GB-T 22239-2019 信息安全技术 网络安全等级保护基本要求

GB/T22239-2019信息安全技术网络安全等级保护基本要求前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2019年5月10日联合发布，自2019年12月1日起正式实施，全面替代GB/T22239-2008版信息安全等级保护基础规范，是我国网络安全等级保护2.0制度体系的**核心基础性主干国家标准**。本标准归口于全国信息安全标准化技术委员会，由国家网络安全主管机构、权威科研院所、重点行业主管单位及头部网络安全专业机构联合编制，立足我国《网络安全法》法定合规要求，适配云计算、大数据、物联网、移动互联、工业控制等新一代信息技术全域应用场景，彻底革新传统边界防护思维，构建全覆盖、全层级、全周期的网络安全等级保护合规基线体系。本标准编制核心遵循依法合规、全域覆盖、分级管控、技管并重、持续防护的编制原则，相较于2008年旧版标准，核心变化体现在三大维度，一是防护范围从传统单一信息系统拓展至云、数、物、移、工控等新型数字化全域保护对象，二是防护模式从静态边界防护升级为动态纵深、主动防御、持续运维的一体化防护模式，三是管控体系从单纯技术防护优化为技术要求与管理要求深度融合、同步落实的闭环管控体系。本标准明确各级网络安全等级保护对象最低合规安全基线，是等级保护定级备案、安全规划设计、安全建设整改、等级保护测评、日常安全监管全流程工作的法定基础依据，所有非涉密网络及信息系统必须严格遵照本标准落实安全防护工作，涉密网络及涉密信息系统遵照国家涉密信息安全专项标准执行，第五级核心特殊保护对象按照国家专项核心安全管控要求单独落实。引言网络安全等级保护制度是我国网络空间安全治理的基础性、长期性、根本性法定制度，是压实网络运营者安全主体责任、防范各类网络安全风险、保障关键信息基础设施及各类信息化业务系统安全稳定运行的核心基石。随着我国数字经济深度发展，全社会数字化、网络化、智能化转型全面提速，网络架构从传统静态局域网架构向云化、虚拟化、分布式、泛互联架构全面转型，网络安全威胁呈现攻击产业化、风险连锁化、泄露常态化、入侵隐蔽化的全新特征，原有旧版等级保护基础要求已无法适配新时期网络安全防护与合规管控实际需求。为全面落实国家网络安全相关法律法规硬性规定，统一全国各级各类等级保护对象安全建设最低合规标准，消除不同行业、不同区域、不同系统安全建设标准不一、防护底线参差不齐、合规落地无统一依据的突出问题，健全等保2.0标准化完整配套体系，特制定本标准。本标准与GB/T25070-2019等级保护安全设计技术要求、GB/T28448-2019等级保护测评要求形成三位一体闭环配套，本标准划定**安全合规最低基线**，安全设计标准明确建设技术路径，测评标准划定达标核查规则，三者协同支撑等级保护全生命周期规范化管理，全面提升全国网络空间整体安全防护能力与风险综合治理水平。1范围本标准规定了网络安全等级保护工作中，第一级至第四级网络安全等级保护对象对应的通用安全基本要求、云计算安全扩展要求、大数据安全扩展要求、物联网安全扩展要求、工业控制系统安全扩展要求、移动互联安全扩展要求，同时明确等级保护对象分级安全保护能力基本定位、安全要求适用适配规则及基础合规管控底线。本标准所有要求均为等级保护对象安全建设与安全运维必须遵守的**最低强制性合规基线**，任何等级保护对象安全防护建设标准不得低于本标准对应等级要求，高等级保护对象可在基线基础上结合行业实际提升防护强度。本标准适用范围覆盖全国所有行政区域、所有行业领域、所有单位类型运营使用的非涉密计算机信息系统、通信网络平台、云计算服务平台、大数据处理系统、物联网感知传输系统、工业控制系统、移动互联网业务平台及其他各类数字化信息化等级保护对象。适用主体包含等级保护对象运营使用单位、安全规划设计单位、安全建设施工单位、等级保护测评机构、行业主管监管部门及网络安全综合监管部门，各类主体分别依据本标准开展安全主体责任落实、安全方案编制、安全整改建设、合规达标测评、安全监督检查工作。本标准不适用于第五级网络安全等级保护对象，该类对象依照国家核心安全专项管控政策及专属定制安全要求实施防护。2规范性引用文件下列规范性引用文件为本标准必不可少的配套支撑依据，凡是标注具体日期的引用文件，仅对应标注版本适用于本标准；凡是未标注具体日期的引用文件，其最新有效修订版本及所有增补修改单内容全部适用于本标准。核心引用文件涵盖网络安全等级保护定级指南、信息安全基础术语、云计算安全防护规范、工控信息安全管理规范、数据安全分类分级规范、网络安全应急管理规范、安全审计技术规范等国家及行业权威标准。所有开展等级保护定级、建设、整改、测评、运维相关工作的单位及人员，必须同步遵循对应引用文件相关规定，确保本标准各项基础安全要求落地合规、执行统一、衔接顺畅。3术语、定义和缩略语3.1网络安全等级保护对象：指按照国家网络安全等级保护制度及GB/T22240定级规范，依法完成安全等级定级与备案手续，纳入常态化等级保护监督管理范畴，承载数据采集、存储、传输、处理及业务运行交互的各类网络、信息系统及配套信息化设施整体集合，是本标准安全基本要求的直接适用客体。3.2安全保护等级：根据等级保护对象在国家安全、经济建设、社会公共服务中的重要程度，以及遭受网络攻击、系统破坏、数据泄露等安全事件后，对国家安全、社会公共秩序、公共利益及公民法人合法权益造成的危害严重程度，由低到高划分为第一级至第五级五个梯度安全防护等级，等级越高，安全防护基线要求越严格、管控力度越强、安全责任越重。3.3通用安全要求：指不分行业领域、不分应用场景、不分系统架构，所有第一级至第四级等级保护对象均必须统一遵守落实的基础性技术安全要求和管理安全要求，是等级保护合规防护的通用底线，无任何场景豁免情形。3.4安全扩展要求：指针对云计算、大数据、物联网、工业控制、移动互联等特殊信息化应用场景，在通用安全要求基础上额外增设的专项安全基线要求，适配新型场景架构特点与专属安全风险，补齐通用要求无法覆盖的场景化安全防护短板。3.5云服务商：指负责云计算基础设施建设、云资源运维管理、云平台安全管控，对外提供计算、存储、网络、软件等云计算服务的专业运营服务单位，需按照本标准落实云平台侧对应安全防护责任。3.6云服务客户：指采购使用云计算资源及云服务，在云平台内部部署自身业务系统、处理自有业务数据的单位主体，需按照本标准落实租户侧业务及数据对应安全防护责任。4等级保护总体概述4.1等级划分原则。网络安全等级保护严格按照业务重要性、后果危害性双维度核心原则划分五个保护等级，等级逐级递增，防护基线逐级从严，安全管控逐级强化，整改及测评要求逐级严格。第一级为自主保护级，面向普通低风险非核心业务系统，危害后果仅对单位自身一般权益造成轻微影响；第二级为指导保护级，面向一般办公及常规业务系统，危害后果对单位权益造成较大影响，对社会公共利益无明显危害；第三级为监督保护级，面向政务核心业务、重点行业关键业务系统，危害后果会对社会公共利益造成严重影响，对国家安全造成轻微影响；第四级为强制保护级，面向关键信息基础设施核心命脉系统，危害后果会对社会公共利益造成特别严重影响，对国家安全造成严重影响；第五级为专控保护级，面向国家核心安全关键系统，实行国家专项专属管控。4.2分级安全保护能力要求。第一级保护对象具备基础自主防护能力，能够抵御一般性偶然网络干扰及基础简单恶意攻击，依靠单位自身常规运维即可保障基础运行安全；第二级保护对象具备基础规范防护能力，能够抵御常见常规网络攻击及普通恶意代码侵扰，具备基础安全应急处置能力；第三级保护对象具备纵深综合防护能力，能够抵御常态化有组织中等强度网络攻击及初级渗透攻击，具备风险监测、安全审计、应急联动闭环处置能力；第四级保护对象具备高强度可信防护与主动防御能力，能够抵御高级持续性定向网络攻击及复杂深度渗透行为，具备实时预警、快速自愈、协同应急处置能力；第五级保护对象具备国家最高等级专项安全防护能力，按需定制化建设管控。4.3要求适用基本原则。所有等级保护对象必须先落实对应等级通用安全要求，属于新型特殊场景的必须同步叠加落实对应场景安全扩展要求，通用要求与扩展要求同步执行、缺一不可；低等级保护对象严禁套用高等级简化防护，高等级保护对象严禁降级套用低等级防护基线；跨场景复合型信息化系统，需同步叠加多项对应安全扩展要求，全面覆盖各类场景安全风险。5通用安全要求5.1技术安全通用要求5.1.1物理环境安全要求。所有等级保护对象机房及设备物理部署区域需落实对应等级物理防护基线，核心围绕物理访问管控、环境安全保障、设备物理防护、防灾防盗防破坏四大核心维度落实防护措施。物理访问管控需分级设置人员进出权限，配备门禁、监控、入侵报警等安防设施，做好人员进出登记、外来人员陪同管控及运维操作全程留痕；环境安全保障需做好机房温湿度调控、防雷防静电、防水防潮、防尘防火、稳压供电保障，配备合格消防设施及应急供电设备，确保设备运行环境稳定安全；设备物理防护需规范核心设备物理摆放固定，做好设备物理防盗、防破坏、防私自接线改动防护；防灾防护需针对自然灾害及突发意外情况做好基础预防措施，等级越高，安防设施配置越完善、管控记录留存时效越长、巡检维护频次越高，杜绝物理层面安全隐患引发系统停运及设备损毁问题。5.1.2网络和通信安全要求。网络通信安全核心围绕网络架构规划、区域边界防护、访问控制管理、网络传输安全、网络运维安全、流量监测审计落实基线要求。网络架构需按照安全分区、层级隔离原则规划部署，核心业务区、办公运维区、外网访问区有效隔离，杜绝无防护跨区域直通；网络边界部署合规安全防护设备，配置精细化最小权限访问控制策略，默认拒绝所有非必要网络访问及端口开放；网络数据传输针对重要业务及敏感数据实施加密防护，防止传输过程中数据窃取、篡改、劫持；网络设备需关闭默认账号、弱口令及高危无用端口协议，定期更新固件及安全补丁，强化远程运维安全管控；常态化开展网络流量监测、异常访问告警及网络安全审计，及时发现处置网络攻击及异常流量行为，等级越高，访问控制策略越精细、监测审计越全面、告警处置响应越快速。5.1.3设备和计算安全要求。计算设备安全覆盖服务器、终端主机、虚拟机、工控主机等各类核心计算设备基线防护，聚焦身份鉴别、权限管控、系统加固、恶意代码防护、漏洞修复、日志审计核心内容。所有计算设备必须修改默认管理员账号密码，设置高强度合规口令，高等级对象启用多因素身份认证及登录失败锁定机制；严格遵循最小权限原则分配用户及运维操作权限，权限分级分离、互不越权，严禁账号共享混用；全面完成操作系统及应用软件安全基线加固，关闭多余服务及无用功能；常态化部署恶意代码防护软件，定期病毒查杀及防护库更新；建立安全漏洞常态化排查及补丁修复机制，高危漏洞及时整改加固；全程记录设备登录、运维、操作日志并长期留存，支撑安全事件溯源审计。5.1.4应用和数据安全要求。应用安全聚焦业务应用系统、门户网站、办公平台等上层应用防护，落实身份鉴别、访问控制、安全开发、漏洞防护、操作审计基线要求，应用系统需完善角色权限精细化管控，防护SQL注入、跨站脚本等常见高危漏洞，核心操作增设二次审批及全程日志记录；数据安全按照数据分类分级管理要求，落实数据采集、存储、传输、使用、销毁全生命周期安全防护，敏感重要数据实施加密存储及脱敏处理，严格管控数据访问、导出、修改操作权限及审计记录；建立规范数据备份恢复机制，按等级落实本地备份、异地备份及定期恢复测试，确保数据意外损毁、系统故障后可快速恢复核心业务，严防数据泄露、篡改、丢失风险。5.2管理安全通用要求5.2.1安全管理制度要求。运营单位需结合自身业务实际及对应保护等级要求，建立全覆盖、可落地、适配性强的网络安全管理制度体系，涵盖安全策略管理、人员安全管理、运维安全管理、设备安全管理、数据安全管理、应急处置管理、漏洞整改管理等全维度制度内容。制度需贴合单位实际工作场景，杜绝照搬套用流于形式，根据法律法规更新、技术迭代及安全风险变化定期修订完善；建立制度宣贯培训及执行检查考核机制，确保全员熟知岗位职责及制度要求，制度落地执行有据可查、有责可追。5.2.2安全管理机构和人员要求。运营单位需设立专门网络安全管理工作机构，明确安全第一责任人、分管负责人及专职安全管理人员岗位职责，逐级压实网络安全主体责任；高等级保护对象必须配备专职安全运维及审计岗位，实行岗位权限分离、相互制约管控；所有安全及运维人员定期开展安全专业培训、法律法规培训及岗位技能考核，具备对应履职能力；规范人员离岗离职安全管理，及时注销账号、回收权限、交接工作、签订保密承诺；严格管控外包运维及外来服务人员，签订保密协议，规范运维操作权限及全程监管。5.2.3安全建设和运维管理要求。等级保护对象定级备案后，必须对照本标准基线要求完成安全建设整改工作，补齐安全防护短板，完善安全技术及管理措施；建立常态化安全运维巡检机制，定期开展设备巡检、漏洞排查、安全加固及自查整改；严格规范系统及设备安全变更管理，所有架构调整、配置修改、权限变更必须履行审批及风险评估流程，杜绝擅自变更引发安全风险；常态化开展安全自查自纠，形成自查整改闭环管理记录，持续巩固安全合规防护基础。5.2.4安全应急处置和事件管理要求。运营单位需编制贴合实际、具备实操性的网络安全应急预案，覆盖网络攻击、数据泄露、系统瘫痪、病毒感染等各类常见安全事件；按等级要求定期开展实战化应急演练，演练后复盘优化预案，提升应急处置实战能力；配齐应急备用设备及应急保障物资，明确应急处置岗位职责；规范安全事件上报、处置、复盘整改流程，发生安全事件及时止损、及时上报、彻底整改，杜绝同类事件重复发生。6云计算安全扩展要求依托云计算平台部署的等级保护对象，在通用安全要求基础上，必须同步落实云计算场景专属安全扩展基线要求，明确云服务商与云服务客户双方安全责任边界，各司其职、协同防护。云平台侧需重点落实多租户安全强隔离防护，确保不同租户计算、网络、存储、数据资源互不干扰、风险不交叉传导；强化虚拟化组件安全加固，做好虚拟机、虚拟网络、虚拟交换机安全防护及漏洞修复；规范云资源弹性伸缩、虚拟机迁移过程安全管控，确保迁移过程数据不泄露、策略不失效；建设云平台集中安全审计及日志留存体系，保障租户可查询、可审计、可溯源。租户侧需重点做好自身业务系统安全加固、租户内部访问权限管控、自有数据加密脱敏及备份管理，规范租户内部运维操作安全管控，严禁违规配置及越权操作，双方协同构建云环境纵深安全防护体系。7大数据安全扩展要求大数据处理及汇聚类等级保护对象，需叠加落实大数据全流程安全扩展基线要求，聚焦海量数据汇聚、分析处理、共享交换、对外流转全环节安全防护。严格落实大数据分类分级精准管控，对核心敏感业务数据及个人信息重点强化防护；大数据汇聚存储环节落实加密防护及隔离管控，防范汇聚后集中泄露风险；数据分析处理环节强化操作权限管控及行为审计，杜绝数据违规篡改及非法获取；大数据共享交换及对外提供环节严格审批、脱敏处理、全程留痕，规范数据出境及跨区域流转安全管理；建立大数据专属漏洞排查及安全监测机制，及时防范大数据平台专属安全漏洞及数据滥用风险，保障大数据业务安全合规运行。8物联网安全扩展要求物联网感知及传输类等级保护对象，需落实物联网场景安全扩展基线要求，重点补齐终端接入安全、感知数据传输安全、物联网网关安全、平台管控安全防护短板。物联网终端设备出厂及部署前必须安全加固，关闭默认弱口令及远程高危控制端口，终端接入网络前开展合规安全检测；感知数据采集及传输全程加密防护，防止数据传输窃取及篡改；物联网网关做好边界隔离及访问控制，阻断外部网络非法渗透攻击；物联网平台强化终端接入认证、设备状态监测、异常行为告警及操作审计，规范终端设备生命周期管理，兼顾物联网业务感知传输便捷性与整体网络安全防护刚性要求。9工业控制系统安全扩展要求工业控制、工业互联网、生产工控类等级保护对象，需严格落实工控