等保2.0梳理表(含1-4級)excel表格

級別,技術(shù)與管理,分類,細分,具體要求

四級,安全通用要求,安全物理環(huán)境,物理位置選擇,a)機房場地應(yīng)選擇在具有防震、防風和防雨等能力的建筑內(nèi)；

四級,安全通用要求,安全物理環(huán)境,物理位置選擇,b)機房場地應(yīng)避免設(shè)在建筑物的頂層或地下室，否則應(yīng)加強防水和防潮措施。

四級,安全通用要求,安全物理環(huán)境,物理訪問控制,a)機房出入口應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；

四級,安全通用要求,安全物理環(huán)境,物理訪問控制,b)重要區(qū)域應(yīng)配置第二道電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。

四級,安全通用要求,安全物理環(huán)境,防盜竊和防破壞,a)應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標識；

四級,安全通用要求,安全物理環(huán)境,防盜竊和防破壞,b)應(yīng)將通信線纜鋪設(shè)在隱蔽安全處；

四級,安全通用要求,安全物理環(huán)境,防盜竊和防破壞,c)應(yīng)設(shè)置機房防盜報警系統(tǒng)或設(shè)置有專人值守的視頻監(jiān)控系統(tǒng)。

四級,安全通用要求,安全物理環(huán)境,防雷擊,a)應(yīng)將各類機柜、設(shè)施和設(shè)備等通過接地系統(tǒng)安全接地；

四級,安全通用要求,安全物理環(huán)境,防雷擊,b)應(yīng)采取措施防止感應(yīng)雷，例如設(shè)置防雷保安器或過壓保護裝置等。

四級,安全通用要求,安全物理環(huán)境,防火,a)機房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；

四級,安全通用要求,安全物理環(huán)境,防火,b)機房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料；

四級,安全通用要求,安全物理環(huán)境,防火,c)應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置隔離防火措施。

四級,安全通用要求,安全物理環(huán)境,防水和防潮,a)應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；

四級,安全通用要求,安全物理環(huán)境,防水和防潮,b)應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；

四級,安全通用要求,安全物理環(huán)境,防水和防潮,c)應(yīng)安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。

四級,安全通用要求,安全物理環(huán)境,防靜電,a)應(yīng)采用防靜電地板或地面并采用必要的接地防靜電措施；

四級,安全通用要求,安全物理環(huán)境,防靜電,b)應(yīng)采取措施防止靜電的產(chǎn)生，例如采用靜電消除器、佩戴防靜電手環(huán)等。

四級,安全通用要求,安全物理環(huán)境,溫濕度控制,應(yīng)設(shè)置溫濕度自動調(diào)節(jié)設(shè)施，使機房溫濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。

四級,安全通用要求,安全物理環(huán)境,電力供應(yīng),a)應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備；

四級,安全通用要求,安全物理環(huán)境,電力供應(yīng),a)應(yīng)提供短期的備用電力供應(yīng)，至少滿足設(shè)備在斷電情況下的正常運行要求；

四級,安全通用要求,安全物理環(huán)境,電力供應(yīng),b)應(yīng)設(shè)置冗余或并行的電力電纜線路為計算機系統(tǒng)供電；

四級,安全通用要求,安全物理環(huán)境,電力供應(yīng),c)應(yīng)提供應(yīng)急供電設(shè)施。

四級,安全通用要求,安全物理環(huán)境,電磁防護,a)電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾；

四級,安全通用要求,安全物理環(huán)境,電磁防護,b)應(yīng)對關(guān)鍵設(shè)備或關(guān)鍵區(qū)域?qū)嵤╇姶牌帘巍?/p>

四級,安全通用要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),a)應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要；

四級,安全通用要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),b)應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；

四級,安全通用要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),c)應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址；

四級,安全通用要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),d)應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段；

四級,安全通用要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),e)應(yīng)提供通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備和關(guān)鍵計算設(shè)備的硬件冗余，保證系統(tǒng)的可用性；

四級,安全通用要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),f)應(yīng)按照業(yè)務(wù)服務(wù)的重要程度分配帶寬，優(yōu)先保障重要業(yè)務(wù)。

四級,安全通用要求,安全通信網(wǎng)絡(luò),通信傳輸,a)應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；

四級,安全通用要求,安全通信網(wǎng)絡(luò),通信傳輸,b)應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性；

四級,安全通用要求,安全通信網(wǎng)絡(luò),通信傳輸,c)應(yīng)在通信前基于密碼技術(shù)對通信的雙方進行驗證或認證；

四級,安全通用要求,安全通信網(wǎng)絡(luò),通信傳輸,d)應(yīng)基于硬件密碼模塊對重要通信過程進行密碼運算和密鑰管理。

四級,安全通用要求,安全通信網(wǎng)絡(luò),可信驗證,基于可信根對通信設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序等進行可信驗證，并在應(yīng)用程序的所有執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性受到破壞后進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心，并進行動態(tài)關(guān)聯(lián)感知。

四級,安全通用要求,安全區(qū)域邊界,邊界防護,a)應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進行通信；

四級,安全通用要求,安全區(qū)域邊界,邊界防護,b)應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查或限制；

四級,安全通用要求,安全區(qū)域邊界,邊界防護,c)應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查或限制；

四級,安全通用要求,安全區(qū)域邊界,邊界防護,d)應(yīng)限制無線網(wǎng)絡(luò)的使用，保證無線網(wǎng)絡(luò)通過受控的邊界設(shè)備接入內(nèi)部網(wǎng)絡(luò)；

四級,安全通用要求,安全區(qū)域邊界,邊界防護,e)應(yīng)能夠在發(fā)現(xiàn)非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為或內(nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為時，對其進行有效阻斷；

四級,安全通用要求,安全區(qū)域邊界,邊界防護,f)應(yīng)采用可信驗證機制對接入到網(wǎng)絡(luò)中的設(shè)備進行可信驗證，保證接入網(wǎng)絡(luò)的設(shè)備真實可信。

四級,安全通用要求,安全區(qū)域邊界,訪問控制,a)應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認情況下除允許通信外受控接口拒絕所有通信；

四級,安全通用要求,安全區(qū)域邊界,訪問控制,b)應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化；

四級,安全通用要求,安全區(qū)域邊界,訪問控制,c)應(yīng)對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許/拒絕數(shù)據(jù)包進出；

四級,安全通用要求,安全區(qū)域邊界,訪問控制,d)應(yīng)能根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力；

四級,安全通用要求,安全區(qū)域邊界,訪問控制,e)應(yīng)在網(wǎng)絡(luò)邊界通過通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進行數(shù)據(jù)交換。

四級,安全通用要求,安全區(qū)域邊界,入侵防范,a)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為；

四級,安全通用要求,安全區(qū)域邊界,入侵防范,b)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為；

四級,安全通用要求,安全區(qū)域邊界,入侵防范,c)應(yīng)采取技術(shù)措施對網(wǎng)絡(luò)行為進行分析，實現(xiàn)對網(wǎng)絡(luò)攻擊特別是新型網(wǎng)絡(luò)攻擊行為的分析；

四級,安全通用要求,安全區(qū)域邊界,入侵防范,d)當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目標、攻擊時間，在發(fā)生嚴重入侵事件時應(yīng)提供報警。

四級,安全通用要求,安全區(qū)域邊界,惡意代碼和垃圾郵件防范,a)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處對惡意代碼進行檢測和清除，并維護惡意代碼防護機制的升級和更新；

四級,安全通用要求,安全區(qū)域邊界,惡意代碼和垃圾郵件防范,b)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處對垃圾郵件進行檢測和防護，并維護垃圾郵件防護機制的升級和更新。

四級,安全通用要求,安全區(qū)域邊界,安全審計,a)應(yīng)在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點進行安全審計，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；

四級,安全通用要求,安全區(qū)域邊界,安全審計,b)審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；

四級,安全通用要求,安全區(qū)域邊界,安全審計,c)應(yīng)對審計記錄進行保護，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等。

四級,安全通用要求,安全區(qū)域邊界,可信驗證,可基于可信根對通信設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序等進行可信驗證，并在應(yīng)用程序的所有執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性受到破壞后進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心，并進行動態(tài)關(guān)聯(lián)感知。

四級,安全通用要求,安全計算環(huán)境,身份鑒別,a)應(yīng)對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；

四級,安全通用要求,安全計算環(huán)境,身份鑒別,b)應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當?shù)卿涍B接超時自動退出等相關(guān)措施；

四級,安全通用要求,安全計算環(huán)境,身份鑒別,c)當進行遠程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；

四級,安全通用要求,安全計算環(huán)境,身份鑒別,d)應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。

四級,安全通用要求,安全計算環(huán)境,訪問控制,a)應(yīng)對登錄的用戶分配賬戶和權(quán)限；

四級,安全通用要求,安全計算環(huán)境,訪問控制,b)應(yīng)重命名或刪除默認賬戶，修改默認賬戶的默認口令；

四級,安全通用要求,安全計算環(huán)境,訪問控制,c)應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在；

四級,安全通用要求,安全計算環(huán)境,訪問控制,d)應(yīng)授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離；

四級,安全通用要求,安全計算環(huán)境,訪問控制,e)應(yīng)由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則；

四級,安全通用要求,安全計算環(huán)境,訪問控制,f)訪問控制的粒度應(yīng)達到主體為用戶級或進程級，客體為文件、數(shù)據(jù)庫表級；

四級,安全通用要求,安全計算環(huán)境,訪問控制,g)應(yīng)對主體、客體設(shè)置安全標記，并依據(jù)安全標記和強制訪問控制規(guī)則確定主體對客體的訪問。

四級,安全通用要求,安全計算環(huán)境,安全審計,a)應(yīng)啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；

四級,安全通用要求,安全計算環(huán)境,安全審計,b)審計記錄應(yīng)包括事件的日期和時間、事件類型、主體標識、客體標識和結(jié)果等；

四級,安全通用要求,安全計算環(huán)境,安全審計,c)應(yīng)對審計記錄進行保護，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；

四級,安全通用要求,安全計算環(huán)境,安全審計,d)應(yīng)對審計進程進行保護，防止未經(jīng)授權(quán)的中斷。

四級,安全通用要求,安全計算環(huán)境,入侵防范,a)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序；

四級,安全通用要求,安全計算環(huán)境,入侵防范,b)應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認共享和高危端口；

四級,安全通用要求,安全計算環(huán)境,入侵防范,c)應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進行管理的管理終端進行限制；

四級,安全通用要求,安全計算環(huán)境,入侵防范,d)應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求；

四級,安全通用要求,安全計算環(huán)境,入侵防范,e)應(yīng)能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過充分測試評估后，及時修補漏洞；

四級,安全通用要求,安全計算環(huán)境,入侵防范,f)應(yīng)能夠檢測到對重要節(jié)點進行入侵的行為，并在發(fā)生嚴重入侵事件時提供報警。

四級,安全通用要求,安全計算環(huán)境,惡意代碼防范,應(yīng)采用主動免疫可信驗證機制及時識別入侵和病毒行為，并將其有效阻斷。

四級,安全通用要求,安全計算環(huán)境,可信驗證,可基于可信根對計算設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進行可信驗證，并在應(yīng)用程序的所有執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性受到破壞后進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心，并進行動態(tài)關(guān)聯(lián)感知。

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)完整性,a)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等；

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)完整性,b)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等；

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)完整性,c)在可能涉及法律責任認定的應(yīng)用中，應(yīng)采用密碼技術(shù)提供數(shù)據(jù)原發(fā)證據(jù)和數(shù)據(jù)接收證據(jù)，實現(xiàn)數(shù)據(jù)原發(fā)行為的抗抵賴和數(shù)據(jù)接收行為的抗抵賴。

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)保密性,a)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等；

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)保密性,b)應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等。

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)備份恢復(fù),a)應(yīng)提供重要數(shù)據(jù)的本地數(shù)據(jù)備份與恢復(fù)功能；

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)備份恢復(fù),b)應(yīng)提供異地實時備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實時備份至備份場地；

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)備份恢復(fù),c)應(yīng)提供重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性；

四級,安全通用要求,安全計算環(huán)境,數(shù)據(jù)備份恢復(fù),d)應(yīng)建立異地災(zāi)難備份中心，提供業(yè)務(wù)應(yīng)用的實時切換。

四級,安全通用要求,安全計算環(huán)境,剩余信息保護,a)應(yīng)保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除；

四級,安全通用要求,安全計算環(huán)境,剩余信息保護,b)應(yīng)保證存有敏感數(shù)據(jù)的存儲空間被釋放或重新分配前得到完全清除。

四級,安全通用要求,安全計算環(huán)境,個人信息保護,a)應(yīng)僅采集和保存業(yè)務(wù)必需的用戶個人信息；

四級,安全通用要求,安全計算環(huán)境,個人信息保護,b)應(yīng)禁止未授權(quán)訪問和非法使用用戶個人信息。

四級,安全通用要求,安全管理中心,系統(tǒng)管理,a)應(yīng)對系統(tǒng)管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并對這些操作進行審計；

四級,安全通用要求,安全管理中心,系統(tǒng)管理,b)應(yīng)通過系統(tǒng)管理員對系統(tǒng)的資源和運行進行配置、控制和管理，包括用戶身份、系統(tǒng)資源配置、系統(tǒng)加載和啟動、系統(tǒng)運行的異常處理、數(shù)據(jù)和設(shè)備的備份與恢復(fù)等。

四級,安全通用要求,安全管理中心,審計管理,a)應(yīng)對審計管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作，并對這些操作進行審計；

四級,安全通用要求,安全管理中心,審計管理,b)應(yīng)通過審計管理員對審計記錄應(yīng)進行分析，并根據(jù)分析結(jié)果進行處理，包括根據(jù)安全審計策略對審計記錄進行存儲、管理和查詢等。

四級,安全通用要求,安全管理中心,安全管理,a)應(yīng)對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并對這些操作進行審計；

四級,安全通用要求,安全管理中心,安全管理,b)應(yīng)通過安全管理員對系統(tǒng)中的安全策略進行配置，包括安全參數(shù)的設(shè)置，主體、客體進行統(tǒng)一安全標記，對主體進行授權(quán)，配置可信驗證策略等。

四級,安全通用要求,安全管理中心,集中管控,a)應(yīng)劃分出特定的管理區(qū)域，對分布在網(wǎng)絡(luò)中的安全設(shè)備或安全組件進行管控；

四級,安全通用要求,安全管理中心,集中管控,b)應(yīng)能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò)中的安全設(shè)備或安全組件進行管理；

四級,安全通用要求,安全管理中心,集中管控,c)應(yīng)對網(wǎng)絡(luò)鏈路、安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等的運行狀況進行集中監(jiān)測；

四級,安全通用要求,安全管理中心,集中管控,d)應(yīng)對分散在各個設(shè)備上的審計數(shù)據(jù)進行收集匯總和集中分析，并保證審計記錄的留存時間符合法律法規(guī)要求；

四級,安全通用要求,安全管理中心,集中管控,e)應(yīng)對安全策略、惡意代碼、補丁升級等安全相關(guān)事項進行集中管理；

四級,安全通用要求,安全管理中心,集中管控,f)應(yīng)能對網(wǎng)絡(luò)中發(fā)生的各類安全事件進行識別、報警和分析；

四級,安全通用要求,安全管理中心,集中管控,g)應(yīng)保證系統(tǒng)范圍內(nèi)的時間由唯一確定的時鐘產(chǎn)生，以保證各種數(shù)據(jù)的管理和分析在時間上的一致性。

四級,安全通用要求,安全管理制度,安全策略,應(yīng)制定網(wǎng)絡(luò)安全工作的總體方針和安全策略，闡明機構(gòu)安全工作的總體目標、范圍、原則和安全框架等。

四級,安全通用要求,安全管理制度,管理制度,a)應(yīng)對安全管理活動中的各類管理內(nèi)容建立安全管理制度；

四級,安全通用要求,安全管理制度,管理制度,b)應(yīng)對管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程；

四級,安全通用要求,安全管理制度,管理制度,c)應(yīng)形成由安全策略、管理制度、操作規(guī)程、記錄表單等構(gòu)成的全面的安全管理制度體系。

四級,安全通用要求,安全管理制度,制定和發(fā)布,a)應(yīng)指定或授權(quán)專門的部門或人員負責安全管理制度的制定；

四級,安全通用要求,安全管理制度,制定和發(fā)布,b)安全管理制度應(yīng)通過正式、有效的方式發(fā)布，并進行版本控制。

四級,安全通用要求,安全管理制度,評審和修訂,應(yīng)定期對安全管理制度的合理性和適用性進行論證和審定，對存在不足或需要改進的安全管理制度進行修訂。

四級,安全通用要求,安全管理機構(gòu),崗位設(shè)置,a)應(yīng)成立指導(dǎo)和管理網(wǎng)絡(luò)安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)擔任或授權(quán)；

四級,安全通用要求,安全管理機構(gòu),崗位設(shè)置,b)應(yīng)設(shè)立網(wǎng)絡(luò)安全管理工作的職能部門，設(shè)立安全主管、安全管理各個方面的負責人崗位，并定義各負責人的職責；

四級,安全通用要求,安全管理機構(gòu),崗位設(shè)置,c)應(yīng)設(shè)立系統(tǒng)管理員、審計管理員和安全管理員等崗位，并定義部門及各個工作崗位的職責。

四級,安全通用要求,安全管理機構(gòu),人員配備,a)應(yīng)配備一定數(shù)量的系統(tǒng)管理員、審計管理員和安全管理員等；

四級,安全通用要求,安全管理機構(gòu),人員配備,b)應(yīng)配備專職安全管理員，不可兼任；

四級,安全通用要求,安全管理機構(gòu),人員配備,c)關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。

四級,安全通用要求,安全管理機構(gòu),授權(quán)和審批,a)應(yīng)根據(jù)各個部門和崗位的職責明確授權(quán)審批事項、審批部門和批準人等；

四級,安全通用要求,安全管理機構(gòu),授權(quán)和審批,b)應(yīng)針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項建立審批程序，按照審批程序執(zhí)行審批過程，對重要活動建立逐級審批制度；

四級,安全通用要求,安全管理機構(gòu),授權(quán)和審批,c)應(yīng)定期審查審批事項，及時更新需授權(quán)和審批的項目、審批部門和審批人等信息。

四級,安全通用要求,安全管理機構(gòu),溝通和合作,a)應(yīng)加強各類管理人員、組織內(nèi)部機構(gòu)和網(wǎng)絡(luò)安全管理部門之間的合作與溝通，定期召開協(xié)調(diào)會議，共同協(xié)作處理網(wǎng)絡(luò)安全問題；

四級,安全通用要求,安全管理機構(gòu),溝通和合作,b)應(yīng)加強與網(wǎng)絡(luò)安全職能部門、各類供應(yīng)商、業(yè)界專家及安全組織的合作與溝通；

四級,安全通用要求,安全管理機構(gòu),溝通和合作,c)應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息。

四級,安全通用要求,安全管理機構(gòu),審核和檢查,a)應(yīng)定期進行常規(guī)安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；

四級,安全通用要求,安全管理機構(gòu),審核和檢查,b)應(yīng)定期進行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；

四級,安全通用要求,安全管理機構(gòu),審核和檢查,c)應(yīng)制定安全檢查表格實施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報告，并對安全檢查結(jié)果進行通報。

四級,安全通用要求,安全管理人員,人員錄用,a)應(yīng)指定或授權(quán)專門的部門或人員負責人員錄用；

四級,安全通用要求,安全管理人員,人員錄用,b)應(yīng)對被錄用人員的身份、安全背景、專業(yè)資格或資質(zhì)等進行審查，對其所具有的技術(shù)技能進行考核；

四級,安全通用要求,安全管理人員,人員錄用,c)應(yīng)與被錄用人員簽署保密協(xié)議，與關(guān)鍵崗位人員簽署崗位責任協(xié)議；

四級,安全通用要求,安全管理人員,人員錄用,d)應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員。

四級,安全通用要求,安全管理人員,人員離崗,a)應(yīng)及時終止離崗人員的所有訪問權(quán)限，取回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備；

四級,安全通用要求,安全管理人員,人員離崗,b)應(yīng)辦理嚴格的調(diào)離手續(xù)，并承諾調(diào)離后的保密義務(wù)后方可離開。

四級,安全通用要求,安全管理人員,安全意識教育和培訓(xùn),a)應(yīng)對各類人員進行安全意識教育和崗位技能培訓(xùn)，并告知相關(guān)的安全責任和懲戒措施；

四級,安全通用要求,安全管理人員,安全意識教育和培訓(xùn),b)應(yīng)針對不同崗位制定不同的培訓(xùn)計劃，對安全基礎(chǔ)知識、崗位操作規(guī)程等進行培訓(xùn)；

四級,安全通用要求,安全管理人員,安全意識教育和培訓(xùn),c)應(yīng)定期對不同崗位的人員進行技術(shù)技能考核。

四級,安全通用要求,安全管理人員,外部人員訪問管理,a)應(yīng)在外部人員物理訪問受控區(qū)域前先提出書面申請，批準后由專人全程陪同，并登記備案；

四級,安全通用要求,安全管理人員,外部人員訪問管理,b)應(yīng)在外部人員接入受控網(wǎng)絡(luò)訪問系統(tǒng)前先提出書面申請，批準后由專人開設(shè)賬戶、分配權(quán)限，并登記備案；

四級,安全通用要求,安全管理人員,外部人員訪問管理,c)外部人員離場后應(yīng)及時清除其所有的訪問權(quán)限；

四級,安全通用要求,安全管理人員,外部人員訪問管理,d)獲得系統(tǒng)訪問授權(quán)的外部人員應(yīng)簽署保密協(xié)議，不得進行非授權(quán)操作，不得復(fù)制和泄露任何敏感信息；

四級,安全通用要求,安全管理人員,外部人員訪問管理,e)對關(guān)鍵區(qū)域或關(guān)鍵系統(tǒng)不允許外部人員訪問。

四級,安全通用要求,安全建設(shè)管理,定級和備案,a)應(yīng)以書面的形式說明保護對象的安全保護等級及確定等級的方法和理由；

四級,安全通用要求,安全建設(shè)管理,定級和備案,b)應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對定級結(jié)果的合理性和正確性進行論證和審定；

四級,安全通用要求,安全建設(shè)管理,定級和備案,c)應(yīng)保證定級結(jié)果經(jīng)過相關(guān)部門的批準；

四級,安全通用要求,安全建設(shè)管理,定級和備案,d)應(yīng)將備案材料報主管部門和相應(yīng)公安機關(guān)備案。

四級,安全通用要求,安全建設(shè)管理,安全方案設(shè)計,a)應(yīng)根據(jù)安全保護等級選擇基本安全措施，依據(jù)風險分析的結(jié)果補充和調(diào)整安全措施；

四級,安全通用要求,安全建設(shè)管理,安全方案設(shè)計,b)應(yīng)根據(jù)保護對象的安全保護等級及與其他級別保護對象的關(guān)系進行安全整體規(guī)劃和安全方案設(shè)計，設(shè)計內(nèi)容應(yīng)包含密碼技術(shù)相關(guān)內(nèi)容，并形成配套文件；

四級,安全通用要求,安全建設(shè)管理,安全方案設(shè)計,c)應(yīng)組織相關(guān)部門和有關(guān)安全專家對安全整體規(guī)劃及其配套文件的合理性和正確性進行論證和審定，經(jīng)過批準后才能正式實施。

四級,安全通用要求,安全建設(shè)管理,產(chǎn)品采購和使用,a)應(yīng)確保網(wǎng)絡(luò)安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定；

四級,安全通用要求,安全建設(shè)管理,產(chǎn)品采購和使用,b)應(yīng)確保密碼產(chǎn)品與服務(wù)的采購和使用符合國家密碼管理主管部門的要求；

四級,安全通用要求,安全建設(shè)管理,產(chǎn)品采購和使用,c)應(yīng)預(yù)先對產(chǎn)品進行選型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單；

四級,安全通用要求,安全建設(shè)管理,產(chǎn)品采購和使用,d)應(yīng)對重要部位的產(chǎn)品委托專業(yè)測評單位進行專項測試，根據(jù)測試結(jié)果選用產(chǎn)品。

四級,安全通用要求,安全建設(shè)管理,自行軟件開發(fā),a)應(yīng)將開發(fā)環(huán)境與實際運行環(huán)境物理分開，測試數(shù)據(jù)和測試結(jié)果受到控制；

四級,安全通用要求,安全建設(shè)管理,自行軟件開發(fā),b)應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準則；

四級,安全通用要求,安全建設(shè)管理,自行軟件開發(fā),c)應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼；

四級,安全通用要求,安全建設(shè)管理,自行軟件開發(fā),d)應(yīng)具備軟件設(shè)計的相關(guān)文檔和使用指南，并對文檔使用進行控制；

四級,安全通用要求,安全建設(shè)管理,自行軟件開發(fā),e)應(yīng)在軟件開發(fā)過程中對安全性進行測試，在軟件安裝前對可能存在的惡意代碼進行檢測；

四級,安全通用要求,安全建設(shè)管理,自行軟件開發(fā),f)應(yīng)對程序資源庫的修改、更新、發(fā)布進行授權(quán)和批準，并嚴格進行版本控制；

四級,安全通用要求,安全建設(shè)管理,自行軟件開發(fā),g)應(yīng)保證開發(fā)人員為專職人員，開發(fā)人員的開發(fā)活動受到控制、監(jiān)視和審查。

四級,安全通用要求,安全建設(shè)管理,外包軟件開發(fā),a)應(yīng)指定或授權(quán)專門的部門或人員負責工程實施過程的管理；

四級,安全通用要求,安全建設(shè)管理,外包軟件開發(fā),b)應(yīng)制定安全工程實施方案控制工程實施過程；

四級,安全通用要求,安全建設(shè)管理,外包軟件開發(fā),c)應(yīng)通過第三方工程監(jiān)理控制項目的實施過程。

四級,安全通用要求,安全建設(shè)管理,測試驗收,a)應(yīng)制訂測試驗收方案，并依據(jù)測試驗收方案實施測試驗收，形成測試驗收報告；

四級,安全通用要求,安全建設(shè)管理,測試驗收,b)應(yīng)進行上線前的安全性測試，并出具安全測試報告，安全測試報告應(yīng)包含密碼應(yīng)用安全性測試相關(guān)內(nèi)容。

四級,安全通用要求,安全建設(shè)管理,系統(tǒng)交付,a)應(yīng)制定交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進行清點；

四級,安全通用要求,安全建設(shè)管理,系統(tǒng)交付,b)應(yīng)對負責運行維護的技術(shù)人員進行相應(yīng)的技能培訓(xùn)；

四級,安全通用要求,安全建設(shè)管理,系統(tǒng)交付,c)應(yīng)提供建設(shè)過程文檔和運行維護文檔。

四級,安全通用要求,安全建設(shè)管理,等級測評,a)應(yīng)定期進行等級測評，發(fā)現(xiàn)不符合相應(yīng)等級保護標準要求的及時整改；

四級,安全通用要求,安全建設(shè)管理,等級測評,b)應(yīng)在發(fā)生重大變更或級別發(fā)生變化時進行等級測評；

四級,安全通用要求,安全建設(shè)管理,等級測評,c)應(yīng)確保測評機構(gòu)的選擇符合國家有關(guān)規(guī)定。

四級,安全通用要求,安全建設(shè)管理,服務(wù)供應(yīng)商選擇,a)應(yīng)確保服務(wù)供應(yīng)商的選擇符合國家的有關(guān)規(guī)定；

四級,安全通用要求,安全建設(shè)管理,服務(wù)供應(yīng)商選擇,b)應(yīng)與選定的服務(wù)供應(yīng)商簽訂相關(guān)協(xié)議，明確整個服務(wù)供應(yīng)鏈各方需履行的網(wǎng)絡(luò)安全相關(guān)義務(wù)；

四級,安全通用要求,安全建設(shè)管理,服務(wù)供應(yīng)商選擇,c)應(yīng)定期監(jiān)督、評審和審核服務(wù)供應(yīng)商提供的服務(wù)，并對其變更服務(wù)內(nèi)容加以控制。

四級,安全通用要求,安全運維管理,環(huán)境管理,a)應(yīng)指定專門的部門或人員負責機房安全，對機房出入進行管理，定期對機房供配電、空調(diào)、溫濕度控制、消防等設(shè)施進行維護管理；

四級,安全通用要求,安全運維管理,環(huán)境管理,b)應(yīng)建立機房安全管理制度，對有關(guān)物理訪問、物品進出和環(huán)境安全等方面的管理作出規(guī)定；

四級,安全通用要求,安全運維管理,環(huán)境管理,c)應(yīng)不在重要區(qū)域接待來訪人員，不隨意放置含有敏感信息的紙檔文件和移動介質(zhì)等；

四級,安全通用要求,安全運維管理,環(huán)境管理,d)應(yīng)對出入人員進行相應(yīng)級別的授權(quán)，對進入重要安全區(qū)域的人員和活動實時監(jiān)視等。

四級,安全通用要求,安全運維管理,資產(chǎn)管理,a)應(yīng)編制并保存與保護對象相關(guān)的資產(chǎn)清單，包括資產(chǎn)責任部門、重要程度和所處位置等內(nèi)容；

四級,安全通用要求,安全運維管理,資產(chǎn)管理,b)應(yīng)根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標識管理，根據(jù)資產(chǎn)的價值選擇相應(yīng)的管理措施；

四級,安全通用要求,安全運維管理,資產(chǎn)管理,c)應(yīng)對信息分類與標識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進行規(guī)范化管理。

四級,安全通用要求,安全運維管理,介質(zhì)管理,a)應(yīng)將介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護，實行存儲環(huán)境專人管理，并根據(jù)存檔介質(zhì)的目錄清單定期盤點；

四級,安全通用要求,安全運維管理,介質(zhì)管理,b)應(yīng)對介質(zhì)在物理傳輸過程中的人員選擇、打包、交付等情況進行控制，并對介質(zhì)的歸檔和查詢等進行登記記錄。

四級,安全通用要求,安全運維管理,設(shè)備維護管理,a)應(yīng)對各種設(shè)備（包括備份和冗余設(shè)備）、線路等指定專門的部門或人員定期進行維護管理；

四級,安全通用要求,安全運維管理,設(shè)備維護管理,b)應(yīng)建立配套設(shè)施、軟硬件維護方面的管理制度，對其維護進行有效的管理，包括明確維護人員的責任、維修和服務(wù)的審批、維修過程的監(jiān)督控制等；

四級,安全通用要求,安全運維管理,設(shè)備維護管理,c)信息處理設(shè)備應(yīng)經(jīng)過審批才能帶離機房或辦公地點，含有存儲介質(zhì)的設(shè)備帶出工作環(huán)境時其中重要數(shù)據(jù)應(yīng)加密；

四級,安全通用要求,安全運維管理,設(shè)備維護管理,d)含有存儲介質(zhì)的設(shè)備在報廢或重用前，應(yīng)進行完全清除或被安全覆蓋，保證該設(shè)備上的敏感數(shù)據(jù)和授權(quán)軟件無法被恢復(fù)重用。

四級,安全通用要求,安全運維管理,漏洞和風險管理,a)應(yīng)采取必要的措施識別安全漏洞和隱患，對發(fā)現(xiàn)的安全漏洞和隱患及時進行修補或評估可能的影響后進行修補；

四級,安全通用要求,安全運維管理,漏洞和風險管理,b)應(yīng)定期開展安全測評，形成安全測評報告，采取措施應(yīng)對發(fā)現(xiàn)的安全問題。

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,a)應(yīng)劃分不同的管理員角色進行網(wǎng)絡(luò)和系統(tǒng)的運維管理，明確各個角色的責任和權(quán)限；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,b)應(yīng)指定專門的部門或人員進行賬戶管理，對申請賬戶、建立賬戶、刪除賬戶等進行控制；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,c)應(yīng)建立網(wǎng)絡(luò)和系統(tǒng)安全管理制度，對安全策略、賬戶管理、配置管理、日志管理、日常操作、升級與打補丁、口令更新周期等方面作出規(guī)定；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,d)應(yīng)制定重要設(shè)備的配置和操作手冊，依據(jù)手冊對設(shè)備進行安全配置和優(yōu)化配置等；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,e)應(yīng)詳細記錄運維操作日志，包括日常巡檢工作、運行維護記錄、參數(shù)的設(shè)置和修改等內(nèi)容；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,f)應(yīng)指定專門的部門或人員對日志、監(jiān)測和報警數(shù)據(jù)等進行分析、統(tǒng)計，及時發(fā)現(xiàn)可疑行為；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,g)應(yīng)嚴格控制變更性運維，經(jīng)過審批后才可改變連接、安裝系統(tǒng)組件或調(diào)整配置參數(shù)，操作過程中應(yīng)保留不可更改的審計日志，操作結(jié)束后應(yīng)同步更新配置信息庫；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,h)應(yīng)嚴格控制運維工具的使用，經(jīng)過審批后才可接入進行操作，操作過程中應(yīng)保留不可更改的審計日志，操作結(jié)束后應(yīng)刪除工具中的敏感數(shù)據(jù)；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,i)應(yīng)嚴格控制遠程運維的開通，經(jīng)過審批后才可開通遠程運維接口或通道，操作過程中應(yīng)保留不可更改的審計日志，操作結(jié)束后立即關(guān)閉接口或通道；

四級,安全通用要求,安全運維管理,網(wǎng)絡(luò)和系統(tǒng)安全管理,j)應(yīng)保證所有與外部的連接均得到授權(quán)和批準，應(yīng)定期檢查違反規(guī)定無線上網(wǎng)及其他違反網(wǎng)絡(luò)安全策略的行為。

四級,安全通用要求,安全運維管理,惡意代碼防范管理,a)應(yīng)提高所有用戶的防惡意代碼意識，對外來計算機或存儲設(shè)備接入系統(tǒng)前進行惡意代碼檢查等；

四級,安全通用要求,安全運維管理,惡意代碼防范管理,b)應(yīng)定期驗證防范惡意代碼攻擊的技術(shù)措施的有效性。

四級,安全通用要求,安全運維管理,配置管理,a)應(yīng)記錄和保存基本配置信息，包括網(wǎng)絡(luò)拓撲結(jié)構(gòu)、各個設(shè)備安裝的軟件組件、軟件組件的版本和補丁信息、各個設(shè)備或軟件組件的配置參數(shù)等；

四級,安全通用要求,安全運維管理,配置管理,b)應(yīng)將基本配置信息改變納入系統(tǒng)變更范疇，實施對配置信息改變的控制，并及時更新基本配置信息庫。

四級,安全通用要求,安全運維管理,密碼管理,a)應(yīng)遵循密碼相關(guān)的國家標準和行業(yè)標準；

四級,安全通用要求,安全運維管理,密碼管理,b)應(yīng)使用國家密碼管理主管部門認證核準的密碼技術(shù)和產(chǎn)品；

四級,安全通用要求,安全運維管理,密碼管理,c)應(yīng)采用硬件密碼模塊實現(xiàn)密碼運算和密鑰管理。

四級,安全通用要求,安全運維管理,變更管理,a)應(yīng)明確變更需求，變更前根據(jù)變更需求制定變更方案，變更方案經(jīng)過評審、審批后方可實施；

四級,安全通用要求,安全運維管理,變更管理,b)應(yīng)建立變更的申報和審批控制程序，依據(jù)程序控制所有的變更，記錄變更實施過程；

四級,安全通用要求,安全運維管理,變更管理,c)應(yīng)建立中止變更并從失敗變更中恢復(fù)的程序，明確過程控制方法和人員職責，必要時對恢復(fù)過程進行演練。

四級,安全通用要求,安全運維管理,備份與恢復(fù)管理,a)應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；

四級,安全通用要求,安全運維管理,備份與恢復(fù)管理,b)應(yīng)規(guī)定備份信息的備份方式、備份頻度、存儲介質(zhì)、保存期等；

四級,安全通用要求,安全運維管理,備份與恢復(fù)管理,c)應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略、備份程序和恢復(fù)程序等。

四級,安全通用要求,安全運維管理,安全事件處置,a)應(yīng)及時向安全管理部門報告所發(fā)現(xiàn)的安全弱點和可疑事件；

四級,安全通用要求,安全運維管理,安全事件處置,b)應(yīng)制定安全事件報告和處置管理制度，明確不同安全事件的報告、處置和響應(yīng)流程，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責等；

四級,安全通用要求,安全運維管理,安全事件處置,c)應(yīng)在安全事件報告和響應(yīng)處理過程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結(jié)經(jīng)驗教訓(xùn)；

四級,安全通用要求,安全運維管理,安全事件處置,d)對造成系統(tǒng)中斷和造成信息泄漏的重大安全事件應(yīng)采用不同的處理程序和報告程序；

四級,安全通用要求,安全運維管理,安全事件處置,e)應(yīng)建立聯(lián)合防護和應(yīng)急機制，負責處置跨單位安全事件。

四級,安全通用要求,安全運維管理,應(yīng)急預(yù)案管理,a)應(yīng)規(guī)定統(tǒng)一的應(yīng)急預(yù)案框架，包括啟動預(yù)案的條件、應(yīng)急組織構(gòu)成、應(yīng)急資源保障、事后教育和培訓(xùn)等內(nèi)容；

四級,安全通用要求,安全運維管理,應(yīng)急預(yù)案管理,b)應(yīng)制定重要事件的應(yīng)急預(yù)案，包括應(yīng)急處理流程、系統(tǒng)恢復(fù)流程等內(nèi)容；

四級,安全通用要求,安全運維管理,應(yīng)急預(yù)案管理,c)應(yīng)定期對系統(tǒng)相關(guān)的人員進行應(yīng)急預(yù)案培訓(xùn)，并進行應(yīng)急預(yù)案的演練；

四級,安全通用要求,安全運維管理,應(yīng)急預(yù)案管理,d)應(yīng)定期對原有的應(yīng)急預(yù)案重新評估，修訂完善；

四級,安全通用要求,安全運維管理,應(yīng)急預(yù)案管理,e)應(yīng)建立重大安全事件的跨單位聯(lián)合應(yīng)急預(yù)案，并進行應(yīng)急預(yù)案的演練。

四級,安全通用要求,安全運維管理,外包運維管理,a)應(yīng)確保外包運維服務(wù)商的選擇符合國家的有關(guān)規(guī)定；

四級,安全通用要求,安全運維管理,外包運維管理,b)應(yīng)與選定的外包運維服務(wù)商簽訂相關(guān)的協(xié)議，明確約定外包運維的范圍、工作內(nèi)容；

四級,安全通用要求,安全建設(shè)管理,外包運維管理,c)應(yīng)保證選擇的外包運維服務(wù)商在技術(shù)和管理方面均具有按照等級保護要求開展安全運維工作的能力，并將能力要求在簽訂的協(xié)議中明確；

四級,安全通用要求,安全建設(shè)管理,外包運維管理,d)應(yīng)在與外包運維服務(wù)商簽訂的協(xié)議中明確所有相關(guān)的安全要求，如可能涉及對敏感信息的訪問、處理、存儲要求，對IT基礎(chǔ)設(shè)施中斷服務(wù)的應(yīng)急保障要求等。

四級,云計算安全擴展要求,安全物理環(huán)境,基礎(chǔ)設(shè)施位置,應(yīng)保證云計算基礎(chǔ)設(shè)施位于中國境內(nèi)。

四級,云計算安全擴展要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),a)應(yīng)保證云計算平臺不承載高于其安全保護等級的業(yè)務(wù)應(yīng)用系統(tǒng)；

四級,云計算安全擴展要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),b)應(yīng)實現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離；

四級,云計算安全擴展要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),c)應(yīng)具有根據(jù)云服務(wù)客戶業(yè)務(wù)需求提供通信傳輸、邊界防護、入侵防范等安全機制的能力；

四級,云計算安全擴展要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),d)應(yīng)具有根據(jù)云服務(wù)客戶業(yè)務(wù)需求自主設(shè)置安全策略的能力，包括定義訪問路徑、選擇安全組件、配置安全策略；

四級,云計算安全擴展要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),e)應(yīng)提供開放接口或開放性安全服務(wù)，允許云服務(wù)客戶接入第三方安全產(chǎn)品或在云計算平臺選擇第三方安全服務(wù)；

四級,云計算安全擴展要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),f)應(yīng)提供對虛擬資源的主體和客體設(shè)置安全標記的能力，保證云服務(wù)客戶可以依據(jù)安全標記和強制訪問控制規(guī)則確定主體對客體的訪問；

四級,云計算安全擴展要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),g)應(yīng)提供通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等的數(shù)據(jù)交換方式，保證云服務(wù)客戶可以根據(jù)業(yè)務(wù)需求自主選擇邊界數(shù)據(jù)交換方式；

四級,云計算安全擴展要求,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),h)應(yīng)為第四級業(yè)務(wù)應(yīng)用系統(tǒng)劃分獨立的資源池。

四級,云計算安全擴展要求,安全區(qū)域邊界,訪問控制,a)應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機制，并設(shè)置訪問控制規(guī)則；

四級,云計算安全擴展要求,安全區(qū)域邊界,訪問控制,b)應(yīng)在不同等級的網(wǎng)絡(luò)區(qū)域邊界部署訪問控制機制，設(shè)置訪問控制規(guī)則。

四級,云計算安全擴展要求,安全區(qū)域邊界,入侵防范,a)應(yīng)能檢測到云服務(wù)客戶發(fā)起的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等；

四級,云計算安全擴展要求,安全區(qū)域邊界,入侵防范,b)應(yīng)能檢測到對虛擬網(wǎng)絡(luò)節(jié)點的網(wǎng)絡(luò)攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等；

四級,云計算安全擴展要求,安全區(qū)域邊界,入侵防范,c)應(yīng)能檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量；

四級,云計算安全擴展要求,安全區(qū)域邊界,入侵防范,d)應(yīng)在檢測到網(wǎng)絡(luò)攻擊行為、異常流量情況時進行告警。

四級,云計算安全擴展要求,安全區(qū)域邊界,安全審計,a)應(yīng)對云服務(wù)商和云服務(wù)客戶在遠程管理時執(zhí)行的特權(quán)命令進行審計，至少包括虛擬機刪除、虛擬機重啟；

四級,云計算安全擴展要求,安全區(qū)域邊界,安全審計,b)應(yīng)保證云服務(wù)商對云服務(wù)客戶系統(tǒng)和數(shù)據(jù)的操作可被云服務(wù)客戶審計。

四級,云計算安全擴展要求,安全計算環(huán)境,身份鑒別,當遠程管理云計算平臺中設(shè)備時，管理終端和云計算平臺之間應(yīng)建立雙向身份驗證機制。

四級,云計算安全擴展要求,安全計算環(huán)境,訪問控制,a)應(yīng)保證當虛擬機遷移時，訪問控制策略隨其遷移；

四級,云計算安全擴展要求,安全計算環(huán)境,訪問控制,b)應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機之間的訪問控制策略。

四級,云計算安全擴展要求,安全計算環(huán)境,入侵防范,a)應(yīng)能檢測虛擬機之間的資源隔離失效，并進行告警；

四級,云計算安全擴展要求,安全計算環(huán)境,入侵防范,b)應(yīng)能檢測非授權(quán)新建虛擬機或者重新啟用虛擬機，并進行告警；

四級,云計算安全擴展要求,安全計算環(huán)境,入侵防范,c)應(yīng)能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，并進行告警。

四級,云計算安全擴展要求,安全計算環(huán)境,鏡像和快照保護,a)應(yīng)針對重要業(yè)務(wù)系統(tǒng)提供加固的操作系統(tǒng)鏡像或操作系統(tǒng)安全加固服務(wù)；

四級,云計算安全擴展要求,安全計算環(huán)境,鏡像和快照保護,b)應(yīng)提供虛擬機鏡像、快照完整性校驗功能，防止虛擬機鏡像被惡意篡改；

四級,云計算安全擴展要求,安全計算環(huán)境,鏡像和快照保護,c)應(yīng)采取密碼技術(shù)或其他技術(shù)手段防止虛擬機鏡像、快照中可能存在的敏感資源被非法訪問。

四級,云計算安全擴展要求,安全計算環(huán)境,數(shù)據(jù)完整性和保密性,a)應(yīng)確保云服務(wù)客戶數(shù)據(jù)、用戶個人信息等存儲于中國境內(nèi)，如需出境應(yīng)遵循國家相關(guān)規(guī)定；

四級,云計算安全擴展要求,安全計算環(huán)境,數(shù)據(jù)完整性和保密性,b)應(yīng)保證只有在云服務(wù)客戶授權(quán)下，云服務(wù)商或第三方才具有云服務(wù)客戶數(shù)據(jù)的管理權(quán)限；

四級,云計算安全擴展要求,安全計算環(huán)境,數(shù)據(jù)完整性和保密性,c)應(yīng)使用校驗技術(shù)或密碼技術(shù)保證虛擬機遷移過程中重要數(shù)據(jù)的完整性，并在檢測到完整性受到破壞時采取必要的恢復(fù)措施；

四級,云計算安全擴展要求,安全計算環(huán)境,數(shù)據(jù)完整性和保密性,d)應(yīng)支持云服務(wù)客戶部署密鑰管理解決方案，保證云服務(wù)客戶自行實現(xiàn)數(shù)據(jù)的加解密過程。

四級,云計算安全擴展要求,安全計算環(huán)境,數(shù)據(jù)備份恢復(fù),a)云服務(wù)客戶應(yīng)在本地保存其業(yè)務(wù)數(shù)據(jù)的備份；

四級,云計算安全擴展要求,安全計算環(huán)境,數(shù)據(jù)備份恢復(fù),b)應(yīng)提供查詢云服務(wù)客戶數(shù)據(jù)及備份存儲位置的能力；

四級,云計算安全擴展要求,安全計算環(huán)境,數(shù)據(jù)備份恢復(fù),c)云服務(wù)商的云存儲服務(wù)應(yīng)保證云服務(wù)客戶數(shù)據(jù)存在若干個可用的副本，各副本之間的內(nèi)容應(yīng)保持一致；

四級,云計算安全擴展要求,安全計算環(huán)境,數(shù)據(jù)備份恢復(fù),d)應(yīng)為云服務(wù)客戶將業(yè)務(wù)系統(tǒng)及數(shù)據(jù)遷移到其他云計算平臺和本地系統(tǒng)提供技術(shù)手段，并協(xié)助完成遷移過程。

四級,云計算安全擴展要求,安全計算環(huán)境,剩余信息保護,a)應(yīng)保證虛擬機所使用的內(nèi)存和存儲空間回收時得到完全清除；

四級,云計算安全擴展要求,安全計算環(huán)境,剩余信息保護,b)云服務(wù)客戶刪除業(yè)務(wù)應(yīng)用數(shù)據(jù)時，云計算平臺應(yīng)將云存儲中所有副本刪除。

四級,云計算安全擴展要求,安全管理中心,集中管控,a)應(yīng)能對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配；

四級,云計算安全擴展要求,安全管理中心,集中管控,b)應(yīng)保證云計算平臺管理流量與云服務(wù)客戶業(yè)務(wù)流量分離；

四級,云計算安全擴展要求,安全管理中心,集中管控,c)應(yīng)根據(jù)云服務(wù)商和云服務(wù)客戶的職責劃分，收集各自控制部分的審計數(shù)據(jù)并實現(xiàn)各自的集中審計；

四級,云計算安全擴展要求,安全管理中心,集中管控,d)應(yīng)根據(jù)云服務(wù)商和云服務(wù)客戶的職責劃分，實現(xiàn)各自控制部分，包括虛擬化網(wǎng)絡(luò)、虛擬機、虛擬化安全設(shè)備等的運行狀況的集中監(jiān)測。

四級,云計算安全擴展要求,安全建設(shè)管理,云服務(wù)商選擇,a)應(yīng)選擇安全合規(guī)的云服務(wù)商，其所提供的云計算平臺應(yīng)為其所承載的業(yè)務(wù)應(yīng)用系統(tǒng)提供相應(yīng)等級的安全保護能力；

四級,云計算安全擴展要求,安全建設(shè)管理,云服務(wù)商選擇,b)應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)的各項服務(wù)內(nèi)容和具體技術(shù)指標；

四級,云計算安全擴展要求,安全建設(shè)管理,云服務(wù)商選擇,c)應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)商的權(quán)限與責任，包括管理范圍、職責劃分、訪問授權(quán)、隱私保護、行為準則、違約責任等；

四級,云計算安全擴展要求,安全建設(shè)管理,云服務(wù)商選擇,d)應(yīng)在服務(wù)水平協(xié)議中規(guī)定服務(wù)合約到期時，完整提供云服務(wù)客戶數(shù)據(jù)，并承諾相關(guān)數(shù)據(jù)在云計算平臺上清除；

四級,云計算安全擴展要求,安全建設(shè)管理,云服務(wù)商選擇,e)應(yīng)與選定的云服務(wù)商簽署保密協(xié)議，要求其不得泄露云服務(wù)客戶數(shù)據(jù)。

四級,云計算安全擴展要求,安全建設(shè)管理,供應(yīng)鏈管理,a)應(yīng)確保供應(yīng)商的選擇符合國家有關(guān)規(guī)定；

四級,云計算安全擴展要求,安全建設(shè)管理,供應(yīng)鏈管理,b)應(yīng)將供應(yīng)鏈安全事件信息或安全威脅信息及時傳達到云服務(wù)客戶；

四級,云計算安全擴展要求,安全建設(shè)管理,供應(yīng)鏈管理,c)應(yīng)保證供應(yīng)商的重要變更及時傳達到云服務(wù)客戶，并評估變更帶來的安全風險，采取措施對風險進行控制。

四級,云計算安全擴展要求,安全運維管理,云計算環(huán)境管理,云計算平臺的運維地點應(yīng)位于中國境內(nèi)，境外對境內(nèi)云計算平臺實施運維操作應(yīng)遵循國家相關(guān)規(guī)定。

四級,移動互聯(lián)安全擴展要求,安全物理環(huán)境,無線接入點的物理位置,應(yīng)為無線接入設(shè)備的安裝選擇合理位置，避免過度覆蓋和電磁干擾。

四級,移動互聯(lián)安全擴展要求,安全區(qū)域邊界,邊界防護,應(yīng)保證有線網(wǎng)絡(luò)與無線網(wǎng)絡(luò)邊界之間的訪問和數(shù)據(jù)流通過無線接入網(wǎng)關(guān)設(shè)備。

四級,移動互聯(lián)安全擴展要求,安全區(qū)域邊界,訪問控制,無線接入設(shè)備應(yīng)開啟接入認證功能，并支持采用認證服務(wù)器認證或國家密碼管理機構(gòu)批準的密碼模塊進行認證。

四級,移動互聯(lián)安全擴展要求,安全區(qū)域邊界,入侵防范,a)應(yīng)能夠檢測到非授權(quán)無線接入設(shè)備和非授權(quán)移動終端的接入行為；

四級,移動互聯(lián)安全擴展要求,安全區(qū)域邊界,入侵防范,b)應(yīng)能夠檢測到針對無線接入設(shè)備的網(wǎng)絡(luò)掃描、DDoS攻擊、密鑰破解、中間人攻擊和欺騙攻擊等行為；

四級,移動互聯(lián)安全擴展要求,安全區(qū)域邊界,入侵防范,c)應(yīng)能夠檢測到無線接入設(shè)備的SSID廣播、WPS等高風險功能的開啟狀態(tài)；

四級,移動互聯(lián)安全擴展要求,安全區(qū)域邊界,入侵防范,d)應(yīng)禁用無線接入設(shè)備和無線接入網(wǎng)關(guān)存在風險的功能，如：SSID廣播、WEP認證等；

四級,移動互聯(lián)安全擴展要求,安全區(qū)域邊界,入侵防范,e)應(yīng)禁止多個AP使用同一個認證密鑰；

四級,移動互聯(lián)安全擴展要求,安全區(qū)域邊界,入侵防范,f)應(yīng)能夠阻斷非授權(quán)無線接入設(shè)備或非授權(quán)移動終端。

四級,移動互聯(lián)安全擴展要求,安全計算環(huán)境,移動終端管控,a)應(yīng)保證移動終端安裝、注冊并運行終端管理客戶端軟件；

四級,移動互聯(lián)安全擴展要求,安全計算環(huán)境,移動終端管控,b)移動終端應(yīng)接受移動終端管理服務(wù)端的設(shè)備生命周期管理、設(shè)備遠程控制，如：遠程鎖定、遠程擦除等；

四級,移動互聯(lián)安全擴展要求,安全計算環(huán)境,移動終端管控,c)應(yīng)保證移動終端只用于處理指定業(yè)務(wù)。

四級,移動互聯(lián)安全擴展要求,安全計算環(huán)境,移動應(yīng)用管控,a)應(yīng)具有選擇應(yīng)用軟件安裝、運行的功能；

四級,移動互聯(lián)安全擴展要求,安全計算環(huán)境,移動應(yīng)用管控,b)應(yīng)只允許指定證書簽名的應(yīng)用軟件安裝和運行；

四級,移動互聯(lián)安全擴展要求,安全計算環(huán)境,移動應(yīng)用管控,c)應(yīng)具有軟件白名單功能，應(yīng)能根據(jù)白名單控制應(yīng)用軟件安裝、運行；

四級,移動互聯(lián)安全擴展要求,安全計算環(huán)境,移動應(yīng)用管控,d)應(yīng)具有接受移動終端管理服務(wù)端推送的移動應(yīng)用軟件管理策略，并根據(jù)該策略對軟件實施管控的能力。

四級,移動互聯(lián)安全擴展要求,安全建設(shè)管理,移動應(yīng)用軟件采購,a)應(yīng)保證移動終端安裝、運行的應(yīng)用軟件來自可靠分發(fā)渠道或使用可靠證書簽名；

四級,移動互聯(lián)安全擴展要求,安全建設(shè)管理,移動應(yīng)用軟件采購,b)應(yīng)保證移動終端安裝、運行的應(yīng)用軟件由指定的開發(fā)者開發(fā)。

四級,移動互聯(lián)安全擴展要求,安全建設(shè)管理,移動應(yīng)用軟件開發(fā),a)應(yīng)對移動業(yè)務(wù)應(yīng)用軟件開發(fā)者進行資格審查；

四級,移動互聯(lián)安全擴展要求,安全建設(shè)管理,移動應(yīng)用軟件開發(fā),b)應(yīng)保證開發(fā)移動業(yè)務(wù)應(yīng)用軟件的簽名證書合法性。

四級,移動互聯(lián)安全擴展要求,安全運維管理,配置管理,應(yīng)建立合法無線接入設(shè)備和合法移動終端配置庫，用于對非法無線接入設(shè)備和非法移動終端的識別。

四級,物聯(lián)網(wǎng)安全擴展要求,安全物理環(huán)境,感知節(jié)點設(shè)備物理防護,a)

感知節(jié)點設(shè)備所處的物理環(huán)境應(yīng)不對感知節(jié)點設(shè)備造成物理破壞，如擠壓、強振動；

四級,物聯(lián)網(wǎng)安全擴展要求,安全物理環(huán)境,感知節(jié)點設(shè)備物理防護,b)

感知節(jié)點設(shè)備在工作狀態(tài)所處物理環(huán)境應(yīng)能正確反映環(huán)境狀態(tài)（如溫濕度傳感器不能安裝在陽光直射區(qū)域）；

四級,物聯(lián)網(wǎng)安全擴展要求,安全物理環(huán)境,感知節(jié)點設(shè)備物理防護,c)

感知節(jié)點設(shè)備在工作狀態(tài)所處物理環(huán)境應(yīng)不對感知節(jié)點設(shè)備的正常工作造成影響，如強干擾、阻擋屏蔽等；

四級,物聯(lián)網(wǎng)安全擴展要求,安全物理環(huán)境,感知節(jié)點設(shè)備物理防護,d)

關(guān)鍵感知節(jié)點設(shè)備應(yīng)具有可供長時間工作的電力供應(yīng)（關(guān)鍵網(wǎng)關(guān)節(jié)點設(shè)備應(yīng)具有持久穩(wěn)定的電力供應(yīng)能力）。

四級,物聯(lián)網(wǎng)安全擴展要求,安全區(qū)域邊界,接入控制,應(yīng)保證只有授權(quán)的感知節(jié)點可以接入。

四級,物聯(lián)網(wǎng)安全擴展要求,安全區(qū)域邊界,入侵防范,a)應(yīng)能夠限制與感知節(jié)點通信的目標地址，以避免對陌生地址的攻擊行為；

四級,物聯(lián)網(wǎng)安全擴展要求,安全區(qū)域邊界,入侵防范,b)應(yīng)能夠限制與網(wǎng)關(guān)節(jié)點通信的目標地址，以避免對陌生地址的攻擊行為。

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,感知節(jié)點設(shè)備安全,a)應(yīng)保證只有授權(quán)的用戶可以對感知節(jié)點設(shè)備上的軟件應(yīng)用進行配置或變更；

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,感知節(jié)點設(shè)備安全,b)應(yīng)具有對其連接的網(wǎng)關(guān)節(jié)點設(shè)備（包括讀卡器）進行身份標識和鑒別的能力；

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,感知節(jié)點設(shè)備安全,c)應(yīng)具有對其連接的其他感知節(jié)點設(shè)備（包括路由節(jié)點）進行身份標識和鑒別的能力。

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,網(wǎng)關(guān)節(jié)點設(shè)備安全,a)應(yīng)具備對合法連接設(shè)備（包括終端節(jié)點、路由節(jié)點、數(shù)據(jù)處理中心）進行標識和鑒別的能力；

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,網(wǎng)關(guān)節(jié)點設(shè)備安全,b)應(yīng)具備過濾非法節(jié)點和偽造節(jié)點所發(fā)送的數(shù)據(jù)的能力；

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,網(wǎng)關(guān)節(jié)點設(shè)備安全,c)授權(quán)用戶應(yīng)能夠在設(shè)備使用過程中對關(guān)鍵密鑰進行在線更新；

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,網(wǎng)關(guān)節(jié)點設(shè)備安全,d)授權(quán)用戶應(yīng)能夠在設(shè)備使用過程中對關(guān)鍵配置參數(shù)進行在線更新。

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,網(wǎng)關(guān)節(jié)點設(shè)備安全,a)應(yīng)能夠鑒別數(shù)據(jù)的新鮮性，避免歷史數(shù)據(jù)的重放攻擊；

四級,物聯(lián)網(wǎng)安全擴展要求,安全計算環(huán)境,抗數(shù)據(jù)重放,b)應(yīng)能夠鑒別歷史數(shù)據(jù)的非法修改，避免數(shù)據(jù)的修改重放攻擊。

四級,物聯(lián)網(wǎng)安全擴展要求,安全計