2023年等级保护2.0基本要求-二级三级对比表.doc

1 通用技术规定1.1 安全物理环境需要满足符合项，不需要满足符合项或空序号名称详细规定2级3级 1物理位置选用a) 机房场地应选用在具有防震、防风和防雨等能力建筑内；b) 机房场地应防止设在建筑物顶层或地下室，否则应加强防水和防潮措施。 2物理访问控制机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入人员。机房出入口应配置电子门禁系统，控制、鉴别和记录进入人员。 3防盗窃和防破坏a) 应将设备或关键部件进行固定，并设置明显不易除去标识；b) 应将通信线缆铺设在隐蔽安全处。c) 应设置机房防盗报警系统或设置有专人值守视频监控系统。 4防雷击应将各类机柜、设施和设备等通过接地系统安全接地。b) 应采用措施防止感应雷，例如设置防雷保安器或过压保护装置等。 5防火a) 机房应设置火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火；b) 机房及有关工作房间和辅助房应采用品有耐火级别建筑材料。c) 应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。 6防水和防潮a) 应采用措施防止雨水通过机房窗户、屋顶和墙壁渗透；b) 应采用措施防止机房内水蒸气结露和地下积水转移和渗透。c) 应安装对水敏感检测仪表或元件，对机房进行防水检测和报警。 7防静电应采用防静电地板或地面并采用必须接地防静电措施。b) 应采用措施防止静电产生，例如采用静电消除器、佩戴防静电手环等。 8湿温度控制应设置温湿度自动调整设施，使机房温湿度变化在设备运行所容许范围之内。 9电力供应a) 应在机房供电线路上配置稳压器和过电压防护设备；b) 应提供短期备用电力供应，至少满足设备在断电状况下正常运行规定。c) 应设置冗余或并行电力电缆线路为计算机系统供电。 10电磁防护a) 电源线和通信线缆应隔离铺设，防止互相干扰。b) 应对关键设备实行电磁屏蔽。1.2 安全通信网络序号名称详细规定2级3级 1网络架构a) 应保证网络设备业务处理能力满足业务高峰期需要；b) 应保证网络各个某些带宽满足业务高峰期需要；c) 应划分不一样样网络区域，并根据以便管理和控制原则为各网络区域分派地址；d) 应防止将关键网络区域布置在边界处，关键网络区域和其他网络区域之间应采用可靠技术隔离手段e) 应提供通信线路、关键网络设备和关键计算设备硬件冗余，保证系统可用性。 2通信传播应采用校验技术保证通信过程中数据完整性（2级）a) 应采用校验技术或密码技术保证通信过程中数据完整性（3级）；b) 应采用密码技术保证通信过程中数据保密性。 3可信验证可基于可信根对通信设备系统引导程序、系统程序、关键配置参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心可基于可信根对通信设备系统引导程序、系统程序、关键配置参数和通信应用程序等进行可信验证，并在应用程序关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。1.3 安全区域边界序号名称详细规定2级3级 1边界防护应保证跨越边界访问和数据流通过边界设备提供受控接口进行通信b) 应可以对非授权设备私自联到内部网络行为进行检查或限制；c) 应可以对内部顾客非授权联到外部网络行为进行检查或限制；d) 应限制无线网络使用，保证无线网络通过受控边界设备接入内部网络。 2访问控制a) 应在网络边界或区域之间根据访问控制方略设置访问控制规则，默认状况下除容许通信外受控接口拒绝所有通信；b) 应删除多出或无效访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；c) 应对源地址、目旳地址、源端口、目旳端口和协议等进行检查，以容许/拒绝数据包进出；d) 应能根据会话状态信息为进出数据流提供明确容许/拒绝访问能力。e) 应对进出网络数据流实现基于应用协议和应用内容访问控制。 3入侵防备应在关键网络节点处监视网络袭击行为。a) 应在关键网络节点处检测、防止或限制从外部提议网络袭击行为；b) 应在关键网络节点处检测、防止或限制从内部提议网络袭击行为；c) 应采用技术措施对网络行为进行分析，实现对网络袭击尤其是新型网络袭击行为分析；d) 当检测到袭击行为时，记录袭击源IP、袭击类型、袭击目旳、袭击时间，在发生严重入侵事件时应提供报警。 4恶意代码防备(二级)恶意代码和垃圾邮件防备（三级）a) 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制升级和更新。b) 应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制升级和更新。 5安全审计a) 应在网络边界、关键网络节点进行安全审计，审计覆盖到每个顾客，对关键顾客行为和关键安全事件进行审计；b) 审计记录应包括事件日期和时间、顾客、事件类型、事件与否成功及其他和审计有关信息；c) 应对审计记录进行保护，定期备份，防止受到未预期删除、修改或覆盖等。d) 应能对远程访问顾客行为、访问互联网顾客行为等单独进行行为审计和数据分析。 6可信验证可基于可信根对边界设备系统引导程序、系统程序、关键配置参数和边界防护应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。可基于可信根对边界设备系统引导程序、系统程序、关键配置参数和边界防护应用程序等进行可信验证，并在应用程序关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。1.4 安全计算环境序号名称详细规定2级3级 1身份鉴别a) 应对登录顾客进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度规定并定期更换；b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等有关措施；c) 当进行远程管理时，应采用必须措施防止鉴别信息在网络传播过程中被窃听。d) 应采用口令、密码技术、生物技术等两种或两种以上组合鉴别技术对顾客进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。 2访问控制a) 应对登录顾客分派账户和权限；b) 应重命名或删除默认账户，修改默认账户默认口令；c) 应及时删除或停用多出、过期账户，防止共享账户存在；d) 应授予管理顾客所需最小权限，实现管理顾客权限分离。e) 应由授权主体配置访问控制方略，访问控制方略规定主体对客体访问规则；f) 访问控制粒度应到达主体为顾客级或进程级，客体为文献、数据库表级；g) 应对关键主体和客体设置安全标识，并控制主体对有安全标识信息资源访问。 3安全审计a) 应启用安全审计功能，审计覆盖到每个顾客，对关键顾客行为和关键安全事件进行审计；b) 审计记录应包括事件日期和时间、顾客、事件类型、事件与否成功及其他和审计有关信息；c) 应对审计记录进行保护，定期备份，防止受到未预期删除、修改或覆盖等。d) 应对审计进程进行保护，防止未经授权中断。 4入侵防备a) 应遵照最小安装原则，仅安装需要组件和应用程序；b) 应关闭不需要系统服务、默认共享和高危端口；c) 应通过设定终端接入措施或网络地址范围对通过网络进行管理管理终端进行限制；d) 应提供数据有效性检查功能，保证通过人机接口输入或通过通信接口输入内容符合系统设定规定；e) 应能发现也许存在已知漏洞，并在通过充足测试评估后，及时修补漏洞。f) 应可以检测到对关键节点进行入侵行为，并在发生严重入侵事件时提供报警。 5恶意代码应安装防恶意代码软件或配置具有对应功能软件，并定期进行升级和更新防恶意代码库。应采用免受恶意代码袭击技术措施或积极免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。 6可信验证可基于可信根对计算设备系统引导程序、系统程序、关键配置参数和应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。可基于可信根对计算设备系统引导程序、系统程序、关键配置参数和应用程序等进行可信验证，并在应用程序关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。 7数据完整性应采用校验技术保证关键数据在传播过程中完整性。a) 应采用校验技术或密码技术保证关键数据在传播过程中完整性，包括但不限于鉴别数据、关键业务数据、关键审计数据、关键配置数据、关键视频数据和关键个人信息等；b) 应采用校验技术或密码技术保证关键数据在存储过程中完整性，包括但不限于鉴别数据、关键业务数据、关键审计数据、关键配置数据、关键视频数据和关键个人信息等。 8数据保密性a) 应采用密码技术保证关键数据在传播过程中保密性，包括但不限于鉴别数据、关键业务数据和关键个人信息等；b) 应采用密码技术保证关键数据在存储过程中保密性，包括但不限于鉴别数据、关键业务数据和关键个人信息等。 9数据备份恢复a) 应提供关键数据当地数据备份和恢复功能；b) 应提供异地数据备份功能，运用通信网络将关键数据定期批量传送至备用场地。b) 应提供异地实时备份功能，运用通信网络将关键数据实时备份至备份场地；c) 应提供关键数据处理系统热冗余，保证系统高可用性。 10剩余信息保护应保证鉴别信息所在存储空间被释放或重新分派前得到完全清除b) 应保证留有敏感数据存储空间被释放或重新分派前得到完全清除。 11个人信息保护a) 应仅采集和保留业务必须顾客个人信息；b) 应严禁未授权访问和非法使用顾客个人信息。1.5 安全管理中心序号名称详细规定2级3级 1系统管理a) 应对系统管理员进行身份鉴别，只容许其通过特定命令或操作界面进行系统管理操作，并对这些操作进行审计；b) 应通过系统管理员对系统资源和运行进行配置、控制和管理，包括顾客身份、系统资源配置、系统加载和启动、系统运行异常处理、数据和设备备份和恢复等。 2审计管理a) 应对审计管理员进行身份鉴别，只容许其通过特定命令或操作界面进行安全审计操作，并对这些操作进行审计；b) 应通过审计管理员对审计记录进行分析，并根据分析成果进行处理，包括根据安全审计方略对审计记录进行存储、管理和查询等。 3安全管理a) 应对安全管理员进行身份鉴别，只容许其通过特定命令或操作界面进行安全管理操作，并对这些操作进行审计；b) 应通过安全管理员对系统中安全方略进行配置，包括安全参数设置，主体、客体进行统一安全标识，对主体进行授权，配置可信验证方略等。 4集中管控a) 应划分出特定管理区域，对分布在网络中安全设备或安全组件进行管控；b) 应可以建立一条安全信息传播途径，对网络中安全设备或安全组件进行管理；c) 应对网络链路、安全设备、网络设备和服务器等运行状况进行集中监测；d) 应对分散在各个设备上审计数据进行搜集汇总和集中分析，并保证审计记录留存时间符合法律法规规定；e) 应对安全方略、恶意代码、补丁升级等安全有关事项进行集中管理；f) 应能对网络中发生各类安全事件进行识别、报警和分析。2 通用管理2.1 安全管理制度序号名称详细规定2级3级 1安全方略应制定网络安全工作总体方针和安全方略，阐明机构安全工作总体目旳、范围、原则和安全框架等。 2管理制度a) 应对安全管理活动中关键管理内容建立安全管理制度；b) 应对管理人员或操作人员实行寻常管理操作建立操作规程。c) 应形成由安全方略、管理制度、操作规程、登记表单等构成全面安全管理制度体系。 3制定和公布a) 应指定或授权专门部门或人员负责安全管理制度制定；b) 安全管理制度应通过正式、有效措施公布，并进行版本控制。 4评审和修订应定期对安全管理制度合理性和合用性进行论证和审定，对存在局限性或需要改善安全管理制度进行修订。2.2 安全管理机构序号名称详细规定2级3级 1岗位设置a) 应设置网络安全管理工作职能部门，设置安全主管、安全管理各个方面负责人岗位，并定义各负责人职责；b) 应设置系统管理员、审计管理员和安全管理员等岗位，并定义部门及各个工作岗位职责。a) 应成立指导和管理网络安全工作委员会或领导小组，其最高领导由单位主管领导担任或授权； 2人员配置应配置一定数量系统管理员、审计管理员和安全管理员等。b) 应配置专职安全管理员，不可兼任。 3授权和审批a) 应根据各个部门和岗位职责明确授权审批事项、审批部门和同意人等；b) 应针对系统变更、关键操作、物理访问和系统接入等事项实行审批过程。b) 应针对系统变更、关键操作、物理访问和系统接入等事项建立审批程序，根据审批程序实行审批过程，对关键活动建立逐层审批制度；c) 应定期审查审批事项，及时更新需授权和审批项目、审批部门和审批人等信息。 4沟通和合作a) 应加强各类管理人员、组织内部机构和网络安全管理部门之间合作和沟通，定期召开协调会议，共同协作处理网络安全问题；b) 应加强和网络安全职能部门、各类供应商、业界专家及安全组织合作和沟通；c) 应建立外联单位联络列表，包括外联单位名称、合作内容、联络人和联络措施等信息。 5审核和检查应定期进行常规安全检查，检查内容包括系统寻常运行、系统漏洞和数据备份等状况。b) 应定期进行全面安全检查，检查内容包括既有安全技术措施有效性、安全配置和安全方略一致性、安全管理制度实行状况等；c) 应制定安全检查表格实行安全检查，汇总安全检查数据，形成安全检查汇报，并对安全检查成果进行通报。2.3 安全管理人员序号名称详细规定2级3级 1人员录取a) 应指定或授权专门部门或人员负责人员录取；b) 应对被录取人员身份、安全背景、专业资格或资质等进行审查。，对其所具有技术技能进行考核；c) 应和被录取人员签订保密协议，和关键岗位人员签订岗位责任协议。 2人员离岗应及时终止离岗人员所有访问权限，取回多种身份证件、钥匙、徽章等和机构提供软硬件设备。b) 应办理严风格离手续，并承诺调离后保密义务后方可离开。 3安全意识教导和培训应对各类人员进行安全意识教导和岗位技能培训，并告知有关安全责任和惩戒措施。b) 应针对不一样样岗位制定不一样样培训筹划，对安全基本知识、岗位操作规程等进行培训；c) 应定期对不一样样岗位人员进行技能考核。 4外部人员访问管理a) 应在外部人员物理访问受控区域前先提出书面申请，同意后由专人全程陪伴，并登记立案；b) 应在外部人员接入受控网络访问系统前先提出书面申请，同意后由专人开设账户、分派权限，并登记立案；c) 外部人员离场后应及时清除其所有访问权限。d) 获得系统访问授权外部人员应签订保密协议，不得进行非授权操作，不得复制和泄露任何敏感信息。2.4 安全建设管理序号名称详细规定2级3级 1定级和立案a) 应以书面形式阐明保护对象安全保护级别及确定级别措施和理由；b) 应组织有关部门和有关安全技术专家对定级成果合理性和对旳性进行论证和审定；c) 应保证定级成果通过有关部门同意；d) 应将立案材料报主管部门和对应公安机关立案。 2安全方案设计a) 应根据安全保护级别选用基本安全措施，根据风险分析成果补充和调整安全措施；b) 应根据保护对象安全保护级别进行安全方案设计；c) 应组织有关部门和有关安全专家对安全方案合理性和对旳性进行论证和审定，通过同意后才能正式实行。b) 应根据保护对象安全保护级别及和其他级别保护对象关系进行安全整体筹划和安全方案设计，设计内容应包括密码技术有关内容，并形成配套文献；c) 应组织有关部门和有关安全专家对安全整体筹划及其配套文献合理性和对旳性进行论证和审定，通过同意后才能正式实行。 3产品采购和使用a) 应保证网络安全产品采购和使用符合国家有关规定；b) 应保证密码产品和服务采购和使用符合国家密码管理主管部门规定。c) 应预先对产品进行选型测试，确定产品候选范围，并定期审定和更新候选产品名单。 4自行软件开发a) 应将开发环境和实际运行环境物理分开，测试数据和测试成果受到控制；b) 应在软件开发过程中对安全性进行测试，在软件安装前对也许存在恶意代码进行检测。b) 应制定软件开发管理制度，明确阐明开发过程控制措施和人员行为准则；c) 应制定代码编写安全规范，规定开发人员参照规范编写代码；d) 应具有软件设计有关文档和使用指南，并对文档使用进行控制；f) 应对程序资源库修改、更新、公布进行授权和同意，并严格进行版本控制；g) 应保证开发人员为专职人员，开发人员开发活动受到控制、监视和审查。 5外包软件开发a) 应在软件交付前检测其中也许存在恶意代码；b) 应保证开发单位提供软件设计文档和使用指南。c) 应保证开发单位提供软件源代码，并审查软件中也许存在后门和隐蔽信道。 6工程实行a) 应指定或授权专门部门或人员负责工程实行过程管理；b) 应制定安全工程实行方案控制工程实行过程。c) 应通过第三方工程监理控制项目旳实行过程。 7测试验收a) 应制定测试验收方案，并根据测试验收方案实行测试验收，形成测试验收汇报；b) 应进行上线前安全性测试，并出具安全测试汇报。安全测试汇报应包括密码应用安全性测试有关内容。 8系统交付a) 应制定交付清单，并根据交付清单对所交接设备、软件和文档等进行清点；b) 应对负责运行维护技术人员进行对应技能培训；c) 应提供建设过程文档和运行维护文档。 9级别测评a) 应定期进行级别测评，发现不符合对应级别保护原则规定及时整改；b) 应在发生重大变更或级别发生变化时进行级别测评；c) 应保证测评机构选用符合国家有关规定。 10服务供应商选用a) 应保证服务供应商选用符合国家有关规定；b) 应和选定服务供应商签订有关协议，明确整个服务供应链各方需履行网络安全有关义务。c) 应定期监督、评审和审核服务供应商提供服务，并对其变更服务内容加以控制。2.5 安全运维管理序号名称详细规定2级3级 1环境管理a) 应指定专门部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理；b) 应对机房安全管理做出规定，包括物理访问、物品进出和环境安全等；b) 应建立机房安全管理制度，对有关物理访问、物品带进出和环境安全等方面管理作出规定；c) 应不在关键区域接待来访人员，不随意放置具有敏感信息纸档文献和移动介质等。 2资产管理应编制并保留和保护对象有关资产清单，包括资产责任部门、关键程度和所处位置等内容。b) 应根据资产关键程度对资产进行标识管理，根据资产价值选用对应管理措施；c) 应对信息分类和标识措施作出规定，并对信息使用、传播和存储等进行规范化管理。 3介质管理a) 应将介质存储在安全环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质目录清单定期盘点；b) 应对介质在物理传播过程中人员选用、打包、交付等状况进行控制，并对介质归档和查询等进行登记记录。 4设备维护管理a) 应对多种设备（包括备份和冗余设备）、线路等指定专门部门或人员定期进行维护管理；b) 应对配套设施、软硬件维护管理做出规定，包括明确维护人员责任、维修和服务审批、维修过程监督控制等。c) 信息处理设备必须通过审批才能带离机房或办公地点，具有存储介质设备带出工作环境时其中关键数据必须加密；d) 具有存储介质设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上敏感数据和授权软件无法被恢复重用。 5漏洞和风险管理应采用必须措施识别安全漏洞和隐患，对发现安全漏洞和隐患及时进行修补或评估也许影响后进行修补。b) 应定期开展安全测评，形成安全测评汇报，采用措施应对发现安全问题。 6网络和系统安全管理a) 应划分不一样样管理员角色进行网络和系统运维管理，明确各个角色责任和权限；b) 应指定专门部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制；c) 应建立网络和系统安全管理制度，对安全方略、账户管理、配置管理、日志管理、寻常操作、升级和打补丁、口令更新周期等方面作出规定；d) 应制定关键设备配置和操作手册，根据手册对设备进行安全配置和优化配置等；e) 应详细记录运维操作日志，包括寻常巡检工作、运行维护记录、参数设置和修改等内容。f) 应指定专门部门或人员对日志、监测和报警数据等进行分析、记录，及时发现可疑行为；g) 应严格控制变更性运维，通过审批后才可变化连接、安装系统组件或调整配置参数，操作过程中应保留不可更改审计日志，操作结束后应同步更新配置信息库；h) 应严格控制运维工具使用，通过审批后才可接入进行操作，操作过程中应保留不可更改审计日志，操作结束后应删除工具中敏感数据；i) 应严格控制远程运维开通，通过审批后才可开通远程运维接口或通道，操作过程中应保留不可更改审计日志，操作结束后及时关闭接口或通道；j) 应保证所有和外部连接均得到授权和同意，应定期检查违反规定无线上网及其他违反网络安全方略行为。 7恶意代码防备管理a) 应提高所有顾客防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等；b) 应对恶意代码防备规定做出规定，包括防恶意代码软件授权使用、恶意代码库升级、恶意代码定期查杀等；c) 应定期检查恶意代码库升级状况，对截获恶意代码进行及时分析处理。b) 应定期验证防备恶意代码袭击技术措施有效性。 8配置管理应记录和保留基本配置信息，包括网络拓扑构造、各个设备安装软件组件、软件组件版本和补丁信息、各个设备或软件组件配置参数等。b) 应将基本配置信息变化纳入变更范围，实行对配置信息变化控制，并及时更新基本配置信息库。 9密码管理a) 应遵照密码有关国标和行业原则；b) 应使用国家密码管理主管部门认证核准密码技术和产品。 10变更管理应明确变更需求，变更前根据变更需求制定变更方案，变更方案通过评审、审批后方可实行。b) 应建立变更申报和审批控制程序，根据程序控制所有变更，记录变更实行过程；c) 应建立中断变更并从失败变更中恢复程序，明确过程控制措施和人员职责，必须时对恢复过程进行演习。 11备份和恢复管理a) 应识别需要定期备份关键业务信息、系统数据及软件系统等；b) 应规定备份信息备份措施、备份频度、存储介质、保留期等；c) 应根据数据关键性和数据对系统运行影响，制定数据备份方略和恢复方略、备份程序和恢复程序等。 12安全事件处理a) 应及时向安全管理部门汇报所发现安全弱点和可疑事件；b) 应制定安全事件汇报和处理管理制度，明确不一样样安全事件汇报、处理和响应环节，规定安全事件现场处理、事件汇报和后期恢复管理职责等；c) 应在安全事件汇报和响应处理过程中，分析和鉴定事件产生原因，搜集证据，记录处理过程，总结经验教训。d) 对导致系统中断和导致信息泄漏重大安全事件应采用不一样样处理程序和汇报程序。 13应急预案管理a) 应制定关键事件应急预案，包括应急处理环节、系统恢复环节等内容；b) 应定期对系统有关人员进行应急预案培训，并进行应急预案演习。a) 应规定统一应急预案框架，包括启动预案条件、应急组织构成、应急资源保障、事后教导和培训等内容；d) 应定期对原有应急预案重新评估，修订完善。 14外包运维管理a) 应保证外包运维服务商选用符合国家有关规定；b) 应和选定外包运维服务商签订有关协议，明确约定外包运维范围、工作内容。c) 应保证选用外包运维服务商在技术和管理方面均应具有根据级别保护规定开展安全运维工作能力，并将能力规定在签订协议中明确；d) 应在和外包运维服务商签订协议中明确所有有关安全规定，如也许包括对敏感信息访问、处理、存储规定，对IT基本设施中断服务应急保障规定等。3 云计算安全扩展规定3.1 安全物理环境序号名称详细规定2级3级1基本设施位置a) 应保证云计算基本设施在中华人民共和国境内。3.2安全通信网络序号名称详细规定2级3级1网络架构a) 应保证云计算平台不承载高于其安全保护级别业务应用系统；。b)应实现不一样样云服务器顾客虚拟网络之间隔离；c)应具有根据云服务顾客业务需求提供通信传播、边界防护、入侵防备等安全机制能力。d)应具有根据云服务顾客业务需求自主设置安全方略能力，包括定义访问途径、选用安全组件、配置安全方略；e)应提供开放接口或开放性安全服务，容许云服务顾客接入第三方安全产品或在云计算平台选用第三方安全服务。3.3 安全区域边界序号名称详细规定2级3级1访问控制a) 应在虚拟化网络边界布置访问控制机制，并设置访问控制规则；b)应在不相似级网络区域边界布置访问控制机制，设置访问控制规则2入侵防备a)应能检测到云服务顾客提议网络袭击行为，并能记录袭击类型、袭击时间、袭击流量等；b)应能检测到对虚拟网络节点网络袭击行为，并能记录袭击类型、袭击时间、袭击流量等；c)应能检测到虚拟机和宿主机、虚拟机和虚拟机之间异常流量。d)应在检测到网络袭击行为、异常流量状况时进行告警。3安全审计a)应对云服务商和云服务顾客在远程管理时实行特权命令进行审计，至少包括虚拟机删除、虚拟机重启；b)应保证云服务商对云服务顾客系统和数据操作可被云服务顾客审计。3.4安全计算环境序号名称详细规定2级3级1身份鉴别当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。2访问控制a) 应保证当虚拟机迁移时，访问控制方略随其迁移；b)应容许云服务顾客设置不一样样虚拟机之间访问控制方略i.镜像和快照保护a)应针对关键业务系统提供加固操作系统镜像或操作系统安全加固服务b)应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改。c)应采用密码技术或其他技术手段防止虚拟机镜像、快照中也许存在敏感资源被非法访问。3数据完整性和保密性a)应保证云服务顾客数据、顾客个人信息等存储于中华人民共和国境内，如需出境应遵照国家有关规定；b)应保证只有在云服务顾客授权下，云服务商或第三方才具有云服务顾客数据管理权限；c)应保证虚拟机迁移过程中关键数据完整性，并在检测到完整性受到破坏时采用必须恢复措施。（3级：应使用校验码或密码技术保证）d)应支持云服务顾客布置密钥管了处理方案，保证云服务顾客自行实现数据加解密过程。4数据备份恢复a)云服务顾客应在当地保留其业务数据备份；b)应提供查询云服务顾客数据及备份存储位置能力。c)云服务商云存储服务应保证云服务顾客数据存在若干个可用副本，各副本之间内容应保持一致；d)应为云服务顾客将业务系统及数据迁移到其他云计算平台和当地系统提供技术手段，并协助完毕迁移过程。5剩余信息保护a)应保证虚拟机所使用内存和存储空间回收时得到完全清除；b)云服务顾客删除业务应用数据时，云计算平台应将云存储中所有副本删除。3.1 安全管理中心序号名称详细规定2级3级1集中管控a) 应能对物理资源和虚拟资源根据方略做统一管理调度和分派；b) 应保证云计算平台管理流量和云服务顾客业务流量分离；c) 应根据云服务商和云服务顾客职责划分，搜集各自控制某些审计数据并实现各自集中审计；d) 应根据云服务商和云服务顾客职责划分，实现各自控制某些，包括虚拟化网络、虚拟机、虚拟化安全设备等运行状况集中监测。3.2 安全建设管理序号名称详细规定2级3级1云服务商选用a)应选用安全合规云服务商，其所提供云计算平台应为其所承载业务应用系统提供对应级别安全保护能力；b)应在服务水平协议中规定云服务各项服务内容和详细技术指标；c)应在服务水平协议中规定云服务商权限和责任，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等；d)应在服务水平协议中规定服务合约到期时，完整提供云服务顾客数据，并承诺有关数据在云计算平台上清除。e)应和选定云服务商签订保密协议，规定其不得泄露云服务顾客数据。2供应链管理a)应保证供应商选用符合国家有关规定；b)应将供应链安全事件信息或安全威胁信息及时传到达云服务顾客。c)应将供应商关键变更及时传到达云服务顾客，并评估变更带来安全风险，采用措施对风险进行控制。3.3 安全运维管理序号名称详细规定2级3级1云计算环境管理云计算平台运维地点应在中华人民共和国境内，境外对境内云计算平台实行运维操作应遵照国家有关规定。4 移动互联安全扩展