信息系统安全等级保护(二级)基本要求.xls

信信息息系系统统安安全全等等级级保保护护 二二级级 基基本本要要求求 序序号号 要要求求类类别别要要求求项项目目子子项项描描述述备备注注 1技术要求物理安全 物理位置的选择 G2 机机房房和和办办公公场场地地应应选选择择在在具具有有防防震震 防防风风和和防防雨雨等等能能力力的的建建筑筑内内 2物理访问控制 G2 a 机房出入口应安排专人值守 控制 鉴别和记录进入的人员 b 需需进进入入机机房房的的来来访访人人员员应应经经过过申申请请和和审审批批流流程程 并并限限制制和和监监控控其其 活活动动范范围围 3防盗窃和防破坏 G2 a 应将主要设备放置在机房内 b 应将设备或主要部件进行固定 并设置明显的不易除去的标记 c 应应 将将 通通 信信 线线 缆缆 铺铺 设设 在在 隐隐 蔽蔽 处处 可可 铺铺 设设 在在 地地 下下 或或 管管 道道 中中 d 应应 对对 介介 质质 分分 类类 标标 识识 存存 储储 在在 介介 质质 库库 或或 档档 案案 室室 中中 e 主主机机房房应应安安装装必必要要的的防防盗盗报报警警设设施施 4防雷击 G2 a 机房建筑应设置避雷装置 b 机机房房应应设设置置交交流流电电源源地地线线 5防火 G2 机房应设置灭火设备和火火灾灾自自动动报报警警系系统统 6防水和防潮 G2 a 水水 管管 安安 装装 不不 得得 穿穿 过过 机机 房房 屋屋 顶顶 和和 活活 动动 地地 板板 下下 b 应 采 取 措 施 防 止 雨 水 通 过 机 房 窗 户 屋 顶 和 墙 壁 渗 透 c 应应采采取取措措施施防防止止机机房房内内水水蒸蒸气气结结露露和和地地下下积积水水的的转转移移与与渗渗透透 7防静电 G2 关关键键设设备备应应采采用用必必要要的的接接地地防防静静电电措措施施 8温湿度控制 G2 机房应设置温温 湿湿度度自自动动调调节节设设施施 使机房温 湿度的变化在设备运 行所允许的范围之内 9电力供应 A2 a 应 在 机 房 供 电 线 路 上 配 置 稳 压 器 和 过 电 压 防 护 设 备 b 应应提提供供短短期期的的备备用用电电力力供供应应 至至少少满满足足关关键键设设备备在在断断电电情情况况下下的的 正正常常运运行行要要求求 10电磁防护 S2 电电源源线线和和通通信信线线缆缆应应隔隔离离铺铺设设 避避免免互互相相干干扰扰 11网络安全 结构安全 G2 a 应保证关键网络设备的业务处理能力具具备备冗冗余余空空间间 满满足足业业务务高高 峰峰期期需需要要 b 应保证接入网络和核心网络的带宽满满足足业业务务高高峰峰期期需需要要 c 应 绘 制 与 当 前 运 行 情 况 相 符 的 网 络 拓 扑 结 构 图 d 应应根根据据各各部部门门的的工工作作职职能能 重重要要性性和和所所涉涉及及信信息息的的重重要要程程度度等等因因 素素 划划分分不不同同的的子子网网或或网网段段 并并按按照照方方便便管管理理和和控控制制的的原原则则为为各各子子网网 网网段段分分配配地地址址段段 12访问控制 G2 a 应 在 网 络 边 界 部 署 访 问 控 制 设 备 启 用 访 问 控 制 功 能 b 应应能能根根据据会会话话状状态态信信息息为为数数据据流流提提供供明明确确的的允允许许 拒拒绝绝访访问问的的能能力力 控控制制粒粒度度为为网网段段级级 c 应按用户和系统之间的允许访问规则 决定允许或拒绝用户对受 控 系 统 进 行 资 源 访 问 控 制 粒 度 为 单单 个个 用用 户户 d 应应限限制制具具有有拨拨号号访访问问权权限限的的用用户户数数量量 13安全审计 G2 a 应应对对网网络络系系统统中中的的网网络络设设备备运运行行状状况况 网网络络流流量量 用用户户行行为为等等进进 行行日日志志记记录录 b 审审计计记记录录应应包包括括事事件件的的日日期期和和时时间间 用用户户 事事件件类类型型 事事件件是是否否 成成功功及及其其他他与与审审计计相相关关的的信信息息 14边界完整性检查 S2 应应能能够够对对内内部部网网络络中中出出现现的的内内部部用用户户未未通通过过准准许许私私自自联联到到外外部部网网络络的的 行行为为进进行行检检查查 15入侵防范 G2 应应在在网网络络边边界界处处监监视视以以下下攻攻击击行行为为 端端口口扫扫描描 强强力力攻攻击击 木木马马后后门门 攻攻击击 拒拒绝绝服服务务攻攻击击 缓缓冲冲区区溢溢出出攻攻击击 IPIP碎碎片片攻攻击击和和网网络络蠕蠕虫虫攻攻击击 等等 16网络设备防护 G2 a 应 对 登 录 网 络 设 备 的 用 户 进 行 身 份 鉴 别 b 应应 对对 网网 络络 设设 备备 的的 管管 理理 员员 登登 录录 地地 址址 进进 行行 限限 制制 c 网网络络设设备备用用户户的的标标识识应应唯唯一一 d 身身份份鉴鉴别别信信息息应应具具有有不不易易被被冒冒用用的的特特点点 口口令令应应有有复复杂杂度度要要求求并并 定定期期更更换换 e 应具有登录失败处理功能 可采取结束会话 限制非法登录次数 和 当 网 络 登 录 连 接 超 时 自 动 退 出 等 措 施 f 当对网络设备进行远程管理时 应采取必要措施防止鉴别信息在 网络传输过程中被窃听 技术要求 17主机安全 身份鉴别 S2 a 应对登录操作系统和数据库系统的用户进行身份标识和鉴别 b 操操作作系系统统和和数数据据库库系系统统管管理理用用户户身身份份标标识识应应具具有有不不易易被被冒冒用用的的特特 点点 口口令令应应有有复复杂杂度度要要求求并并定定期期更更换换 c 应应启启用用登登录录失失败败处处理理功功能能 可可采采取取结结束束会会话话 限限制制非非法法登登录录次次数数 和和自自动动退退出出等等措措施施 d 当当对对服服务务器器进进行行远远程程管管理理时时 应应采采取取必必要要措措施施 防防止止鉴鉴别别信信息息在在 网网络络传传输输过过程程中中被被窃窃听听 e 应应为为操操作作系系统统和和数数据据库库系系统统的的不不同同用用户户分分配配不不同同的的用用户户名名 确确保保 用用户户名名具具有有唯唯一一性性 18访问控制 S2 a 应启用访问控制功能 依据安全策略控制用户对资源的访问 b 应应 实实 现现 操操 作作 系系 统统 和和 数数 据据 库库 系系 统统 特特 权权 用用 户户 的的 权权 限限 分分 离离 c 应限制默认帐户的访问权限 重命名系统默认帐户 修改这些帐 户的默认口令 d 应及时删除多余的 过期的帐户 避免共享帐户的存在 19安全审计 G2 a 审审计计范范围围应应覆覆盖盖到到服服务务器器上上的的每每个个操操作作系系统统用用户户和和数数据据库库用用户户 b 审审计计内内容容应应包包括括重重要要用用户户行行为为 系系统统资资源源的的异异常常使使用用和和重重要要系系统统 命命 令令 的的 使使 用用 等等 系系 统统 内内 重重 要要 的的 安安 全全 相相 关关 事事 件件 c 审审计计记记录录应应包包括括事事件件的的日日期期 时时间间 类类型型 主主体体标标识识 客客体体标标识识 和和结结果果等等 d 应应保保护护审审计计记记录录 避避免免受受到到未未预预期期的的删删除除 修修改改或或覆覆盖盖等等 20入侵防范 G2 操作系统应遵循最小安装的原则 仅安装需要的组件和应用程序 并 通通过过设设置置升升级级服服务务器器等等方方式式保持系统补丁及时得到更新 21恶意代码防范 G2 a 应安装防恶意代码软件 并及时更新防恶意代码软件版本和恶意 代码库 b 应应支支持持防防恶恶意意代代码码软软件件的的统统一一管管理理 22资源控制 A2 a 应应通通过过设设定定终终端端接接入入方方式式 网网络络地地址址范范围围等等条条件件限限制制终终端端登登录录 b 应应 根根 据据 安安 全全 策策 略略 设设 置置 登登 录录 终终 端端 的的 操操 作作 超超 时时 锁锁 定定 c 应应限限制制单单个个用用户户对对系系统统资资源源的的最最大大或或最最小小使使用用限限度度 技术要求 23应用安全 身份鉴别 S2 a 应提供专用的登录控制模块对登录用户进行身份标识和鉴别 b 应应提提供供用用户户身身份份标标识识唯唯一一和和鉴鉴别别信信息息复复杂杂度度检检查查功功能能 保保证证应应用用 系系统统中中不不存存在在重重复复用用户户身身份份标标识识 身身份份鉴鉴别别信信息息不不易易被被冒冒用用 c 应提供登录失败处理功能 可采取结束会话 限制非法登录次数 和自动退出等措施 d 应启用身份鉴别 用用户户身身份份标标识识唯唯一一性性检检查查 用用户户身身份份鉴鉴别别信信息息 复复杂杂度度检检查查以及登录失败处理功能 并根据安全策略配置相关参数 24访问控制 S2 a 应提供访问控制功能 依依据据安安全全策策略略控控制制用用户户对对文文件件 数数据据库库表表 等等客客体体的的访访问问 b 访访问问控控制制的的覆覆盖盖范范围围应应包包括括与与资资源源访访问问相相关关的的主主体体 客客体体及及它它们们 之之间间的的操操作作 c 应由授权主体配置访问控制策略 并严格限制默认帐户的访问权 限 d 应应授授予予不不同同帐帐户户为为完完成成各各自自承承担担任任务务所所需需的的最最小小权权限限 并并在在它它们们 之之间间形形成成相相互互制制约约的的关关系系 25安全审计 G2 a 应应提提供供覆覆盖盖到到每每个个用用户户的的安安全全审审计计功功能能 对对应应用用系系统统重重要要安安全全事事 件件进进行行审审计计 b 应应 保保 证证 无无 法法 删删 除除 修修 改改 或或 覆覆 盖盖 审审 计计 记记 录录 c 审审计计记记录录的的内内容容至至少少应应包包括括事事件件日日期期 时时间间 发发起起者者信信息息 类类型型 描描述述和和结结果果等等 26通信完整性 S2 应应采采用用校校验验码码技技术术保保证证通通信信过过程程中中数数据据的的完完整整性性 27通信保密性 S2 a 在在通通信信双双方方建建立立连连接接之之前前 应应用用系系统统应应利利用用密密码码技技术术进进行行会会话话初初 始始化化验验证证 b 应应对对通通信信过过程程中中的的敏敏感感信信息息字字段段进进行行加加密密 28软件容错 A2 a 应提供数据有效性检验功能 保证通过人机接口输入或通过通信 接 口 输 入 的 数 据 格 式 或 长 度 符 合 系 统 设 定 要 求 b 在在故故障障发发生生时时 应应用用系系统统应应能能够够继继续续提提供供一一部部分分功功能能 确确保保能能够够 实实施施必必要要的的措措施施 29资源控制 A2 a 当当应应用用系系统统的的通通信信双双方方中中的的一一方方在在一一段段时时间间内内未未作作任任何何响响应应 另另 一一方方应应能能够够自自动动结结束束会会话话 b 应应 能能 够够 对对 应应 用用 系系 统统 的的 最最 大大 并并 发发 会会 话话 连连 接接 数数 进进 行行 限限 制制 c 应应能能够够对对单单个个帐帐户户的的多多重重并并发发会会话话进进行行限限制制 技术要求 30数据安全 及备份恢 复 数据完整性 S2 应应能能够够检检测测到到鉴鉴别别信信息息和和重重要要业业务务数数据据在在传传输输过过程程中中完完整整性性受受到到破破坏坏 31数据保密性 S2 应应采采用用加加密密或或其其他他保保护护措措施施实实现现鉴鉴别别信信息息的的存存储储保保密密性性 32备份和恢复 A2 a 应 能 够 对 重 要 信 息 进 行 备 份 和 恢 复 b 应应提提供供关关键键网网络络设设备备 通通信信线线路路和和数数据据处处理理系系统统的的硬硬件件冗冗余余 保保 证证系系统统的的可可用用性性 33管理要求安全管理 制度 管理制度 G2 a 应应制制定定信信息息安安全全工工作作的的总总体体方方针针和和安安全全策策略略 说说明明机机构构安安全全工工作作 的的 总总 体体 目目 标标 范范 围围 原原 则则 和和 安安 全全 框框 架架 等等 b 应对安安全全管管理理活活动动中中重重要要的的管管理理内内容容建立安全管理制度 c 应应对对安安全全管管理理人人员员或或操操作作人人员员执执行行的的重重要要管管理理操操作作建建立立操操作作规规程程 34制定和发布 G2 a 应指定或授权专专门门的的部部门门或人员负责安全管理制度的制定 b 应应组组织织相相关关人人员员对对制制定定的的安安全全管管理理制制度度进进行行论论证证和和审审定定 c 应将安全管理制度以某种方式发布到相关人员手中 35评审和修订 G2 应应定定期期对对安安全全管管理理制制度度进进行行评评审审 对对存存在在不不足足或或需需要要改改进进的的安安全全管管理理 制制度度进进行行修修订订 36安全管理 机构 岗位设置 G2 a 应应设设立立安安全全主主管管 安安全全管管理理各各个个方方面面的的负负责责人人岗岗位位 并并定定义义各各负负 责责人人的的职职责责 b 应设立系统管理员 网络管理员 安全管理员等岗位 并定义各 个工作岗位的职责 37人员配备 G2 a 应配备一定数量的系统管理员 网络管理员 安全管理员等 b 安安全全管管理理员员不不能能兼兼任任网网络络管管理理员员 系系统统管管理理员员 数数据据库库管管理理员员等等 38授权和审批 G2 a 应根据各个部门和岗位的职责明确授权审批部门及批准人 对系 统投入运行 网络系统接入和重要资源的访问等关键活动进行审批 b 应应针针对对关关键键活活动动建建立立审审批批流流程程 并并由由批批准准人人签签字字确确认认 39沟通和合作 G2 a 应应加加强强各各类类管管理理人人员员之之间间 组组织织内内部部机机构构之之间间以以及及信信息息安安全全职职能能 部部门门内内部部的的合合作作与与沟沟通通 b 应加强与兄弟单位 公安机关 电信公司的合作与沟通 40审查和检查 G2 安安全全管管理理员员应应负负责责定定期期进进行行安安全全检检查查 检检查查内内容容包包括括系系统统日日常常运运行行 系系统统漏漏洞洞和和数数据据备备份份等等情情况况 技术要求 41人员安全 管理 人员录用 G2 a 应 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 人 员 录 用 b 应规范人员录用过程 对被录用人员的身份 背背景景和专业资格等 进 行 审 查 对对 其其 所所 具具 有有 的的 技技 术术 技技 能能 进进 行行 考考 核核 c 应应与与从从事事关关键键岗岗位位的的人人员员签签署署保保密密协协议议 42人员离岗 G2 a 应应规规范范人人员员离离岗岗过过程程 及时终止离岗员工的所有访问权限 b 应取回各种身份证件 钥匙 徽章等以及机构提供的软硬件设备 c 应应办办理理严严格格的的调调离离手手续续 43人员考核 G2 应应定定期期对对各各个个岗岗位位的的人人员员进进行行安安全全技技能能及及安安全全认认知知的的考考核核 44安全意识教育和培训 G2 a 应对各类人员进行安全意识教育 岗位技能培训和相相关关安安全全技技术术 培培训训 b 应告知人员相关的安全责任和惩戒措施 并并对对违违反反违违背背安安全全策策略略 和和规规定定的的人人员员进进行行惩惩戒戒 c 应应制制定定安安全全教教育育和和培培训训计计划划 对对信信息息安安全全基基础础知知识识 岗岗位位操操作作规规 程程等等进进行行培培训训 45外部人员访问控制 G2 应确保在外部人员访问受控区域前得到授权或审批 批批准准后后由由专专人人全全 程程陪陪同同或或监监督督 并并登登记记备备案案 46系统建设 管理 系统定级 G2 a 应 明 确 信 息 系 统 的 边 界 和 安 全 保 护 等 级 b 应以书面的形式说明信息系统确定为某个安全保护等级的方法和 理由 c 应确保信息系统的定级结果经过相关部门的批准 47安全方案设计 G2 a 应根据系统的安全保护等级选择基本安全措施 依据风险分析的 结果补充和调整安全措施 b 应以书面形式描述对系统的安全保护要求 策略和措施等内容 形成系统的安全方案 c 应对安全方案进行细化 形成能指导安全系统建设 安全产品采 购和使用的详细设计方案 d 应应组组织织相相关关部部门门和和有有关关安安全全技技术术专专家家对对安安全全设设计计方方案案的的合合理理性性和和 正正确确性性进进行行论论证证和和审审定定 并并且且经经过过批批准准后后 才才能能正正式式实实施施 48产品采购和使用 G2 a 应 确 保 安 全 产 品 采 购 和 使 用 符 合 国 家 的 有 关 规 定 b 应应确确保保密密码码产产品品采采购购和和使使用用符符合合国国家家密密码码主主管管部部门门的的要要求求 c 应应指指定定或或授授权权专专门门的的部部门门负负责责产产品品的的采采购购 管理要求 49自行软件开发 G2 a 应 确 保 开 发 环 境 与 实 际 运 行 环 境 物 理 分 开 b 应应制制定定软软件件开开发发管管理理制制度度 明明确确说说明明开开发发过过程程的的控控制制方方法法和和人人员员 行行为为准准则则 c 应确保提供软件设计的相关文档和和使使用用指指南南 并由专人负责保管 50外包软件开发 G2 a 应根据开发要求检测软件质量 b 应 确 保 提 供 软 件 设 计 的 相 关 文 档 和 使 用 指 南 c 应 在 软 件 安 装 之 前 检 测 软 件 包 中 可 能 存 在 的 恶 意 代 码 d 应应要要求求开开发发单单位位提提供供软软件件源源代代码码 并并审审查查软软件件中中可可能能存存在在的的后后门门 51工程实施 G2 a 应指定或授权专门的部门或人员负责工程实施过程的管理 b 应应制制定定详详细细的的工工程程实实施施方方案案 控控制制工工程程实实施施过过程程 52测试验收 G2 a 应对系统进行安全性测试验收 b 在测试验收前应根据设计方案或合同要求等制订测试验收方案 在测试验收过程中应详细记录测试验收结果 并形成测试验收报告 c 应应组组织织相相关关部部门门和和相相关关人人员员对对系系统统测测试试验验收收报报告告进进行行审审定定 并并签签 字字确确认认 53系统交付 G2 a 应制定系统交付清单 并根据交付清单对所交接的设备 软件和 文档等进行清点 b 应对负责系统运行维护的技术人员进行相应的技能培训 c 应确保提供系统建设过程中的文档和指导用户进行系统运行维护 的文档 54安全服务商选择 G2 a 应 确 保 安 全 服 务 商 的 选 择 符 合 国 家 的 有 关 规 定 b 应与选定的安全服务商签订与安全相关的协议 明确约定相关责 任 c 应应确确保保选选定定的的安安全全服服务务商商提提供供技技术术支支持持和和服服务务承承诺诺 必必要要的的与与其其 签签订订服服务务合合同同 管理要求 系统建设 管理 55系统运维 管理 环境管理 G2 a 应指定专门的部门或人员定期对机房供配电 空调 温湿度控制 等设施进行维护管理 b 应配备机房安全管理人员 对机房的出入 服务器的开机或关机 等工作进行管理 c 应建立机房安全管理制度 对有关机房物理访问 物品带进 带 出 机 房 和 机 房 环 境 安 全 等 方 面 的 管 理 作 出 规 定 d 应应加加强强对对办办公公环环境境的的保保密密性性管管理理 包包括括工工作作人人员员调调离离办办公公室室应应立立 即即交交还还该该办办公公室室钥钥匙匙和和不不在在办办公公区区接接待待来来访访人人员员等等 56资产管理 G2 a 应编制与信息系统相关的资产清单 包括资产责任部门 重要程 度和所处位置等内容 b 应应建建立立资资产产安安全全管管理理制制度度 规规定定信信息息系系统统资资产产管管理理的的责责任任人人员员或或 责责任任部部门门 并并规规范范资资产产管管理理和和使使用用的的行行为为 57介质管理 G2 a 应确保介质存放在安全的环境中 对各类介质进行控制和保护 并并实实行行存存储储环环境境专专人人管管理理 b 应对介质归档和查询等过程进行记录 并根据存档介质的目录清 单定期盘点 c 应应对对需需要要送送出出维维修修或或销销毁毁的的介介质质 首首先先清清除除其其中中的的敏敏感感数数据据 防防 止止信信息息的的非非法法泄泄漏漏 d 应应根根据据所所承承载载数数据据和和软软件件的的重重要要程程度度对对介介质质进进行行分分类类和和标标识识管管理理 58设备管理 G2 a 应对信息系统相关的各种设备 包包括括备备份份和和冗冗余余设设备备 线路等 指 定 专 门 的 部 门 或 人 员 定 期 进 行 维 护 管 理 b 应建立基于申报 审批和专人负责的设备安全管理制度 对信息 系统的各种软硬件设备的选型 采购 发放和领用等过程进行规范化 管理 c 应应对对终终端端计计算算机机 工工作作站站 便便携携机机 系系统统和和网网络络等等设设备备的的操操作作和和 使使用用进进行行规规范范化化管管理理 按按操操作作规规程程实实现现关关键键设设备备 包包括括备备份份和和冗冗余余设设 备备 的的 启启 动动 停停 止止 加加 电电 断断 电电 等等 操操 作作 d 应应确确保保信信息息处处理理设设备备必必须须经经过过审审批批才才能能带带离离机机房房或或办办公公地地点点 管理要求 59网络安全管理 G2 a 应指定人员对网络进行管理 负责运行日志 网络监控记录的日 常维护和报警信息分析和处理工作 b 应应建建立立网网络络安安全全管管理理制制度度 对对网网络络安安全全配配置置 日日志志保保存存时时间间 安安 全全 策策 略略 升升 级级 与与 打打 补补 丁丁 口口 令令 更更 新新 周周 期期 等等 方方 面面 作作 出出 规规 定定 c 应应根根据据厂厂家家提提供供的的软软件件升升级级版版本本对对网网络络设设备备进进行行更更新新 并并在在更更新新 前前对对现现有有的的重重要要文文件件进进行行备备份份 d 应定期对网络系统进行漏洞扫描 对发现的网络系统安全漏洞进 行及时的修补 e 应应 对对 网网 络络 设设 备备 的的 配配 置置 文文 件件 进进 行行 定定 期期 备备 份份 f 应应保保证证所所有有与与外外部部系系统统的的连连接接均均得得到到授授权权和和批批准准 60系统安全管理 G2 a 应根据业务需求和系统安全分析确定系统的访问控制策略 b 应定期进行漏洞扫描 对发现的系统安全漏洞及时进行修补 c 应安装系统的最新补丁程序 在安装系统补丁前 应应首首先先在在测测试试 环环境境中中测测试试通通过过 并对重要文件进行备份后 方可实施系统补丁程序 的安装 d 应应建建立立系系统统安安全全管管理理制制度度 对对系系统统安安全全策策略略 安安全全配配置置 日日志志管管 理理和和日日常常操操作作流流程程等等方方面面作作出出规规定定 e 应应依依据据操操作作手手册册对对系系统统进进行行维维护护 详详细细记记录录操操作作日日志志 包包括括重重要要 的的日日常常操操作作 运运行行维维护护记记录录 参参数数的的设设置置和和修修改改等等内内容容 严严禁禁进进行行未未 经经授授权权的的操操作作 f 应应定定期期对对运运行行日日志志和和审审计计数数据据进进行行分分析析 以以便便及及时时发发现现异异常常行行为为 61恶意代码防范管理 G2 a 应提高所有用户的防病毒意识 告知及时升级防病毒软件 在读 取移动存储设备上的数据以及网络上接收文件或邮件之前 先进行病 毒检查 对外来计算机或存储设备接入网络系统之前也应进行病毒检 查 b 应应指指定定专专人人对对网网络络和和主主机机进进行行恶恶意意代代码码检检测测并并保