网络安全等级保护通用要求表格版模板.doc

网络安全等级保护基础要求 第1部分: 安全通用要求

一、 技术要求:

基础要求
第一级
第二级
第三级
第四级
物理和环境安全
物理位置选择
/
a) 机房场地应选择在含有防震、 防风和防雨等能力建筑内;
b) 机房场地应避免设在建筑物顶层或地下室, 不然应加强防水和防潮方法
a) ;
b) ;
a) ;
b) ;
物理访问控制
a) 机房出入口应安排专员值守或配置电子门禁系统, 控制、 判别和统计进入人员
a)
a) 机房出入口应配置电子门禁系统, 控制、 判别和统计进入人员
a) ;
b) 关键区域应配置第二道电子门禁系统, 控制、 判别和统计进入人员
防偷窃和防破坏
a) 应将机房设备或关键部件进行固定, 并设置显著不易除去标识
a) ;
b) 应将通信线缆铺设在隐蔽处, 可铺设在地下或管道中。
a) ;
b) ;
c) 应设置机房防盗报警系统或设置有专员值守视频监控系统
a) ;
b) ;
c) ;
防雷击
a) 应将各类机柜、 设施和设备等经过接地系统安全接地
a)
a) ;
b) 应采取方法预防感应雷, 比如设置防雷保安器或过压保护装置等
a) ;
b) ;
防火
a) 机房应设置灭火设备
a) 机房应设置火灾自动消防系统, 能够自动检测火情、 自动报警, 并自动灭火;
b) 机房及相关工作房间和辅助房应采取含有耐火等级建筑材料
a) ;
b) ;
c) 应对机房划分区域进行管理, 区域和区域之间设置隔离防火方法。
a) ;
b) ;
c) ;
防水和防潮
a) 应采取方法预防雨水经过机房窗户、 屋顶和墙壁渗透
a) ;
b) 应采取方法预防机房内水蒸气结露和地下积水转移与渗透
a) ;
b) ;
c) 应安装对水敏感检测仪表或元件, 对机房进行防水检测和报警。
a) ;
b) ;
c) ;
防静电
/
a) 应安装防静电地板并采取必需接地防静电方法
a) ;
b) 应采取方法预防静电产生, 比如采取静电消除器、 佩戴防静电手环等。
a) ;
b) ;
温湿度控制
a) 机房应设置必需温、 湿度控制设施, 使机房温、 湿度改变在设备运行所许可范围之内
a) 机房应设置温湿度自动调整设施, 使机房温湿度改变在设备运行所许可范围之内
a) ;

a) ;
电力供给
a) 应在机房供电线路上配置稳压器和过电压防护设备
a) ;
b) 应提供短期备用电力供给, 最少满足设备在断电情况下正常运行要求
a) ;
b) ;
c) 应设置冗余或并行电力电缆线路为计算机系统供电。
a) ;
b) ;
c) ;
d) 应提供给急供电设施。
电磁防护
/
a) 电源线和通信线缆应隔离铺设, 避免相互干扰
a) ;
b) 应对关键设备实施电磁屏蔽。
a) ;
b) 应对关键设备或关键区域实施电磁屏蔽。
网络和通信安全
网络架构
a) 应确保网络设备业务处理能力满足基础业务需要;
b) 应确保接入网络和关键网络带宽满足基础业务需要。
a) 应确保网络设备业务处理能力满足业务高峰期需要;
b) 应确保接入网络和关键网络带宽满足业务高峰期需要;
c) 应划分不一样网络区域, 并根据方便管理和控制标准为各网络区域分配地址;
d) 应避免将关键网络区域布署在网络边界处且没有边界防护方法。
a) ;
b) 应确保网络各个部分带宽满足业务高峰期需要;
c) ;
d) ;
e) 应提供通信线路、 关键网络设备硬件冗余, 确保系统可用性。
a) ;
c) ;
d) ;
e) ;
f) 应可根据业务服务关键程度分配带宽, 优先保障关键业务。
通信传输
a) 应采取校验码技术确保通信过程中数据完整性
a)
a) 应采取校验码技术或加解密技术确保通信过程中数据完整性;
b) 应采取加解密技术确保通信过程中敏感信息字段或整个报文保密性。
a) ;
b) ;
c) 应在通信前基于密码技术对通信双方进行验证或认证;
d) 应基于硬件设备对关键通信过程进行加解密运算和密钥管理。
边界防护
a) 应确保跨越边界访问和数据流经过边界防护设备提供受控接口进行通信
a)
a) ;
b) 应能够对非授权设备私自联到内部网络行为进行限制或检验;
c) 应能够对内部用户非授权联到外部网络行为进行限制或检验;
d) 应限制无线网络使用, 确保无线网络经过受控边界防护设备接入内部网络。
a) ;
b) 应能够对非授权设备私自联到内部网络行为进行限制或检验, 并对其进行有效阻断;
c) 应能够对内部用户非授权联到外部网络行为进行限制或检验, 并对其进行有效阻断;
d) ;
e) 应能够对连接到内部网络设备进行可信验证, 确保接入网络设备真实可信。
访问控制
a) 应在网络边界依据访问控制策略设置访问控制规则, 默认情况下除许可通信外受控接口拒绝全部通信;
b) 应删除多出或无效访问控制规则, 优化访问控制列表, 并确保访问控制规则数量最小化;
c) 应对源地址、 目地址、 源端口、 目端口和协议等进行检验, 以许可/拒绝数据包进出
a) 应在网络边界或区域之间依据访问控制策略设置访问控制规则, 默认情况下除许可通信外受控接口拒绝全部通信;
b) ;
c) ;
d) 应能依据会话状态信息为数据流提供明确许可/拒绝访问能力, 控制粒度为端口级
a) ;
b) ;
c) ;
d) ;
e) 应在关键网络节点处对进出网络信息内容进行过滤, 实现对内容访问控制。
a) ;
b) ;
c) 应不许可数据带通用协议经过。
入侵防范
/
a) 应在关键网络节点处监视网络攻击行为
a) 应在关键网络节点处检测、 预防或限制从外部提议网络攻击行为;
b) 应在关键网络节点处检测和限制从内部提议网络攻击行为;
c) 应采取技术方法对网络行为进行分析, 实现对网络攻击尤其是未知新型网络攻击检测和分析;
d) 当检测到攻击行为时, 统计攻击源IP、 攻击类型、 攻击目、 攻击时间, 在发生严重入侵事件时应提供报警
a) ;
b) ;
c) ;
d) ;
恶意代码防范
/

a) 应在关键网络节点处对恶意代码进行检测和清除, 并维护恶意代码防护机制升级和更新;
b) 应在关键网络节点处对垃圾邮件进行检测和防护, 并维护垃圾邮件防护机制升级和更新
a) ;
b) ;
安全审计
/
a) 应在网络边界、 关键网络节点进行安全审计, 审计覆盖到每个用户, 对关键用户行为和关键安全事件进行审计;
b) 审计统计应包含事件日期和时间、 用户、 事件类型、 事件是否成功及其她与审计相关信息;
c) 应对审计统计进行保护, 定时备份, 避免受到未预期删除、 修改或覆盖等。
a) ;
b) ;
c) ;
d) 审计统计产生时时间应由系统范围内唯一确定时钟产生, 以确保审计分析正确性;
e) 应能对远程访问用户行为、 访问互联网用户行为等单独进行行为审计和数据分析
a) ;
b) ;
c) ;
d) ;
集中管控
/

a) 应划分出特定管理区域, 对分布在网络中安全设备或安全组件进行管控;
b) 应能够建立一条安全信息传输路径, 对网络中安全设备或安全组件进行管理;
c) 应对网络链路、 安全设备、 网络设备和服务器等运行情况进行集中监测;
d) 应对分散在各个设备上审计数据进行搜集汇总和集中分析;
e) 应对安全策略、 恶意代码、 补丁升级等安全相关事项进行集中管理;
f) 应能对网络中发生各类安全事件进行识别、 报警和分析。
a) ;
b) ;
c) ;
d) ;
e) ;
f) ;
设备和计算安全
身份判别
a) 应对登录用户进行身份标识和判别, 身份标识含有唯一性, 身份判别信息含有复杂度要求并定时更换;
b) 应含有登录失败处理功效, 应配置并启用结束会话、 限制非法登录次数和当登录连接超时自动退出等相关方法
a) ;
b) ;
c) 当进行远程管理时, 应采取必需方法, 预防判别信息在网络传输过程中被窃听。
a) ;
b) ;
c) ;
d) 应采取两种或两种以上组合判别技术对用户进行身份判别。
a) ;
b) ;
c) ;
d) ;

访问控制
a) 应对登录用户分配账号和权限;
b) 应重命名默认账号或修改默认口令;
c) 应立刻删除或停用多出、 过期账号, 避免共享账号存在
a) ;
b) ;
c) ;
d) 应授予管理用户所需最小权限, 实现管理用户权限分离
a) ;
b) ;
c) ;
d) ;
e) 应由授权主体配置访问控制策略, 访问控制策略要求主体对客体访问规则;
f) 访问控制粒度应达成主体为用户级或进程级, 客体为文件、 数据库表级;
g) 应对敏感信息资源设置安全标识, 并控制主体对有安全标识信息资源访问。
a) ;
b) ;
c) ;
d) ;
e) ;
f) ;
g) 应对全部主体、 客体设置安全标识, 并依据安全标识和强制访问控制规则确定主体对客体访问。
安全审计
/
a) 应启用安全审计功效, 审计覆盖到每个用户, 对关键用户行为和关键安全事件进行审计;
b) 审计统计应包含事件日期和时间、 用户、 事件类型、 事件是否成功及其她与审计相关信息;
c) 应对审计统计进行保护, 定时备份, 避免受到未预期删除、 修改或覆盖等。
a) ;
b) ;
c) ;
d) 应对审计进程进行保护, 预防未经授权中止;
e) 审计统计产生时时间应由系统范围内唯一确定时钟产生, 以确保审计分析正确性
a) ;
b) 审计统计应包含事件日期、 时间、 类型、 主体标识、 客体标识和结果等;
c) ;
d) ;
e) 。
入侵防范
a) 系统应遵照最小安装标准, 仅安装需要组件和应用程序;
b) 应关闭不需要系统服务、 默认共享和高危端口
a) ;
b) ;
c) 应经过设定终端接入方法或网络地址范围对经过网络进行管理管理终端进行限制;
d) 应能发觉可能存在漏洞, 并在经过充足测试评定后, 立刻修补漏洞
a) 。
b) ;
c) ;
d) ;
e) 应能够检测到对关键节点进行入侵行为, 并在发生严重入侵事件时提供报警。
a) ;
b) ;
c) ;
d) ;
e) ;
恶意代码防范
a) 应安装防恶意代码软件或配置含有对应功效软件, 并定时进行升级和更新防恶意代码库
a) ;
a) 应采取免受恶意代码攻击技术方法或采取可信计算技术建立从系统到应用信任链, 实现系统运行过程中关键程序或文件完整性检测, 并在检测到破坏后进行恢复。
a) ;
资源控制
/
a) 应限制单个用户或进程对系统资源最大使用程度
a) ;
b) 应提供关键节点设备硬件冗余, 确保系统可用性;
c) 应对关键节点进行监视, 包含监视CPU、 硬盘、 内存等资源使用情况;
d) 应能够对关键节点服务水平降低到预先要求最小值进行检测和报警。
a) ;
b) ;
c) ;
d) ;
应用和数据安全
身份判别
a) 应对登录用户进行身份标识和判别, 身份标识含有唯一性, 判别信息含有复杂度要求并定时更换;
b) 应提供并启用登录失败处理功效, 数次登录失败后应采取必需保护方法
a) ;
b) ;
c) 应强制用户首次登录时修改初始口令;
d) 用户身份判别信息丢失或失效时, 应采取判别信息重置或其她技术方法确保系统安全
a) ;
b) ;
c) ;
d) ;
e) 应对同一用户采取两种或两种以上组合判别技术实现用户身份判别。
a) ;
b) ;
c) ;
d) ;
e) ;
f) 登录用户实施关键操作时应再次进行身份判别。
访问控制
a) 应提供访问控制功效, 对登录用户分配账号和权限;
b) 应重命名应用系统默认账号或修改这些账号默认口令;
c) 应立刻删除或停用多出、 过期账号, 避免共享账号存在
a) ;
b);
c);
a) ;
b) ;
c) ;
d) 应授予不一样账号为完成各自负担任务所需最小权限, 并在它们之间形成相互制约关系;
e) 应由授权主体配置访问控制策略, 访问控制策略要求主体对客体访问规则;
f) 访问控制粒度应达成主体为用户级, 客体为文件、 数据库表级、 统计或字段级;
g) 应对敏感信息资源设置安全标识, 并控制主体对有安全标识信息资源访问。
a) ;
b) ;
c) ;
d) ;
e) ;
f) ;
g) 应对全部主体、 客体设置安全标识, 并依据安全标识和强制访问控制规则确定主体对客体访问。
安全审计
/
a) 应提供安全审计功效, 审计覆盖到每个用户, 对关键用户行为和关键安全事件进行审计;
b) 审计统计应包含事件日期和时间、 用户、 事件类型、 事件是否成功及其她与审计相关信息;
c) 应对审计统计进行保护, 定时备份, 避免受到未预期删除、 修改或覆盖等
a) ;
b) ;
c) ;
d) 应对审计进程进行保护, 预防未经授权中止;
e) 审计统计产生时时间应由系统范围内唯一确定时钟产生, 以确保审计分析正确性
a) ;
b) 审计统计应包含事件日期、 时间、 类型、 主体标识、 客体标识和结果等;
c) ;
d) ;
e) 。
软件容错
a) 应提供数据有效性检验功效, 确保经过人机接口输入或经过通信接口输入内容符合系统设定要求
a) ;
b) 在故障发生时, 应能够继续提供一部分功效, 确保能够实施必需方法
a) ;
b) ;
c) 应提供自动保护功效, 当故障发生时自动保护目前全部状态, 确保系统能够进行恢复。
a) ;
b) ;
c) ;
资源控制
/
a) 当通信双方中一方在一段时间内未作任何响应, 另一方应能够自动结束会话;
b) 应能够对系统最大并发会话连接数进行限制;
c) 应能够对单个账号多重并发会话进行限制
a) ;
b) ;
c) ;
d) 应能够对并发进程每个进程占用资源分配最大限额。
a) ;
b) ;
c) ;
d) ;
数据完整性
a) 应采取校验码技术确保关键数据在传输过程中完整性
a) ;
a) 应采取校验码技术或加解密技术确保关键数据在传输过程中完整性;
b) 应采取校验码技术或加解密技术确保关键数据在存放过程中完整性。
a) ;
b) ;
c) 应对关键数据传输提供专用通信协议或安全通信协议, 避免来自基于通用通信协议攻击破坏数据完整性。
数据保密性
/
/
a) 应采取加解密技术确保关键数据在传输过程中保密性;
b) 应采取加解密技术确保关键数据在存放过程中保密性。
a) ;
b) ;
c) 应对关键数据传输提供专用通信协议或安全通信协议, 避免来自基于通用通信协议攻击破坏数据保密性。
数据备份恢复
a) 应提供关键数据当地数据备份与恢复功效
a) ;
b) 应提供异地数据备份功效, 利用通信网络将关键数据定时批量传送至备用场地
a) ;
b) 应提供异地实时备份功效, 利用通信网络将关键数据实时备份至备份场地;
c) 应提供关键数据处理系统热冗余, 确保系统高可用性。
a) ;
b) ;
c) ;
d) 应建立异地灾难备份中心, 提供业务应用实时切换。
剩下信息保护
/
a) 应确保判别信息所在存放空间被释放或重新分配前得到完全清除
a) ;
b) 应确保留有敏感数据存放空间被释放或重新分配前得到完全清除。
a) ;
b) ;
个人信息保护
/
a) 应仅采集和保留业务必需用户个人信息;
b) 应严禁未授权访问、 使用用户个人信息
a) ;
b) ;
a) ;
b) ;

二、 管理要求
基础要求
第一级
第二级
第三级
第四级
安全策略和管理制度
安全策略
/
/
a) 应制订信息安全工作总体方针和安全策略, 说明机构安全工作总体目标、 范围、 标准和安全框架等。
a) ;
管理制度
a) 应建立日常管理活动中常见安全管理制度
a) 应对安全管理活动中关键管理内容建立安全管理制度;
b) 应对要求管理人员或操作人员实施日常管理操作建立操作规程
a) ;
b) ;
c) 应形成由安全策略、 管理制度、 操作规程、 统计表单等组成全方面信息安全管理制度体系。
a) ;
b) ;
c) ;
制订和公布
/
a) 应指定或授权专门部门或人员负责安全管理制度制订;
b) 安全管理制度应经过正式、 有效方法公布, 并进行版本控制
a) ;
b) ;
a) ;
b) ;
评审和修订
/
a) 应定时对安全管理制度合理性和适用性进行论证和审定, 对存在不足或需要改善安全管理制度进行修订
a)

a) ;
安全管理机构和人员
岗位设置
c) 应设置系统管理员、 网络管理员、 安全管理员等岗位, 并定义各个工作岗位职责
b) 应设置信息安全管理工作职能部门, 设置安全主管、 安全管理各个方面责任人岗位, 并定义各责任人职责;
c) 应设置系统管理员、 网络管理员、 安全管理员等岗位, 并定义部门及各个工作岗位职责
a) 应成立指导和管理信息安全工作委员会或领导小组, 其最高领导由单位主管领导委任或授权;
b) ;
c) ;
a) ;
b) ;
c) ;
人员配置
a) 应配置一定数量系统管理员、 网络管理员、 安全管理员等
a) ;
a) ;
b) 应配置专职安全管理员, 不可兼任。
a) ;
b) ;
c) 关键事务岗位应配置多人共同管理
授权和审批
a) 应依据各个部门和岗位职责明确授权审批事项、 审批部门和同意人等
a) ;
b) 应针对系统变更、 关键操作、 物理访问和系统接入等事项实施审批过程
a) ;
b) 应针对系统变更、 关键操作、 物理访问和系统接入等事项建立审批程序, 根据审批程序实施审批过程, 对关键活动建立逐层审批制度;
c) 应定时审查审批事项, 立刻更新需授权和审批项目、 审批部门和审批人等信息。
a) ;
b) ;
c) ;
沟通和合作
/
a) 应加强各类管理人员之间、 组织内部机构之间以及信息安全职能部门内部合作与沟通, 定时召开协调会议, 共同协作处理信息安全问题;
b) 应加强与弟兄单位、 公安机关、 各类供给商、 业界教授及安全组织合作与沟通;
c) 应建立外联单位联络列表, 包含外联单位名称、 合作内容、 联络人和联络方法等信息
a) ;
b) ;
c) ;
b) ;
c) ;
审核和检验
/
a) 应定时进行常规安全检验, 检验内容包含系统日常运行、 系统漏洞和数据备份等情况
a) ;
b) 应定时进行全方面安全检验, 检验内容包含现有安全技术方法有效性、 安全配置与安全策略一致性、 安全管理制度实施情况等;
c) 应制订安全检验表格实施安全检验, 汇总安全检验数据, 形成安全检验汇报, 并对安全检验结果进行通报。
a) ;
b) ;
c) ;
人员录用
a) 应指定或授权专门部门或人员责任人员录用
a) ;
b) 应对被录用人员身份、 背景、 专业资格和资质等进行审查
a) ;
b) 对被录用人员身份、 背景、 专业资格和资质等进行审查, 对其所含有技术技能进行考评;
c) 应与被录用人员签署保密协议, 与关键岗位人员签署岗位责任协议。
a) ;
b) ;
c) ;
d) 应从内部人员中选拔从事关键岗位人员。
人员离岗
a) 应立刻终止离岗职员全部访问权限, 取回多种身份证件、 钥匙、 徽章等以及机构提供软硬件设备
a) ;
a) ;
b) 应办理严格调离手续, 并承诺调离后保密义务后方可离开。
a) ;
b) ;
安全意识教育和培训
a) 应对各类人员进行安全意识教育和岗位技能培训, 并通知相关安全责任和惩戒方法
a) ;
a) ;
b) 应针对不一样岗位制订不一样培训计划, 对信息安全基础知识、 岗位操作规程等进行培训。
a) ;
b) ;
外部人员访问管理
a) 应确保在外部人员访问受控区域前得到授权或审批
a) 应确保在外部人员物理访问受控区域前先提出书面申请, 同意后由专员全程陪同, 并登记立案;
b) 应确保在外部人员接入网络访问系统前先提出书面申请, 同意后由专员开设账号、 分配权限, 并登记立案;
c) 外部人员离场后应立刻清除其全部访问权限
a) ;
b) ;
c) ;
d) 取得系统访问授权外部人员应签署保密协议, 不得进行非授权操作, 不得复制和泄露任何敏感信息。
a) ;
b) ;
c) ;
d) ;
e) 对关键区域或关键系统不许可外部人员访问。
安全建设管理
定级和立案
a) 应明确保护对象边界和安全保护等级
a) 应以书面形式说明保护对象边界、 安全保护等级及确定等级方法和理由;
b) 应组织相关部门和相关安全技术教授对定级结果合理性和正确性进行论证和审定;
c) 应确保定级结果经过相关部门同意;
d) 应将立案材料报主管部门和对应公安机关立案
a) ;
b) ;
c) ;
d) ;
a) ;
b) ;
c) ;
d) ;
安全方案设计
a) 应依据安全保护等级选择基础安全方法, 依据风险分析结果补充和调整安全方法
a) ;
b) 应依据保护对象安全保护等级进行安全方案设计;
c) 应组织相关部门和相关安全教授对安全方案合理性和正确性进行论证和审定, 经过同意后才能正式实施
a) ;
b) 应依据保护对象安全保护等级及与其她等级保护对象关系进行安全整体计划和安全方案设计, 并形成配套文件;
c) 应组织相关部门和相关安全教授对安全整体计划及其配套文件合理性和正确性进行论证和审定, 经过同意后才能正式实施。
a) ;
b) ;
c) ;
产品采购和使用
a) 应确保信息安全产品采购和使用符合国家相关要求
a) ;
b) 应确保密码产品采购和使用符合国家密码主管部门要求
a) ;
b) ;
c) 应预先对产品进行选型测试, 确定产品候选范围, 并定时审定和更新候选产品名单。
a) ;
b) ;
c) ;
d) 应对关键部位产品委托专业测评单位进行专题测试, 依据测试结果选择产品。
自行软件开发
/
a) 应确保开发环境与实际运行环境物理分开, 测试数据和测试结果受到控制;
e) 应确保在软件开发过程中对安全性进行测试, 在软件安装前对可能存在恶意代码进行检测。
a) ;
b) 应制订软件开发管理制度, 明确说明开发过程控制方法和人员行为准则;
c) 应制订代码编写安全规范, 要求开发人员参考规范编写代码;
d) 应确保含有软件设计相关文档和使用指南, 并对文档使用进行控制;
e) ;
f) 应确保对程序资源库修改、 更新、 公布进行授权和同意, 并严格进行版本控制;
g) 应确保开发人员为专职人员, 开发人员开发活动受到控制、 监视和审查。
a) ;
b) ;
c) ;
d) ;
e) ;
f) ;
g) ;
外包软件开发
/
a) 应在软件交付前检测软件质量和其中可能存在恶意代码;
b) 应要求开发单位提供软件设计文档和使用指南
a) ;
b) ;
c) 应要求开发单位提供软件源代码, 并审查软件中可能存在后门和隐蔽信道。
a) ;
b) ;
c) ;
工程实施
a) 应指定或授权专门部门或人员负责工程实施过程管理
a) ;
b) 应制订工程实施方案控制安全工程实施过程
a) ;
b) ;
c) 应经过第三方工程监理控制项目实施过程。
a) ;
b) ;
c) ;
测试验收
a) 应进行安全性测试验收
a) 在制订测试验收方案, 并依据测试验收方案实施测试验收, 形成测试验收汇报;
b) 应进行上线前安全性测试, 并出具安全测试汇报
a) ;
b) ;
a) ;
b) ;
系统交付
a) 应依据交付清单对所交接设备、 软件和文档等进行清点;
b) 应对负责运行维护技术人员进行对应技能培训
a) ;
b) ;
c) 应确保提供建设过程汉字档和指导用户进行运行维护文档
a) ;
b) ;
c) ;
a) ;
b) ;
c) ;
等级测评
/
a) 应定时进行等级测评, 发觉不符合对应等级保护标准要求立刻整改;
b) 应在发生重大变更或等级发生改变时进行等级测评;
c) 应选择含有国家相关技术资质和安全资质测评单位进行等级测评
a) ;
b) ;
c) ;
a) ;
b) ;
c) ;
服务供给商选择
a) 应确保服务供给商选择符合国家相关要求;
b) 应与选定服务供给商签署与安全相关协议, 明确约定相关责任
a) ;
b) 应与选定服务供给商签署相关协议, 明确整个服务供给链各方需推行信息安全相关义务
a) ;
b) ;
c) 应定时监视、 评审和审核服务供给商提供服务, 并对其变更服务内容加以控制。
a) ;
b) ;
c) ;
安全运维管理
环境管理
a) 应指定专门部门或人员负责机房安全, 对机房出入进行管理, 定时对机房供配电、 空调、 温湿度控制、 消防等设施进行维护管理;
b) 应建立机房安全管理制度, 对相关机房物理访问, 物品带进、 带出机房和机房环境安全等方面管理作出要求
a) ;
b) ;
c) 应不在关键区域接待来访人员和桌面上没有包含敏感信息纸档文件、 移动介质等
a) ;
b) ;
c) ;
a) ;
b) ;
c) ;
d) 应对出入人员进行对应等级授权, 对进入关键安全区域人员和活动实时监视等。
资产管理
/
a) 应编制并保留与保护对象相关资产清单, 包含资产责任部门、 关键程度和所处位置等内容
a) ;
b) 应依据资产关键程度对资产进行标识管理, 依据资产价值选择对应管理方法;
c) 应对信息分类与标识方法作出要求, 并对信息使用、 传输和存放等进行规范化管理。
a) ;
b) ;
c) ;
介质管理
a) 应确保介质存放在安全环境中, 对各类介质进行控制和保护, 实施存放环境专员管理, 并依据存档介质目录清单定时盘点
a) ;
b) 应对介质在物理传输过程中人员选择、 打包、 交付等情况进行控制, 并对介质归档和查询等进行登记统计
a) ;
b) ;
a) ;
b) ;
设备维护管理
a) 应对多种设备（包含备份和冗余设备）、 线路等指定专门部门或人员定时进行维护管理
a) ;
b) 应建立配套设施、 软硬件维护方面管理制度, 对其维护进行有效管理, 包含明确维护人员责任、 涉外维修和服务审批、 维修过程监督控制等

a) ;
b) ;
c) 应确保信息处理设备必需经过审批才能带离机房或办公地点, 含有存放介质设备带出工作环境时其中关键数据必需加密;
d) 含有存放介质设备在报废或重用前, 应进行完全清除或被安全覆盖, 确保该设备上敏感数据和授权软件无法被恢复重用。
a) ;
b) ;
c) ;
d) ;
漏洞和风险管理
a) 应采取必需方法识别安全漏洞和隐患, 对发觉安全漏洞和隐患立刻进行修补或评定可能影响后进行修补
a) ;
a) ;
b) 应定时开展安全测评, 形成安全测评汇报, 采取方法应对发觉安全问题。
a) ;
b) ;
网络和系统安全管理
a) 应划分不一样管理员角色进行网络和系统运维管理, 明确各个角色责任和权限;
b) 应指定专门部门或人员进行账号管理, 对申请账号、 建立账号、 删除账号等进行控制
a) ;
b) ;
c) 应建立网络和系统安全管理制度, 对安全策略、 账号管理、 配置管理、 日志管理、 日常操作、 升级与打补丁、 口令更新周期等方面作出要求;
d) 应制订关键设备配置和操作手册, 依据手册对设备进行安全配置和优化配置等;
e) 应具体统计运维操作日志, 包含日常巡检工作、 运行维护统计、 参数设置和修改等内容。
a) ;
b) ;
c) ;
d) ;
e) ;
f) 应严格控制变更性运维, 经过审批后才可改变连接、 安装系统组件或调整配置参数, 操作过程中应保留不可更改审计日志, 操作结束后应同时更新配置信息库;
g) 应严格控制运维工具使用, 经过审批后才可接入进行操作, 操作过程中应保留不可更改审计日志, 操作结束后应删除工具中敏感数据;
h) 应严格控制远程运维开通, 经过审批后才可开通远程运维接口或通道, 操作过程中应保留不可更改审计日志, 操作结束后立刻关闭接口或通道;
i) 应确保全部与外部连接均得到授权和同意, 应定时检验违反要求无线上网及其她违反网络安全策略行为。
a) ;
b) ;
c) ;
d) ;
e) ;
f) ;
g) ;
h) ;
i) ;
恶意代码防范管理
a) 应提升全部用户防恶意代码意识, 通知对外来计算机或存放设备接入系统前进行恶意代码检验等;
b) 应对恶意代码防范要求做出要求, 包含防恶意代码软件授权使用、 恶意代码库升级、 恶意代码定时查杀等
a) ;
b) ;
a) ;
b) ;
c) 应定时验证防范恶意代码攻击技术方法有效性。
a) ;
b) ;
c) ;
配置管理
/
a) 应统计和保留基础配置信息, 包含网络拓扑结构、 各个设备安装软件组件、 软件组件版本和补丁信息、 各个设备或软件组件配置参数等
a) ;
b) 应将基础配置信息改变纳入变更范围, 实施对配置信息改变控制, 并立刻更新基础配置信息库。
a) ;
b) ;

密码管理
/
a) 应使用符合国家密码管理要求密码技术和产品;
b) 应根据国家密码管理要求开展密码技术和产品应用
a) ;
a) ;
变更管理
/
a) 应明确系统变更需求, 变更前依据变更需求制订变更方案, 变更方案经过评审、 审批后方可实施。
a) ;
b) 应建立变更申报和审批控制程序, 依据程序控制全部变更, 统计变更实施过程;
c) 应建立中止变更并从失败变更中恢复程序, 明确过程控制方法和人员职责, 必需时对恢复过程进行演练。
a) ;
b) ;
c) ;
备份与恢复管理
a) 应识别需要定时备份关键业务信息、 系统数据及软件系统等;
b) 应要求备份信息备份方法、 备份频度、 存放介质、 保留期等
a) ;
b) ;
c) 应依据数据关键性和数据对系统运行影响, 制订数据备份策略和恢复策略、 备份程序和恢复程序等
a) ;
b) ;
c) ;
a) ;
b) ;
c) ;
安全事件处理
a) 应汇报所发觉安全弱点和可疑事件;
b) 应明确安全事件汇报和处理步骤, 要求安全事件现场处理、 事件汇报和后期恢复管理职责
a) ;
b) 应制订安全事件汇报和处理管理制度, 明确不一样安全事件汇报、 处理和响应步骤, 要求安全事件现场处理、 事件汇报和后期恢复管理职责等;
c) 应在安全事件汇报和响应处理过程中, 分析和判定事件产生原因, 搜集证据, 统计处理过程, 总结经验教训
a) ;
b) ;
c) ;
d) 对造成系统中止和造成信息泄漏重大安全事件应采取不一样处理程序和汇报程序。
a) ;
b) ;
c) ;
d) ;

应急预案管理
/
a) 应制订关键事件应急预案, 包含应急处理步骤、 系统恢复步骤等内容;
b) 应从人力、 设备、 技术和财务等方面确保应急预案实施有足够资源保障;
c) 应定时对系统相关人员进行应急预案培训, 并进行应急预案演练
a) 应要求统一应急预案框架, 并在此框架下制订不一样事件应急预案, 包含开启预案条件、 应急处理步骤、 系统恢复步骤、 事后教育和培训等内容;
b) ;
c) ;
d) 应定时对原有应急预案重新评定, 修订完善。
a) ;
b) ;
c) ;
d) ;

外包运维管理
/
a) 应确保外包运维服务商选择符合国家相关要求;
b) 应与选定外包运维服务商签署相关协议, 明确约定外包运维范围、 工作内容
a) ;
b) ;
c) 应确保选择外包运维服务商在技术和管理方面均含有根据等级保护要求开展安全运维工作能力, 并将能力要求在签署协议中明确;
d) 应在与外包运维服务商签署协议中明确全部相关安全要求。如可能包含对敏感信息访问、 处理、 存放要求, 对IT基础设施中止服务应急保障要求等。
a) ;
b) ;
c) ;
d) ;