《信息系统安全等级保护基本要求》二级、三级等级保护要求比较新版

《《信息系统安全等级保护基本要求》二级、三级等级保护要求比较新版》由会员分享，可在线阅读，更多相关《《信息系统安全等级保护基本要求》二级、三级等级保护要求比较新版（33页珍藏版）》请在装配图网上搜索。

1、信息系统安全等级保护基础规定二级、三级等级保护规定比较一、 技术规定技术规定项二级等保三级等保物理安全物理位置选择1） 机房和办公场地应选择在具有防震、防风和防雨等能力建筑内。1） 机房和办公场地应选择在具有防震、防风和防雨等能力建筑内;2） 机房场地应避免设在建筑物高层或地下室，和用水设备下层或隔壁；3） 机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生火灾、水灾、易遭受雷击地区。物理访问控制1） 机房出入口应有专人值守，鉴别进入人员身份并登记在案;2） 应批准进入机房来访人员，限制和监控其活动范畴。1） 机房出入口应有专人值守,鉴别进入人员身份并登记在案;2） 应批

2、准进入机房来访人员，限制和监控其活动范畴;3） 应对机房划分区域进行管理,区域和区域之间设立物理隔离装置,在核心区域前设立交付或安装等过度区域;4） 应对核心区域配备电子门禁系统，鉴别和记录进入人员身份并监控其活动。防盗窃和防破坏1） 应将核心设备放置在物理受限范畴内；2） 应对设备或核心部件进行固定,并设立明显不易除去标记;3） 应将通信线缆铺设在隐蔽处,如铺设在地下或管道中档；4） 应对介质分类标记,寄存在介质库或档案室中;5） 应安装必需防盗报警设施，以防进入机房盗窃和破坏行为。1） 应将核心设备放置在物理受限范畴内；2） 应对设备或核心部件进行固定，并设立明显无法除去标记；3） 应将通

3、信线缆铺设在隐蔽处,如铺设在地下或管道中档;4） 应对介质分类标记，寄存在介质库或档案室中;5） 设备或寄存介质携带出工作环境时，应受到监控和内容加密;6） 应运用光、电等技术设立机房防盗报警系统，以防进入机房盗窃和破坏行为;7） 应对机房设立监控报警系统。防雷击1） 机房建筑应设立避雷装置;2） 应设立交流电源地线。1） 机房建筑应设立避雷装置；2） 应设立防雷保安器,避免感应雷；3） 应设立交流电源地线。防火1） 应设立灭火设备和火灾自动报警系统，并保持灭火设备和火灾自动报警系统良好状态。1） 应设立火灾自动消防系统,自动检测火情、自动报警,并自动灭火;2） 机房及有关工作房间和辅助房，其

4、建筑材料应具有耐火等级;3） 机房采用区域隔离防火措施，将核心设备和其他设备隔离开。防水和防潮1） 水管安装，不得穿过屋顶和活动地板下；2） 应对穿过墙壁和楼板水管增长必需保护措施，如设立套管；3） 应采用措施避免雨水通过屋顶和墙壁渗入；4） 应采用措施避免室内水蒸气结露和地下积水转移和渗入。1） 水管安装，不得穿过屋顶和活动地板下;2） 应对穿过墙壁和楼板水管增长必需保护措施,如设立套管;3） 应采用措施避免雨水通过屋顶和墙壁渗入;4） 应采用措施避免室内水蒸气结露和地下积水转移和渗入。防静电1） 应采用必需接地等防静电措施1） 应采用必需接地等防静电措施;2） 应采用防静电地板。温湿度控制

5、1） 应设立温、湿度自动调节设施,使机房温、湿度变化在设备运营所许可范畴之内。1） 应设立恒温恒湿系统，使机房温、湿度变化在设备运营所许可范畴之内。电力供应1） 计算机系统供电应和其他供电分开;2） 应设立稳压器和过电压防护设备；3） 应提供短期备用电力供应（如PS设备)。1） 计算机系统供电应和其他供电分开；2） 应设立稳压器和过电压防护设备；3） 应提供短期备用电力供应(如UPS设备)；4） 应设立冗余或并行电力电缆线路；5） 应建立备用供电系统（如备用发电机），以备常见供电系统停电时启用。电磁防护1） 应采用接地措施避免外界电磁干扰和设备寄生耦合干扰；2） 电源线和通信线缆应隔离,避免互

6、相干扰。1） 应采用接地措施避免外界电磁干扰和设备寄生耦合干扰；2） 电源线和通信线缆应隔离，避免互相干扰;3） 对核心设备和磁介质实行电磁屏蔽。网络安全构造安全和网段划分1） 网络设备业务解决能力应具有冗余空间,规定满足业务高峰期需要；2） 应设计和绘制和目前运营状况相符网络拓扑构造图；3） 应根据机构业务特点，在满足业务高峰期需要基础上,合理设计网络带宽;4） 应在业务终端和业务服务器之间进行路由控制,建立安全访问途径;5） 应根据各部门工作职能、核心性、所涉及信息核心限度等因素,划分不同样子网或网段，并根据以便管理和控制原则为各子网、网段分派地址段；6） 核心网段应采用网络层地址和数据链

7、路层地址绑定措施，避免地址欺骗。1） 网络设备业务解决能力应具有冗余空间,规定满足业务高峰期需要;2） 应设计和绘制和目前运营状况相符网络拓扑构造图；3） 应根据机构业务特点，在满足业务高峰期需要基础上,合理设计网络带宽;4） 应在业务终端和业务服务器之间进行路由控制建立安全访问途径；5） 应根据各部门工作职能、核心性、所涉及信息核心限度等因素，划分不同样子网或网段,并根据以便管理和控制原则为各子网、网段分派地址段;6） 核心网段应采用网络层地址和数据链路层地址绑定措施，避免地址欺骗;7） 应根据对业务服务核心顺序来指定带宽分派优先等级,保证在网络发生拥堵时候优先保护核心业务数据主机。网络访问

8、控制1） 应能根据会话状态信息(涉及数据包源地址、目旳地址、源端标语、目旳端标语、合同、出入接口、会话序列号、发出信息主机名等信息,并应支持地址通配符使用），为数据流提供明确许可/回绝访问能力。1） 应能根据会话状态信息(涉及数据包源地址、目旳地址、源端标语、目旳端标语、合同、出入接口、会话序列号、发出信息主机名等信息,并应支持地址通配符使用)，为数据流提供明确许可/回绝访问能力;2） 应对进出网络信息内容进行过滤,实现相应用层HTP、NE、SMTP、P等合同命令级控制;3） 应根据安全方略许可或回绝便携式和移动式设备网络接入；4） 应在会话处在非活跃一定期间或会话结束后终结网络连接；5） 应

9、限制网络最大流量数及网络连接数。拨号访问控制1） 应在基于安全属性许可远程顾客对系统访问规则基础上,对系统所有资源许可或回绝顾客进行访问,控制粒度为单个顾客；2） 应限制具有拨号访问权限顾客数量。1） 应在基于安全属性许可远程顾客对系统访问规则基础上，对系统所有资源许可或回绝顾客进行访问，控制粒度为单个顾客;2） 应限制具有拨号访问权限顾客数量；3） 应按顾客和系统之间许可访问规则，决定许可顾客对受控系统进行资源访问。网络安全审计1） 应对网络系统中网络设备运营状况、网络流量、顾客行为等事件进行日记记录;2） 对于每一种事件,其审计记录应涉及:事件日期和时间、顾客、事件类型、事件与否成功，及其

10、他和审计有关信息。1） 应对网络系统中网络设备运营状况、网络流量、顾客行为等进行全面监测、记录；2） 对于每一种事件,其审计记录应涉及：事件日期和时间、顾客、事件类型、事件与否成功,及其他和审计有关信息;3） 安全审计应可以根据记录数据进行分析,并生成审计报表；4） 安全审计应可以对特定事件,提供指定措施实时报警;5） 审计记录应受到保护避免受到未预期删除、修改或覆盖等。边界完整性检查1） 应可以检测内部网络中浮现内部顾客未通过准许擅自联到外部网络行为（即“非法外联”行为)。1） 应可以检测内部网络中浮现内部顾客未通过准许擅自联到外部网络行为(即“非法外联”行为)；2） 应可以对非授权设备擅自

11、联到网络行为进行检查，并对旳定出位置,对其进行有效阻断；3） 应可以对内部网络顾客擅自联到外部网络行为进行检测后对旳定出位置,并对其进行有效阻断。网络入侵防备1） 应在网络边界处监视如下袭击行为：端口扫描、强力袭击、木马后门袭击、回绝服务袭击、缓冲区溢出袭击、P碎片袭击、网络蠕虫袭击等入侵事件发生。1） 应在网络边界处应监视如下袭击行为:端口扫描、强力袭击、木马后门袭击、回绝服务袭击、缓冲区溢出袭击、IP碎片袭击、网络蠕虫袭击等入侵事件发生；2） 当检测到入侵事件时,应记录入侵源I、袭击类型、袭击目旳、袭击时间,并在发生严重入侵事件时提供报警。歹意代码防备1） 应在网络边界及核心业务网段处对歹

12、意代码进行检测和清除；2） 应维护歹意代码库升级和检测系统更新;3） 应支持歹意代码防备统一管理。1） 应在网络边界及核心业务网段处对歹意代码进行检测和清除；2） 应维护歹意代码库升级和检测系统更新；3） 应支持歹意代码防备统一管理。网络设备防护1） 应对登录网络设备顾客进行身份鉴别；2） 应对网络设备管理员登录地址进行限制;3） 网络设备顾客标记应唯一；4） 身份鉴别信息应具有不易被冒用特点,例如口令长度、复杂性和定期更新等;5） 应具有登录失败解决功能,如：结束会话、限制非法登录次数,当网络登录连接超时,自动退出。1） 应对登录网络设备顾客进行身份鉴别;2） 应对网络上对等实体进行身份鉴别

13、；3） 应对网络设备管理员登录地址进行限制;4） 网络设备顾客标记应唯一;5） 身份鉴别信息应具有不易被冒用特点，例如口令长度、复杂性和定期更新等;6） 应对同一顾客选择两种或两种以上组合鉴别技术来进行身份鉴别；7） 应具有登录失败解决功能,如:结束会话、限制非法登录次数,当网络登录连接超时，自动退出；8） 应实现设备特权顾客权限分离,例如将管理和审计权限分派给不同样网络设备顾客。主机系统安全身份鉴别1） 操作系统和数据库管理系统顾客身份标记应具有唯一性;2） 应对登录操作系统和数据库管理系统顾客进行身份标记和鉴别;3） 操作系统和数据库管理系统身份鉴别信息应具有不易被冒用特点,例如口令长度、

14、复杂性和定期更新等;4） 应具有登录失败解决功能,如：结束会话、限制非法登录次数，当登录连接超时，自动退出。1） 操作系统和数据库管理系统顾客身份标记应具有唯一性；2） 应对登录操作系统和数据库管理系统顾客进行身份标记和鉴别；3） 应对同一顾客采用两种或两种以上组合鉴别技术实现顾客身份鉴别;4） 操作系统和数据库管理系统顾客身份鉴别信息应具有不易被冒用特点,例如口令长度、复杂性和定期更新等；5） 应具有登录失败解决功能，如：结束会话、限制非法登录次数,当登录连接超时，自动退出；6） 应具有鉴别警示功能；7） 核心主机系统应对和之相连服务器或终端设备进行身份标记和鉴别。自主访问控制1） 应根据安

15、全方略控制主体对客体访问；2） 自主访问控制覆盖范畴应涉及和信息安全直接有关主体、客体及它们之间操作；3） 自主访问控制粒度应达到主体为顾客级，客体为文献、数据库表级；4） 应由授权主体设立对客体访问和操作权限；5） 应严格限制默认顾客访问权限。1） 应根据安全方略控制主体对客体访问;2） 自主访问控制覆盖范畴应涉及和信息安全直接有关主体、客体及它们之间操作;3） 自主访问控制粒度应达到主体为顾客级，客体为文献、数据库表级;4） 应由授权主体设立对客体访问和操作权限;5） 权限分离应采用最小授权原则,分别授予不同样顾客各自为完毕自己承当任务所需最小权限，并在她们之间形成互相制约关系;6） 应实

16、现操作系统和数据库管理系统特权顾客权限分离；7） 应严格限制默认顾客访问权限。强制访问控制无1） 应对核心信息资源和访问核心信息资源所有主体设立敏感标记；2） 强制访问控制覆盖范畴应涉及和核心信息资源直接有关所有主体、客体及它们之间操作;3） 强制访问控制粒度应达到主体为顾客级,客体为文献、数据库表级。安全审计1） 安全审计应覆盖到服务器上每个操作系统顾客和数据库顾客;2） 安全审计应记录系统内核心安全有关事件，涉及核心顾客行为和核心系统命令使用等；3） 安全有关事件记录应涉及日期和时间、类型、主体标记、客体标记、事件成果等;4） 审计记录应受到保护避免受到未预期删除、修改或覆盖等。1） 安全

17、审计应覆盖到服务器和顾客端上每个操作系统顾客和数据库顾客；2） 安全审计应记录系统内核心安全有关事件,涉及核心顾客行为、系统资源异常使用和核心系统命令使用；3） 安全有关事件记录应涉及日期和时间、类型、主体标记、客体标记、事件成果等;4） 安全审计应可以根据记录数据进行分析，并生成审计报表;5） 安全审计应可以对特定事件，提供指定措施实时报警；6） 审计进程应受到保护避免受到未预期中断；7） 审计记录应受到保护避免受到未预期删除、修改或覆盖等。系统保护1） 系统应提供在管理维护状态中运营能力,管理维护状态只能被系统管理员使用。1） 系统因故障或其他因素中断后，应可以以手动或自动措施恢复运营。剩

18、余信息保护1） 应保证操作系统和数据库管理系统顾客鉴别信息所在寄存空间，被释放或再分派给其他顾客前得到完全清除，不管这些信息是寄存在硬盘上还是在内存中;2） 应保证系统内文献、目录和数据库记录等资源所在寄存空间,被释放或重新分派给其他顾客前得到完全清除。1） 应保证操作系统和数据库管理系统顾客鉴别信息所在寄存空间,被释放或再分派给其他顾客前得到完全清除,不管这些信息是寄存在硬盘上还是在内存中；2） 应保证系统内文献、目录和数据库记录等资源所在寄存空间,被释放或重新分派给其他顾客前得到完全清除。入侵防备无1） 应进行主机运营监视,涉及监视主机PU、硬盘、内存、网络等资源使用状况;2） 应设定资源

19、报警域值，以便在资源使用超过规定数值时发出报警；3） 应进行特定进程监控，限制操作人员运营非法进程;4） 应进行主机账户监控,限制对核心账户添加和更改；5） 应检测多种已知入侵行为,记录入侵源IP、袭击类型、袭击目旳、袭击时间，并在发生严重入侵事件时提供报警；6） 应可以检测核心程序完整性受到破坏,并在检测到完整性错误时采用必需恢复措施。歹意代码防备1） 服务器和核心终端设备（涉及移动设备)应安装实时检测和查杀歹意代码软件产品；2） 主机系统防歹意代码产品应具有和网络防歹意代码产品不同样歹意代码库；1） 服务器和终端设备(涉及移动设备)均应安装实时检测和查杀歹意代码软件产品；2） 主机系统防歹

20、意代码产品应具有和网络防歹意代码产品不同样歹意代码库；3） 应支持歹意代码防备统一管理。资源控制1） 应限制单个顾客会话数量；2） 应通过设定终端接入措施、网络地址范畴等条件限制终端登录。1） 应限制单个顾客多重并发会话;2） 应对最大并发会话连接数进行限制；3） 应对一种时间段内也许并发会话连接数进行限制；4） 应通过设定终端接入措施、网络地址范畴等条件限制终端登录；5） 应根据安全方略设立登录终端操作超时锁定和鉴别失败锁定,并规定解锁或终结措施；6） 应严禁同一顾客账号在同一时间内并发登录;7） 应限制单个顾客对系统资源最大或最小使用限度;8） 当系统服务水平减少到预先规定最小值时,应能检

21、测和报警；9） 应根据安全方略设定主体服务优先级，根据优先级分派系统资源,保证优先级低主体解决能力不会影响到优先级高主体解决能力。应用安全身份鉴别1） 应用系统顾客身份标记应具有唯一性;2） 应对登录顾客进行身份标记和鉴别;3） 系统顾客身份鉴别信息应具有不易被冒用特点，例如口令长度、复杂性和定期更新等;4） 应具有登录失败解决功能,如：结束会话、限制非法登录次数，当登录连接超时,自动退出。1） 系统顾客身份标记应具有唯一性;2） 应对登录顾客进行身份标记和鉴别; 3） 系统顾客身份鉴别信息应具有不易被冒用特点,例如口令长度、复杂性和定期更新等;4） 应对同一顾客采用两种或两种以上组合鉴别技术

22、实现顾客身份鉴别;5） 应具有登录失败解决功能,如：结束会话、限制非法登录次数，当登录连接超时,自动退出;6） 应具有鉴别警示功能;7） 应用系统应立即清除寄存空间中动态使用鉴别信息。访问控制1） 应根据安全方略控制顾客对客体访问；2） 自主访问控制覆盖范畴应涉及和信息安全直接有关主体、客体及它们之间操作;3） 自主访问控制粒度应达到主体为顾客级,客体为文献、数据库表级；4） 应由授权主体设立顾客对系统功能操作和对数据访问权限；5） 应实现应用系统特权顾客权限分离,例如将管理和审计权限分派给不同样应用系统顾客;6） 权限分离应采用最小授权原则，分别授予不同样顾客各自为完毕自己承当任务所需最小权

23、限，并在它们之间形成互相制约关系;7） 应严格限制默认顾客访问权限。1） 应根据安全方略控制顾客对客体访问；2） 自主访问控制覆盖范畴应涉及和信息安全直接有关主体、客体及它们之间操作;3） 自主访问控制粒度应达到主体为顾客级，客体为文献、数据库表级;4） 应由授权主体设立顾客对系统功能操作和对数据访问权限;5） 应实现应用系统特权顾客权限分离，例如将管理和审计权限分派给不同样应用系统顾客；6） 权限分离应采用最小授权原则，分别授予不同样顾客各自为完毕自己承当任务所需最小权限,并在它们之间形成互相制约关系;7） 应严格限制默认顾客访问权限。安全审计1） 安全审计应覆盖到应用系统每个顾客;2） 安

24、全审计应记录应用系统核心安全有关事件,涉及核心顾客行为和核心系统功能实行等;3） 安全有关事件记录应涉及日期和时间、类型、主体标记、客体标记、事件成果等;4） 审计记录应受到保护避免受到未预期删除、修改或覆盖等。1） 安全审计应覆盖到应用系统每个顾客;2） 安全审计应记录应用系统核心安全有关事件，涉及核心顾客行为、系统资源异常使用和核心系统功能实行等;3） 安全有关事件记录应涉及日期和时间、类型、主体标记、客体标记、事件成果等；4） 安全审计应可以根据记录数据进行分析,并生成审计报表；5） 安全审计应可以对特定事件，提供指定措施实时报警；6） 审计进程应受到保护避免受到未预期中断；7） 审计记

25、录应受到保护避免受到未预期删除、修改或覆盖等。剩余信息保护1） 应保证顾客鉴别信息所在寄存空间，被释放或再分派给其他顾客前得到完全清除，不管这些信息是寄存在硬盘上还是在内存中；2） 应保证系统内文献、目录和数据库记录等资源所在寄存空间，被释放或重新分派给其他顾客前得到完全清除。1） 应保证顾客鉴别信息所在寄存空间，被释放或再分派给其他顾客前得到完全清除，不管这些信息是寄存在硬盘上还是在内存中；2） 应保证系统内文献、目录和数据库记录等资源所在寄存空间,被释放或重新分派给其他顾客前得到完全清除。通信完整性1） 通信双方应商定单向校验码算法，计算通信数据报文校验码,在进行通信时，双方根据校验码鉴定

26、对方报文有效性。1） 通信双方应商定密码算法,计算通信数据报文报文验证码,在进行通信时,双方根据校验码鉴定对方报文有效性。抗抵赖无1） 应具有在祈求状况下为数据原发者或接受者提供数据原发证据功能;2） 应具有在祈求状况下为数据原发者或接受者提供数据接受证据功能。通信保密性1） 当通信双方中一方在一段时间内未作任何响应，另一方应可以自动结束会话；2） 在通信双方建立连接之前,运用密码技术进行会话初始化验证；3） 在通信过程中，应对敏感信息字段进行加密。1） 当通信双方中一方在一段时间内未作任何响应，另一方应可以自动结束会话;2） 在通信双方建立连接之前，运用密码技术进行会话初始化验证;3） 在通

27、信过程中，应对整个报文或会话过程进行加密;4） 应选择符合国家有关部门规定密码算法。软件容错1） 应对通过人机接口输入或通过通信接口输入数据进行有效性检查;2） 应对通过人机接口措施进行操作提供“回退”功能，即许可根据操作序列进行回退;3） 在故障发生时，应继续提供一部分功能,保证可以实行必需措施。1） 应对通过人机接口输入或通过通信接口输入数据进行有效性检查；2） 应对通过人机接口措施进行操作提供“回退”功能，即许可根据操作序列进行回退;3） 应有状态监测能力，当故障发生时,能实时检测到故障状态并报警;4） 应有自动保护能力，当故障发生时，自动保护目前所有状态。资源控制1） 应限制单个顾客多

28、重并发会话；2） 应相应用系统最大并发会话连接数进行限制；3） 应对一种时间段内也许并发会话连接数进行限制。1） 应限制单个顾客多重并发会话；2） 应相应用系统最大并发会话连接数进行限制；3） 应对一种时间段内也许并发会话连接数进行限制;4） 应根据安全方略设立登录终端操作超时锁定和鉴别失败锁定,并规定解锁或终结措施;5） 应严禁同一顾客账号在同一时间内并发登录；6） 应对一种访问顾客或一种祈求进程占用资源分派最大限额和最小限额;7） 应根据安全属性(顾客身份、访问地址、时间范畴等）许可或回绝顾客建立会话连接；8） 当系统服务水平减少到预先规定最小值时，应能检测和报警；9） 应根据安全方略设定

29、主体服务优先级,根据优先级分派系统资源，保证优先级低主体解决能力不会影响到优先级高主体解决能力。代码安全1） 应相应用程序代码进行歹意代码扫描；2） 应相应用程序代码进行安全脆弱性分析。1） 应制定应用程序代码编写安全规范，规定开发人员参照规范编写代码;2） 应相应用程序代码进行代码复审，辨认也许存在歹意代码；3） 应相应用程序代码进行安全脆弱性分析;4） 应相应用程序代码进行穿透性测试。数据安全数据完整性1） 应可以检测到系统管理数据、鉴别信息和顾客数据在传播过程中完整性受到破坏；2） 应可以检测到系统管理数据、鉴别信息和顾客数据在寄存过程中完整性受到破坏。1） 应可以检测到系统管理数据、鉴

30、别信息和顾客数据在传播过程中完整性受到破坏,并在检测到完整性错误时采用必需恢复措施；2） 应可以检测到系统管理数据、鉴别信息和顾客数据在寄存过程中完整性受到破坏,并在检测到完整性错误时采用必需恢复措施;3） 应可以检测到核心程序完整性受到破坏，并在检测到完整性错误时采用必需恢复措施。数据保密性1） 网络设备、操作系统、数据库管理系统和应用系统鉴别信息、敏感系统管理数据和敏感顾客数据应采用加密或其他有效措施实现传播保密性;2） 网络设备、操作系统、数据库管理系统和应用系统鉴别信息、敏感系统管理数据和敏感顾客数据应采用加密或其他保护措施实现寄存保密性;3） 当使用便携式和移动式设备时,应加密或采用

31、可移动磁盘寄存敏感信息。1） 网络设备、操作系统、数据库管理系统和应用系统鉴别信息、敏感系统管理数据和敏感顾客数据应采用加密或其他有效措施实现传播保密性;2） 网络设备、操作系统、数据库管理系统和应用系统鉴别信息、敏感系统管理数据和敏感顾客数据应采用加密或其他保护措施实现寄存保密性；3） 当使用便携式和移动式设备时，应加密或采用可移动磁盘寄存敏感信息；4） 用于特定业务通信通信信道应符合有关国家规定。数据备份和恢复1） 应提供自动机制对核心信息进行有选择数据备份；2） 应提供恢复核心信息功能；3） 应提供核心网络设备、通信线路和服务器硬件冗余1） 应提供自动机制对核心信息进行本地和异地备份；2

32、） 应提供恢复核心信息功能;3） 应提供核心网络设备、通信线路和服务器硬件冗余；4） 应提供核心业务系统本地系统级热备份。二、 管理规定管理规定项二级等保三级等保安全管理机构岗位设立1） 应设立信息安全管理工作职能部门,设立安全主管人、安全管理各个方面负责人岗位,定义各负责人职责;2） 应设立系统管理人员、网络管理人员、安全管理人员岗位,定义各个工作岗位职责；3） 应制定文献明确安全管理机构各个部门和岗位职责、分工和技能规定。1） 应设立信息安全管理工作职能部门,设立安全主管人、安全管理各个方面负责人岗位，定义各负责人职责;2） 应设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作

33、岗位职责;3） 应成立指引和管理信息安全工作委员会或领导小组，其最高领导应由单位主管领导委任或授权;4） 应制定文献明确安全管理机构各个部门和岗位职责、分工和技能规定。人员配备1） 应配备一定数量系统管理人员、网络管理人员、安全管理人员等；2） 安全管理人员不能兼任网络管理员、系统管理员、数据库管理员等。1） 应配备一定数量系统管理人员、网络管理人员、安全管理人员等;2） 应配备专职安全管理人员,不可兼任;3） 核心岗位应定期轮岗。授权和审批1） 应授权审批部门及批准人,对核心活动进行审批；2） 应列表阐明须审批事项、审批部门和可批准人。1） 应授权审批部门及批准人,对核心活动进行审批;2）

34、应列表阐明须审批事项、审批部门和可批准人;3） 应建立各审批事项审批程序，根据审批程序实行审批过程;4） 应建立核心活动双重审批制度;5） 不再合用权限应立即取消授权；6） 应定期审查、更新需授权和审批项目;7） 应记录授权过程并保存授权文档。沟通和合伙1） 应加强各类管理人员和组织内部机构之间合伙和沟通，定期或不定期召开协调会议，共同协助解决信息安全问题；2） 信息安全职能部门应定期或不定期召集有关部门和人员召开安全工作会议,协调安全工作实行；3） 应加强和兄弟单位、公安机关、电信公司合伙和沟通，以便在发生安全事件时可以得到立即支持。1） 应加强各类管理人员和组织内部机构之间合伙和沟通，定期

35、或不定期召开协调会议,共同协助解决信息安全问题；2） 信息安全职能部门应定期或不定期召集有关部门和人员召开安全工作会议，协调安全工作实行;3） 信息安全领导小组或安全管理委员会定期召开例会,对信息安全工作进行指引、决策；4） 应加强和兄弟单位、公安机关、电信公司合伙和沟通，以便在发生安全事件时可以得到立即支持;5） 应加强和供应商、业界专家、专业安全公司、安全组织合伙和沟通，获取信息安全最新发展动态,当发生紧急事件时候可以立即得到支持和协助;6） 应文献阐明外联单位、合伙内容和联系措施；7） 聘任信息安全专家，作为常年安全顾问,指引信息安全建设，参与安全计划和安全评审等。审核和检查1） 应由安

36、全管理人员定期进行安全检查,检查内容涉及顾客账号状况、系统漏洞状况、系统审计状况等。1） 应由安全管理人员定期进行安全检查,检查内容涉及顾客账号状况、系统漏洞状况、系统审计状况等；2） 应由安全管理部门组织有关人员定期进行全面安全检查,检查内容涉及既有安全技术措施有效性、安全配备和安全方略一致性、安全管理制度实行状况等;3） 应由安全管理部门组织有关人员定期分析、评审异常行为审计记录,发现可疑行为,形成审计分析报告,并采用必需应对措施；4） 应制定安全检查表格实行安全检查，汇总安全检查数据,形成安全检查报告,并对安全检查成果进行通报;5） 应制定安全审核和安全检查制度规范安全审核和安全检查工作

37、，定期根据程序进行安全审核和安全检查活动。安全管理制度管理制度1） 应制定信息安全工作总体方针、政策性文献和安全方略等,阐明机构安全工作总体目旳、范畴、方针、原则、责任等;2） 应对安全管理活动中核心管理内容建立安全管理制度，以规范安全管理活动，约束人员行为措施；3） 应对规定管理人员或操作人员实行核心管理操作,建立操作规程，以规范操作行为，避免操作失误。1） 应制定信息安全工作总体方针、政策性文献和安全方略等,阐明机构安全工作总体目旳、范畴、方针、原则、责任等;2） 应对安全管理活动中各类管理内容建立安全管理制度，以规范安全管理活动，约束人员行为措施;3） 应对规定管理人员或操作人员实行平常

38、管理操作,建立操作规程，以规范操作行为,避免操作失误;4） 应形成由安全政策、安全方略、管理制度、操作规程等构成全面信息安全管理制度体系;5） 应由安全管理职能部门定期组织有关部门和有关人员对安全管理制度体系合理性和合用性进行审定。制定和发布1） 应在信息安全职能部门总体负责下，组织有关人员制定；2） 应保证安全管理制度具有统一格式风格，并进行版本控制；3） 应组织有关人员对制定安全管理进行论证和审定;4） 安全管理制度应通过管理层签发后根据一定程序以文献形式发布。1） 应在信息安全领导小组负责下，组织有关人员制定；2） 应保证安全管理制度具有统一格式风格，并进行版本控制;3） 应组织有关人员

39、对制定安全管理进行论证和审定；4） 安全管理制度应通过管理层签发后根据一定程序以文献形式发布;5） 安全管理制度应注明发布范畴,并对收发文进行登记。评审和修订1） 应定期对安全管理制度进行评审和修订，对存在局限性或需要改善安全管理制度进行修订。1） 应定期对安全管理制度进行评审和修订,对存在局限性或需要改善安全管理制度进行修订；2） 当发生重大安全事故、浮现新安全漏洞和技术基础构造发生变更时,应对安全管理制度进行检查、审定和修订;3） 每个制度文档应有相应负责人或负责部门,负责对明确需要修订制度文档维护。人员安全管理人员录取1） 应保证被录取人具有基础专业技术水平和安全管理知识；2） 应对被录

40、取人身份、背景、专业资格和资质等进行审查;3） 应对被录取人所具有技术技能进行考核;4） 应对被录取人阐明其角色和职责；5） 应签订保密合同。1） 应保证被录取人具有基础专业技术水平和安全管理知识；2） 应对被录取人身份、背景、专业资格和资质等进行审查；3） 应对被录取人所具有技术技能进行考核；4） 应对被录取人阐明其角色和职责；5） 应签订保密合同；6） 从事核心岗位人员应从内部人员选拔，并定期进行信用审查；7） 从事核心岗位人员应签订岗位安全合同。人员离岗1） 应立即终结由于多种因素立即离岗职工所有访问权限;2） 应取回多种身份证件、钥匙、徽章等和机构提供软硬件设备;3） 应经机构人事部门

41、办理严风格离手续，并承诺调离后保密义务后方可离开。1） 应立即终结由于多种因素立即离岗职工所有访问权限；2） 应取回多种身份证件、钥匙、徽章等和机构提供软硬件设备;3） 应经机构人事部门办理严风格离手续，并承诺调离后保密义务后方可离开。人员考核1） 应定期对各个岗位人员进行安全技能及安全认知考核；2） 应对核心岗位人员进行全面、严格安全审查;3） 应对违背安全方略和规定人员进行惩戒1） 应对所有些人员进行全面、严格安全审查；2） 应定期对各个岗位人员进行安全技能及安全认知考核；3） 应对考核成果进行记录并保存;4） 应对违背安全方略和规定人员进行惩戒。安全意识教育和培训1） 应对各类人员进行安

42、全意识教育；2） 应告知人员有关安全责任和惩戒措施；3） 应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训；4） 应对安全教育和培训状况和成果进行记录并归档保存。1） 应对各类人员进行安全意识教育;2） 应告知人员有关安全责任和惩戒措施;3） 应制定安全教育和培训计划,对信息安全基础知识、岗位操作规程等进行培训；4） 应针对不同样岗位制定不同样培训计划；5） 应对安全教育和培训状况和成果进行记录并归档保存。第三方人员访问管理1） 第三方人员应在访问前和机构签订安全责任合同书或保密合同;2） 对核心区域访问，必需通过有关负责人批准,并由专人陪伴或监督下进行，并记录备案。1）

43、第三方人员应在访问前和机构签订安全责任合同书或保密合同;2） 对核心区域访问,须提出书面申请,批准后由专人全程陪伴或监督,并记录备案；3） 对第三方人员许可访问区域、系统、设备、信息等内容应进行书面规定，并根据规定实行。系统建设管理系统定级1） 应明确信息系统划分措施；2） 应拟定信息系统安全等级；3） 应以书面形式定义拟定了安全等级信息系统属性,涉及使命、业务、网络、硬件、软件、数据、边界、人员等;4） 应保证信息系统定级成果通过有关部门批准。1） 应明确信息系统划分措施;2） 应拟定信息系统安全等级;3） 应以书面形式定义拟定了安全等级信息系统属性，涉及使命、业务、网络、硬件、软件、数据、

44、边界、人员等；4） 应以书面形式阐明拟定一种信息系统为某个安全等级措施和理由;5） 应组织有关部门和有关安全技术专家对信息系统定级成果合理性和对旳性进行论证和审定;6） 应保证信息系统定级成果通过有关部门批准。安全方案设计1） 应根据系统安全等级选择基础安全措施，根据风险分析成果补充和调节安全措施;2） 应以书面形式描述对系统安全保护规定和方略、安全措施等内容，形成系统安全方案;3） 应对安全方案进行细化,形成能指引安全系统建设和安全产品采购具体设计方案；4） 应组织有关部门和有关安全技术专家对安全设计方案合理性和对旳性进行论证和审定;5） 应保证安全设计方案必需通过批准,才干正式实行。1）

45、应根据系统安全等级选择基础安全措施，根据风险分析成果补充和调节安全措施;2） 应指定和授权专门部门对信息系统安全建设进行总体计划,制定近期和远期安全建设工作计划；3） 应根据信息系统等级划分状况,统一考虑安全保障体系总体安全方略、安全技术框架、安全管理方略、总体建设计划和具体设计方案，并形成配套文献;4） 应组织有关部门和有关安全技术专家对总体安全方略、安全技术框架、安全管理方略、总体建设计划、具体设计方案等有关配套文献合理性和对旳性进行论证和审定；5） 应保证总体安全方略、安全技术框架、安全管理方略、总体建设计划、具体设计方案等文献必需通过批准，才干正式实行;6） 应根据安全测评、安全评估成

46、果定期调节和修订总体安全方略、安全技术框架、安全管理方略、总体建设计划、具体设计方案等有关配套文献。产品采购1） 应保证安全产品使用符合国家有关规定;2） 应保证密码产品使用符合国家密码主管部门规定;3） 应指定或授权专门部门负责产品采购。1） 应保证安全产品使用符合国家有关规定；2） 应保证密码产品使用符合国家密码主管部门规定；3） 应指定或授权专门部门负责产品采购;4） 应制定产品采购方面管理制度明确阐明采购过程控制措施和人员行为准则；5） 应预先对产品进行选型测试,拟定产品候选范畴,并定期审定和更新候选产品名单。自行软件开发1） 应保证开发环境和实际运营环境物理分开；2） 应保证提供软件

47、设计有关文档和使用指南；3） 应保证系统开发文档由专人负责保管，系统开发文档使用受到控制。1） 应保证开发环境和实际运营环境物理分开;2） 应保证系统开发文档由专人负责保管,系统开发文档使用受到控制；3） 应制定开发方面管理制度明确阐明开发过程控制措施和人员行为准则;4） 应保证开发人员和测试人员分离，测试数据和测试成果受到控制;5） 应保证提供软件设计有关文档和使用指南;6） 应保证对程序资源库修改、更新、发布进行授权和批准。外包软件开发1） 应和软件开发单位签订合同,明确知识产权归属和安全面规定;2） 应根据合同规定检测软件质量;3） 应在软件安装之前检测软件包中也许存在歹意代码；4） 应

48、保证提供软件设计有关文档和使用指南。1） 应和软件开发单位签订合同,明确知识产权归属和安全面规定;2） 应根据合同规定检测软件质量；3） 应在软件安装之前检测软件包中也许存在歹意代码;4） 应规定开发单位提供技术培训和服务承诺；5） 应规定开发单位提供软件设计有关文档和使用指南。工程实行1） 应和工程实行单位签订和安全有关合同，约束工程实行单位行为;2） 应指定或授权专门人员或部门负责工程实行过程管理;3） 应制定具体工程实行方案控制实行过程。1） 应和工程实行单位签订和安全有关合同，约束工程实行单位行为;2） 应指定或授权专门人员或部门负责工程实行过程管理；3） 应制定具体工程实行方案控制实

49、行过程,并规定工程实行单位能正式地实行安全工程过程;4） 应制定工程实行方面管理制度，明确阐明实行过程控制措施和人员行为准则。测实验收1） 应对系统进行安全性测实验收;2） 应在测实验收前根据设计方案或合同规定等制定测实验收方案，测实验收过程中具体记录测实验收成果,形成测实验收报告；3） 应组织有关部门和有关人员对系统测实验收报告进行审定,没有疑问后由双方签字。1） 应对系统进行安全性测实验收;2） 应在测实验收前根据设计方案或合同规定等制定测实验收方案,测实验收过程中具体记录测实验收成果,形成测实验收报告；3） 应委托公正第三方测试单位对系统进行测试，并出具测试报告；4） 应制定系统测实验收

50、方面管理制度明确阐明系统测实验收控制措施和人员行为准则；5） 应指定或授权专门部门负责系统测实验收管理,并根据管理制度规定完毕系统测实验收工作;6） 应组织有关部门和有关人员对系统测实验收报告进行审定,没有疑问后由双方签字。系统交付1） 应明确系统交接手续,并根据交接手续完毕交接工作；2） 应由系统建设方完毕对委托建设方运维技术人员培训;3） 应由系统建设方提交系统建设过程中文档和指引顾客进行系统运营维护文档；4） 应由系统建设方进行服务承诺，并提交服务承诺书,保证对系统运营维护支持。1） 应明确系统交接手续,并根据交接手续完毕交接工作；2） 应由系统建设方完毕对委托建设方运维技术人员培训;3

51、） 应由系统建设方提交系统建设过程中文档和指引顾客进行系统运营维护文档；4） 应由系统建设方进行服务承诺,并提交服务承诺书，保证对系统运营维护支持；5） 应制定系统交付方面管理制度明确阐明系统交付控制措施和人员行为准则；6） 应指定或授权专门部门负责系统交付管理工作,并根据管理制度规定完毕系统交付工作。系统备案无1） 应将系统定级、系统属性等材料指定专门人员或部门负责管理,并控制这些材料使用;2） 应将系统等级和系统属性等资料报系统主管部门备案；3） 应将系统等级、系统属性、等级划分理由及其他规定备案材料报相应公安机关备案。安全测评无1） 应在系统投入运营迈进行安全测评,测评后符合相应等级保护

52、原则规定才干投入使用;2） 应在系统运营过程中定期对系统进行安全测评，发现不符合相应等级保护原则规定立即整治;3） 应在系统发生变更时立即对系统进行安全测评,发现等级发生变化立即调节等级并进行安全改造;发现不符合相应等级保护原则规定立即整治;4） 应选择具有国家有关技术资质和安全资质测评单位进行安全测评；5） 应和测评单位签订和安全有关合同，约束测评单位行为;6） 应指定或授权专门人员或部门负责安全测评管理。安全服务商选择1） 应保证安全服务商选择符合国家有关规定。1） 应保证安全服务商选择符合国家有关规定。系统运维管理环境管理1） 应对机房供配电、空调、温湿度控制等设施指定专人或专门部门定期

53、进行维护管理；2） 应配备机房安全管理人员,对机房出入、服务器开机或关机等工作进行管理;3） 应建立机房安全管理制度，对有关机房物理访问,物品带进、带出机房和机房环境安全等方面管理作出规定；4） 应对机房来访人员实行登记、备案管理，同步限制来访人员活动范畴；5） 加强对办公环境保密性管理，涉及如工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等。1） 应对机房供配电、空调、温湿度控制等设施指定专人或专门部门定期进行维护管理;2） 应配备机房安全管理人员,对机房出入、服务器开机或关机等工作进行管理；3） 应建立机房安全管理制度，对有关机房物理访问,物品带进、带出机房和机房环境安全

54、等方面管理作出规定;4） 加强对办公环境保密性管理,涉及如工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等;5） 应有指定部门负责机房安全,并配备电子门禁系统，对机房来访人员实行登记记录和电子记录双重备案管理;6） 应对办公环境人员行为,如工作人员离开座位应保证终端计算机退出登录状态和桌面上没有涉及敏感信息纸档文献等作出规定。资产管理1） 应建立资产安全管理制度，规定信息系统资产管理负责人员或责任部门;2） 应编制并保存和信息系统有关资产、资产所属关系、安全等级和所处位置等信息资产清单;3） 应根据资产核心限度对资产进行定性赋值和标记管理,根据资产价值选择相应管理措施。1）

55、应建立资产安全管理制度,规定信息系统资产管理负责人员或责任部门,并规范资产管理和使用行为;2） 应编制并保存和信息系统有关资产、资产所属关系、安全等级和所处位置等信息资产清单;3） 应根据资产核心限度对资产进行定性赋值和标记管理，根据资产价值选择相应管理措施；4） 应拟定信息分类和标记原则和措施,并对信息使用、传播和寄存作出规定。介质管理1） 应保证介质寄存在安全环境中,并对各类介质进行控制和保护,以避免被盗、被毁、被未授权修改和信息非法泄漏；2） 应有介质寄存、归档、登记和查询记录，并根据备份及存档介质目录清单定期盘点；3） 对于需要送出维修或销毁介质,应一方面清除介质中敏感数据，避免信息非

56、法泄漏；4） 应根据所承载数据和软件核心限度对介质进行分类和标记管理,并实行寄存环境专人管理。1） 应建立介质安全管理制度，对介质寄存环境、使用、维护和销毁等方面作出规定； 2） 应有介质归档和查询记录,并对存档介质目录清单定期盘点；3） 对于需要送出维修或销毁介质，应一方面清除介质中敏感数据，避免信息非法泄漏;4） 应根据数据备份需要对某些介质实行异地寄存，寄存地环境规定和管理措施应和本地相似；5） 应根据所承载数据和软件核心限度对介质进行分类和标记管理,并实行寄存环境专人管理;6） 应对介质物理传播过程中人员选择、打包、交付等状况进行控制;7） 应对寄存介质使用过程、送出维修和销毁进行严格

57、管理，保密性较高信息寄存介质未经批准不得自行销毁；8） 必需时应对核心介质数据和软件采用加密寄存，对带出工作环境寄存介质进行内容加密和监控管理;9） 应对寄存在介质库中介质定期进行完整性和可用性检查,拟定其数据或软件没有受到损坏或丢失。设备管理1） 应对信息系统有关多种设施、设备、线路等指定专人或专门部门定期进行维护管理；2） 应对信息系统多种软硬件设备选型、采购、发放或领用等过程建立基于申报、审批和专人负责管理规定；3） 应对终端计算机、工作站、便携机、系统和网络等设备操作和使用进行规范化管理；4） 应对带离机房或办公地点信息解决设备进行控制； 5） 应按操作规程实现服务器启动/停止、加电/

58、断电等操作,加强对服务器操作日记文献管理和监控管理，应按安全方略规定对网络及设备进行配备，并对其定期进行检查。1） 应对信息系统有关多种设备、线路等指定专人或专门部门定期进行维护管理;2） 应对信息系统多种软硬件设备选型、采购、发放或领用等过程建立基于申报、审批和专人负责管理规定；3） 应对终端计算机、工作站、便携机、系统和网络等设备操作和使用进行规范化管理；4） 应对带离机房或办公地点信息解决设备进行控制；5） 应按操作规程实现服务器启动停止、加电/断电等操作，加强对服务器操作日记文献管理和监控管理，并对其定期进行检查;6） 应建立配套设施、软硬件维护方面管理制度,对其维护进行有效管理，涉及

59、明确维护人员责任、涉外维修和服务审批、维修过程监督控制等;7） 应在安全管理机构统一安全方略下对服务器进行系统配备和服务设定，并实行配备管理。监控管理1） 应理解服务器U、内存、进程、磁盘使用状况。1） 应进行主机运营监视,涉及监视主机U、硬盘、内存、网络等资源使用状况;2） 应对分散或集中安全管理系统访问授权、操作记录、日记等方面进行有效管理；3） 应严格管理运营过程文档,其中涉及责任书、授权书、许可证、各类方略文档、事故报告解决文档、安全配备文档、系统各类日记等，并保证文档完整性和一致性。网络安全管理1） 应指定专人对网络进行管理，负责运营日记、网络监控记录平常维护和报警信息分析和解决工作

60、；2） 应建立网络安全管理制度,对网络安全配备和日记等方面作出规定;3） 应根据厂家提供软件升级版本对网络设备进行更新,并在更新前对既有核心文献进行备份；4） 应进行网络系统漏洞扫描，对发现网络系统安全漏洞进行立即修补;5） 应保证所有和外部系统连接均应得到授权和批准;6） 应对网络设备安全方略、授权访问、最小服务、升级和打补丁、维护记录、日记等方面做出具体规定；7） 应规定网络审计日记保存时间以便为也许安全事件调查提供支持。1） 赢指定专人对网络进行管理，负责运营日记、网络监控记录平常维护和报警信息分析和解决工作；2） 应根据厂家提供软件升级版本对网络设备进行更新，并在更新前对既有核心文献进

61、行备份;3） 应进行网络系统漏洞扫描,对发现网络系统安全漏洞进行立即修补;4） 应保证所有和外部系统连接均应得到授权和批准;5） 应建立网络安全管理制度,对网络安全配备、网络顾客和日记等方面作出规定；6） 应对网络设备安全方略、授权访问、最小服务、升级和打补丁、维护记录、日记和配备文献生成、备份、变更审批、符合性检查等方面做出具体规定;7） 应规定网络审计日记保存时间以便为也许安全事件调查提供支持;8） 应明确各类顾客责任、义务和风险，并根据机构制定审查和批准程序建立顾客和分派权限，定期检查顾客实际权限和分派权限符合性；9） 应对日记备份、授权访问、解决、保存时间等方面做出具体规定，使用统一网

62、络时间,以保证日记记录对旳;10） 应通过身份鉴别、访问控制等严格规定限制远程管理账户操作权限和登录行为;11） 应定期检查违背规定拨号上网或其他违背网络安全方略行为。系统安全管理1） 应指定专人对系统进行管理,删除或禁用不使用系统缺省账户;2） 应制度系统安全管理制度,对系统安全配备、系统账户和审计日记等方面作出规定；3） 应定期安装系统最新补丁程序,并根据厂家提供也许危害计算机漏洞进行立即修补,并在安装系统补丁前对既有核心文献进行备份;4） 应根据业务需求和系统安全分析拟定系统访问控制方略，系统访问控制方略用于控制分派信息系统、文献及服务访问权限；5） 应对系统账户进行分类管理,权限设定应当遵循最小授权规定;6） 应对系统安全方略、授权访问、最小服务、升级和打补丁、维护记录、日记等方面做出具体规定；7） 应规定系统审计日记保存时间以便为也许安全事件调查提供支持；8） 应进行系统漏洞扫描,对发现系统安全漏洞进行立即修补。1） 应指定专人对系