GB-T 36958-2018 中文版 信息安全技术 网络安全等级保护安全建设整改指南

GB/T36958-2018中文版信息安全技术网络安全等级保护安全建设整改指南前言GB/T36958-2018《信息安全技术网络安全等级保护安全建设整改指南》是我国网络安全等级保护2.0制度体系核心配套国家级推荐性国家标准，由国家市场监督管理总局、国家标准化管理委员会联合发布，全国网络安全标准化技术委员会归口统筹编制，2018年正式发布，2019年同步落地实施常态化应用。本标准作为网络安全等级保护全流程工作专属安全建设整改唯一指导性纲领文件，深度配套等级保护定级备案、安全规划、安全设计、安全运维、等级测评全链条工作环节，专门针对全国各级党政机关事业单位、关键信息基础设施运营单位、重点行业企事业单位、互联网平台运营机构等所有等级保护定级对象，规范信息系统安全现状摸底排查、安全差距分析、安全建设方案编制、软硬件安全加固、管理制度完善、安全隐患闭环整改、整改后自查复核、等级测评对接、长效安全运维巩固全流程整改建设工作，是所有定级单位开展等保合规整改、补齐安全防护短板、落实网络安全主体责任、顺利通过等级保护测评核验、满足监管合规核查要求的核心实操遵循与权威工作依据。本标准深度对标《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》《网络安全等级保护管理办法》等国家法律法规及专项监管规章硬性合规约束，全面适配一级至四级不同安全保护等级信息系统差异化建设整改需求，核心解决长期以来各定级单位等保整改普遍存在的整改目标不清晰、整改流程不规范、重设备采购轻制度建设、重表面加固轻根源治理、整改与业务脱节、整改完成后防护反弹、整改不达标无法通过测评、整改资源投入与风险防护不匹配等行业共性突出问题。本标准核心编制定位为构建全国统一、分级适配、流程闭环、实操落地、长效巩固的等级保护安全建设整改标准化工作体系，系统明确等保整改基础工作原则、全生命周期整改实施流程、不同安全等级差异化整改建设基准、管理体系类安全整改实施细则、技术防护类分领域加固整改规范、云平台大数据工控等专项场景适配整改要求、整改方案编制评审管控规则、整改施工落地过程管理办法、整改完成自查复核优化流程、与等级保护测评机构对接验收核验规范、整改后常态化运维持续加固提升机制、整改全流程档案归档溯源管理要求，从整改前期筹备、中期建设实施、后期验收巩固全周期规范定级单位整改建设行为，确保所有等保安全建设整改工作贴合标准要求、贴合业务实际、贴合风险现状、整改成效长效稳定，切实通过系统性整改筑牢信息系统网络安全防护根基，有效防范化解各类网络安全攻击、数据泄露、系统瘫痪、业务中断安全风险。本标准不作为独立执法处罚直接依据，定级单位网络安全合规追责、监管处罚等强制管理要求，以国家现行网络安全法律法规及等级保护专项监管规章为准，本标准重点提供定级单位等保安全建设整改全流程标准化实操指导与落地实施规范。本标准适用范围覆盖全国所有已完成等级保护定级备案的各类信息系统运营使用单位、信息化建设运维管理部门、安全整改实施承建单位、第三方安全咨询辅导机构，既是定级单位自主开展等保整改建设的必备纲领文件，也是监管部门指导整改工作、测评机构对接整改复核的统一权威执行依据。1总则范围本标准全面界定网络安全等级保护安全建设整改工作通用适用边界、核心适用主体、全维度整改覆盖范围、整改建设核心目标及整体实施定位，统一等级保护定级对象整改前期摸底调研、差距分析研判、整改方案编制、管理技术同步整改、现场加固实施、整改自查复核、测评验收对接、长效运维巩固全闭环标准化通用整改工作规则，适配传统本地机房信息系统、云平台虚拟化系统、大数据业务系统、工业生产控制系统、移动互联办公系统、跨区域协同业务系统等各类信息化架构下不同安全保护等级定级对象的安全建设整改全流程工作。本标准系统规定了等级保护安全建设整改核心工作基本原则、整改工作组织职责划分标准、整改全生命周期标准化实施阶段划分要求、不同安全等级定级对象整改强度适配基准、安全现状摸底排查与风险差距分析实施规范、安全建设整改总体方案与专项方案编制评审细则、管理安全体系补齐完善整改要求、网络主机终端应用数据全领域技术安全加固整改规范、特殊业务场景专项适配整改细则、整改施工落地过程安全管控规则、整改完成后内部自查复核与优化提升流程、整改工作与第三方等级测评衔接验收规范、整改后常态化安全运维与持续迭代加固机制、整改工作全流程资料归档与溯源管理要求，聚焦等保整改合规达标、风险闭环清零、防护体系完善、业务安全稳定、长效运维可控等核心整改管控环节。本标准适用主体涵盖所有已完成等级保护定级备案的党政机关及企事业单位定级运营单位、负责信息化建设与安全整改的内部管理部门、承接安全整改实施的承建服务商、提供整改咨询辅导的第三方安全机构、开展整改后等级测评核验的测评机构、负责整改监管指导的各级等保主管部门，所有涉及等级保护安全建设整改规划、实施、复核、验收、运维相关工作，均需严格遵照本标准统一规范要求执行，不得自行简化整改环节、降低整改标准、豁免合规整改项、弱化长效运维管理。本标准同步适配初次定级全新整改、存量系统升级复测整改、业务架构变更专项整改、安全事件事后补强整改、合规新规出台迭代整改等各类整改工作场景需求，全方位规范定级单位、整改承建方、测评机构、监管部门四方协同整改管理行为。本标准管控应用场景覆盖定级单位整改前期筹备规划、整改中期施工加固实施、整改后期自查优化验收、整改完成后常态化运维巩固、整改档案长期归档留存等整改全生命周期管理场景，无论定级单位规模大小、系统等级高低、业务类型差异、整改资金体量多少，均需按照本标准统一整改建设规范与实施要求落实全流程整改工作。本标准仅规范等级保护安全建设整改标准化实施工作，不增设超出国家网络安全法律法规及等级保护监管要求的额外强制整改义务，所有整改建设工作始终坚持风险导向、合规底线、业务兼容、标本兼治、长效巩固核心整改原则，坚决杜绝纸面整改、形式整改、虚假整改、重建设轻运维等无效整改乱象。2规范性引用文件本标准所有安全建设整改实施基准、分级整改标准、整改流程规范、技术加固要求、管理整改细则、验收复核依据、长效运维规则均以国家现行网络安全等级保护、信息安全管理、数据安全保护、保密安全管理相关法律法规、部门规章及国家基础性网络安全等级保护标准族配套标准为核心规范性引用依据，所有引用文件均以最新有效修订版本为统一适用基准，各类定级单位开展安全建设整改工作无需额外开展版本适配核验，直接遵照最新版引用文件协同落实等保整改全流程合规建设工作。核心规范性法律法规引用包含《中华人民共和国网络安全法》作为等保整改工作核心母法，明确定级单位网络安全主体责任、安全建设整改法定基础要求；同步引用《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》筑牢数据安全与个人信息保护专项整改法律根基；配套引用《网络安全等级保护管理办法》《关键信息基础设施安全保护条例》等核心监管规章，明确不同等级定级对象整改强度、整改时限、验收复核专项管控要求。核心规范性国家标准引用包含网络安全等级保护基本要求、等级保护测评要求、等级保护测评过程指南、信息安全风险管理规范、信息安全控制措施标准、数据分类分级安全管理规范、网络安全应急响应处置指南等全系配套国标，为整改差距分析、方案编制、技术加固、管理完善、自查复核、测评验收提供标准化技术支撑依据。所有规范性引用文件中的法定强制安全整改底线、基础防护整改原则、技术加固实施基准、专项合规整改条款，全部同步纳入本标准等保整改整体管控范畴，各类定级单位在开展安全建设整改各项工作时，必须严格契合引用文件对应合规整改规定要求，坚决杜绝整改建设与法定合规要求脱节、技术加固与标准规范割裂、管理整改与运维落实脱节的整改漏洞，确保等级保护安全建设整改合规对标、建设标准统一、整改实施规范、验收复核达标。3核心术语定义与缩略语说明本章节统一规范GB/T36958-2018等级保护安全建设整改全流程专属核心术语、基础概念法定定义及专业权威释义，所有释义与网络安全等级保护2.0标准族整体口径保持高度一致，确保监管部门、整改单位、承建服务商、测评机构四方认知统一、整改判定标准一致、整改管理边界清晰明确，各类单位编制整改方案、开展整改施工、落实自查复核、对接测评验收全流程工作，均需严格依照本章节统一术语释义规范执行，严禁单位自行篡改、简化、曲解核心术语法定内涵与整改管控边界。本标准重点界定网络安全等级保护定级对象、安全现状摸底排查、安全差距分析、安全建设整改、管理安全整改、技术安全整改、分级整改适配、整改方案评审、整改施工实施、整改自查复核、整改复测验收、整改长效运维、整改闭环销号、专项场景整改、整改档案溯源等等级保护安全整改专属核心术语。本标准清晰区分管理类安全整改与技术类安全整改整改侧重点差异、初次全面整改与常态化迭代整改实施流程区别、整改内部自查复核与外部等级测评验收两类核验工作的判定标准差异、通用基础整改与专项场景高阶整改适配要求不同，精准界定整改合规达标与整改不合格未达标的核心判定基准。针对等级保护安全建设整改工作中高频使用的专业缩略语及行业常规整改专业技术表述，统一规范整改建设使用场景及精准整改管控判定口径，杜绝术语使用歧义、概念理解偏差导致的整改方案编制失误、整改施工失当、验收判定争议问题。所有术语定义严格贴合我国网络安全等级保护法律法规最新法定要求及国家网络安全标准化编制核心内涵，兼顾定级单位整改实操落地适配性与监管验收审核权威性，全面保障等级保护安全建设整改全流程工作术语规范、口径统一、整改精准、合规达标、闭环可追溯。4等级保护安全建设整改核心基础工作原则所有定级单位规划开展、组织实施、验收优化等级保护安全建设整改各项工作，编制整改方案、推进施工加固、落实自查复核、做好长效运维，必须严格遵循本章节划定的六大核心基础整改指导原则，所有整改建设工作均以核心原则为根本导向，严禁偏离原则底线盲目采购安全设备、堆砌防护措施、简化整改流程、弱化管理整改、整改完成后疏于运维等无效整改行为。首要坚持合规底线刚性达标原则，等保整改首要守住国家法律法规及等级保护标准强制合规底线，标准明确要求必须落实的基础安全管控项、技术加固项、管理制度项必须全覆盖整改到位，不得因整改资金不足、业务运维繁忙、整改难度较大等理由删减合规整改项、降低整改标准、豁免强制防护要求，确保整改基础合规底线绝不突破。其次坚持风险导向分级适配原则，整改工作严禁一刀切同质化整改模式，必须以定级对象安全风险评估结果、系统安全保护等级、资产重要程度、数据敏感级别为核心依据，高等级核心业务系统、核心敏感数据配套落实高阶多重整改加固措施，低等级普通业务系统落实基础常规整改要求，聚焦高危风险优先整改清零，中低风险限期优化提升，实现整改强度与风险等级精准匹配。第三坚持管理技术同步整改原则，等级保护安全防护绝非仅靠安全设备技术加固即可达标，必须同步推进管理体系整改完善与技术防护整改加固同步规划、同步实施、同步验收，技术整改筑牢硬件安全防护防线，管理整改压实制度流程与人员责任，两类整改互为支撑缺一不可，坚决杜绝重技术采购、轻制度建设，重硬件加固、轻管理执行的整改失衡乱象。第四坚持整改业务兼容不扰原则，安全建设整改施工与加固工作不得影响核心业务正常生产经营与办公运转，整改施工需错峰实施、分步推进、做好业务备份与应急保障，在确保整改达标加固到位的基础上，最大限度降低整改对业务运营的影响，实现安全整改与业务稳定运行深度兼顾。第五坚持标本兼治长效整改原则，整改工作既要快速整改清零当下高危显性安全隐患，做好短期治标加固工作，更要健全长效安全管理制度、优化安全运维流程、完善安全防护架构，从根源杜绝同类安全隐患反复滋生，避免整改治标不治本、整改后防护反弹、隐患重复出现的问题。第六坚持全程留痕闭环可溯原则，整改方案编制评审、整改施工实施、隐患整改销号、自查复核优化、测评验收对接、长效运维管理全流程工作必须全程留痕、资料归档、台账清晰、闭环销号，确保整改工作有据可查、责任可追溯、成效可核验、监管可举证。所有等级保护安全建设整改工作必须严格恪守六大核心原则，统筹整改资源、规范整改流程、压实整改责任，确保整改合规达标、风险闭环清零、防护体系完善、长效运维稳定。5等级保护安全建设整改全周期阶段划分与组织职责管理科学划分整改工作阶段、明确各方整改组织岗位职责，是等级保护安全建设整改有序推进、分工清晰、责任压实、进度可控、整改高效落地的前置核心基础，阶段划分混乱、职责分工不明将直接导致整改工作推诿扯皮、进度滞后、整改漏项、成效不达标的核心问题，本标准明确等保整改全生命周期标准化阶段划分、各参与方组织架构搭建、岗位责任细化、整改工作统筹管控全流程管理规范，确保整改工作分步推进、分工明确、统筹有序、落地见效。本标准将等级保护安全建设整改全周期统一划分为五大核心实施阶段，五大阶段循序渐进、衔接紧密、闭环递进、缺一不可，分别为整改前期筹备与现状摸底排查阶段、安全差距分析与整改方案编制评审阶段、管理技术同步整改施工实施阶段、整改完成内部自查复核优化阶段、整改长效运维巩固与测评验收对接阶段，五大阶段共同构成完整闭环的等保安全整改工作体系，覆盖整改启动规划到长期运维巩固全流程环节。整改前期筹备与现状摸底排查阶段核心工作为定级单位成立专项整改工作小组，明确整改统筹负责人、技术整改负责人、管理整改负责人、业务协同负责人，统筹整改资金、人员、资源配置，全面梳理全量信息资产、系统架构、现有安全防护措施、现有管理制度体系，全方位开展网络、主机、终端、应用、数据全维度安全现状摸底排查，全面梳理现有安全短板、高危漏洞、合规不符项、管理缺失问题，形成摸底排查基础台账，为后续差距分析与方案编制提供真实基础依据。安全差距分析与整改方案编制评审阶段核心工作为对照等级保护基本要求与测评标准，精准对标摸底排查台账，逐项分析现有安全现状与标准合规要求之间的差距短板，精准识别高危风险隐患点位，结合系统等级与业务实际编制专项安全建设整改总体方案与分项技术、管理整改专项方案，明确整改整改内容、整改措施、整改责任人、整改实施时限、整改资金投入、整改验收标准，整改方案完成后组织内部评审与专家复核，评审通过后方可启动整改施工实施工作。管理技术同步整改施工实施阶段核心工作为按照评审通过的整改方案，同步推进管理制度体系完善修订发布、人员安全培训考核、管理流程优化等管理类整改工作，同步推进网络边界加固、主机终端基线加固、安全设备部署配置、漏洞修复整改、数据安全防护强化等技术类整改施工工作，整改施工全程做好施工安全管控、业务应急保障、整改过程记录，逐项落实整改措施、逐项闭环隐患销号。整改完成内部自查复核优化阶段核心工作为所有整改施工完成后，定级单位自行组织内部自查复核工作，对照整改方案与等保标准逐项核验整改落实情况，排查整改漏项、整改不到位、加固不彻底等问题，针对自查发现短板弱项再次优化补强整改，确保内部自查全部达标后，再对接第三方测评机构开展等级测评验收工作。整改长效运维巩固与测评验收对接阶段核心工作为配合测评机构完成等级保护现场测评与报告编制工作，针对测评反馈少量问题及时闭环复测整改，整改验收达标后建立常态化长效安全运维机制，持续优化安全防护策略、定期隐患排查加固、动态迭代防护措施，确保整改成效长期稳定不反弹。同时明确定级单位主体责任、整改承建单位施工责任、内部各部门协同责任、监管部门指导责任、测评机构验收责任，层层压实整改责任，杜绝整改工作推诿扯皮、责任悬空问题，保障全周期整改工作有序高效推进。6安全现状摸底排查与合规差距分析实施规范安全现状摸底排查与合规差距分析是等级保护安全建设整改的前置核心基础性工作，摸底不全面、差距分析不精准将直接导致整改方案脱离实际、整改漏项错项、整改资源浪费、整改无法达标，本标准全面细化摸底排查范围、排查内容、排查方法、台账建立规范，明确合规差距对标研判、风险分级判定、短板问题梳理全流程实操要求，确保底数摸清、差距找准、靶向整改。定级单位启动整改工作首要开展全覆盖无死角安全现状摸底排查工作，排查覆盖所有纳入等级保护定级备案范围的信息系统相关网络设备、安全设备、服务器主机、办公终端、业务应用系统、数据库数据资源、运维管理账号、现有安全管理制度、安全运维工作流程、人员安全管理配置全量资产与管控环节，不得遗漏核心业务系统、附属运维设备、后台管理系统、数据存储介质等关键排查对象。摸底排查采用人工现场核查、设备配置梳理、漏洞扫描检测、安全配置核查、人员访谈调研、管理制度查阅多重结合的排查方式，网络层面重点排查网络架构合理性、边界防护设备部署情况、网络访问策略配置、端口协议开放情况、网络分区隔离现状；主机与终端层面重点排查系统安全基线配置、弱口令隐患、系统补丁更新情况、恶意代码防护部署、远程访问管控现状；应用与数据层面重点排查应用安全防护配置、数据存储传输加密、数据访问权限管控、数据备份恢复落实情况；管理层面重点排查安全管理制度健全性、人员岗位职责落实、安全培训开展、应急演练实施、运维台账留存情况。所有排查发现的安全隐患、配置缺陷、制度缺失、合规不符问题全部统一登记造册，建立安全现状摸底排查专项台账，明确问题描述、风险等级、涉及系统、现存短板、影响危害，做到所有安全问题底数清晰、台账明晰、有据可查。摸底排查工作完成后，严格对照对应等级等级保护基本要求逐项开展合规差距对标分析工作，将现有安全防护现状与标准强制要求、推荐要求逐一比对，精准划分完全符合项、部分符合项、完全不符合项，精准区分高危必须立即整改差距、中风险限期整改差距、低风险长期优化差距，形成合规差距专项分析报告。针对高危合规差距与重大安全隐患优先标注列为核心必改项，作为整改方案重点建设内容，优先配置整改资源、优先推进整改落地；中低风险差距纳入常规优化整改计划，分步有序推进完善。差距分析严禁弱化风险、隐瞒差距、简化对标标准，必须客观真实、精准对标、全面梳理，为后续整改方案科学编制、靶向精准整改提供坚实可靠基础依据，从源头避免整改盲目建设、整改偏离标准、整改核心漏项等问题。7等级保护安全建设整改方案编制与评审管控要求安全建设整改方案是等级保护整改施工实施的法定依据与实操纲领，方案编制不规范、整改内容不清晰、措施不落地、评审走过场将直接导致整改施工无序推进、整改偏离标准、整改验收不达标，本标准明确整改方案总体架构、核心编制内容、分项专项方案编制细则、方案内部外部评审流程、方案修订变更管控全维度规范要求，确保整改方案科学合规、贴合实际、落地可实施、进度可管控、成效可核验。定级单位必须依据安全现状摸底排查台账与合规差距分析报告，结合信息系统安全保护等级、业务运营实际、整改资金预算、运维保障能力，编制统一完整的等级保护安全建设整改总体方案，同步配套编制管理安全整改专项方案、技术安全整改专项方案、专项场景适配整改分项方案，所有方案相互衔接、一体适配、覆盖全量整改差距短板。整改总体方案核心编制内容必须包含整改工作总体目标、整改工作核心原则、整改组织架构与岗位职责、整改全周期实施阶段与时间节点、整改总体资金资源配置、整改总体达标标准、整改施工安全保障、整改验收复核规则、整改长效运维规划等基础核心内容，明确整体整改工作统筹方向与总体实施安排。管理安全整改专项方案重点围绕管理制度缺失、管理流程不完善、人员安全管理不到位、培训考核未落实、应急管理不健全等管理类差距编制整改措施，明确制度新增修订清单、管理流程优化内容、人员培训考核计划、应急演练完善安排、管理台账建设要求，细化管理整改逐项落实举措与完成时限。技术安全整改专项方案重点围绕网络边界防护薄弱、主机终端加固不足、安全设备缺失配置、漏洞隐患未修复、数据防护不完善、审计留存不达标等技术类差距编制加固整改措施，明确安全设备采购部署计划、系统安全基线加固细则、漏洞修复整改流程、安全策略优化配置、数据防护加密部署、审计日志留存配置等技术实操整改内容。针对云平台、工控系统、大数据、远程办公等特殊业务场景，单独编制专项适配整改分项方案，贴合场景架构特点制定差异化整改措施，补齐通用整改措施适配短板。整改方案编制完成后必须严格开展多级评审管控工作，首先开展内部部门联合评审，由信息化部门、业务部门、安全管理部门联合审核方案完整性、整改适配性、落地可行性；内部评审通过后，高等级重点系统需组织外部安全专家开展专项评审，核查方案合规对标性、风险适配性、整改科学性，评审过程留存评审记录与修改意见，根据评审意见修订完善整改方案，评审定稿后的方案正式盖章发布实施。整改方案正式实施后不得随意变更整改内容、缩减整改措施、延后整改时限，因业务架构重大调整等特殊情况确需变更的，必须履行变更评审备案流程，确保整改方案严肃性与整改实施规范性，保障整改施工严格按照方案有序推进。8管理类安全体系补齐完善整改实施细则管理类安全体系整改是等级保护整改工作的根基核心，管理制度不健全、管理流程不完善、人员管理不规范、运维管理不到位，即便技术安全设备全部部署到位也无法实现长效安全防护，本标准全面细化组织安全管理、人员安全管理、制度流程管理、资产采购管理、应急安全管理、外包运维管理全维度管理类整改实操实施规范，确保管理整改全面补齐、制度落地执行、责任压实到位。组织安全管理整改方面，定级单位需健全层级化网络安全管理组织架构，明确单位主要负责人网络安全主体责任、分管领导专项安全管理责任、信息化部门管理落实责任、各业务部门一线安全责任，设立专职安全管理岗位，细化各岗位安全工作职责说明书，建立常态化网络安全工作会商机制与定期安全工作会议制度，补齐组织管理架构缺失、责任划分不明、统筹管理缺位等管理短板，确保安全管理工作有人统筹、有人落实、有人追责。人员安全管理整改方面，完善人员岗前安全背景核查、上岗安全培训、在岗年度安全考核、离岗离职权限注销全流程人员管理制度，修订人员日常网络安全行为规范、账号使用管理纪律、涉密操作管控要求，补齐全员安全意识常态化培训与专项技能培训计划，定期组织安全考核测评，整改人员管理松散、培训缺失、考核流于形式、离岗交接不规范等问题，压实人员安全第一道管理防线。制度体系完善整改方面，对照等级保护管理标准要求，全面梳理现有安全管理制度缺失情况，新增修订信息安全总体管理制度、日常运维管理制度、漏洞隐患整改制度、账号权限管理制度、数据安全管理制度、应急处置管理制度、保密安全管理制度全系列制度文件，配套编制对应操作流程、作业规范、工作表单，杜绝制度缺失、制度老旧、制度与实操脱节问题，形成完整适配的安全管理体系。资产与采购安全管理整改方面，健全全量信息资产台账管理制度，规范信息化资产采购选型、上线验收、变更运维、下线销毁全生命周期管理流程，完善安全设备与信息化系统采购安全合规测评要求，整改资产底数不清、采购无安全审核、资产销毁无数据清除等管理漏洞。应急与事件管理整改方面，修订完善网络安全应急预案，健全安全事件分级处置流程、应急岗位职责、应急上报机制，补齐常态化应急演练计划，定期组织应急演练实操，整改应急预案不完善、演练未开展、事件处置无流程等管理短板。外包与第三方安全管理整改方面，完善第三方运维服务商准入审核、安全协议签订、运维权限管控、履职核查管理制度，整改第三方管理失控、运维无监管、责任不明确等问题。所有管理类整改工作完成后，同步完善各类管理台账、会议记录、培训档案、整改资料，确保管理整改不仅纸面健全，更落地执行到位，为技术防护整改筑牢管理保障根基。9技术类全领域安全防护加固整改实操规范技术类安全防护加固整改是等级保护整改工作的核心硬性防护抓手，直接决定信息系统抵御网络攻击、防范安全入侵、规避数据泄露的实际防护能力，本标准细化网络边界、主机服务器、办公终端、应用系统、数据安全、身份权限、安全审计七大核心领域技术整改加固实操要求，全覆盖技术整改关键环节，确保技术加固合规达标、防护到位、漏洞清零、配置合规。网络边界安全技术整改方面，针对网络边界防护薄弱、设备缺失、策略杂乱、端口高危开放等问题，按需规范部署防火墙、入侵检测防御、网络隔离、安全接入VPN等边界安全防护设备，清理无效冗余网络访问策略、关闭高危闲置端口与不必要网络协议，优化网络分区安全隔离配置，整改网络边界无防护、策略粗放、攻击防范能力不足等短板，筑牢网络边界第一道安全防线。主机与服务器安全技术整改方面，针对服务器弱口令、系统补丁未更新、安全基线不达标、远程访问管控松散等问题，全面开展主机安全基线加固工作，统一设置高强度登录密码策略，定期修复系统高危漏洞与系统补丁，关闭主机不必要后台服务与高危功能，限制主机远程运维访问权限，部署主机恶意代码防护软件，整改主机高危配置漏洞、入侵风险突出等问题。办公终端安全技术整改方面，全网办公电脑、移动终端统一部署终端安全管理与病毒防护软件，规范终端安全基线配置，严控终端违规软件安装、外接设备随意使用、外网违规访问行为，定期开展终端病毒查杀与漏洞修复，整改终端管控缺失、病毒木马滋生、内网横向入侵风险。应用系统安全技术整改方面，针对业务应用、网站系统漏洞频发、防护缺失、篡改风险高等问题，开展应用系统代码安全加固、后台访问权限管控、接口安全防护、网站防篡改配置，整改应用高危漏洞、违规访问、系统篡改等安全隐患。数据安全技术整改方面，针对核心业务数据、敏感个人信息明文存储、无备份、易泄露等问题，落实敏感数据加密存储配置，完善核心数据定期备份与异地备份机制，定期开展备份数据恢复测试，整改数据无防护、备份不规范、数据丢失损毁风险。身份鉴别与访问控制技术整改方面，全网所有系统设备、运维账号落实高强度身份鉴别，核心系统启用多因素认证，实行账号最小权限赋权原则，定期清理冗余共享账号与过期权限，整改账号滥用、越权访问、权限泄露问题。安全审计与日志留存技术整改方面，全网网络设备、安全设备、主机应用系统开启完整安全日志审计功能，规范日志归集存储与留存时长配置，满足合规审计溯源要求，整改日志缺失、留存不足、审计无记录等合规短板。所有技术加固整改完成后，开展专项配置核验与漏洞复测工作，确保技术整改全部闭环清零、防护配置合规有效、安全隐患彻底整改到位。10云平台工控大数据专项场景差异化适配整改要求云计算、大数据、工业控制系统、远程移动办公等特殊业务信息化场景架构复杂、风险特殊、防护难点突出，通用基础整改措施无法适配专项安全防护与合规整改需求，本标准专门细化各类重点专项业务场景差异化适配整改实施规范，在通用管理技术整改全覆盖达标基础上，叠加专项高阶整改措施，补齐通用整改适配短板，实现特殊场景整改精准适配、风险专项管控、合规高阶达标。云平台专项适配整改方面，针对公有云、私有云、混合云多租户架构特点，重点落实云租户安全隔离整改、云资源权限精细化管控整改、云数据加密存储传输整改、云运维操作全程审计整改、云平台安全基线专项加固整改、云攻击动态防护整改，重点整改云租户越权访问、虚拟化安全漏洞、云配置合规缺失、云数据泄露等云场景专属风险，贴合云架构防护特点开展差异化整改，不盲目照搬传统机房整改模式。大数据平台专项适配整改方面，针对大数据集中存储、海量数据汇聚、数据批量处理特点，重点落实大数据集群安全加固整改、数据脱敏匿名化处理整改、大数据访问行为专项审计整改、大数据批量导出管控整改、大数据共享流转安全整改，整改大数据集中存储带来的大规模数据泄露、非法调取、违规分析等高风险隐患，强化数据全流程专项防护整改。工业控制系统专项适配整改方面，针对工控生产业务连续性要求高、设备老旧补丁难更新、工控协议特殊化特点，重点落实工控网络安全物理隔离整改、工控专用安全防护设备部署整改、工控设备安全基线极简加固整改、工控运维专用权限管控整改、工控安全事件应急专项整改，兼顾工控生产不中断与安全整改达标双重需求，杜绝过度整改影响生产运营。关键信息基础设施专项适配整改方面，针对关基单位高等级合规防护要求，叠加重点部位专项防护整改、安全态势监测预警整改、重大活动安全保障专项整改、年度核查适配整改，满足关基保护高等级整改底线要求。远程移动办公专项适配整改方面，针对外网接入内网、移动设备办公风险高的特点，落实远程接入多因素认证整改、移动终端安全管控整改、远程操作全程审计整改、外网访问策略严控整改，整改远程办公入侵、账号泄露、数据外传风险。所有专项场景整改坚持一场景一方案、差异化适配原则，结合场景风险等级调整整改强度，确保特殊业务场景整改合规达标、风险可控、业务稳定运行。11整改完成内部自查复核与优化提升工作规范安全建设整改施工全部完成后，内部自查复核是整改达标验收前的必经关键环节，自查不细致、复核不严格将导致整改漏项未发现、加固不到位问题遗留，后续等级测评无法顺利通过，本标准明确整改后内部自查复核组织安排、自查核查内容、问题复核整改、优化提升闭环全流程工作要求，确保内部自查全面达标后再对接外部等级测评验收。定级单位整改施工结束后，需立即成立内部专项自查复核小组，由安全管理部门、信息化技术部门、核心业务部门联合组成，对照整改评审通过的整改方案、等级保护对应标准要求、摸底排查原始问题台账，逐项开展全覆盖自查核验工作，自查范围覆盖所有管理整改落实情况、技术加固整改成效、专项场景整改适配情况、隐患闭环销号情况全维度内容。管理整改自查重点核查新增修订管理制度是否正式发布执行、人员培训考核是否实际开展、应急演练是否落地实施、管理台账是否完整归档、安全责任是否压实到位，杜绝管理整改纸面化、形式化、未实际执行问题。技术整改自查重点核查安全设备是否部署到位、防护策略是否生效运行、漏洞隐患是否复测清零、安全基线是否加固达标、数据备份是否可用、审计日志是否合规留存，逐项复测技术整改成效，确保技术加固真实有效、无遗留安全隐患。自查过程中发现的整改漏项、整改不彻底、加固不到位、措施未落地等问题，重新纳入整改补充台账，明确补充整改责任人与整改时限，立即开展二次补强整改，整改完成后再次复核核验，直至所有问题全部闭环销号、自查全部达标。自查复核工作完成后，编制整改内部自查复核专项正式报告，列明整改完成总体情况、自查核查结果、问题整改闭环情况、整改成效总结、后续优化提升计划，留存自查复核全套台账与佐证资料。针对自查发现的共性薄弱环节，同步开展整改优化提升工作，长效优化安全防护策略、完善管理流程、补强防护短板，杜绝同类问题反复出现，确保整改质量过硬、防护成效稳定，为后续外部等级测评验收筑牢前置基础。12等级测评对接验收与复测整改协同管理要求对接等级保护测评机构开展测评验收、做好测评反馈问题复测整改，是等保安全建设整改最终合规闭环的核心环节，规范对接流程、高效配合测评、快速闭环复测问题，是顺利通过等保测评、取得合规测评报告的关键，本标准明确测评前期对接准备、现场测评配合、测评问题反馈处置、复测整改闭环、测评报告确认全流程协同管理规范，确保测评验收顺利达标。定级单位内部自查复核达标后，主动对接具备合规资质的等级保护测评机构，提前做好测评前期对接筹备工作，整理汇总整改方案、自查报告、管理台账、技术加固资料、运维档案等全套整改佐证资料，提前梳理测评现场配合人员、测评系统范围、资料调取准备工作，确保测评前期筹备充分、对接顺畅。现场等级测评实施过程中，安排专职技术与管理人员全程配合测评机构现场勘查、配置核查、漏洞检测、资料查阅、人员访谈工作，如实提供整改相关佐证资料，客观配合现场测评核查，不隐瞒整改实际情况、不规避合规核查项，确保现场测评工作客观公正、高效有序开展。测评机构现场测评完成后，及时对接测评初步问题清单，针对测评反馈的少量轻微合规不符项、整改优化弱项，第一时间组织专项复测整改工作，按照测评反馈要求快速补强整改、闭环销号，整改完成后及时提请测评机构复测核验，确保所有测评问题全部整改达标。复测整改全部完成后，配合测评机构完成等级保护测评报告编制、审核、出具全流程工作，认真核对测评报告整改结论、合规判定、问题整改情况，确认报告内容真实准确无误后完成报告签收归档。严禁定级单位干预测评机构正常测评工作、要求出具不实测评结论、虚假整改应付测评，始终坚持客观合规、真实整改原则，确保测评验收结果真实有效、合规合法。测评验收达标后，妥善留存等级测评报告及全套验收资料，作为监管合规核查、资质复核、长效运维的核心依据，完成等级保护安全建设整改全流程合规闭环工作。13整改后常态化长效运维与持续迭代加固管理等级保护安全建设整改达标不是安全防护工