機房2級和3級等保要求_第1頁
機房2級和3級等保要求_第2頁
機房2級和3級等保要求_第3頁
機房2級和3級等保要求_第4頁
機房2級和3級等保要求_第5頁
已閱讀5頁,還剩27頁未讀, 繼續(xù)免費閱讀

下載本文檔

版權說明:本文檔由用戶提供并上傳,收益歸屬內容提供方,若內容存在侵權,請進行舉報或認領

文檔簡介

1、二級、三級等級保護要求比較一、 技術要求技術要求項二級等保三級等保物理安全物理位置的選擇1) 機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內。1) 機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內;2) 機房場地應避免設在建筑物的高層或地下室,以及用水設備的下層或隔壁; 3) 機房場地應當避開強電場、強磁場、強震動源、強噪聲源、重度環(huán)境污染、易發(fā)生火災、水災、易遭受雷擊的地區(qū)。物理訪問控制1) 機房出入口應有專人值守,鑒別進入的人員身份并登記在案;2) 應批準進入機房的來訪人員,限制和監(jiān)控其活動范圍。1) 機房出入口應有專人值守,鑒別進入的人員身份并登記在案;2) 應批準進入

2、機房的來訪人員,限制和監(jiān)控其活動范圍;3) 應對機房劃分區(qū)域進行管理,區(qū)域和區(qū)域之間設置物理隔離裝置,在重要區(qū)域前設置交付或安裝等過度區(qū)域;4) 應對重要區(qū)域配置電子門禁系統(tǒng),鑒別和記錄進入的人員身份并監(jiān)控其活動。防盜竊和防破壞1) 應將主要設備放置在物理受限的范圍內;2) 應對設備或主要部件進行固定,并設置明顯的不易除去的標記;3) 應將通信線纜鋪設在隱蔽處,如鋪設在地下或管道中等;4) 應對介質分類標識,存儲在介質庫或檔案室中;5) 應安裝必要的防盜報警設施,以防進入機房的盜竊和破壞行為。1) 應將主要設備放置在物理受限的范圍內;2) 應對設備或主要部件進行固定,并設置明顯的無法除去的標記

3、;3) 應將通信線纜鋪設在隱蔽處,如鋪設在地下或管道中等;4) 應對介質分類標識,存儲在介質庫或檔案室中;5) 設備或存儲介質攜帶出工作環(huán)境時,應受到監(jiān)控和內容加密;6) 應利用光、電等技術設置機房的防盜報警系統(tǒng),以防進入機房的盜竊和破壞行為;7) 應對機房設置監(jiān)控報警系統(tǒng)。防雷擊1) 機房建筑應設置避雷裝置;2) 應設置交流電源地線。1) 機房建筑應設置避雷裝置;2) 應設置防雷保安器,防止感應雷;3) 應設置交流電源地線。防火1) 應設置滅火設備和火災自動報警系統(tǒng),并保持滅火設備和火災自動報警系統(tǒng)的良好狀態(tài)。1) 應設置火災自動消防系統(tǒng),自動檢測火情、自動報警,并自動滅火;2) 機房及相關

4、的工作房間和輔助房,其建筑材料應具有耐火等級;3) 機房采取區(qū)域隔離防火措施,將重要設備與其他設備隔離開。防水和防潮1) 水管安裝,不得穿過屋頂和活動地板下;2) 應對穿過墻壁和樓板的水管增加必要的保護措施,如設置套管;3) 應采取措施防止雨水通過屋頂和墻壁滲透;4) 應采取措施防止室內水蒸氣結露和地下積水的轉移與滲透。1) 水管安裝,不得穿過屋頂和活動地板下;2) 應對穿過墻壁和樓板的水管增加必要的保護措施,如設置套管;3) 應采取措施防止雨水通過屋頂和墻壁滲透;4) 應采取措施防止室內水蒸氣結露和地下積水的轉移與滲透。防靜電1) 應采用必要的接地等防靜電措施1) 應采用必要的接地等防靜電措

5、施;2) 應采用防靜電地板。溫濕度控制1) 應設置溫、濕度自動調節(jié)設施,使機房溫、濕度的變化在設備運行所允許的范圍之內。1) 應設置恒溫恒濕系統(tǒng),使機房溫、濕度的變化在設備運行所允許的范圍之內。電力供應1) 計算機系統(tǒng)供電應與其他供電分開;2) 應設置穩(wěn)壓器和過電壓防護設備;3) 應提供短期的備用電力供應(如ups設備)。1) 計算機系統(tǒng)供電應與其他供電分開;2) 應設置穩(wěn)壓器和過電壓防護設備;3) 應提供短期的備用電力供應(如ups設備);4) 應設置冗余或并行的電力電纜線路;5) 應建立備用供電系統(tǒng)(如備用發(fā)電機),以備常用供電系統(tǒng)停電時啟用。電磁防護1) 應采用接地方式防止外界電磁干擾和

6、設備寄生耦合干擾;2) 電源線和通信線纜應隔離,避免互相干擾。1) 應采用接地方式防止外界電磁干擾和設備寄生耦合干擾;2) 電源線和通信線纜應隔離,避免互相干擾;3) 對重要設備和磁介質實施電磁屏蔽。網(wǎng)絡安全結構安全與網(wǎng)段劃分1) 網(wǎng)絡設備的業(yè)務處理能力應具備冗余空間,要求滿足業(yè)務高峰期需要;2) 應設計和繪制與當前運行情況相符的網(wǎng)絡拓撲結構圖; 3) 應根據(jù)機構業(yè)務的特點,在滿足業(yè)務高峰期需要的基礎上,合理設計網(wǎng)絡帶寬;4) 應在業(yè)務終端與業(yè)務服務器之間進行路由控制,建立安全的訪問路徑;5) 應根據(jù)各部門的工作職能、重要性、所涉及信息的重要程度等因素,劃分不同的子網(wǎng)或網(wǎng)段,并按照方便管理和控

7、制的原則為各子網(wǎng)、網(wǎng)段分配地址段;6) 重要網(wǎng)段應采取網(wǎng)絡層地址與數(shù)據(jù)鏈路層地址綁定措施,防止地址欺騙。1) 網(wǎng)絡設備的業(yè)務處理能力應具備冗余空間,要求滿足業(yè)務高峰期需要;2) 應設計和繪制與當前運行情況相符的網(wǎng)絡拓撲結構圖;3) 應根據(jù)機構業(yè)務的特點,在滿足業(yè)務高峰期需要的基礎上,合理設計網(wǎng)絡帶寬;4) 應在業(yè)務終端與業(yè)務服務器之間進行路由控制建立安全的訪問路徑;5) 應根據(jù)各部門的工作職能、重要性、所涉及信息的重要程度等因素,劃分不同的子網(wǎng)或網(wǎng)段,并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段;6) 重要網(wǎng)段應采取網(wǎng)絡層地址與數(shù)據(jù)鏈路層地址綁定措施,防止地址欺騙;7) 應按照對業(yè)務服務

8、的重要次序來指定帶寬分配優(yōu)先級別,保證在網(wǎng)絡發(fā)生擁堵的時候優(yōu)先保護重要業(yè)務數(shù)據(jù)主機。網(wǎng)絡訪問控制1) 應能根據(jù)會話狀態(tài)信息(包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信息的主機名等信息,并應支持地址通配符的使用),為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力。1) 應能根據(jù)會話狀態(tài)信息(包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信息的主機名等信息,并應支持地址通配符的使用),為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力;2) 應對進出網(wǎng)絡的信息內容進行過濾,實現(xiàn)對應用層http、ftp、telnet、smtp、pop3

9、等協(xié)議命令級的控制;3) 應依據(jù)安全策略允許或者拒絕便攜式和移動式設備的網(wǎng)絡接入;4) 應在會話處于非活躍一定時間或會話結束后終止網(wǎng)絡連接;5) 應限制網(wǎng)絡最大流量數(shù)及網(wǎng)絡連接數(shù)。撥號訪問控制1) 應在基于安全屬性的允許遠程用戶對系統(tǒng)訪問的規(guī)則的基礎上,對系統(tǒng)所有資源允許或拒絕用戶進行訪問,控制粒度為單個用戶;2) 應限制具有撥號訪問權限的用戶數(shù)量。1) 應在基于安全屬性的允許遠程用戶對系統(tǒng)訪問的規(guī)則的基礎上,對系統(tǒng)所有資源允許或拒絕用戶進行訪問,控制粒度為單個用戶;2) 應限制具有撥號訪問權限的用戶數(shù)量;3) 應按用戶和系統(tǒng)之間的允許訪問規(guī)則,決定允許用戶對受控系統(tǒng)進行資源訪問。網(wǎng)絡安全審計

10、1) 應對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等事件進行日志記錄;2) 對于每一個事件,其審計記錄應包括:事件的日期和時間、用戶、事件類型、事件是否成功,及其他與審計相關的信息。1) 應對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等進行全面的監(jiān)測、記錄;2) 對于每一個事件,其審計記錄應包括:事件的日期和時間、用戶、事件類型、事件是否成功,及其他與審計相關的信息;3) 安全審計應可以根據(jù)記錄數(shù)據(jù)進行分析,并生成審計報表;4) 安全審計應可以對特定事件,提供指定方式的實時報警;5) 審計記錄應受到保護避免受到未預期的刪除、修改或覆蓋等。邊界完整性檢查1) 應能夠檢測內部網(wǎng)絡中出

11、現(xiàn)的內部用戶未通過準許私自聯(lián)到外部網(wǎng)絡的行為(即“非法外聯(lián)”行為)。1) 應能夠檢測內部網(wǎng)絡中出現(xiàn)的內部用戶未通過準許私自聯(lián)到外部網(wǎng)絡的行為(即“非法外聯(lián)”行為);2) 應能夠對非授權設備私自聯(lián)到網(wǎng)絡的行為進行檢查,并準確定出位置,對其進行有效阻斷;3) 應能夠對內部網(wǎng)絡用戶私自聯(lián)到外部網(wǎng)絡的行為進行檢測后準確定出位置,并對其進行有效阻斷。網(wǎng)絡入侵防范1) 應在網(wǎng)絡邊界處監(jiān)視以下攻擊行為:端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、ip碎片攻擊、網(wǎng)絡蠕蟲攻擊等入侵事件的發(fā)生。1) 應在網(wǎng)絡邊界處應監(jiān)視以下攻擊行為:端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻

12、擊、ip碎片攻擊、網(wǎng)絡蠕蟲攻擊等入侵事件的發(fā)生;2) 當檢測到入侵事件時,應記錄入侵的源ip、攻擊的類型、攻擊的目的、攻擊的時間,并在發(fā)生嚴重入侵事件時提供報警。惡意代碼防范1) 應在網(wǎng)絡邊界及核心業(yè)務網(wǎng)段處對惡意代碼進行檢測和清除;2) 應維護惡意代碼庫的升級和檢測系統(tǒng)的更新;3) 應支持惡意代碼防范的統(tǒng)一管理。1) 應在網(wǎng)絡邊界及核心業(yè)務網(wǎng)段處對惡意代碼進行檢測和清除;2) 應維護惡意代碼庫的升級和檢測系統(tǒng)的更新;3) 應支持惡意代碼防范的統(tǒng)一管理。網(wǎng)絡設備防護1) 應對登錄網(wǎng)絡設備的用戶進行身份鑒別;2) 應對網(wǎng)絡設備的管理員登錄地址進行限制;3) 網(wǎng)絡設備用戶的標識應唯一;4) 身份鑒

13、別信息應具有不易被冒用的特點,例如口令長度、復雜性和定期的更新等;5) 應具有登錄失敗處理功能,如:結束會話、限制非法登錄次數(shù),當網(wǎng)絡登錄連接超時,自動退出。1) 應對登錄網(wǎng)絡設備的用戶進行身份鑒別;2) 應對網(wǎng)絡上的對等實體進行身份鑒別;3) 應對網(wǎng)絡設備的管理員登錄地址進行限制;4) 網(wǎng)絡設備用戶的標識應唯一;5) 身份鑒別信息應具有不易被冒用的特點,例如口令長度、復雜性和定期的更新等;6) 應對同一用戶選擇兩種或兩種以上組合的鑒別技術來進行身份鑒別;7) 應具有登錄失敗處理功能,如:結束會話、限制非法登錄次數(shù),當網(wǎng)絡登錄連接超時,自動退出;8) 應實現(xiàn)設備特權用戶的權限分離,例如將管理與

14、審計的權限分配給不同的網(wǎng)絡設備用戶。主機系統(tǒng)安全身份鑒別1) 操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的身份標識應具有唯一性;2) 應對登錄操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的用戶進行身份標識和鑒別;3) 操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)身份鑒別信息應具有不易被冒用的特點,例如口令長度、復雜性和定期的更新等;4) 應具有登錄失敗處理功能,如:結束會話、限制非法登錄次數(shù),當?shù)卿涍B接超時,自動退出。1) 操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的身份標識應具有唯一性;2) 應對登錄操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的用戶進行身份標識和鑒別;3) 應對同一用戶采用兩種或兩種以上組合的鑒別技術實現(xiàn)用戶身份鑒別;4) 操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的身份鑒

15、別信息應具有不易被冒用的特點,例如口令長度、復雜性和定期的更新等;5) 應具有登錄失敗處理功能,如:結束會話、限制非法登錄次數(shù),當?shù)卿涍B接超時,自動退出;6) 應具有鑒別警示功能;7) 重要的主機系統(tǒng)應對與之相連的服務器或終端設備進行身份標識和鑒別。自主訪問控制1) 應依據(jù)安全策略控制主體對客體的訪問;2) 自主訪問控制的覆蓋范圍應包括與信息安全直接相關的主體、客體及它們之間的操作;3) 自主訪問控制的粒度應達到主體為用戶級,客體為文件、數(shù)據(jù)庫表級;4) 應由授權主體設置對客體訪問和操作的權限;5) 應嚴格限制默認用戶的訪問權限。1) 應依據(jù)安全策略控制主體對客體的訪問;2) 自主訪問控制的覆

16、蓋范圍應包括與信息安全直接相關的主體、客體及它們之間的操作;3) 自主訪問控制的粒度應達到主體為用戶級,客體為文件、數(shù)據(jù)庫表級;4) 應由授權主體設置對客體訪問和操作的權限;5) 權限分離應采用最小授權原則,分別授予不同用戶各自為完成自己承擔任務所需的最小權限,并在他們之間形成相互制約的關系;6) 應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)特權用戶的權限分離;7) 應嚴格限制默認用戶的訪問權限。強制訪問控制無1) 應對重要信息資源和訪問重要信息資源的所有主體設置敏感標記;2) 強制訪問控制的覆蓋范圍應包括與重要信息資源直接相關的所有主體、客體及它們之間的操作;3) 強制訪問控制的粒度應達到主體為用戶級,客

17、體為文件、數(shù)據(jù)庫表級。安全審計1) 安全審計應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶;2) 安全審計應記錄系統(tǒng)內重要的安全相關事件,包括重要用戶行為和重要系統(tǒng)命令的使用等;3) 安全相關事件的記錄應包括日期和時間、類型、主體標識、客體標識、事件的結果等;4) 審計記錄應受到保護避免受到未預期的刪除、修改或覆蓋等。1) 安全審計應覆蓋到服務器和客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶;2) 安全審計應記錄系統(tǒng)內重要的安全相關事件,包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用;3) 安全相關事件的記錄應包括日期和時間、類型、主體標識、客體標識、事件的結果等;4) 安全審計應可以根據(jù)

18、記錄數(shù)據(jù)進行分析,并生成審計報表;5) 安全審計應可以對特定事件,提供指定方式的實時報警;6) 審計進程應受到保護避免受到未預期的中斷;7) 審計記錄應受到保護避免受到未預期的刪除、修改或覆蓋等。系統(tǒng)保護1) 系統(tǒng)應提供在管理維護狀態(tài)中運行的能力,管理維護狀態(tài)只能被系統(tǒng)管理員使用。1) 系統(tǒng)因故障或其他原因中斷后,應能夠以手動或自動方式恢復運行。剩余信息保護1) 應保證操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的鑒別信息所在的存儲空間,被釋放或再分配給其他用戶前得到完全清除,無論這些信息是存放在硬盤上還是在內存中;2) 應確保系統(tǒng)內的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間,被釋放或重新分配給其他用戶前得

19、到完全清除。1) 應保證操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的鑒別信息所在的存儲空間,被釋放或再分配給其他用戶前得到完全清除,無論這些信息是存放在硬盤上還是在內存中;2) 應確保系統(tǒng)內的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間,被釋放或重新分配給其他用戶前得到完全清除。入侵防范無1) 應進行主機運行監(jiān)視,包括監(jiān)視主機的cpu、硬盤、內存、網(wǎng)絡等資源的使用情況;2) 應設定資源報警域值,以便在資源使用超過規(guī)定數(shù)值時發(fā)出報警;3) 應進行特定進程監(jiān)控,限制操作人員運行非法進程;4) 應進行主機賬戶監(jiān)控,限制對重要賬戶的添加和更改;5) 應檢測各種已知的入侵行為,記錄入侵的源ip、攻擊的類型、攻擊的目的、

20、攻擊的時間,并在發(fā)生嚴重入侵事件時提供報警;6) 應能夠檢測重要程序完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復措施。惡意代碼防范1) 服務器和重要終端設備(包括移動設備)應安裝實時檢測和查殺惡意代碼的軟件產(chǎn)品;2) 主機系統(tǒng)防惡意代碼產(chǎn)品應具有與網(wǎng)絡防惡意代碼產(chǎn)品不同的惡意代碼庫;1) 服務器和終端設備(包括移動設備)均應安裝實時檢測和查殺惡意代碼的軟件產(chǎn)品;2) 主機系統(tǒng)防惡意代碼產(chǎn)品應具有與網(wǎng)絡防惡意代碼產(chǎn)品不同的惡意代碼庫;3) 應支持惡意代碼防范的統(tǒng)一管理。資源控制1) 應限制單個用戶的會話數(shù)量;2) 應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄。1) 應限制單個用

21、戶的多重并發(fā)會話;2) 應對最大并發(fā)會話連接數(shù)進行限制;3) 應對一個時間段內可能的并發(fā)會話連接數(shù)進行限制;4) 應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄;5) 應根據(jù)安全策略設置登錄終端的操作超時鎖定和鑒別失敗鎖定,并規(guī)定解鎖或終止方式;6) 應禁止同一用戶賬號在同一時間內并發(fā)登錄;7) 應限制單個用戶對系統(tǒng)資源的最大或最小使用限度;8) 當系統(tǒng)的服務水平降低到預先規(guī)定的最小值時,應能檢測和報警;9) 應根據(jù)安全策略設定主體的服務優(yōu)先級,根據(jù)優(yōu)先級分配系統(tǒng)資源,保證優(yōu)先級低的主體處理能力不會影響到優(yōu)先級高的主體的處理能力。應用安全身份鑒別1) 應用系統(tǒng)用戶的身份標識應具有唯一性

22、;2) 應對登錄的用戶進行身份標識和鑒別;3) 系統(tǒng)用戶身份鑒別信息應具有不易被冒用的特點,例如口令長度、復雜性和定期的更新等;4) 應具有登錄失敗處理功能,如:結束會話、限制非法登錄次數(shù),當?shù)卿涍B接超時,自動退出。1) 系統(tǒng)用戶的身份標識應具有唯一性;2) 應對登錄的用戶進行身份標識和鑒別; 3) 系統(tǒng)用戶的身份鑒別信息應具有不易被冒用的特點,例如口令長度、復雜性和定期的更新等;4) 應對同一用戶采用兩種或兩種以上組合的鑒別技術實現(xiàn)用戶身份鑒別;5) 應具有登錄失敗處理功能,如:結束會話、限制非法登錄次數(shù),當?shù)卿涍B接超時,自動退出;6) 應具有鑒別警示功能;7) 應用系統(tǒng)應及時清除存儲空間中

23、動態(tài)使用的鑒別信息。訪問控制1) 應依據(jù)安全策略控制用戶對客體的訪問;2) 自主訪問控制的覆蓋范圍應包括與信息安全直接相關的主體、客體及它們之間的操作;3) 自主訪問控制的粒度應達到主體為用戶級,客體為文件、數(shù)據(jù)庫表級;4) 應由授權主體設置用戶對系統(tǒng)功能操作和對數(shù)據(jù)訪問的權限;5) 應實現(xiàn)應用系統(tǒng)特權用戶的權限分離,例如將管理與審計的權限分配給不同的應用系統(tǒng)用戶;6) 權限分離應采用最小授權原則,分別授予不同用戶各自為完成自己承擔任務所需的最小權限,并在它們之間形成相互制約的關系;7) 應嚴格限制默認用戶的訪問權限。1) 應依據(jù)安全策略控制用戶對客體的訪問;2) 自主訪問控制的覆蓋范圍應包括

24、與信息安全直接相關的主體、客體及它們之間的操作;3) 自主訪問控制的粒度應達到主體為用戶級,客體為文件、數(shù)據(jù)庫表級;4) 應由授權主體設置用戶對系統(tǒng)功能操作和對數(shù)據(jù)訪問的權限;5) 應實現(xiàn)應用系統(tǒng)特權用戶的權限分離,例如將管理與審計的權限分配給不同的應用系統(tǒng)用戶;6) 權限分離應采用最小授權原則,分別授予不同用戶各自為完成自己承擔任務所需的最小權限,并在它們之間形成相互制約的關系;7) 應嚴格限制默認用戶的訪問權限。安全審計1) 安全審計應覆蓋到應用系統(tǒng)的每個用戶;2) 安全審計應記錄應用系統(tǒng)重要的安全相關事件,包括重要用戶行為和重要系統(tǒng)功能的執(zhí)行等;3) 安全相關事件的記錄應包括日期和時間、

25、類型、主體標識、客體標識、事件的結果等;4) 審計記錄應受到保護避免受到未預期的刪除、修改或覆蓋等。1) 安全審計應覆蓋到應用系統(tǒng)的每個用戶;2) 安全審計應記錄應用系統(tǒng)重要的安全相關事件,包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)功能的執(zhí)行等;3) 安全相關事件的記錄應包括日期和時間、類型、主體標識、客體標識、事件的結果等;4) 安全審計應可以根據(jù)記錄數(shù)據(jù)進行分析,并生成審計報表;5) 安全審計應可以對特定事件,提供指定方式的實時報警;6) 審計進程應受到保護避免受到未預期的中斷;7) 審計記錄應受到保護避免受到未預期的刪除、修改或覆蓋等。剩余信息保護1) 應保證用戶的鑒別信息所在的存儲

26、空間,被釋放或再分配給其他用戶前得到完全清除,無論這些信息是存放在硬盤上還是在內存中;2) 應確保系統(tǒng)內的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間,被釋放或重新分配給其他用戶前得到完全清除。1) 應保證用戶的鑒別信息所在的存儲空間,被釋放或再分配給其他用戶前得到完全清除,無論這些信息是存放在硬盤上還是在內存中;2) 應確保系統(tǒng)內的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間,被釋放或重新分配給其他用戶前得到完全清除。通信完整性1) 通信雙方應約定單向的校驗碼算法,計算通信數(shù)據(jù)報文的校驗碼,在進行通信時,雙方根據(jù)校驗碼判斷對方報文的有效性。1) 通信雙方應約定密碼算法,計算通信數(shù)據(jù)報文的報文驗證

27、碼,在進行通信時,雙方根據(jù)校驗碼判斷對方報文的有效性。抗抵賴無1) 應具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能;2) 應具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。通信保密性1) 當通信雙方中的一方在一段時間內未作任何響應,另一方應能夠自動結束會話;2) 在通信雙方建立連接之前,利用密碼技術進行會話初始化驗證;3) 在通信過程中,應對敏感信息字段進行加密。1) 當通信雙方中的一方在一段時間內未作任何響應,另一方應能夠自動結束會話;2) 在通信雙方建立連接之前,利用密碼技術進行會話初始化驗證;3) 在通信過程中,應對整個報文或會話過程進行加密;4) 應選用符

28、合國家有關部門要求的密碼算法。軟件容錯1) 應對通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)進行有效性檢驗;2) 應對通過人機接口方式進行的操作提供“回退”功能,即允許按照操作的序列進行回退;3) 在故障發(fā)生時,應繼續(xù)提供一部分功能,確保能夠實施必要的措施。1) 應對通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)進行有效性檢驗;2) 應對通過人機接口方式進行的操作提供“回退”功能,即允許按照操作的序列進行回退;3) 應有狀態(tài)監(jiān)測能力,當故障發(fā)生時,能實時檢測到故障狀態(tài)并報警;4) 應有自動保護能力,當故障發(fā)生時,自動保護當前所有狀態(tài)。資源控制1) 應限制單個用戶的多重并發(fā)會話;2) 應對應用系統(tǒng)的最大并

29、發(fā)會話連接數(shù)進行限制;3) 應對一個時間段內可能的并發(fā)會話連接數(shù)進行限制。1) 應限制單個用戶的多重并發(fā)會話;2) 應對應用系統(tǒng)的最大并發(fā)會話連接數(shù)進行限制;3) 應對一個時間段內可能的并發(fā)會話連接數(shù)進行限制;4) 應根據(jù)安全策略設置登錄終端的操作超時鎖定和鑒別失敗鎖定,并規(guī)定解鎖或終止方式;5) 應禁止同一用戶賬號在同一時間內并發(fā)登錄;6) 應對一個訪問用戶或一個請求進程占用的資源分配最大限額和最小限額;7) 應根據(jù)安全屬性(用戶身份、訪問地址、時間范圍等)允許或拒絕用戶建立會話連接;8) 當系統(tǒng)的服務水平降低到預先規(guī)定的最小值時,應能檢測和報警;9) 應根據(jù)安全策略設定主體的服務優(yōu)先級,根

30、據(jù)優(yōu)先級分配系統(tǒng)資源,保證優(yōu)先級低的主體處理能力不會影響到優(yōu)先級高的主體的處理能力。代碼安全1) 應對應用程序代碼進行惡意代碼掃描;2) 應對應用程序代碼進行安全脆弱性分析。1) 應制定應用程序代碼編寫安全規(guī)范,要求開發(fā)人員參照規(guī)范編寫代碼;2) 應對應用程序代碼進行代碼復審,識別可能存在的惡意代碼;3) 應對應用程序代碼進行安全脆弱性分析;4) 應對應用程序代碼進行穿透性測試。數(shù)據(jù)安全數(shù)據(jù)完整性1) 應能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸過程中完整性受到破壞;2) 應能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在存儲過程中完整性受到破壞。1) 應能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用

31、戶數(shù)據(jù)在傳輸過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復措施;2) 應能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在存儲過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復措施;3) 應能夠檢測到重要程序的完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復措施。數(shù)據(jù)保密性1) 網(wǎng)絡設備、操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和應用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應采用加密或其他有效措施實現(xiàn)傳輸保密性;2) 網(wǎng)絡設備、操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和應用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應采用加密或其他保護措施實現(xiàn)存儲保密性;3) 當使用便攜式和移動式設備時,應

32、加密或者采用可移動磁盤存儲敏感信息。1) 網(wǎng)絡設備、操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和應用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應采用加密或其他有效措施實現(xiàn)傳輸保密性;2) 網(wǎng)絡設備、操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和應用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管理數(shù)據(jù)和敏感的用戶數(shù)據(jù)應采用加密或其他保護措施實現(xiàn)存儲保密性;3) 當使用便攜式和移動式設備時,應加密或者采用可移動磁盤存儲敏感信息;4) 用于特定業(yè)務通信的通信信道應符合相關的國家規(guī)定。數(shù)據(jù)備份和恢復1) 應提供自動機制對重要信息進行有選擇的數(shù)據(jù)備份;2) 應提供恢復重要信息的功能;3) 應提供重要網(wǎng)絡設備、通信線路和服務器的硬件冗余1) 應提供自動

33、機制對重要信息進行本地和異地備份;2) 應提供恢復重要信息的功能;3) 應提供重要網(wǎng)絡設備、通信線路和服務器的硬件冗余;4) 應提供重要業(yè)務系統(tǒng)的本地系統(tǒng)級熱備份。二、 管理要求管理要求項二級等保三級等保安全管理機構崗位設置1) 應設立信息安全管理工作的職能部門,設立安全主管人、安全管理各個方面的負責人崗位,定義各負責人的職責;2) 應設立系統(tǒng)管理人員、網(wǎng)絡管理人員、安全管理人員崗位,定義各個工作崗位的職責;3) 應制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。1) 應設立信息安全管理工作的職能部門,設立安全主管人、安全管理各個方面的負責人崗位,定義各負責人的職責;2) 應設立

34、系統(tǒng)管理人員、網(wǎng)絡管理人員、安全管理人員崗位,定義各個工作崗位的職責;3) 應成立指導和管理信息安全工作的委員會或領導小組,其最高領導應由單位主管領導委任或授權;4) 應制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。人員配備1) 應配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡管理人員、安全管理人員等;2) 安全管理人員不能兼任網(wǎng)絡管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員等。1) 應配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡管理人員、安全管理人員等;2) 應配備專職安全管理人員,不可兼任;3) 關鍵崗位應定期輪崗。授權和審批1) 應授權審批部門及批準人,對關鍵活動進行審批;2) 應列表說明須審批的事項、審批部

35、門和可批準人。1) 應授權審批部門及批準人,對關鍵活動進行審批;2) 應列表說明須審批的事項、審批部門和可批準人;3) 應建立各審批事項的審批程序,按照審批程序執(zhí)行審批過程;4) 應建立關鍵活動的雙重審批制度;5) 不再適用的權限應及時取消授權;6) 應定期審查、更新需授權和審批的項目;7) 應記錄授權過程并保存授權文檔。溝通和合作1) 應加強各類管理人員和組織內部機構之間的合作與溝通,定期或不定期召開協(xié)調會議,共同協(xié)助處理信息安全問題;2) 信息安全職能部門應定期或不定期召集相關部門和人員召開安全工作會議,協(xié)調安全工作的實施;3) 應加強與兄弟單位、公安機關、電信公司的合作與溝通,以便在發(fā)生

36、安全事件時能夠得到及時的支持。1) 應加強各類管理人員和組織內部機構之間的合作與溝通,定期或不定期召開協(xié)調會議,共同協(xié)助處理信息安全問題;2) 信息安全職能部門應定期或不定期召集相關部門和人員召開安全工作會議,協(xié)調安全工作的實施;3) 信息安全領導小組或者安全管理委員會定期召開例會,對信息安全工作進行指導、決策;4) 應加強與兄弟單位、公安機關、電信公司的合作與溝通,以便在發(fā)生安全事件時能夠得到及時的支持;5) 應加強與供應商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通,獲取信息安全的最新發(fā)展動態(tài),當發(fā)生緊急事件的時候能夠及時得到支持和幫助;6) 應文件說明外聯(lián)單位、合作內容和聯(lián)系方式;7

37、) 聘請信息安全專家,作為常年的安全顧問,指導信息安全建設,參與安全規(guī)劃和安全評審等。審核和檢查1) 應由安全管理人員定期進行安全檢查,檢查內容包括用戶賬號情況、系統(tǒng)漏洞情況、系統(tǒng)審計情況等。1) 應由安全管理人員定期進行安全檢查,檢查內容包括用戶賬號情況、系統(tǒng)漏洞情況、系統(tǒng)審計情況等;2) 應由安全管理部門組織相關人員定期進行全面安全檢查,檢查內容包括現(xiàn)有安全技術措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等;3) 應由安全管理部門組織相關人員定期分析、評審異常行為的審計記錄,發(fā)現(xiàn)可疑行為,形成審計分析報告,并采取必要的應對措施;4) 應制定安全檢查表格實施安全檢查,匯總

38、安全檢查數(shù)據(jù),形成安全檢查報告,并對安全檢查結果進行通報;5) 應制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作,定期按照程序進行安全審核和安全檢查活動。安全管理制度管理制度1) 應制定信息安全工作的總體方針、政策性文件和安全策略等,說明機構安全工作的總體目標、范圍、方針、原則、責任等;2) 應對安全管理活動中重要的管理內容建立安全管理制度,以規(guī)范安全管理活動,約束人員的行為方式;3) 應對要求管理人員或操作人員執(zhí)行的重要管理操作,建立操作規(guī)程,以規(guī)范操作行為,防止操作失誤。1) 應制定信息安全工作的總體方針、政策性文件和安全策略等,說明機構安全工作的總體目標、范圍、方針、原則、責任等;

39、2) 應對安全管理活動中的各類管理內容建立安全管理制度,以規(guī)范安全管理活動,約束人員的行為方式;3) 應對要求管理人員或操作人員執(zhí)行的日常管理操作,建立操作規(guī)程,以規(guī)范操作行為,防止操作失誤;4) 應形成由安全政策、安全策略、管理制度、操作規(guī)程等構成的全面的信息安全管理制度體系;5) 應由安全管理職能部門定期組織相關部門和相關人員對安全管理制度體系的合理性和適用性進行審定。制定和發(fā)布1) 應在信息安全職能部門的總體負責下,組織相關人員制定;2) 應保證安全管理制度具有統(tǒng)一的格式風格,并進行版本控制;3) 應組織相關人員對制定的安全管理進行論證和審定;4) 安全管理制度應經(jīng)過管理層簽發(fā)后按照一定

40、的程序以文件形式發(fā)布。1) 應在信息安全領導小組的負責下,組織相關人員制定;2) 應保證安全管理制度具有統(tǒng)一的格式風格,并進行版本控制;3) 應組織相關人員對制定的安全管理進行論證和審定;4) 安全管理制度應經(jīng)過管理層簽發(fā)后按照一定的程序以文件形式發(fā)布;5) 安全管理制度應注明發(fā)布范圍,并對收發(fā)文進行登記。評審和修訂1) 應定期對安全管理制度進行評審和修訂,對存在不足或需要改進的安全管理制度進行修訂。1) 應定期對安全管理制度進行評審和修訂,對存在不足或需要改進的安全管理制度進行修訂;2) 當發(fā)生重大安全事故、出現(xiàn)新的安全漏洞以及技術基礎結構發(fā)生變更時,應對安全管理制度進行檢查、審定和修訂;3

41、) 每個制度文檔應有相應負責人或負責部門,負責對明確需要修訂的制度文檔的維護。人員安全管理人員錄用1) 應保證被錄用人具備基本的專業(yè)技術水平和安全管理知識;2) 應對被錄用人的身份、背景、專業(yè)資格和資質等進行審查;3) 應對被錄用人所具備的技術技能進行考核;4) 應對被錄用人說明其角色和職責;5) 應簽署保密協(xié)議。1) 應保證被錄用人具備基本的專業(yè)技術水平和安全管理知識;2) 應對被錄用人的身份、背景、專業(yè)資格和資質等進行審查;3) 應對被錄用人所具備的技術技能進行考核;4) 應對被錄用人說明其角色和職責;5) 應簽署保密協(xié)議;6) 從事關鍵崗位的人員應從內部人員選拔,并定期進行信用審查;7)

42、 從事關鍵崗位的人員應簽署崗位安全協(xié)議。人員離崗1) 應立即終止由于各種原因即將離崗的員工的所有訪問權限;2) 應取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬件設備;3) 應經(jīng)機構人事部門辦理嚴格的調離手續(xù),并承諾調離后的保密義務后方可離開。1) 應立即終止由于各種原因即將離崗的員工的所有訪問權限;2) 應取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬件設備;3) 應經(jīng)機構人事部門辦理嚴格的調離手續(xù),并承諾調離后的保密義務后方可離開。人員考核1) 應定期對各個崗位的人員進行安全技能及安全認知的考核;2) 應對關鍵崗位的人員進行全面、嚴格的安全審查;3) 應對違背安全策略和規(guī)定的人員進行懲

43、戒1) 應對所有人員進行全面、嚴格的安全審查;2) 應定期對各個崗位的人員進行安全技能及安全認知的考核;3) 應對考核結果進行記錄并保存;4) 應對違背安全策略和規(guī)定的人員進行懲戒。安全意識教育和培訓1) 應對各類人員進行安全意識教育;2) 應告知人員相關的安全責任和懲戒措施;3) 應制定安全教育和培訓計劃,對信息安全基礎知識、崗位操作規(guī)程等進行培訓;4) 應對安全教育和培訓的情況和結果進行記錄并歸檔保存。1) 應對各類人員進行安全意識教育;2) 應告知人員相關的安全責任和懲戒措施;3) 應制定安全教育和培訓計劃,對信息安全基礎知識、崗位操作規(guī)程等進行培訓;4) 應針對不同崗位制定不同培訓計劃

44、;5) 應對安全教育和培訓的情況和結果進行記錄并歸檔保存。第三方人員訪問管理1) 第三方人員應在訪問前與機構簽署安全責任合同書或保密協(xié)議;2) 對重要區(qū)域的訪問,必須經(jīng)過有關負責人的批準,并由專人陪同或監(jiān)督下進行,并記錄備案。1) 第三方人員應在訪問前與機構簽署安全責任合同書或保密協(xié)議;2) 對重要區(qū)域的訪問,須提出書面申請,批準后由專人全程陪同或監(jiān)督,并記錄備案;3) 對第三方人員允許訪問的區(qū)域、系統(tǒng)、設備、信息等內容應進行書面的規(guī)定,并按照規(guī)定執(zhí)行。系統(tǒng)建設管理系統(tǒng)定級1) 應明確信息系統(tǒng)劃分的方法;2) 應確定信息系統(tǒng)的安全等級;3) 應以書面的形式定義確定了安全等級的信息系統(tǒng)的屬性,包

45、括使命、業(yè)務、網(wǎng)絡、硬件、軟件、數(shù)據(jù)、邊界、人員等;4) 應確保信息系統(tǒng)的定級結果經(jīng)過相關部門的批準。1) 應明確信息系統(tǒng)劃分的方法;2) 應確定信息系統(tǒng)的安全等級;3) 應以書面的形式定義確定了安全等級的信息系統(tǒng)的屬性,包括使命、業(yè)務、網(wǎng)絡、硬件、軟件、數(shù)據(jù)、邊界、人員等;4) 應以書面的形式說明確定一個信息系統(tǒng)為某個安全等級的方法和理由;5) 應組織相關部門和有關安全技術專家對信息系統(tǒng)的定級結果的合理性和正確性進行論證和審定;6) 應確保信息系統(tǒng)的定級結果經(jīng)過相關部門的批準。安全方案設計1) 應根據(jù)系統(tǒng)的安全級別選擇基本安全措施,依據(jù)風險分析的結果補充和調整安全措施;2) 應以書面的形式描

46、述對系統(tǒng)的安全保護要求和策略、安全措施等內容,形成系統(tǒng)的安全方案;3) 應對安全方案進行細化,形成能指導安全系統(tǒng)建設和安全產(chǎn)品采購的詳細設計方案;4) 應組織相關部門和有關安全技術專家對安全設計方案的合理性和正確性進行論證和審定;5) 應確保安全設計方案必須經(jīng)過批準,才能正式實施。1) 應根據(jù)系統(tǒng)的安全級別選擇基本安全措施,依據(jù)風險分析的結果補充和調整安全措施;2) 應指定和授權專門的部門對信息系統(tǒng)的安全建設進行總體規(guī)劃,制定近期和遠期的安全建設工作計劃;3) 應根據(jù)信息系統(tǒng)的等級劃分情況,統(tǒng)一考慮安全保障體系的總體安全策略、安全技術框架、安全管理策略、總體建設規(guī)劃和詳細設計方案,并形成配套文

47、件;4) 應組織相關部門和有關安全技術專家對總體安全策略、安全技術框架、安全管理策略、總體建設規(guī)劃、詳細設計方案等相關配套文件的合理性和正確性進行論證和審定;5) 應確保總體安全策略、安全技術框架、安全管理策略、總體建設規(guī)劃、詳細設計方案等文件必須經(jīng)過批準,才能正式實施;6) 應根據(jù)安全測評、安全評估的結果定期調整和修訂總體安全策略、安全技術框架、安全管理策略、總體建設規(guī)劃、詳細設計方案等相關配套文件。產(chǎn)品采購1) 應確保安全產(chǎn)品的使用符合國家的有關規(guī)定;2) 應確保密碼產(chǎn)品的使用符合國家密碼主管部門的要求;3) 應指定或授權專門的部門負責產(chǎn)品的采購。1) 應確保安全產(chǎn)品的使用符合國家的有關規(guī)

48、定;2) 應確保密碼產(chǎn)品的使用符合國家密碼主管部門的要求;3) 應指定或授權專門的部門負責產(chǎn)品的采購;4) 應制定產(chǎn)品采購方面的管理制度明確說明采購過程的控制方法和人員行為準則;5) 應預先對產(chǎn)品進行選型測試,確定產(chǎn)品的候選范圍,并定期審定和更新候選產(chǎn)品名單。自行軟件開發(fā)1) 應確保開發(fā)環(huán)境與實際運行環(huán)境物理分開;2) 應確保提供軟件設計的相關文檔和使用指南;3) 應確保系統(tǒng)開發(fā)文檔由專人負責保管,系統(tǒng)開發(fā)文檔的使用受到控制。1) 應確保開發(fā)環(huán)境與實際運行環(huán)境物理分開;2) 應確保系統(tǒng)開發(fā)文檔由專人負責保管,系統(tǒng)開發(fā)文檔的使用受到控制;3) 應制定開發(fā)方面的管理制度明確說明開發(fā)過程的控制方法和

49、人員行為準則;4) 應確保開發(fā)人員和測試人員的分離,測試數(shù)據(jù)和測試結果受到控制;5) 應確保提供軟件設計的相關文檔和使用指南;6) 應確保對程序資源庫的修改、更新、發(fā)布進行授權和批準。外包軟件開發(fā)1) 應與軟件開發(fā)單位簽訂協(xié)議,明確知識產(chǎn)權的歸屬和安全方面的要求;2) 應根據(jù)協(xié)議的要求檢測軟件質量;3) 應在軟件安裝之前檢測軟件包中可能存在的惡意代碼;4) 應確保提供軟件設計的相關文檔和使用指南。1) 應與軟件開發(fā)單位簽訂協(xié)議,明確知識產(chǎn)權的歸屬和安全方面的要求;2) 應根據(jù)協(xié)議的要求檢測軟件質量;3) 應在軟件安裝之前檢測軟件包中可能存在的惡意代碼;4) 應要求開發(fā)單位提供技術培訓和服務承諾

50、;5) 應要求開發(fā)單位提供軟件設計的相關文檔和使用指南。工程實施1) 應與工程實施單位簽訂與安全相關的協(xié)議,約束工程實施單位的行為;2) 應指定或授權專門的人員或部門負責工程實施過程的管理;3) 應制定詳細的工程實施方案控制實施過程。1) 應與工程實施單位簽訂與安全相關的協(xié)議,約束工程實施單位的行為;2) 應指定或授權專門的人員或部門負責工程實施過程的管理;3) 應制定詳細的工程實施方案控制實施過程,并要求工程實施單位能正式地執(zhí)行安全工程過程;4) 應制定工程實施方面的管理制度,明確說明實施過程的控制方法和人員行為準則。測試驗收1) 應對系統(tǒng)進行安全性測試驗收;2) 應在測試驗收前根據(jù)設計方案

51、或合同要求等制訂測試驗收方案,測試驗收過程中詳細記錄測試驗收結果,形成測試驗收報告;3) 應組織相關部門和相關人員對系統(tǒng)測試驗收報告進行審定,沒有疑問后由雙方簽字。1) 應對系統(tǒng)進行安全性測試驗收;2) 應在測試驗收前根據(jù)設計方案或合同要求等制訂測試驗收方案,測試驗收過程中詳細記錄測試驗收結果,形成測試驗收報告;3) 應委托公正的第三方測試單位對系統(tǒng)進行測試,并出具測試報告;4) 應制定系統(tǒng)測試驗收方面的管理制度明確說明系統(tǒng)測試驗收的控制方法和人員行為準則;5) 應指定或授權專門的部門負責系統(tǒng)測試驗收的管理,并按照管理制度的要求完成系統(tǒng)測試驗收工作;6) 應組織相關部門和相關人員對系統(tǒng)測試驗收

52、報告進行審定,沒有疑問后由雙方簽字。系統(tǒng)交付1) 應明確系統(tǒng)的交接手續(xù),并按照交接手續(xù)完成交接工作;2) 應由系統(tǒng)建設方完成對委托建設方的運維技術人員的培訓;3) 應由系統(tǒng)建設方提交系統(tǒng)建設過程中的文檔和指導用戶進行系統(tǒng)運行維護的文檔;4) 應由系統(tǒng)建設方進行服務承諾,并提交服務承諾書,確保對系統(tǒng)運行維護的支持。1) 應明確系統(tǒng)的交接手續(xù),并按照交接手續(xù)完成交接工作;2) 應由系統(tǒng)建設方完成對委托建設方的運維技術人員的培訓;3) 應由系統(tǒng)建設方提交系統(tǒng)建設過程中的文檔和指導用戶進行系統(tǒng)運行維護的文檔;4) 應由系統(tǒng)建設方進行服務承諾,并提交服務承諾書,確保對系統(tǒng)運行維護的支持;5) 應制定系統(tǒng)

53、交付方面的管理制度明確說明系統(tǒng)交付的控制方法和人員行為準則;6) 應指定或授權專門的部門負責系統(tǒng)交付的管理工作,并按照管理制度的要求完成系統(tǒng)交付工作。系統(tǒng)備案無1) 應將系統(tǒng)定級、系統(tǒng)屬性等材料指定專門的人員或部門負責管理,并控制這些材料的使用;2) 應將系統(tǒng)等級和系統(tǒng)屬性等資料報系統(tǒng)主管部門備案;3) 應將系統(tǒng)等級、系統(tǒng)屬性、等級劃分理由及其他要求的備案材料報相應公安機關備案。安全測評無1) 應在系統(tǒng)投入運行前進行安全測評,測評后符合相應等級保護標準要求的才能投入使用;2) 應在系統(tǒng)運行過程中定期對系統(tǒng)進行安全測評,發(fā)現(xiàn)不符合相應等級保護標準要求的及時整改;3) 應在系統(tǒng)發(fā)生變更時及時對系統(tǒng)

54、進行安全測評,發(fā)現(xiàn)級別發(fā)生變化的及時調整級別并進行安全改造;發(fā)現(xiàn)不符合相應等級保護標準要求的及時整改;4) 應選擇具有國家相關技術資質和安全資質的測評單位進行安全測評;5) 應與測評單位簽訂與安全相關的協(xié)議,約束測評單位的行為;6) 應指定或授權專門的人員或部門負責安全測評的管理。安全服務商選擇1) 應確保安全服務商的選擇符合國家的有關規(guī)定。1) 應確保安全服務商的選擇符合國家的有關規(guī)定。系統(tǒng)運維管理環(huán)境管理1) 應對機房供配電、空調、溫濕度控制等設施指定專人或專門的部門定期進行維護管理;2) 應配備機房安全管理人員,對機房的出入、服務器的開機或關機等工作進行管理;3) 應建立機房安全管理制度

55、,對有關機房物理訪問,物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定;4) 應對機房來訪人員實行登記、備案管理,同時限制來訪人員的活動范圍;5) 加強對辦公環(huán)境的保密性管理,包括如工作人員調離辦公室應立即交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等。1) 應對機房供配電、空調、溫濕度控制等設施指定專人或專門的部門定期進行維護管理;2) 應配備機房安全管理人員,對機房的出入、服務器的開機或關機等工作進行管理;3) 應建立機房安全管理制度,對有關機房物理訪問,物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定;4) 加強對辦公環(huán)境的保密性管理,包括如工作人員調離辦公室應立即交還該辦公室鑰匙和

56、不在辦公區(qū)接待來訪人員等;5) 應有指定的部門負責機房安全,并配置電子門禁系統(tǒng),對機房來訪人員實行登記記錄和電子記錄雙重備案管理;6) 應對辦公環(huán)境的人員行為,如工作人員離開座位應確保終端計算機退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等作出規(guī)定。資產(chǎn)管理1) 應建立資產(chǎn)安全管理制度,規(guī)定信息系統(tǒng)資產(chǎn)管理的責任人員或責任部門;2) 應編制并保存與信息系統(tǒng)相關的資產(chǎn)、資產(chǎn)所屬關系、安全級別和所處位置等信息的資產(chǎn)清單;3) 應根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行定性賦值和標識管理,根據(jù)資產(chǎn)的價值選擇相應的管理措施。1) 應建立資產(chǎn)安全管理制度,規(guī)定信息系統(tǒng)資產(chǎn)管理的責任人員或責任部門,并規(guī)范資產(chǎn)管理和使用的行為;2) 應編制并保存與信息系統(tǒng)相關的資產(chǎn)、資產(chǎn)所屬關系、安全級別和所處位置等信息的資產(chǎn)清單;3) 應根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行定性賦值和標識管理,根據(jù)資產(chǎn)的價值選擇相應的管理措施;4) 應確定信息分類

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內容里面會有圖紙預覽,若沒有圖紙預覽就沒有圖紙。
  • 4. 未經(jīng)權益所有人同意不得將文件中的內容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲空間,僅對用戶上傳內容的表現(xiàn)方式做保護處理,對用戶上傳分享的文檔內容本身不做任何修改或編輯,并不能對任何下載內容負責。
  • 6. 下載文件中如有侵權或不適當內容,請與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論