GB/T 22239-2008信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求

犐犆犛３５．０４０

犔８０

中華人民共和國國家標(biāo)準(zhǔn)

犌犅／犜２２２３９—２００８

信息安全技術(shù)

信息系統(tǒng)安全等級保護(hù)基本要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犅犪狊犲犾犻狀犲犳狅狉犮犾犪狊狊犻犳犻犲犱狆狉狅狋犲犮狋犻狅狀狅犳犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊犲犮狌狉犻狋狔

２００８０６１９發(fā)布２００８１１０１實(shí)施

中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會

書

犌犅／犜２２２３９—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息系統(tǒng)安全等級保護(hù)概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．１信息系統(tǒng)安全保護(hù)等級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．２不同等級的安全保護(hù)能力!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．３基本技術(shù)要求和基本管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．４基本技術(shù)要求的三種類型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５第一級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．２網(wǎng)絡(luò)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．３主機(jī)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．４應(yīng)用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．５數(shù)據(jù)安全及備份恢復(fù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．２安全管理機(jī)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．３人員安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．４系統(tǒng)建設(shè)管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．５系統(tǒng)運(yùn)維管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６第二級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．２網(wǎng)絡(luò)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．３主機(jī)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１．４應(yīng)用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．５數(shù)據(jù)安全及備份恢復(fù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．２安全管理機(jī)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．３人員安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２．４系統(tǒng)建設(shè)管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２．５系統(tǒng)運(yùn)維管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７第三級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．１技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

Ⅰ

書

犌犅／犜２２２３９—２００８

７．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．１．２網(wǎng)絡(luò)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７．１．３主機(jī)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．１．４應(yīng)用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．１．５數(shù)據(jù)安全及備份恢復(fù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２．２安全管理機(jī)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７．２．３人員安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．２．４系統(tǒng)建設(shè)管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．２．５系統(tǒng)運(yùn)維管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８第四級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１．２網(wǎng)絡(luò)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

８．１．３主機(jī)安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

８．１．４應(yīng)用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

８．１．５數(shù)據(jù)安全及備份恢復(fù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２．２安全管理機(jī)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

８．２．３人員安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

８．２．４系統(tǒng)建設(shè)管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

８．２．５系統(tǒng)運(yùn)維管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

９第五級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

附錄Ａ（規(guī)范性附錄）關(guān)于信息系統(tǒng)整體安全保護(hù)能力的要求!!!!!!!!!!!!!!!４２

附錄Ｂ（規(guī)范性附錄）基本安全要求的選擇和使用!!!!!!!!!!!!!!!!!!!!４３

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

Ⅱ

犌犅／犜２２２３９—２００８

前言

本標(biāo)準(zhǔn)的附錄Ａ和附錄Ｂ是規(guī)范性附錄。

本標(biāo)準(zhǔn)由公安部和全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提出。

本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會歸口。

本標(biāo)準(zhǔn)起草單位：公安部信息安全等級保護(hù)評估中心。

本標(biāo)準(zhǔn)主要起草人：馬力、任衛(wèi)紅、李明、袁靜、謝朝海、曲潔、李升、陳雪秀、朱建平、黃洪、劉靜、

羅崢、畢馬寧。

Ⅲ

犌犅／犜２２２３９—２００８

引言

依據(jù)國家信息安全等級保護(hù)管理規(guī)定制定本標(biāo)準(zhǔn)。

本標(biāo)準(zhǔn)是信息安全等級保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一。

與本標(biāo)準(zhǔn)相關(guān)的系列標(biāo)準(zhǔn)包括：

———ＧＢ／Ｔ２２２４０—２００８《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)定級指南》；

———國家標(biāo)準(zhǔn)《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)實(shí)施指南》。

本標(biāo)準(zhǔn)與ＧＢ１７８５９—１９９９、ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等標(biāo)準(zhǔn)

共同構(gòu)成了信息系統(tǒng)安全等級保護(hù)的相關(guān)配套標(biāo)準(zhǔn)。其中ＧＢ１７８５９—１９９９是基礎(chǔ)性標(biāo)準(zhǔn)，本標(biāo)準(zhǔn)、

ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等是在ＧＢ１７８５９—１９９９基礎(chǔ)上的進(jìn)一步

細(xì)化和擴(kuò)展。

本標(biāo)準(zhǔn)在ＧＢ１７８５９—１９９９、ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等技術(shù)

類標(biāo)準(zhǔn)的基礎(chǔ)上，根據(jù)現(xiàn)有技術(shù)的發(fā)展水平，提出和規(guī)定了不同安全保護(hù)等級信息系統(tǒng)的最低保護(hù)要

求，即基本安全要求，基本安全要求包括基本技術(shù)要求和基本管理要求，本標(biāo)準(zhǔn)適用于指導(dǎo)不同安全保

護(hù)等級信息系統(tǒng)的安全建設(shè)和監(jiān)督管理。

在本標(biāo)準(zhǔn)文本中，黑體字表示較低等級中沒有出現(xiàn)或增強(qiáng)的要求。

Ⅳ

犌犅／犜２２２３９—２００８

信息安全技術(shù)

信息系統(tǒng)安全等級保護(hù)基本要求

１范圍

本標(biāo)準(zhǔn)規(guī)定了不同安全保護(hù)等級信息系統(tǒng)的基本保護(hù)要求，包括基本技術(shù)要求和基本管理要求，適

用于指導(dǎo)分等級