资源描述
1 通用技术规定
1.1 安全物理环境
需要满足符合项þ，不需要满足符合项ý或者空
序号
名称
具体规定
2级
3级
1
物理位置选用
a) 机房场地应选用在具有防震、防风和防雨等能力建筑内；
þ
þ
b) 机房场地应避免设在建筑物顶层或地下室，否则应加强防水和防潮措施。
þ
þ
2
物理访问控制
机房出入口应安排专人值守或配备电子门禁系统，控制、鉴别和记录进入人员。
þ
ý
机房出入口应配备电子门禁系统，控制、鉴别和记录进入人员。
ý
þ
3
防盗窃和防破坏
a) 应将设备或重要部件进行固定，并设立明显不易除去标记；
þ
þ
b) 应将通信线缆铺设在隐蔽安全处。
þ
þ
c) 应设立机房防盗报警系统或设立有专人值守视频监控系统。
ý
þ
4
防雷击
应将各类机柜、设施和设备等通过接地系统安全接地。
þ
þ
b) 应采用措施避免感应雷，例如设立防雷保安器或过压保护装置等。
ý
þ
5
防火
a) 机房应设立火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火；
þ
þ
b) 机房及有关工作房间和辅助房应采用品有耐火级别建筑材料。
þ
þ
c) 应对机房划分区域进行管理，区域和区域之间设立隔离防火措施。
ý
þ
6
防水和防潮
a) 应采用措施避免雨水通过机房窗户、屋顶和墙壁渗入；
þ
þ
b) 应采用措施避免机房内水蒸气结露和地下积水转移与渗入。
þ
þ
c) 应安装对水敏感检测仪表或元件，对机房进行防水检测和报警。
ý
þ
7
防静电
应采用防静电地板或地面并采用必要接地防静电措施。
þ
þ
b) 应采用措施避免静电产生，例如采用静电消除器、佩戴防静电手环等。
ý
þ
8
湿温度控制
应设立温湿度自动调节设施，使机房温湿度变化在设备运营所容许范畴之内。
þ
þ
9
电力供应
a) 应在机房供电线路上配备稳压器和过电压防护设备；
þ
þ
b) 应提供短期备用电力供应，至少满足设备在断电状况下正常运营规定。
þ
þ
c) 应设立冗余或并行电力电缆线路为计算机系统供电。
ý
þ
10
电磁防护
a) 电源线和通信线缆应隔离铺设，避免互相干扰。
þ
þ
b) 应对核心设备实行电磁屏蔽。
ý
þ
1.2 安全通信网络
序号
名称
具体规定
2级
3级
1
网络架构
a) 应保证网络设备业务解决能力满足业务高峰期需要；
ý
þ
b) 应保证网络各个某些带宽满足业务高峰期需要；
ý
þ
c) 应划分不同网络区域，并按照以便管理和控制原则为各网络区域分派地址；
þ
þ
d) 应避免将重要网络区域布置在边界处，重要网络区域与其她网络区域之间应采用可靠技术隔离手段
þ
þ
e) 应提供通信线路、核心网络设备和核心计算设备硬件冗余，保证系统可用性。
ý
þ
2
通信传播
应采用校验技术保证通信过程中数据完整性（2级）
a) 应采用校验技术或密码技术保证通信过程中数据完整性（3级）；
þ
þ
b) 应采用密码技术保证通信过程中数据保密性。
ý
þ
3
可信验证
可基于可信根对通信设备系统引导程序、系统程序、重要配备参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心
þ
ý
可基于可信根对通信设备系统引导程序、系统程序、重要配备参数和通信应用程序等进行可信验证，并在应用程序核心执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。
ý
þ
1.3 安全区域边界
序号
名称
具体规定
2级
3级
1
边界防护
应保证跨越边界访问和数据流通过边界设备提供受控接口进行通信
þ
þ
b) 应可以对非授权设备擅自联到内部网络行为进行检查或限制；
ý
þ
c) 应可以对内部顾客非授权联到外部网络行为进行检查或限制；
ý
þ
d) 应限制无线网络使用，保证无线网络通过受控边界设备接入内部网络。
ý
þ
2
访问控制
a) 应在网络边界或区域之间根据访问控制方略设立访问控制规则，默认状况下除容许通信外受控接口回绝所有通信；
þ
þ
b) 应删除多余或无效访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；
þ
þ
c) 应对源地址、目地址、源端口、目端口和合同等进行检查，以容许/回绝数据包进出；
þ
þ
d) 应能根据会话状态信息为进出数据流提供明确容许/回绝访问能力。
þ
þ
e) 应对进出网络数据流实现基于应用合同和应用内容访问控制。
ý
þ
3
入侵防备
应在核心网络节点处监视网络袭击行为。
þ
ý
a) 应在核心网络节点处检测、避免或限制从外部发起网络袭击行为；
ý
þ
b) 应在核心网络节点处检测、避免或限制从内部发起网络袭击行为；
ý
þ
c) 应采用技术措施对网络行为进行分析，实现对网络袭击特别是新型网络袭击行为分析；
ý
þ
d) 当检测到袭击行为时，记录袭击源IP、袭击类型、袭击目旳、袭击时间，在发生严重入侵事件时应提供报警。
ý
þ
4
歹意代码防备(二级)
歹意代码和垃圾邮件防备（三级）
a) 应在核心网络节点处对歹意代码进行检测和清除，并维护歹意代码防护机制升级和更新。
þ
ý
b) 应在核心网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制升级和更新。
ý
þ
5
安全审计
a) 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个顾客，对重要顾客行为和重要安全事件进行审计；
þ
þ
b) 审计记录应波及事件日期和时间、顾客、事件类型、事件与否成功及其她与审计有关信息；
þ
þ
c) 应对审计记录进行保护，定期备份，避免受到未预期删除、修改或覆盖等。
þ
þ
d) 应能对远程访问顾客行为、访问互联网顾客行为等单独进行行为审计和数据分析。
ý
þ
6
可信验证
可基于可信根对边界设备系统引导程序、系统程序、重要配备参数和边界防护应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。
þ
ý
可基于可信根对边界设备系统引导程序、系统程序、重要配备参数和边界防护应用程序等进行可信验证，并在应用程序核心执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。
ý
þ
1.4 安全计算环境
序号
名称
具体规定
2级
3级
1
身份鉴别
a) 应对登录顾客进行身份标记和鉴别，身份标记具有唯一性，身份鉴别信息具有复杂度规定并定期更换；
þ
þ
b) 应具有登录失败解决功能，应配备并启用结束会话、限制非法登录次数和当登录连接超时自动退出等有关措施；
þ
þ
c) 当进行远程管理时，应采用必要措施避免鉴别信息在网络传播过程中被窃听。
þ
þ
d) 应采用口令、密码技术、生物技术等两种或两种以上组合鉴别技术对顾客进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
ý
þ
2
访问控制
a) 应对登录顾客分派账户和权限；
þ
þ
b) 应重命名或删除默认账户，修改默认账户默认口令；
þ
þ
c) 应及时删除或停用多余、过期账户，避免共享账户存在；
þ
þ
d) 应授予管理顾客所需最小权限，实现管理顾客权限分离。
þ
þ
e) 应由授权主体配备访问控制方略，访问控制方略规定主体对客体访问规则；
ý
þ
f) 访问控制粒度应达到主体为顾客级或进程级，客体为文献、数据库表级；
ý
þ
g) 应对重要主体和客体设立安全标记，并控制主体对有安全标记信息资源访问。
ý
þ
3
安全审计
a) 应启用安全审计功能，审计覆盖到每个顾客，对重要顾客行为和重要安全事件进行审计；
þ
þ
b) 审计记录应波及事件日期和时间、顾客、事件类型、事件与否成功及其她与审计有关信息；
þ
þ
c) 应对审计记录进行保护，定期备份，避免受到未预期删除、修改或覆盖等。
þ
þ
d) 应对审计进程进行保护，避免未经授权中断。
ý
þ
4
入侵防备
a) 应遵循最小安装原则，仅安装需要组件和应用程序；
þ
þ
b) 应关闭不需要系统服务、默认共享和高危端口；
þ
þ
c) 应通过设定终端接入方式或网络地址范畴对通过网络进行管理管理终端进行限制；
þ
þ
d) 应提供数据有效性检查功能，保证通过人机接口输入或通过通信接口输入内容符合系统设定规定；
þ
þ
e) 应能发现也许存在已知漏洞，并在通过充足测试评估后，及时修补漏洞。
þ
þ
f) 应可以检测到对重要节点进行入侵行为，并在发生严重入侵事件时提供报警。
ý
þ
5
歹意代码
应安装防歹意代码软件或配备具有相应功能软件，并定期进行升级和更新防歹意代码库。
þ
ý
应采用免受歹意代码袭击技术措施或积极免疫可信验证机制及时辨认入侵和病毒行为，并将其有效阻断。
ý
þ
6
可信验证
可基于可信根对计算设备系统引导程序、系统程序、重要配备参数和应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。
þ
ý
可基于可信根对计算设备系统引导程序、系统程序、重要配备参数和应用程序等进行可信验证，并在应用程序核心执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证成果形成审计记录送至安全管理中心。
ý
þ
7
数据完整性
应采用校验技术保证重要数据在传播过程中完整性。
þ
ý
a) 应采用校验技术或密码技术保证重要数据在传播过程中完整性，波及但不限于鉴别数据、重要业务数据、重要审计数据、重要配备数据、重要视频数据和重要个人信息等；
ý
þ
b) 应采用校验技术或密码技术保证重要数据在存储过程中完整性，波及但不限于鉴别数据、重要业务数据、重要审计数据、重要配备数据、重要视频数据和重要个人信息等。
ý
þ
8
数据保密性
a) 应采用密码技术保证重要数据在传播过程中保密性，波及但不限于鉴别数据、重要业务数据和重要个人信息等；
b) 应采用密码技术保证重要数据在存储过程中保密性，波及但不限于鉴别数据、重要业务数据和重要个人信息等。
ý
þ
9
数据备份恢复
a) 应提供重要数据本地数据备份与恢复功能；
þ
þ
b) 应提供异地数据备份功能，运用通信网络将重要数据定期批量传送至备用场地。
þ
ý
b) 应提供异地实时备份功能，运用通信网络将重要数据实时备份至备份场地；
c) 应提供重要数据解决系统热冗余，保证系统高可用性。
ý
þ
10
剩余信息保护
应保证鉴别信息所在存储空间被释放或重新分派前得到完全清除
þ
þ
b) 应保证存有敏感数据存储空间被释放或重新分派前得到完全清除。
ý
þ
11
个人信息保护
a) 应仅采集和保存业务必须顾客个人信息；
þ
þ
b) 应严禁未授权访问和非法使用顾客个人信息。
þ
þ
1.5 安全管理中心
序号
名称
具体规定
2级
3级
1
系统管理
a) 应对系统管理员进行身份鉴别，只容许其通过特定命令或操作界面进行系统管理操作，并对这些操作进行审计；
þ
þ
b) 应通过系统管理员对系统资源和运营进行配备、控制和管理，波及顾客身份、系统资源配备、系统加载和启动、系统运营异常解决、数据和设备备份与恢复等。
þ
þ
2
审计管理
a) 应对审计管理员进行身份鉴别，只容许其通过特定命令或操作界面进行安全审计操作，并对这些操作进行审计；
þ
þ
b) 应通过审计管理员对审计记录进行分析，并根据分析成果进行解决，波及根据安全审计方略对审计记录进行存储、管理和查询等。
þ
þ
3
安全管理
a) 应对安全管理员进行身份鉴别，只容许其通过特定命令或操作界面进行安全管理操作，并对这些操作进行审计；
b) 应通过安全管理员对系统中安全方略进行配备，波及安全参数设立，主体、客体进行统一安全标记，对主体进行授权，配备可信验证方略等。
ý
þ
4
集中管控
a) 应划分出特定管理区域，对分布在网络中安全设备或安全组件进行管控；
b) 应可以建立一条安全信息传播途径，对网络中安全设备或安全组件进行管理；
c) 应对网络链路、安全设备、网络设备和服务器等运营状况进行集中监测；
d) 应对分散在各个设备上审计数据进行收集汇总和集中分析，并保证审计记录留存时间符合法律法规规定；
e) 应对安全方略、歹意代码、补丁升级等安全有关事项进行集中管理；
f) 应能对网络中发生各类安全事件进行辨认、报警和分析。
ý
þ
2 通用管理
2.1 安全管理制度
序号
名称
具体规定
2级
3级
1
安全方略
应制定网络安全工作总体方针和安全方略，阐明机构安全工作总体目旳、范畴、原则和安全框架等。
þ
þ
2
管理制度
a) 应对安全管理活动中重要管理内容建立安全管理制度；
þ
þ
b) 应对管理人员或操作人员执行寻常管理操作建立操作规程。
þ
þ
c) 应形成由安全方略、管理制度、操作规程、登记表单等构成全面安全管理制度体系。
ý
þ
3
制定和发布
a) 应指定或授权专门部门或人员负责安全管理制度制定；
þ
þ
b) 安全管理制度应通过正式、有效方式发布，并进行版本控制。
þ
þ
4
评审和修订
应定期对安全管理制度合理性和合用性进行论证和审定，对存在局限性或需要改善安全管理制度进行修订。
þ
þ
2.2 安全管理机构
序号
名称
具体规定
2级
3级
1
岗位设立
a) 应设立网络安全管理工作职能部门，设立安全主管、安全管理各个方面负责人岗位，并定义各负责人职责；
þ
þ
b) 应设立系统管理员、审计管理员和安全管理员等岗位，并定义部门及各个工作岗位职责。
þ
þ
a) 应成立指引和管理网络安全工作委员会或领导小组，其最高领导由单位主管领导担任或授权；
þ
2
人员配备
应配备一定数量系统管理员、审计管理员和安全管理员等。
þ
þ
b) 应配备专职安全管理员，不可兼任。
þ
3
授权和审批
a) 应根据各个部门和岗位职责明确授权审批事项、审批部门和批准人等；
þ
þ
b) 应针对系统变更、重要操作、物理访问和系统接入等事项执行审批过程。
þ
b) 应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度；
c) 应定期审查审批事项，及时更新需授权和审批项目、审批部门和审批人等信息。
þ
4
沟通和合伙
a) 应加强各类管理人员、组织内部机构和网络安全管理部门之间合伙与沟通，定期召开协调会议，共同协作解决网络安全问题；
þ
þ
b) 应加强与网络安全职能部门、各类供应商、业界专家及安全组织合伙与沟通；
þ
þ
c) 应建立外联单位联系列表，波及外联单位名称、合伙内容、联系人和联系方式等信息。
þ
þ
5
审核和检查
应定期进行常规安全检查，检查内容波及系统寻常运营、系统漏洞和数据备份等状况。
þ
þ
b) 应定期进行全面安全检查，检查内容波及既有安全技术措施有效性、安全配备与安全方略一致性、安全管理制度执行状况等；
c) 应制定安全检查表格实行安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查成果进行通报。
þ
2.3 安全管理人员
序号
名称
具体规定
2级
3级
1
人员录取
a) 应指定或授权专门部门或人员负责人员录取；
þ
þ
b) 应对被录取人员身份、安全背景、专业资格或资质等进行审查。，对其所具有技术技能进行考核；
þ
þ
c) 应与被录取人员签订保密合同，与核心岗位人员签订岗位责任合同。
þ
2
人员离岗
应及时终结离岗人员所有访问权限，取回多种身份证件、钥匙、徽章等以及机构提供软硬件设备。
þ
þ
b) 应办理严风格离手续，并承诺调离后保密义务后方可离开。
þ
3
安全意识教导和培训
应对各类人员进行安全意识教导和岗位技能培训，并告知有关安全责任和惩戒措施。
þ
þ
b) 应针对不同岗位制定不同培训筹划，对安全基本知识、岗位操作规程等进行培训；
c) 应定期对不同岗位人员进行技能考核。
þ
4
外部人员访问管理
a) 应在外部人员物理访问受控区域前先提出书面申请，批准后由专人全程陪伴，并登记备案；
þ
þ
b) 应在外部人员接入受控网络访问系统前先提出书面申请，批准后由专人开设账户、分派权限，并登记备案；
þ
þ
c) 外部人员离场后应及时清除其所有访问权限。
þ
þ
d) 获得系统访问授权外部人员应签订保密合同，不得进行非授权操作，不得复制和泄露任何敏感信息。
þ
2.4 安全建设管理
序号
名称
具体规定
2级
3级
1
定级和备案
a) 应以书面形式阐明保护对象安全保护级别及拟定级别措施和理由；
þ
þ
b) 应组织有关部门和有关安全技术专家对定级成果合理性和对旳性进行论证和审定；
þ
þ
c) 应保证定级成果通过有关部门批准；
þ
þ
d) 应将备案材料报主管部门和相应公安机关备案。
þ
þ
2
安全方案设计
a) 应根据安全保护级别选用基本安全措施，根据风险分析成果补充和调节安全措施；
þ
þ
b) 应根据保护对象安全保护级别进行安全方案设计；
þ
c) 应组织有关部门和有关安全专家对安全方案合理性和对旳性进行论证和审定，通过批准后才干正式实行。
þ
b) 应根据保护对象安全保护级别及与其她级别保护对象关系进行安全整体规划和安全方案设计，设计内容应涉及密码技术有关内容，并形成配套文献；
c) 应组织有关部门和有关安全专家对安全整体规划及其配套文献合理性和对旳性进行论证和审定，通过批准后才干正式实行。
þ
3
产品采购和使用
a) 应保证网络安全产品采购和使用符合国家有关规定；
þ
þ
b) 应保证密码产品与服务采购和使用符合国家密码管理主管部门规定。
þ
þ
c) 应预先对产品进行选型测试，拟定产品候选范畴，并定期审定和更新候选产品名单。
þ
4
自行软件开发
a) 应将开发环境与实际运营环境物理分开，测试数据和测试成果受到控制；
þ
þ
b) 应在软件开发过程中对安全性进行测试，在软件安装前对也许存在歹意代码进行检测。
þ
þ
b) 应制定软件开发管理制度，明确阐明开发过程控制措施和人员行为准则；
c) 应制定代码编写安全规范，规定开发人员参照规范编写代码；
d) 应具有软件设计有关文档和使用指南，并对文档使用进行控制；
f) 应对程序资源库修改、更新、发布进行授权和批准，并严格进行版本控制；
g) 应保证开发人员为专职人员，开发人员开发活动受到控制、监视和审查。
þ
5
外包软件开发
a) 应在软件交付前检测其中也许存在歹意代码；
þ
þ
b) 应保证开发单位提供软件设计文档和使用指南。
þ
þ
c) 应保证开发单位提供软件源代码，并审查软件中也许存在后门和隐蔽信道。
þ
6
工程实行
a) 应指定或授权专门部门或人员负责工程实行过程管理；
þ
þ
b) 应制定安全工程实行方案控制工程实行过程。
þ
þ
c) 应通过第三方工程监理控制项目实行过程。
þ
7
测实验收
a) 应制定测实验收方案，并根据测实验收方案实行测实验收，形成测实验收报告；
þ
þ
b) 应进行上线前安全性测试，并出具安全测试报告。安全测试报告应涉及密码应用安全性测试有关内容。
þ
þ
8
系统交付
a) 应制定交付清单，并根据交付清单对所交接设备、软件和文档等进行清点；
þ
þ
b) 应对负责运营维护技术人员进行相应技能培训；
þ
þ
c) 应提供建设过程文档和运营维护文档。
þ
þ
9
级别测评
a) 应定期进行级别测评，发现不符合相应级别保护原则规定及时整治；
þ
þ
b) 应在发生重大变更或级别发生变化时进行级别测评；
þ
þ
c) 应保证测评机构选用符合国家有关规定。
þ
þ
10
服务供应商选用
a) 应保证服务供应商选用符合国家有关规定；
þ
þ
b) 应与选定服务供应商签订有关合同，明确整个服务供应链各方需履行网络安全有关义务。
þ
þ
c) 应定期监督、评审和审核服务供应商提供服务，并对其变更服务内容加以控制。
þ
2.5 安全运维管理
序号
名称
具体规定
2级
3级
1
环境管理
a) 应指定专门部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理；
þ
þ
b) 应对机房安全管理做出规定，波及物理访问、物品进出和环境安全等；
þ
b) 应建立机房安全管理制度，对有关物理访问、物品带进出和环境安全等方面管理作出规定；
þ
c) 应不在重要区域接待来访人员，不随意放置具有敏感信息纸档文献和移动介质等。
þ
þ
2
资产管理
应编制并保存与保护对象有关资产清单，波及资产责任部门、重要限度和所处位置等内容。
þ
þ
b) 应根据资产重要限度对资产进行标记管理，根据资产价值选用相应管理措施；
c) 应对信息分类与标记措施作出规定，并对信息使用、传播和存储等进行规范化管理。
þ
3
介质管理
a) 应将介质存储在安全环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质目录清单定期盘点；
þ
þ
b) 应对介质在物理传播过程中人员选用、打包、交付等状况进行控制，并对介质归档和查询等进行登记记录。
þ
þ
4
设备维护管理
a) 应对多种设备（波及备份和冗余设备）、线路等指定专门部门或人员定期进行维护管理；
þ
þ
b) 应对配套设施、软硬件维护管理做出规定，波及明确维护人员责任、维修和服务审批、维修过程监督控制等。
þ
þ
c) 信息解决设备必要通过审批才干带离机房或办公地点，具有存储介质设备带出工作环境时其中重要数据必要加密；
d) 具有存储介质设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上敏感数据和授权软件无法被恢复重用。
þ
5
漏洞和风险管理
应采用必要措施辨认安全漏洞和隐患，对发现安全漏洞和隐患及时进行修补或评估也许影响后进行修补。
þ
þ
b) 应定期开展安全测评，形成安全测评报告，采用措施应对发现安全问题。
þ
6
网络和系统安全管理
a) 应划分不同管理员角色进行网络和系统运维管理，明确各个角色责任和权限；
þ
þ
b) 应指定专门部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制；
þ
þ
c) 应建立网络和系统安全管理制度，对安全方略、账户管理、配备管理、日记管理、寻常操作、升级与打补丁、口令更新周期等方面作出规定；
þ
þ
d) 应制定重要设备配备和操作手册，根据手册对设备进行安全配备和优化配备等；
þ
þ
e) 应具体记录运维操作日记，波及寻常巡检工作、运营维护记录、参数设立和修改等内容。
þ
þ
f) 应指定专门部门或人员对日记、监测和报警数据等进行分析、记录，及时发现可疑行为；
g) 应严格控制变更性运维，通过审批后才可变化连接、安装系统组件或调节配备参数，操作过程中应保存不可更改审计日记，操作结束后应同步更新配备信息库；
h) 应严格控制运维工具使用，通过审批后才可接入进行操作，操作过程中应保存不可更改审计日记，操作结束后应删除工具中敏感数据；
i) 应严格控制远程运维开通，通过审批后才可开通远程运维接口或通道，操作过程中应保存不可更改审计日记，操作结束后及时关闭接口或通道；
j) 应保证所有与外部连接均得到授权和批准，应定期检查违背规定无线上网及其她违背网络安全方略行为。
þ
7
歹意代码防备管理
a) 应提高所有顾客防歹意代码意识，对外来计算机或存储设备接入系统迈进行歹意代码检查等；
þ
þ
b) 应对歹意代码防备规定做出规定，波及防歹意代码软件授权使用、歹意代码库升级、歹意代码定期查杀等；
þ
c) 应定期检查歹意代码库升级状况，对截获歹意代码进行及时分析解决。
þ
b) 应定期验证防备歹意代码袭击技术措施有效性。
þ
8
配备管理
应记录和保存基本配备信息，波及网络拓扑构造、各个设备安装软件组件、软件组件版本和补丁信息、各个设备或软件组件配备参数等。
þ
þ
b) 应将基本配备信息变化纳入变更范畴，实行对配备信息变化控制，并及时更新基本配备信息库。
þ
9
密码管理
a) 应遵循密码有关国标和行业原则；
þ
þ
b) 应使用国家密码管理主管部门认证核准密码技术和产品。
þ
þ
10
变更管理
应明确变更需求，变更前根据变更需求制定变更方案，变更方案通过评审、审批后方可实行。
þ
þ
b) 应建立变更申报和审批控制程序，根据程序控制所有变更，记录变更实行过程；
c) 应建立中断变更并从失败变更中恢复程序，明确过程控制措施和人员职责，必要时对恢复过程进行演习。
þ
11
备份与恢复管理
a) 应辨认需要定期备份重要业务信息、系统数据及软件系统等；
þ
þ
b) 应规定备份信息备份方式、备份频度、存储介质、保存期等；
þ
þ
c) 应根据数据重要性和数据对系统运营影响，制定数据备份方略和恢复方略、备份程序和恢复程序等。
þ
þ
12
安全事件处置
a) 应及时向安全管理部门报告所发现安全弱点和可疑事件；
þ
þ
b) 应制定安全事件报告和处置管理制度，明确不同安全事件报告、处置和响应流程，规定安全事件现场解决、事件报告和后期恢复管理职责等；
þ
þ
c) 应在安全事件报告和响应解决过程中，分析和鉴定事件产生因素，收集证据，记录解决过程，总结经验教训。
þ
þ
d) 对导致系统中断和导致信息泄漏重大安全事件应采用不同解决程序和报告程序。
þ
13
应急预案管理
a) 应制定重要事件应急预案，波及应急解决流程、系统恢复流程等内容；
þ
þ
b) 应定期对系统有关人员进行应急预案培训，并进行应急预案演习。
þ
þ
a) 应规定统一应急预案框架，波及启动预案条件、应急组织构成、应急资源保障、事后教导和培训等内容；
þ
d) 应定期对原有应急预案重新评估，修订完善。
þ
14
外包运维管理
a) 应保证外包运维服务商选用符合国家有关规定；
þ
þ
b) 应与选定外包运维服务商签订有关合同，明确商定外包运维范畴、工作内容。
þ
þ
c) 应保证选用外包运维服务商在技术和管理方面均应具有按照级别保护规定开展安全运维工作能力，并将能力规定在签订合同中明确；
d) 应在与外包运维服务商签订合同中明确所有有关安全规定，如也许波及对敏感信息访问、解决、存储规定，对IT基本设施中断服务应急保障规定等。
þ
3 云计算安全扩展规定
3.1 安全物理环境
序号
名称
具体规定
2级
3级
1
基本设施位置
a) 应保证云计算基本设施位于中华人民共和国境内。
þ
þ
3.2安全通信网络
序号
名称
具体规定
2级
3级
1
网络架构
a) 应保证云计算平台不承载高于其安全保护级别业务应用系统；。
þ
þ
b)应实现不同云服务器客户虚拟网络之间隔离；
þ
þ
c)应具有根据云服务客户业务需求提供通信传播、边界防护、入侵防备等安全机制能力。
þ
þ
d) 应具有根据云服务客户业务需求自主设立安全方略能力，波及定义访问途径、选用安全组件、配备安全方略；
þ
e) 应提供开放接口或开放性安全服务，容许云服务客户接入第三方安全产品或在云计算平台选用第三方安全服务。
þ
3.3 安全区域边界
序号
名称
具体规定
2级
3级
1
访问控制
a) 应在虚拟化网络边界布置访问控制机制，并设立访问控制规则；
þ
þ
b)应在不同级别网络区域边界布置访问控制机制，设立访问控制规则
þ
þ
2
入侵防备
a) 应能检测到云服务客户发起网络袭击行为，并能记录袭击类型、袭击时间、袭击流量等；
þ
b) 应能检测到对虚拟网络节点网络袭击行为，并能记录袭击类型、袭击时间、袭击流量等；
þ
c) 应能检测到虚拟机与宿主机、虚拟机与虚拟机之间异常流量。
þ
d) 应在检测到网络袭击行为、异常流量状况时进行告警。
þ
3
安全审计
a) 应对云服务商和云服务客户在远程管理时执行特权命令进行审计，至少波及虚拟机删除、虚拟机重启；
þ
þ
b) 应保证云服务商对云服务客户系统和数据操作可被云服务客户审计。
þ
þ
3.4安全计算环境
序号
名称
具体规定
2级
3级
1
身份鉴别
当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。
þ
2
访问控制
a) 应保证当虚拟机迁移时，访问控制方略随其迁移；
þ
þ
b) 应容许云服务客户设立不同虚拟机之间访问控制方略
þ
þ
i.
镜像和快照保护
a) 应针对重要业务系统提供加固操作系统镜像或操作系统安全加固服务
þ
þ
b) 应提供虚拟机镜像、快照完整性校验功能，避免虚拟机镜像被歹意篡改。
þ
þ
c) 应采用密码技术或其她技术手段避免虚拟机镜像、快照中也许存在敏感资源被非法访问。
þ
3
数据完整性和保密性
a) 应保证云服务客户数据、顾客个人信息等存储于中华人民共和国境内，如需出境应遵循国家有关规定；
þ
þ
b) 应保证只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据管理权限；
þ
þ
c) 应保证虚拟机迁移过程中重要数据完整性，并在检测到完整性受到破坏时采用必要恢复措施。（3级：应使用校验码或密码技术保证……）
þ
þ
d) 应支持云服务客户布置密钥管理解决方案，保证云服务客户自行实现数据加解密过程。
þ
4
数据备份恢复
a) 云服务客户应在本地保存其业务数据备份；
þ
þ
b) 应提供查询云服务客户数据及备份存储位置能力。
þ
þ
c) 云服务商云存储服务应保证云服务客户数据存在若干个可用副本，各副本之间内容应保持一致；
þ
d) 应为云服务客户将业务系统及数据迁移到其她云计算平台和本地系统提供技术手段，并协助完毕迁移过程。
þ
5
剩余信息保护
a) 应保证虚拟机所使用内存和存储空间回收时得到完全清除；
þ
þ
b) 云服务客户删除业务应用数据时，云计算平台应将云存储中所有副本删除。
þ
þ
3.1 安全管理中心
序号
名称
具体规定
2级
3级
1
集中管控
a) 应能对物理资源和虚拟资源按照方略做统一管理调度与分派；
b) 应保证云计算平台管理流量与云服务客户业务流量分离；
c) 应根据云服务商和云服务客户职责划分，收集各自控制某些审计数据并实现各自集中审计；
d) 应根据云服务商和云服务客户职责划分，实现各自控制某些，波及虚拟化网络、虚拟机、虚拟化安全设备等运营状况集中监测。
þ
3.2 安全建设管理
序号
名称
具体规定
2级
3级
1
云服务商选用
a) 应选用安全合规云服务商，其所提供云计算平台应为其所承载业务应用系统提供相应级别安全保护能力；
þ
þ
b) 应在服务水平合同中规定云服务各项服务内容和具体技术指标；
þ
þ
c) 应在服务水平合同中规定云服务商权限与责任，波及管理范畴、职责划分、访问授权、隐私保护、行为准则、违约责任等；
þ
þ
d) 应在服务水平合同中规定服务合约到期时，完整提供云服务客户数据，并承诺有关数据在云计算平台上清除。
þ
þ
e) 应与选定云服务商签订保密合同，规定其不得泄露云服务客户数据。
þ
2
供应链管理
a) 应保证供应商选用符合国家有关规定；
þ
þ
b) 应将供应链安全事件信息或安全威胁信息及时传达到云服务客户。
þ
þ
c) 应将供应商重要变更及时传达到云服务客户，并评估变更带来安全风险，采用措施对风险进行控制。
þ
3.3 安全运维管理
序号
名称
具体规定
2级
3级
1
云计算环境管理
云计算平台运维地点应位于中华人民共和国境内，境外对境内云计算平台实行运维操作应遵循国家有关规定。
þ
þ
4 移动互联安全扩展
展开阅读全文
浙ICP备2021020529号-1 | 浙B2-20240490 
