信息安全等級保護二級(20210220151855)

1、信息安全級保護（級）備注：其中黑色字體為信息安全等級保護第二級系統(tǒng)要求，藍色字體為第三級系統(tǒng)等保要求。一、物理安全1、應具有機房和辦公場地的設計 /驗收文檔（機房場地的選址說明、地線連接要求的描述、建筑材料 具有相應的耐火等級說明、接地防靜電措施）2、應具有有來訪人員進入機房的申請、審批記錄；來訪人員進入機房的登記記錄3、應配置電子門禁系統(tǒng) （三級明確要求 ）；電子門禁系統(tǒng)有驗收文檔或產(chǎn)品安全認證資質，電子門禁系統(tǒng)運行和維護記錄4、主要設備或設備的主要部件上應設置明顯的不易除去的標記5、介質有分類標識；介質分類存放在介質庫或檔案室內，磁介質、紙介質等分類存放6、應具有攝像、傳感等監(jiān)控報警系統(tǒng)；

2、機房防盜報警設施的安全資質材料、安裝測試和驗收報告； 機房防盜報警系統(tǒng)的運行記錄、定期檢查和維護記錄；7、應具有機房監(jiān)控報警設施的安全資質材料、安裝測試和驗收報告； 機房監(jiān)控報警系統(tǒng)的運行記錄、定期檢查和維護記錄8、應具有機房建筑的避雷裝置；通過驗收或國家有關部門的技術檢測；9、應在電源和信號線上增加有資質的防雷保安器；具有防雷檢測資質的檢測部門對防雷裝置的檢測報告10、應具有自動檢測火情、自動報警、自動滅火 的自動消防系統(tǒng)；自動消防系統(tǒng)的運行記錄、檢查和定期維護記錄；消防產(chǎn)品有效期合格；自動消防系統(tǒng)是經(jīng)消防檢測部門檢測合格的產(chǎn)品11、應具有除濕裝置；空調機和加濕器；溫濕度定期檢查和維護記錄1

3、2、應具有水敏感的檢測儀表或元件；對機房進行防水檢測和報警；防水檢測裝置的運行記錄、定期 檢查和維護記錄13、應具有溫濕度自動調節(jié)設施；溫濕度自動調節(jié)設施的運行記錄、定期檢查和維護記錄14、應具有短期備用電力供應設備（如UPS）；短期備用電力供應設備的運行記錄、定期檢查和維護記錄15、應具有冗余或并行的電力電纜線路（如雙路供電方式）16、應具有備用供電系統(tǒng)（如備用發(fā)電機）；備用供電系統(tǒng)運行記錄、定期檢查和維護記錄二、安全管理制度1、應具有對重要管理操作的操作規(guī)程，如系統(tǒng)維護手冊和用戶操作規(guī)程2、應具有安全管理制度的制定程序：3、應具有專門的部門或人員負責安全管理制度的制定（發(fā)布制度具有統(tǒng)一的格

4、式， 并進行版本控制）4、應對制定的安全管理制度進行論證和審定，論證和審定方式如何（如召開評審會、函審、內部審 核等），應具有管理制度評審記錄5、應具有安全管理制度的收發(fā)登記記錄，收發(fā)應通過正式、有效的方式（如正式發(fā)文、領導簽署和 單位蓋章等） 安全管理制度應注明發(fā)布范圍，并對收發(fā)文進行登記。6、信息安全領導小組 定期對安全管理制度體系的合理性和適用性進行審定，審定周期多長。 （安全管理制度體系的評審記錄）7、系統(tǒng)發(fā)生重大安全事故、出現(xiàn)新的安全漏洞以及技術基礎結構和組織結構等發(fā)生變更時應對安全 管理制度進行檢查，對需要改進的制度進行修訂。 （應具有安全管理制度修訂記錄）三、安全管理機構1、應設

5、立信息安全管理工作的職能部門2、應設立安全主管、安全管理各個方面的負責人3、應設立機房管理員、系統(tǒng)管理員、網(wǎng)絡管理員、安全管理員等重要崗位（分工明確，各司其職）， 數(shù)量情況（管理人員名單、崗位與人員對應關系表）4、安全管理員應是專職人員5、關鍵事物需要配備 2 人或 2 人以上共同管理，人員具體配備情況如何。6、應設立指導和管理信息安全工作的委員會或領導小組（最高領導是否由單位主管領導委任或授權 的人員擔任）7、應對重要信息系統(tǒng)活動進行審批（如系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入、重要管理制度 的制定和發(fā)布、人員的配備和培訓、產(chǎn)品的采購、外部人員的訪問等），審批部門是何部門，審批人 是何人。

6、審批程序：8、應與其它部門之間及內部各部門管理人員定期進行溝通（信息安全領導小組或者安全管理委員會應定期召開會議）9、應組織內部機構之間以及信息安全職能部門內部的安全工作會議文件或會議記錄，定期：10、信息安全管理委員會或領導小組安全管理工作執(zhí)行情況的文件或工作記錄（如會議記錄/紀要，信息安全工作決策文檔等）11、應與公安機關、電信公司和兄弟單位等的溝通合作（外聯(lián)單位聯(lián)系列表）12、應與供應商、業(yè)界專家、專業(yè)的安全公司、安全組織等建立溝通、合作機制。13、聘請信息安全專家作為常年的安全顧問（具有安全顧問名單或者聘請安全顧問的證明文件、具 有安全顧問參與評審的文檔或記錄）14、應組織人員定期對信

7、息系統(tǒng)進行安全檢查（查看檢查內容是否包括系統(tǒng)日常運行、系統(tǒng)漏洞和 數(shù)據(jù)備份等情況）15、應定期進行全面安全檢查（安全檢查是否包含現(xiàn)行技術措施有效性和管理制度執(zhí)行情況等方面、 具有安全檢查表格，安全檢查報告，檢查結果通告記錄）四、人員安全管理1、何部門 /何人負責安全管理和技術人員的錄用工作（錄用過程）2、應對被錄用人的身份、背景、專業(yè)資格和資質進行審查，對技術人員的技術技能進行考核，技能 考核文檔或記錄3、應與錄用后的技術人員簽署保密協(xié)議（協(xié)議中有保密范圍、保密責任、違約責任、協(xié)議的有效期 限和責任人的簽字等內容）4、應設定關鍵崗位， 對從事關鍵崗位的人員是否從內部人員中選拔， 是否要求其簽署

8、崗位安全協(xié)議。5、應及時終止離崗人員的所有訪問權限（離崗人員所有訪問權限終止的記錄）6、應及時取回離崗人員的各種身份證件、鑰匙、徽章等以及機構提供的軟硬件設備等（交還身份證 件和設備等的登記記錄）7、人員離崗應辦理調離手續(xù)，是否要求關鍵崗位調離人員承諾相關保密義務后方可離開（具有按照 離崗程序辦理調離手續(xù)的記錄，調離人員的簽字）8、對各個崗位人員應定期進行安全技能考核；具有安全技能考核記錄， 考核內容要求包含安全知識、安全技能等。9、對關鍵崗位人員的安全審查和考核與一般崗位人員有何不同，審查內容是否包括操作行為和社會 10、應對各類人員（普通用戶、運維人員、單位領導等）進行安全教育、崗位技能和

9、安全技術培訓。11、應針對不同崗位制定不同的培訓計劃，并按照計劃對各個崗位人員進行安全教育和培訓 （安全教育和培訓的結果記錄，記錄應與培訓計劃一致）12、外部人員進入條件（對哪些重要區(qū)域的訪問須提出書面申請批準后方可進入），外部人員進入的 訪問控制（由專人全程陪同或監(jiān)督等）13、應具有外部人員訪問重要區(qū)域的書面申請14、應具有外部人員訪問重要區(qū)域的登記記錄（記錄描述了外部人員訪問重要區(qū)域的進入時間、 離開時間、訪問區(qū)域、訪問設備或信息及陪同人等）五、系統(tǒng)建設管理1、應明確信息系統(tǒng)的邊界和安全保護等級（具有定級文檔，明確信息系統(tǒng)安全保護等級）2、應具有系統(tǒng)建設 /整改方案3、應授權專門的部門對信

10、息系統(tǒng)的安全建設進行總體規(guī)劃，由何部門/何人負責4、應具有系統(tǒng)的安全建設工作計劃（系統(tǒng)安全建設工作計劃中明確了近期和遠期的安全建設計劃）5、應組織相關部門和有關安全技術專家對總體安全策略、安全技術框架、安全管理策略等相關配套 文件進行論證和審定（配套文件的論證評審記錄或文檔）6、應對總體安全策略、安全技術框架、安全管理策略等相關配套文件應定期進行調整和修訂7、應具有總體安全策略、安全技術框架、安全管理策略、總體建設規(guī)劃、詳細設計方案等相關配套 文件的維護記錄或修訂版本8、應按照國家的相關規(guī)定進行采購和使用系統(tǒng)信息安全產(chǎn)品9、安全產(chǎn)品的相關憑證，如銷售許可等，應使用符合國家有關規(guī)定產(chǎn)品10、應具

11、有專門的部門負責產(chǎn)品的采購11、采購產(chǎn)品前應預先對產(chǎn)品進行選型測試確定產(chǎn)品的候選范圍，形成候選產(chǎn)品清單， 是否定期審定和更新候選產(chǎn)品名單12、應具有產(chǎn)品選型測試結果記錄和候選產(chǎn)品名單及更新記錄（產(chǎn)品選型測試結果文檔）13、應具有軟件設計相關文檔，專人保管軟件設計的相關文檔，應具有軟件使用指南或操作手冊14、對程序資源庫的修改、更新、發(fā)布應進行授權和批準15、應具有程序資源庫的修改、更新、發(fā)布文檔或記錄16、軟件交付前應依據(jù)開發(fā)協(xié)議的技術指標對軟件功能和性能等進行驗收檢測17、軟件安裝之前應檢測軟件中的惡意代碼（該軟件包的惡意代碼檢測報告），檢測工具是否是第三 方的商業(yè)產(chǎn)品 18、應具有軟件設計

12、的相關文檔和使用指南19、應具有需求分析說明書、軟件設計說明書、軟件操作手冊等開發(fā)文檔20、應指定專門部門或人員按照工程實施方案的要求對工程實施過程進行進度和質量控制21、應具有工程實施過程應按照實施方案形成各種文檔，如階段性工程進程匯報報告， 工程實施方案22、在信息系統(tǒng)正式運行前， 應委托第三方測試機構根據(jù)設計方案或合同要求對信息系統(tǒng)進行獨立的 安全性測試（第三方測試機構出示的系統(tǒng)安全性測試驗收報告）23、應具有工程測試驗收方案（測試驗收方案與設計方案或合同要求內容一致）24、應具有測試驗收報告25、應指定專門部門負責測試驗收工作（具有對系統(tǒng)測試驗收報告進行審定的意見）26、根據(jù)交付清單對

13、所交接的設備、文檔、軟件等進行清點（系統(tǒng)交付清單）27、應具有系統(tǒng)交付時的技術培訓記錄28、應具有系統(tǒng)建設文檔 （如系統(tǒng)建設方案） 、指導用戶進行系統(tǒng)運維的文檔 （如服務器操作規(guī)程書） 以及系統(tǒng)培訓手冊等文檔。29、應指定部門負責系統(tǒng)交付工作30、應具有與產(chǎn)品供應商、軟件開發(fā)商、系統(tǒng)集成商、系統(tǒng)運維商和等級測評機構等相關安全服務商 簽訂的協(xié)議（文檔中有保密范圍、安全責任、違約責任、協(xié)議的有效期限和責任人的簽字等內容31、選定的安全服務商應提供一定的技術培訓和服務32、應與安全服務商簽訂的服務合同或安全責任合同書六、系統(tǒng)運維管理1、應指定專人或部門對機房的基本設施（如空調、供配電設備等）進行定期

14、維護，由何部門/何人負責。2、應具有機房基礎設施的維護記錄，空調、溫濕度控制等機房設施定期維護保養(yǎng)的記錄3、應指定部門和人員負責機房安全管理工作4、應對辦公環(huán)境保密性進行管理（工作人員離開座位確保終端計算機退出登錄狀態(tài)、桌面上沒有包 含敏感信息的紙檔文件）5、應具有資產(chǎn)清單（覆蓋資產(chǎn)責任人、所屬級別、所處位置、所處部門等方面）6、應指定資產(chǎn)管理的責任部門或人員7、應依據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標識 8、介質存放于何種環(huán)境中，應對存放環(huán)境實施專人管理（介質存放在安全的環(huán)境（防潮、防盜、防 火、防磁，專用存儲空間） 9、應具有介質使用管理記錄，應記錄介質歸檔和使用等情況（介質存放、使用管理記錄）1

15、0、對介質的物理傳輸過程應要求選擇可靠傳輸人員、嚴格介質的打包（如采用防拆包裝置）、選擇 安全的物理傳輸途徑、雙方在場交付等環(huán)節(jié)的控制11、應對介質的使用情況進行登記管理，并定期盤點（介質歸檔和查詢的記錄、存檔介質定期盤點的 記錄）12、對送出維修或銷毀的介質如何管理，銷毀前應對數(shù)據(jù)進行凈化處理。（對帶出工作環(huán)境的存儲介質是否進行內容加密并有領導批準。對保密性較高的介質銷毀前是否有領導批準） （送修記錄、帶出 記錄、銷毀記錄）13、應對某些重要介質實行異地存儲，異地存儲環(huán)境是否與本地環(huán)境相同 （防潮、 防盜、防火、 防磁，專用存儲空間）14、介質上應具有分類的標識或標簽15、應對各類設施、設備

16、指定專人或專門部門進行定期維護。16、應具有設備操作手冊17、應對帶離機房的信息處理設備經(jīng)過審批流程，由何人審批（審批記錄）18、應監(jiān)控主機、網(wǎng)絡設備和應用系統(tǒng)的運行狀況等19、應有相關 網(wǎng)絡監(jiān)控系統(tǒng) 或技術措施能夠對通信線路、主機、網(wǎng)絡設備和應用軟件的運行狀況、網(wǎng) 絡流量、用戶行為等進行監(jiān)測和報警20、應具有日常運維的監(jiān)控日志記錄和運維交接日志記錄21、應定期對監(jiān)控記錄進行分析、評審22、應具有異?，F(xiàn)象的現(xiàn)場處理記錄和事后相關的分析報告23、應建立安全管理中心，對設備狀態(tài)、惡意代碼、補丁升級、安全審計等相關事項進行集中管理24、應指定專人負責維護網(wǎng)絡安全管理工作25、應對網(wǎng)絡設備進行過升級，

17、 更新前應對現(xiàn)有的重要文件是否進行備份 （網(wǎng)絡設備運維維護工作記 錄）26、應對網(wǎng)絡進行過漏洞掃描，并對發(fā)現(xiàn)的漏洞進行及時修補。27、對設備的安全配置應遵循最小服務原則，應對配置文件進行備份 （具有網(wǎng)絡設備配置數(shù)據(jù)的離線備份）28、系統(tǒng)網(wǎng)絡的外聯(lián)種類（互聯(lián)網(wǎng)、合作伙伴企業(yè)網(wǎng)、上級部門網(wǎng)絡等）應都得到授權與批準，由何 人/何部門批準。應定期檢查違規(guī)聯(lián)網(wǎng)的行為。29、對便攜式和移動式設備的網(wǎng)絡接入應進行限制管理 30、應具有內部網(wǎng)絡外聯(lián)的授權批準書，應具有網(wǎng)絡違規(guī)行為（如撥號上網(wǎng)等）的檢查手段和工具。31、在安裝系統(tǒng)補丁程序前應經(jīng)過測試，并對重要文件進行備份。32、應有補丁測試記錄和系統(tǒng)補丁安裝操

18、作記錄33、應對系統(tǒng)管理員用戶進行分類（比如：劃分不同的管理角色，系統(tǒng)管理權限與安全審計權限分離 等）34、審計員應定期對系統(tǒng)審計日志進行分析（有定期對系統(tǒng)運行日志和審計數(shù)據(jù)的分析報告）35、應對員工進行基本惡意代碼防范意識的教育，如告知應及時升級軟件版本 （對員工的惡意代碼防范教育的相關培訓文檔）36、應指定專人對惡意代碼進行檢測，并保存記錄。37、應具有對網(wǎng)絡和主機進行惡意代碼檢測的記錄38、應對惡意代碼庫的升級情況進行記錄（代碼庫的升級記錄），對各類防病毒產(chǎn)品上截獲的惡意代 碼是否進行分析并匯總上報。是否出現(xiàn)過大規(guī)模的病毒事件，如何處理39、應具有惡意代碼檢測記錄、惡意代碼庫升級記錄和分析報告40、應具有變更方案評審記錄和變更過程記錄文檔。41、重要系統(tǒng)的變更申請書，應具有主管領導的批準42、系統(tǒng)管