèi) ；b) 機房場地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁。 b 一般選擇在建筑物2-3層，最好在辦公區(qū)附近，且不能鄰近洗手間、廚房等。（同B類安全機房的選址要求。）物理安全（二）物理訪問控制子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施物理訪問控制（G4）a) 機房出入口應(yīng)安排專人值守并配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；b)

15、需進入機房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；c) 應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；d) 重要區(qū)域應(yīng)配置第二道電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。a 機房安裝電子門禁系統(tǒng)，建議采用雙向控制。增設(shè)保安人員在門外值守；通過門禁電子記錄或填寫出入記錄單的形 式 記 錄 進 出 人 員 和 時 間 。b 機房內(nèi)、外部臨近入口區(qū)域安裝監(jiān)控攝像頭保證全部范圍覆蓋。需要有來訪人員進入機房的審批記錄；外來人員進入 機 房 應(yīng) 當(dāng) 由 專 人 全 程 陪 同 。cd 重要區(qū)域物理隔離，并安裝第二道電子門禁系統(tǒng)（雙向）。物理

16、安全（三）防盜竊和防破壞子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施防盜竊和防破壞（G4）a) 應(yīng)將主要設(shè)備放置在機房內(nèi)；b) 應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標記；c) 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；d) 應(yīng)對介質(zhì)分類標識，存儲在介質(zhì)庫或檔案室中；e) 應(yīng)利用光、電等技術(shù)設(shè)置機房防盜報警系統(tǒng)；f) 應(yīng)對機房設(shè)置監(jiān)控報警系統(tǒng)。 b 使用機柜并在設(shè)備上焊接銘牌，標明設(shè)備型號、負責(zé)保管人員、維護單位等信息。（設(shè)備銘牌只能被破壞性地去除。）e 機房重要資產(chǎn)存放處及附近區(qū)域安裝光、電防盜報警系統(tǒng)，如紅外或感應(yīng)報警系統(tǒng)。d 介質(zhì)應(yīng)異地存放。f 機房

17、安裝視頻監(jiān)控報警系統(tǒng)。物理安全（四）防雷擊子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施防雷擊（G4） a) 機房建筑應(yīng)設(shè)置避雷裝置；b) 應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；c) 機房應(yīng)設(shè)置交流電源地線。 b 安裝電源三級防雷器和信號二級防雷器c 機房設(shè)置專用交流電源地線，接地電阻不應(yīng)大于4。機房交流工作接地、安全保護接地、防雷接地應(yīng)符合GB50174-93電子計算機機房設(shè)計規(guī)范要求。物理安全（五）防火子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施防火（G4）a) 機房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；b) 機房及相關(guān)的工作房間和輔

18、助房應(yīng)采用具有耐火等級的建筑材料；c) 機房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。 a 在機房內(nèi)安裝溫感或煙感探測器，連接到機房動力環(huán)境監(jiān)控系統(tǒng)中；安裝有管網(wǎng)氣體自動滅火系統(tǒng)。 滅火方式應(yīng)采用氣體滅火系統(tǒng)，如CO2、FM-200、氣溶膠和煙烙盡等。 b 機房建設(shè)應(yīng)使用防火材料裝修。c 重要區(qū)域使用防火玻璃隔斷。物理安全（六）防水和防潮子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施防水和防潮（G4）a) 水管安裝，不得穿過機房屋頂和活動地板下；b) 應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；c) 應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；d) 應(yīng)

19、安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。 abc 機房頂棚、地面和四周應(yīng)做好防水處理，有條件的話可以在機房頂部安裝防漏水設(shè)施，在機房地面修建地漏、泄水槽和配置排水設(shè)備。機房盡可能選擇沒有水管經(jīng)過的房間和盡量不靠近建筑物外側(cè)墻壁的地方，這樣可以節(jié)省做防水系統(tǒng)的大量投資。 d 安裝機房動力環(huán)境監(jiān)控系統(tǒng)（對機房設(shè)備的運行狀態(tài)、溫度、濕度、潔凈度、供電的電壓、電流、頻率、配電系統(tǒng)的開關(guān)狀態(tài)、測漏系統(tǒng)等進行實時監(jiān)控并記錄歷史數(shù)據(jù)），其中含漏水檢測裝置。物理安全（七）防靜電子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施防靜電（G4） a) 設(shè)備應(yīng)采用必要的接地防靜電措施；

20、b) 機房應(yīng)采用防靜電地板；c) 應(yīng)采用靜電消除器等裝置，減少靜電的產(chǎn)生。 c 采用防靜電工作臺、靜電消除劑和靜電消除器等。物理安全（八）溫濕度控制子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施溫濕度控制（G4）機房應(yīng)設(shè)置溫濕度自動調(diào)節(jié)設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。 安裝帶濕度調(diào)節(jié)功能的精密空調(diào)系統(tǒng)，配置溫濕度檢測裝置，并接入動力環(huán)境監(jiān)控系統(tǒng)?？照{(diào)應(yīng)依據(jù)機房面積和設(shè)備數(shù)量安裝，盡量保證設(shè)備工作在濕度45-60之間，夏季溫度控制在23 2 ，冬季溫度控制在202，溫度變化率不超過5/h， 并且不得結(jié)露。（按電子計算機機房設(shè)計規(guī)范A級要求）.物理安全（九）

21、電力供應(yīng)子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施電力供應(yīng)（A4） a) 應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備；b) 應(yīng)提供短期的備用電力供應(yīng)，至少滿足設(shè)備在斷電情況下的正常運行要求；c) 應(yīng)設(shè)置冗余或并行的電力電纜線路為計算機系統(tǒng)供電；d) 應(yīng)建立備用供電系統(tǒng)。 a 配置線路穩(wěn)壓器和電源保護裝置（如金屬氧化物可變電阻、硅雪崩二極管、氣體放電管、濾波器、電壓調(diào)整變壓器和浪涌濾波器）。b 為機房設(shè)備配置UPS。c 建筑應(yīng)采用雙路供電系統(tǒng)（連接兩個不同區(qū)域的供電站），并根據(jù)對業(yè)務(wù)恢復(fù)時間的要求，制定備用供電系統(tǒng)的切換時間。d 有條件的企業(yè)可以配備柴油發(fā)電機保證較長時間

22、的應(yīng)急供電。物理安全（十）電磁防護子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施電磁防護（S4） a) 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；b) 電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾；c) 應(yīng)對關(guān)鍵區(qū)域?qū)嵤╇姶牌帘巍?a 通過將機架外殼接地的方式可以降低外界的電子干擾。b 強、弱電線路盡量原離，使用交叉走線，避免平行走線；使用鐵質(zhì)線槽可以抵御電磁干擾并有效保護線纜安全。c 重要設(shè)備和磁介質(zhì)放置在電磁屏蔽裝置中，或?qū)﹃P(guān)鍵區(qū)域建屏蔽室。網(wǎng)絡(luò)安全控制點一級二級三級四級結(jié)構(gòu)安全* * * * *訪問控制* * * * *安全審計* * * *邊界完整性檢查* * *

23、 *入侵防范* * * *惡意代碼防范* * *網(wǎng)絡(luò)設(shè)備防護* * * * *合計3 36 67 77 7（一）結(jié)構(gòu)安全網(wǎng)絡(luò)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施結(jié)構(gòu)安全（G4） a) 應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；b) 應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；c) 應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全的訪問路徑；d) 應(yīng)繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖；e) 應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；f) 應(yīng)避免將重要

24、網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段；g) 應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要主機。f 重要網(wǎng)段與其他網(wǎng)段之間采用防火墻或網(wǎng)閘進行隔離。g 在多個業(yè)務(wù)共用的網(wǎng)絡(luò)設(shè)備上配置QOS或在主干通信線路上安裝專用的帶寬管理設(shè)備。（二）訪問控制網(wǎng)絡(luò)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施訪問控制（G4） a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；b) 應(yīng)不允許數(shù)據(jù)帶通用協(xié)議通過；c) 應(yīng)根據(jù)數(shù)據(jù)的敏感標記允許或拒絕數(shù)據(jù)通過；d) 應(yīng)不開放遠程撥號訪問功能。 網(wǎng)絡(luò)邊

25、界部署安全隔離與信息交換系統(tǒng)（網(wǎng)閘）。（三）安全審計網(wǎng)絡(luò)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施安全審計（G4） a) 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；b) 審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；c) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；d) 應(yīng)對審計記錄進行保護，避免受到未預(yù)期的刪除、修改或覆蓋等；e) 應(yīng)定義審計跟蹤極限的閾值，當(dāng)存儲空間接近極限時，能采取必要的措施，當(dāng)存儲空間被耗盡時，終止可審計事件的發(fā)生；f) 應(yīng)根據(jù)信息系統(tǒng)的統(tǒng)一安全策略，實現(xiàn)集中審計，時鐘保持與時鐘

26、服務(wù)器同步。 部署專業(yè)的日志審計系統(tǒng)，并且所有事件源與審計服務(wù)器保持時鐘同步。（四）邊界完整性檢查網(wǎng)絡(luò)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施邊界完整性檢查（S4）a) 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查，準確定出位置，并對其進行有效阻斷；b) 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查，準確定出位置，并對其進行有效阻斷。 a 部署終端安全管理系統(tǒng)，利用IP/MAC綁定及ARP阻斷功能實現(xiàn)非法接入控制。b 部署終端安全管理系統(tǒng)，提供非法外聯(lián)監(jiān)控功能。（五）入侵防范網(wǎng)絡(luò)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施入侵防范（

27、G4） a) 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；b) 當(dāng)檢測到攻擊行為時，應(yīng)記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應(yīng)提供報警及自動采取相應(yīng)動作。 部署網(wǎng)絡(luò)入侵防御及網(wǎng)絡(luò)入侵檢測系統(tǒng)，對進出邊界的網(wǎng)絡(luò)數(shù)據(jù)流進行攻擊檢測，并提供適當(dāng)?shù)娜罩居涗?、報警和自動響?yīng)機制。（六）惡意代碼防范網(wǎng)絡(luò)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施惡意代碼防范（G4） a) 應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和清除；b) 應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新。 在區(qū)域邊界部署

28、病毒過濾網(wǎng)關(guān)系統(tǒng)。（七）網(wǎng)絡(luò)設(shè)備防護網(wǎng)絡(luò)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施網(wǎng)絡(luò)設(shè)備防護（G4） a) 應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；b) 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制；c) 網(wǎng)絡(luò)設(shè)備用戶的標識應(yīng)唯一；d) 主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進行身份鑒別；e) 身份鑒別信息應(yīng)具有不易被冒用的特點，口令應(yīng)有復(fù)雜度要求并定期更換；f) 網(wǎng)絡(luò)設(shè)備用戶的身份鑒別信息至少應(yīng)有一種是不可偽造的；g) 應(yīng)具有登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時自動退出等措施；h) 當(dāng)對網(wǎng)絡(luò)設(shè)備進行遠程管理時，應(yīng)采取必要措

29、施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；i) 應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離。采用動態(tài)電子令牌身份認證系統(tǒng)（如RSA SecurID），其令牌應(yīng)當(dāng)不可偽造。主機安全控制點一級二級三級四級身份鑒別*安全標記*訪問控制*可信路徑*安全審計*剩余信息保護*入侵防范*惡意代碼防范*資源控制*合計4679（一）身份鑒別主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施身份鑒別（S4） a) 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別；b) 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應(yīng)具有不易被冒用的特點，口令應(yīng)有復(fù)雜度要求并定期更換；c) 應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會話、限

30、制非法登錄次數(shù)和自動退出等措施；d) 應(yīng)設(shè)置鑒別警示信息，描述未授權(quán)訪問可能導(dǎo)致的后果；e) 當(dāng)對服務(wù)器進行遠程管理時，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；f) 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性；g) 應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進行身份鑒別，并且身份鑒別信息至少有一種是不可偽造的。 采用操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)安全評估和加固服務(wù)。g 采用動態(tài)電子令牌身份認證系統(tǒng)（如RSA SecurID），其令牌應(yīng)當(dāng)不可偽造。 （二）安全標記主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施安全標記（S4） 應(yīng)對所有主

31、體和客體設(shè)置敏感標記； 采用安全操作系統(tǒng)（如一些國產(chǎn)Linux操作系統(tǒng)）或在操作系統(tǒng)中安裝內(nèi)核加固軟件（如浪潮SSR服務(wù)器安全加固系統(tǒng)-適用Windows）。（三）訪問控制主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施訪問控制（S4） a) 應(yīng)依據(jù)安全策略和所有主體和客體設(shè)置的敏感標記控制主體對客體的訪問；b) 訪問控制的粒度應(yīng)達到主體為用戶級或進程級，客體為文件、數(shù)據(jù)庫表、記錄和字段級。c) 應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限；d) 應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離；e) 應(yīng)嚴格限制默認帳戶的訪問權(quán)限，重命

32、名系統(tǒng)默認帳戶，修改這些帳戶的默認口令；f) 應(yīng)及時刪除多余的、過期的帳戶，避免共享帳戶的存在。 采用安全操作系統(tǒng)（如一些國產(chǎn)Linux操作系統(tǒng)）或在操作系統(tǒng)中安裝內(nèi)核加固軟件（如浪潮SSR服務(wù)器安全加固系統(tǒng)-適用Windows）。（四）可信路徑主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施可信路徑（S4） a) 在系統(tǒng)對用戶進行身份鑒別時，系統(tǒng)與用戶之間應(yīng)能夠建立一條安全的信息傳輸路徑。b) 在用戶對系統(tǒng)進行訪問時，系統(tǒng)與用戶之間應(yīng)能夠建立一條安全的信息傳輸路徑。 采用高等級安全操作系統(tǒng)（如一些國產(chǎn)安全操作系統(tǒng)或國際主流操作系統(tǒng)廠商提供的高級安全功能。）（五）安全審

33、計主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施安全審計（G4） a) 審計范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；b) 審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；c) 審計記錄應(yīng)包括日期和時間、類型、主體標識、客體標識、事件的結(jié)果等；d) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；e) 應(yīng)保護審計進程，避免受到未預(yù)期的中斷；f) 應(yīng)保護審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等；g) 應(yīng)能夠根據(jù)信息系統(tǒng)的統(tǒng)一安全策略，實現(xiàn)集中審計。 abc 服務(wù)器開啟日志功能；重要客戶端安裝終端安全管理

34、軟件進行審計。d 采用專業(yè)的日志審計系統(tǒng)。e 服務(wù)器采用安全操作系統(tǒng)或安裝內(nèi)核加固軟件，對審計進程進行守護，防止進程中斷；重要客戶端的終端安全管理代理進程具有自我保護機制。 fg 采用專業(yè)的日志審計系統(tǒng)。（六）剩余信息保護主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施剩余信息保護（S4） a) 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。 采用安全操作系統(tǒng)（如一些國產(chǎn)Lin

35、ux操作系統(tǒng)）或安裝Windows平臺的剩余信息保護軟件。（同客體重用。）（七）入侵防范主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施入侵防范（G4） a) 應(yīng)能夠檢測到對重要服務(wù)器進行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警；b) 應(yīng)能夠?qū)χ匾绦虻耐暾赃M行檢測，并在檢測到完整性受到破壞后具有恢復(fù)的措施；c) 操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補丁及時得到更新。 a 采用主機或網(wǎng)絡(luò)入侵檢測系統(tǒng)。b 采用安全操作系統(tǒng)或安裝內(nèi)核加固軟件。c 采用操作系

36、統(tǒng)安全評估和加固服務(wù)，并部署補丁服務(wù)器。（八）惡意代碼防范主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施惡意代碼防范（G4） a) 應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；b) 主機防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫；c) 應(yīng)支持防惡意代碼的統(tǒng)一管理。 安裝網(wǎng)絡(luò)版防病毒軟件并與病毒過濾網(wǎng)關(guān)異構(gòu)。（九）資源控制主機安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施資源控制（A4） a) 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b) 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定；c) 應(yīng)對重要服務(wù)

37、器進行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；d) 應(yīng)限制單個用戶對系統(tǒng)資源的最大或最小使用限度；e) 應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進行檢測和報警。 ab 采用操作系統(tǒng)安全評估和加固服務(wù)。cde 采用操作系統(tǒng)附帶或第三方資源監(jiān)控軟件。應(yīng)用安全控制點一級二級三級四級身份鑒別身份鑒別*安全標記安全標記*訪問控制訪問控制*可信路經(jīng)可信路經(jīng)*安全審計安全審計*剩余信息保剩余信息保護護*通信完整性通信完整性*通信保密性通信保密性*抗抵賴抗抵賴*軟件容錯軟件容錯*資源控制資源控制*合計合計47911（一）身份鑒別應(yīng)用安全子項描述子項描述子項描述子項描述需部署的安全設(shè)

38、施需部署的安全設(shè)施身份鑒別（S4） a) 應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；b) 應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別，其中一種是不可偽造的；c) 應(yīng)提供用戶身份標識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標識，身份鑒別信息不易被冒用；d) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；e) 應(yīng)啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。 a 進行應(yīng)用系統(tǒng)二次開發(fā)。bc 采用數(shù)字證書身份認證系統(tǒng)，證書和私鑰存放在硬件Key中。de

39、進行應(yīng)用系統(tǒng)二次開發(fā)。（二）安全標記應(yīng)用安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施安全標記（S4） 應(yīng)提供為主體和客體設(shè)置安全標記的功能并在安裝后啟用； 借助操作系統(tǒng)提供的安全標記功能。（三）訪問控制應(yīng)用安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施訪問控制（S4） a) 應(yīng)提供自主訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；b) 自主訪問控制的覆蓋范圍應(yīng)包括與信息安全直接相關(guān)的主體、客體及它們之間的操作；c) 應(yīng)由授權(quán)主體配置訪問控制策略，并禁止默認帳戶的訪問；d) 應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之

40、間形成相互制約的關(guān)系；e) 應(yīng)通過比較安全標記來確定是授予還是拒絕主體對客體的訪問。 abcd 進行應(yīng)用系統(tǒng)二次開發(fā)，并結(jié)合采用第三方身份認證和訪問控制系統(tǒng)。e 借助安全操作系統(tǒng)或內(nèi)核加固軟件提供的強制訪問控制功能實現(xiàn)。（四）可信路徑應(yīng)用安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施可信路徑（S4） a) 在應(yīng)用系統(tǒng)對用戶進行身份鑒別時，應(yīng)能夠建立一條安全的信息傳輸路徑。b) 在用戶通過應(yīng)用系統(tǒng)對資源進行訪問時，應(yīng)用系統(tǒng)應(yīng)保證在被訪問的資源與用戶之間應(yīng)能夠建立一條安全的信息傳輸路徑。 應(yīng)用系統(tǒng)二次開發(fā)，并結(jié)合高等級安全操作系統(tǒng)提供的可信路徑功能。（五）安全審計應(yīng)用安全子項

41、描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施安全審計（G4） a) 應(yīng)提供覆蓋到每個用戶的安全審計功能，對應(yīng)用系統(tǒng)重要安全事件進行審計；b) 應(yīng)保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；c) 審計記錄的內(nèi)容至少應(yīng)包括事件的日期、時間、發(fā)起者信息、類型、描述和結(jié)果等；d) 應(yīng)提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能；e) 應(yīng)根據(jù)系統(tǒng)統(tǒng)一安全策略，提供集中審計接口。 采用網(wǎng)絡(luò)審計結(jié)合日志審計實現(xiàn)；應(yīng)用服務(wù)器采用安全操作系統(tǒng)或安裝內(nèi)核加固軟件，對審計進程進行守護，防止進程中斷。（六）剩余信息保護應(yīng)用安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需

42、部署的安全設(shè)施剩余信息保護（S4） a) 應(yīng)保證用戶的鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間被釋放或重新分配給其他用戶前得到完全清除。 同主機安全。（七）通信完整性 、（八）通信保密性 、（九）抗抵賴應(yīng)用安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施通信完整性（S4） 應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。 采用SSL或IPSEC技術(shù)，結(jié)合基于數(shù)字證書的PKI體系，重要通信加解密采用專用硬件加密卡。通信保密性（S4） a) 在通信雙方建立連接之

43、前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進行會話初始化驗證；b) 應(yīng)對通信過程中的整個報文或會話過程進行加密；c) 應(yīng)基于硬件化的設(shè)備對重要通信過程進行加解密運算和密鑰管理?？沟仲嚕℅4） a) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。（十）軟件容錯應(yīng)用安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施軟件容錯（A4） a) 應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求；b) 應(yīng)提供自動保護功能，當(dāng)故障發(fā)生時自動保護當(dāng)前所有狀態(tài)；c) 應(yīng)提供自動

44、恢復(fù)功能，當(dāng)故障發(fā)生時立即自動啟動新的進程，恢復(fù)原來的工作狀態(tài)。 進行應(yīng)用系統(tǒng)二次開發(fā)。（十一）資源控制應(yīng)用安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施資源控制（A4） a) 當(dāng)應(yīng)用系統(tǒng)中的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；b) 應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進行限制；c) 應(yīng)能夠?qū)蝹€帳戶的多重并發(fā)會話進行限制；d) 應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進行限制；e) 應(yīng)能夠?qū)σ粋€訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；f) 應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進行檢測和報警；g) 應(yīng)提供服務(wù)優(yōu)先級設(shè)定功能

45、，并在安裝后根據(jù)安全策略設(shè)定訪問帳戶或請求進程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。 進行應(yīng)用系統(tǒng)二次開發(fā)或采用第三方應(yīng)用監(jiān)控系統(tǒng)。數(shù)據(jù)安全控制點一級二級三級四級數(shù)據(jù)完整性數(shù)據(jù)完整性*數(shù)據(jù)保密性數(shù)據(jù)保密性*備份和恢復(fù)備份和恢復(fù)*合計合計2333（一）數(shù)據(jù)完整性數(shù)據(jù)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施數(shù)據(jù)完整性（S4） a) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施；b) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施；c)

46、 應(yīng)對重要通信提供專用通信協(xié)議或安全通信協(xié)議服務(wù)，避免來自基于通用通信協(xié)議的攻擊破壞數(shù)據(jù)完整性。 a 采用SSL或IPSEC技術(shù)，結(jié)合基于數(shù)字證書的PKI體系。b 利用安全操作系統(tǒng)或安裝內(nèi)核加固軟件提供的文件完整性保護功能或數(shù)據(jù)庫系統(tǒng)提供的完整性保護功能。c 采用SSL或IPSEC技術(shù)，結(jié)合基于數(shù)字證書的PKI體系。（二）數(shù)據(jù)保密性數(shù)據(jù)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施數(shù)據(jù)保密性（S4） a) 應(yīng)采用加密或其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性；b) 應(yīng)采用加密或其他保護措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲保密性；c) 應(yīng)對

47、重要通信提供專用通信協(xié)議或安全通信協(xié)議服務(wù)，避免來自基于通用協(xié)議的攻擊破壞數(shù)據(jù)保密性。 a 采用SSL或IPSEC技術(shù)，結(jié)合基于數(shù)字證書的PKI體系。b 利用操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)提供的加密存儲機制。c 采用SSL或IPSEC技術(shù)，結(jié)合基于數(shù)字證書的PKI體系。（三）備份和恢復(fù)數(shù)據(jù)安全子項描述子項描述子項描述子項描述需部署的安全設(shè)施需部署的安全設(shè)施備份和恢復(fù)（A4） a) 應(yīng)提供數(shù)據(jù)本地備份與恢復(fù)功能，完全數(shù)據(jù)備份至少每天一次，備份介質(zhì)場外存放；b) 應(yīng)建立異地災(zāi)難備份中心，配備災(zāi)難恢復(fù)所需的通信線路、網(wǎng)絡(luò)設(shè)備和數(shù)據(jù)處理設(shè)備，提供業(yè)務(wù)應(yīng)用的實時無縫切換；c) 應(yīng)提供異地實時備份功能，利用通信網(wǎng)絡(luò)

48、將數(shù)據(jù)實時備份至災(zāi)難備份中心；d) 應(yīng)采用冗余技術(shù)設(shè)計網(wǎng)絡(luò)拓撲結(jié)構(gòu)，避免存在網(wǎng)絡(luò)單點故障；e) 應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。 a 采用備份一體機或光盤備份。bc 建立異地災(zāi)難備份中心，提供異地實時備份和災(zāi)難恢復(fù)。d 關(guān)鍵節(jié)點設(shè)備采用雙機熱備份。e 主要網(wǎng)絡(luò)設(shè)備、服務(wù)器雙機熱備份，主要通信線路雙線路備份。安全管理制度子項描述子項描述子項描述子項描述 措施措施管理制度（G4） a) 應(yīng)制定信息安全工作的總體方針和安全策略，說明機構(gòu)安全工作的總體目標、范圍、原則和安全框架等；b) 應(yīng)對安全管理活動中的各類管理內(nèi)容建立安全管理制度；c) 應(yīng)對要求管理人員或

49、操作人員執(zhí)行的日常管理操作建立操作規(guī)程；d) 應(yīng)形成由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系。 服務(wù)制定和發(fā)布（G4） a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)安全管理制度的制定；b) 安全管理制度應(yīng)具有統(tǒng)一的格式，并進行版本控制；c) 應(yīng)組織相關(guān)人員對制定的安全管理制度進行論證和審定；d) 安全管理制度應(yīng)通過正式、有效的方式發(fā)布；e) 安全管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進行登記；f) 有密級的安全管理制度，應(yīng)注明安全管理制度密級，并進行密級管理。服務(wù)評審和修訂（G4） a) 應(yīng)由信息安全領(lǐng)導(dǎo)小組負責(zé)定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進行審定

50、；b) 應(yīng)定期或不定期對安全管理制度進行檢查和審定，對存在不足或需要改進的安全管理制度進行修訂；c) 應(yīng)明確需要定期修訂的安全管理制度，并指定負責(zé)人或負責(zé)部門負責(zé)制度的日常維護；d) 應(yīng)根據(jù)安全管理制度的相應(yīng)密級確定評審和修訂的操作范圍。服務(wù)安全管理機構(gòu) -1子項描述子項描述子項描述子項描述 措施措施崗位設(shè)置（G4） a) 應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管、安全管理各個方面的負責(zé)人崗位，并定義各負責(zé)人的職責(zé)；b) 應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個工作崗位的職責(zé)；c) 應(yīng)成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；d)

51、 應(yīng)制定文件明確安全管理機構(gòu)各個部門和崗位的職責(zé)、分工和技能要求。 服務(wù)人員配備（G4） a) 應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等；b) 應(yīng)配備專職安全管理員，不可兼任；c) 關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。 授權(quán)和審批（G4） a) 應(yīng)根據(jù)各個部門和崗位的職責(zé)明確授權(quán)審批事項、審批部門和批準人等；b) 應(yīng)針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項建立審批程序，按照審批程序執(zhí)行審批過程，對重要活動建立逐級審批制度；c) 應(yīng)定期審查審批事項，及時更新需授權(quán)和審批的項目、審批部門和審批人等信息；d) 應(yīng)記錄審批過程并保存審批文檔。 服務(wù)安全管理機構(gòu) -2子項描述子項描述子項

52、描述子項描述 措施措施溝通和合作（G4） a) 應(yīng)加強各類管理人員之間、組織內(nèi)部機構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通，定期或不定期召開協(xié)調(diào)會議，共同協(xié)作處理信息安全問題；b) 應(yīng)加強與兄弟單位、公安機關(guān)、電信公司的合作與溝通；c) 應(yīng)加強與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通；d) 應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息；e) 應(yīng)聘請信息安全專家作為常年的安全顧問，指導(dǎo)信息安全建設(shè)，參與安全規(guī)劃和安全評審等。 服務(wù)審核和檢查（G4） a) 安全管理員應(yīng)負責(zé)定期進行安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；b) 應(yīng)

53、由內(nèi)部人員或上級單位定期進行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；c) 應(yīng)制定安全檢查表格實施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報告，并對安全檢查結(jié)果進行通報；d) 應(yīng)制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作，定期按照程序進行安全審核和安全檢查活動。 服務(wù)人員管理子項描述子項描述子項描述子項描述 措施措施人員錄用（G4）a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)人員錄用；b) 應(yīng)嚴格規(guī)范人員錄用過程，對被錄用人員的身份、背景、專業(yè)資格和資質(zhì)等進行審查，對其所具有的技術(shù)技能進行考核；c) 應(yīng)簽署保密協(xié)議；d) 應(yīng)從

54、內(nèi)部人員中選拔從事關(guān)鍵崗位的人員，并簽署崗位安全協(xié)議。服務(wù)人員離崗（G4）a) 應(yīng)制定有關(guān)管理規(guī)范，嚴格規(guī)范人員離崗過程，及時終止離崗員工的所有訪問權(quán)限；b) 應(yīng)取回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備；c) 應(yīng)辦理嚴格的調(diào)離手續(xù)，并承諾調(diào)離后的保密義務(wù)后方可離開。服務(wù)人員考核（G4）a) 應(yīng)定期對各個崗位的人員進行安全技能及安全認知的考核；b) 應(yīng)對關(guān)鍵崗位的人員進行全面、嚴格的安全審查和技能考核；c) 應(yīng)建立保密制度，并定期或不定期的對保密制度執(zhí)行情況進行檢查或考核；d) 應(yīng)對考核結(jié)果進行記錄并保存。服務(wù)安全意識教育和培訓(xùn)（G4）a) 應(yīng)對各類人員進行安全意識教育、崗位技能培

55、訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)；b) 應(yīng)對安全責(zé)任和懲戒措施進行書面規(guī)定并告知相關(guān)人員，對違反違背安全策略和規(guī)定的人員進行懲戒；c) 應(yīng)對定期安全教育和培訓(xùn)進行書面規(guī)定，針對不同崗位制定不同的培訓(xùn)計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進行培訓(xùn)；d) 應(yīng)對安全教育和培訓(xùn)的情況和結(jié)果進行記錄并歸檔保存。服務(wù)外部人員訪問管理（G4）a) 應(yīng)確保在外部人員訪問受控區(qū)域前先提出書面申請，批準后由專人全程陪同或監(jiān)督，并登記備案；b) 對外部人員允許訪問的區(qū)域、系統(tǒng)、設(shè)備、信息等內(nèi)容應(yīng)進行書面的規(guī)定，并按照規(guī)定執(zhí)行；c) 對關(guān)鍵區(qū)域不允許外部人員訪問。服務(wù)系統(tǒng)建設(shè)管理 -1子項描述子項描述子項描述子項描述 措施措施

56、系統(tǒng)定級（G4） a) 應(yīng)明確信息系統(tǒng)的邊界和安全保護等級；b) 應(yīng)以書面的形式說明確定信息系統(tǒng)為某個安全保護等級的方法和理由；c) 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對信息系統(tǒng)定級結(jié)果的合理性和正確性進行論證和審定；d) 應(yīng)確保信息系統(tǒng)的定級結(jié)果經(jīng)過相關(guān)部門的批準。 安全方案設(shè)計（G4） a) 應(yīng)根據(jù)系統(tǒng)的安全保護等級選擇基本安全措施，依據(jù)風(fēng)險分析的結(jié)果補充和調(diào)整安全措施；b) 應(yīng)指定和授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進行總體規(guī)劃，制定近期和遠期的安全建設(shè)工作計劃；c) 應(yīng)根據(jù)信息系統(tǒng)的等級劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細設(shè)計方案，

57、并形成配套文件；d) 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套文件的合理性和正確性進行論證和審定，并且經(jīng)過批準后，才能正式實施；e) 應(yīng)根據(jù)等級測評、安全評估的結(jié)果定期調(diào)整和修訂總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套文件。 服務(wù)系統(tǒng)建設(shè)管理 -2子項描述子項描述子項描述子項描述 措施措施產(chǎn)品采購和使用（G4） a) 應(yīng)確保安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定；b) 應(yīng)確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求；c) 應(yīng)指定或授權(quán)專門的部門負責(zé)產(chǎn)品的采購；d) 應(yīng)預(yù)先對產(chǎn)品進行選

58、型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單；e) 應(yīng)對重要部位的產(chǎn)品委托專業(yè)測評單位進行專項測試，根據(jù)測試結(jié)果選用產(chǎn)品。 服務(wù)自行軟件開發(fā)（G4） a) 應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開，測試數(shù)據(jù)和測試結(jié)果受到控制；b) 應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準則；c) 應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼；d) 應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南，并由專人負責(zé)保管；e) 應(yīng)確保對程序資源庫的修改、更新、發(fā)布進行授權(quán)和批準；f) 應(yīng)確保開發(fā)人員為專職人員，開發(fā)人員的開發(fā)活動受到控制、監(jiān)視和審查。 服務(wù)外包軟件開發(fā)（G4） a) 應(yīng)根據(jù)

59、開發(fā)要求測試軟件質(zhì)量；b) 應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼；c) 應(yīng)要求開發(fā)單位提供軟件設(shè)計的相關(guān)文檔和使用指南；d) 應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門和隱蔽信道。 服務(wù)系統(tǒng)建設(shè)管理 -3子項描述子項描述子項描述子項描述 措施措施工程實施（G4） a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)工程實施過程的管理；b) 應(yīng)制定詳細的工程實施方案控制實施過程，并要求工程實施單位能正式地執(zhí)行安全工程過程；c) 應(yīng)制定工程實施方面的管理制度明確說明實施過程的控制方法和人員行為準則；d) 應(yīng)通過第三方工程監(jiān)理控制項目的實施過程。 服務(wù)測試驗收（G4） a) 應(yīng)委托公正的第

60、三方測試單位對系統(tǒng)進行安全性測試，并出具安全性測試報告；b) 在測試驗收前應(yīng)根據(jù)設(shè)計方案或合同要求等制訂測試驗收方案，在測試驗收過程中應(yīng)詳細記錄測試驗收結(jié)果，并形成測試驗收報告；c) 應(yīng)對系統(tǒng)測試驗收的控制方法和人員行為準則進行書面規(guī)定；d) 應(yīng)指定或授權(quán)專門的部門負責(zé)系統(tǒng)測試驗收的管理，并按照管理規(guī)定的要求完成系統(tǒng)測試驗收工作；e) 應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗收報告進行審定，并簽字確認。 服務(wù)系統(tǒng)交付（G4） a) 應(yīng)制定詳細的系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進行清點；b) 應(yīng)對負責(zé)系統(tǒng)運行維護的技術(shù)人員進行相應(yīng)的技能培訓(xùn)；c) 應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進行系統(tǒng)運