二級等保管理要求

二級等保治理要求二級等保 實現(xiàn)狀況安 a)應(yīng)制定信息安全工作的總體方針和安全策略，說明機構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等；全 治理制b)應(yīng)對安全治理活動中重要的治理內(nèi)容建立安全治理管 〔G2〕制度；理 c)應(yīng)對安全治理人員或操作人員執(zhí)行的重要治理操作制 建立操作規(guī)程。應(yīng)指定或授權(quán)特地的部門或人員負(fù)責(zé)安全治理制度度制定和的制定；應(yīng)組織相關(guān)人員對制定的安全治理制度進展論證和公布 審定；〔G2〕c)應(yīng)將安全治理制度以某種方式公布到相關(guān)人員手中。評審和修訂〔G2〕安

應(yīng)定期對安全治理制度進展評審，對存在缺乏或需要改進的安全治理制度進展修訂。崗位設(shè)并定義各負(fù)責(zé)人的職責(zé)；全〔G2〕b)應(yīng)設(shè)立系統(tǒng)治理員、網(wǎng)絡(luò)治理員、安全治理員等崗管 位，并定義各個工作崗位的職責(zé)。理 a)應(yīng)配備肯定數(shù)量的系統(tǒng)治理員、網(wǎng)絡(luò)治理員、安全機 人員配治理員等；〔G2〕b)安全治理員不能兼任網(wǎng)絡(luò)治理員、系統(tǒng)治理員、數(shù)構(gòu) 據(jù)庫治理員等。應(yīng)依據(jù)各個部門和崗位的職責(zé)明確授權(quán)審批部門及授權(quán)和批準(zhǔn)人，對系統(tǒng)投入運行、網(wǎng)絡(luò)系統(tǒng)接入和重要資源審批〔G2〕溝通和

的訪問等關(guān)鍵活動進展審批；應(yīng)針對關(guān)鍵活動建立審批流程，并由批準(zhǔn)人簽字確認(rèn)。a)應(yīng)加強各類治理人員之間、組織內(nèi)部機構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通；合作 b)應(yīng)加強與兄弟單位、公安機關(guān)、電信公司的合作與〔G2〕溝通。審核和檢查〔G2〕人員 人員錄

安全治理員應(yīng)負(fù)責(zé)定期進展安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等狀況。應(yīng)指定或授權(quán)特地的部門或人員負(fù)責(zé)人員錄用；應(yīng)標(biāo)準(zhǔn)人員錄用過程，對被錄用人員的身份、背景和專業(yè)資格等進展審查，對其所具有的技術(shù)技能進展安 〔G2〕考核；應(yīng)與從事關(guān)鍵崗位的人員簽署保密協(xié)議。二級等保 實現(xiàn)狀況全 a)應(yīng)標(biāo)準(zhǔn)人員離崗過程，準(zhǔn)時終止離崗員工的全部訪問權(quán)限；管 人員離應(yīng)取回各種身份證件、鑰匙、徽章等以及機構(gòu)供給理 〔G2〕的軟硬件設(shè)備；應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)。應(yīng)定期對各個崗位的人員進展安全技能及安全認(rèn)知的人員考〔G2〕

考核。應(yīng)對各類人員進展安全意識教育、崗位技能培訓(xùn)和安全意相關(guān)安全技術(shù)培訓(xùn)；識教育b)應(yīng)告知人員相關(guān)的安全責(zé)任和懲戒措施，并對違反和培訓(xùn)違反安全策略和規(guī)定的人員進展懲戒；c)〔G2〕崗位操作規(guī)程等進展培訓(xùn)。外部人員訪問治理〔G2〕系

應(yīng)確保在外部人員訪問受控區(qū)域前得到授權(quán)或?qū)徟?，批?zhǔn)后由專人全程伴隨或監(jiān)視，并登記備案。應(yīng)明確信息系統(tǒng)的邊界和安全保護等級；系統(tǒng)定b)應(yīng)以書面的形式說明信息系統(tǒng)確定為某個安全保護統(tǒng)〔G2〕等級的方法和理由；建 c)應(yīng)確保信息系統(tǒng)的定級結(jié)果經(jīng)過相關(guān)部門的批準(zhǔn)。設(shè) a)應(yīng)依據(jù)系統(tǒng)的安全保護等級選擇根本安全措施，依管 據(jù)風(fēng)險分析的結(jié)果補充和調(diào)整安全措施；應(yīng)以書面形式描述對系統(tǒng)的安全保護要求、策略和理 安全方措施等內(nèi)容，形成系統(tǒng)的安全方案；案設(shè)計c)〔G2〕

安全產(chǎn)品選購和使用的具體設(shè)計方案；d)應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對安全設(shè)計方案的合理性和正確性進展論證和審定，并且經(jīng)過批準(zhǔn)后，才能正式實施。產(chǎn)品采a)應(yīng)確保安全產(chǎn)品選購和使用符合國家的有關(guān)規(guī)定；購和使b)應(yīng)確保密碼產(chǎn)品選購和使用符合國家密碼主管部門〔G2〕的要求；c)應(yīng)指定或授權(quán)特地的部門負(fù)責(zé)產(chǎn)品的選購。a)應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開；自行軟b)應(yīng)制定軟件開發(fā)治理制度，明確說明開發(fā)過程的控件開發(fā)制方法和人員行為準(zhǔn)則；〔G2〕

c)應(yīng)確保供給軟件設(shè)計的相關(guān)文檔和使用指南，并由專人負(fù)責(zé)保管。外包軟

二級等保 實現(xiàn)狀況應(yīng)依據(jù)開發(fā)要求檢測軟件質(zhì)量；應(yīng)確保供給軟件設(shè)計的相關(guān)文檔和使用指南；應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代件開發(fā)碼；〔G2〕d)應(yīng)要求開發(fā)單位供給軟件源代碼，并審查軟件中可能存在的后門。應(yīng)指定或授權(quán)特地的部門或人員負(fù)責(zé)工程實施過程工程實

的治理；〔G2〕b)應(yīng)制定具體的工程實施方案，掌握工程實施過程。應(yīng)對系統(tǒng)進展安全性測試驗收；測試驗〔G2〕

在測試驗收前應(yīng)依據(jù)設(shè)計方案或合同要求等制訂測試驗收方案，在測試驗收過程中應(yīng)具體記錄測試驗收結(jié)果，并形成測試驗收報告；應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗收報告進行審定，并簽字確認(rèn)。a)應(yīng)制定系統(tǒng)交付清單，并依據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進展清點；系統(tǒng)交b)應(yīng)對負(fù)責(zé)系統(tǒng)運行維護的技術(shù)人員進展相應(yīng)的技能〔G2〕培訓(xùn)；c)應(yīng)確保供給系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進展系統(tǒng)運行維護的文檔。安全效勞商選〔G2〕系統(tǒng)運

應(yīng)確保安全效勞商的選擇符合國家的有關(guān)規(guī)定；應(yīng)與選定的安全效勞商簽訂與安全相關(guān)的協(xié)議，明確商定相關(guān)責(zé)任；應(yīng)確保選定的安全效勞商供給技術(shù)支持和效勞承諾，必要的與其簽訂效勞合同。溫濕度掌握等設(shè)施進展維護治理；應(yīng)配備機房安全治理人員，對機房的出入、效勞器的開機或關(guān)機等工作進展治理；維 環(huán)境管c)應(yīng)建立機房安全治理制度，對有關(guān)機房物理訪問，管 〔G2〕物品帶進、帶出機房和機房環(huán)境安全等方面的治理作出規(guī)定；理 d)應(yīng)加強對辦公環(huán)境的保密性治理，包括工作人員調(diào)離辦公室應(yīng)馬上交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等。應(yīng)編制與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容；資產(chǎn)管

應(yīng)建立資產(chǎn)安全治理制度，規(guī)定信息系統(tǒng)資產(chǎn)治理〔G2〕的責(zé)任人員或責(zé)任部門，并標(biāo)準(zhǔn)資產(chǎn)治理和使用的行為。二級等保 實現(xiàn)狀況應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進展掌握和保護，并實行存儲環(huán)境專人治理；應(yīng)對介質(zhì)歸檔和查詢等過程進展記錄，并依據(jù)存檔介質(zhì)管介質(zhì)的名目清單定期盤點；〔G2〕c)應(yīng)對需要送出修理或銷毀的介質(zhì)，首先去除其中的敏感數(shù)據(jù)，防止信息的非法泄漏；d)應(yīng)依據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進展分類和標(biāo)識治理。應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備〔包括備份和冗余設(shè)備、線路等指定特地的部門或人員定期進展維護管理；應(yīng)建立基于申報、審批和專人負(fù)責(zé)的設(shè)備安全治理制度，對信息系統(tǒng)的各種軟硬件設(shè)備的選型、選購、設(shè)備管發(fā)放和領(lǐng)用等過程進展標(biāo)準(zhǔn)化治理；〔G2〕c)應(yīng)對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進展標(biāo)準(zhǔn)化治理，按操作規(guī)程實現(xiàn)關(guān)鍵設(shè)備〔包括備份和冗余設(shè)備〕/停頓、加電/斷電等操作；d)應(yīng)確保信息處理設(shè)備必需經(jīng)過審批才能帶離機房或辦公地點。應(yīng)指定人員對網(wǎng)絡(luò)進展治理，負(fù)責(zé)運行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護和報警信息分析和處理工作；應(yīng)建立網(wǎng)絡(luò)安全治理制度，對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補丁、口令更周期網(wǎng)絡(luò)安等方面作出規(guī)定；全治理c)應(yīng)依據(jù)廠家供給的軟件升級版本對網(wǎng)絡(luò)設(shè)備進展更〔G2〕

，并在更前對現(xiàn)有的重要文件進展備份；應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進展漏洞掃描，對覺察的網(wǎng)絡(luò)系統(tǒng)安全漏洞進展準(zhǔn)時的修補；應(yīng)對網(wǎng)絡(luò)設(shè)備的配置文件進展定期備份；應(yīng)保證全部與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)。應(yīng)依據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問掌握策略；應(yīng)定期進展漏洞掃描，對覺察的系統(tǒng)安全漏洞準(zhǔn)時進展修補；系統(tǒng)安c)應(yīng)安裝系統(tǒng)的最補丁程序，在安裝系統(tǒng)補丁前，全治理應(yīng)首先在測試環(huán)境中測試通過，并對重要文件進展備〔G2〕份后，方可實施系統(tǒng)補丁程序的安裝；應(yīng)建立系統(tǒng)安全治理制度，對系統(tǒng)安全策略、安全配置、日志治理和日常操作流程等方面作出規(guī)定；應(yīng)依據(jù)操作手冊對系統(tǒng)進展維護，具體記錄操作日志，包括重要的日常操作、運行維護記錄、參數(shù)的設(shè)置和修改等內(nèi)容，嚴(yán)禁進展未經(jīng)授權(quán)的操作；二級等保應(yīng)定期對運行日志和審計數(shù)據(jù)進展分析，以便準(zhǔn)時覺察特別行為。a)應(yīng)提高全部用戶的防病毒意識，告知準(zhǔn)時升級防病毒軟件，在讀取移動存儲設(shè)備上的數(shù)據(jù)以及網(wǎng)絡(luò)上接惡意代收文件或郵件之前，先進展病毒檢查，對外來計算機碼防范或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進展病毒檢查；

實現(xiàn)狀況治理 b)應(yīng)指定專人對網(wǎng)絡(luò)和主機進展惡意代碼檢測并保存檢測記錄；〔G2〕c)定期匯報等作出明確規(guī)定。密碼管〔G2〕

應(yīng)使用符合國家密碼治理規(guī)定的密碼技術(shù)和產(chǎn)品。應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的重要變更，并制定相應(yīng)的變變更管更方案；〔G2〕b)系統(tǒng)發(fā)生重要變更前，應(yīng)向主管領(lǐng)導(dǎo)申請，審批前方可實施變更，并在實施后向相關(guān)人員通告。應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；備份與

保存期等；恢復(fù)管c)應(yīng)依據(jù)數(shù)據(jù)的重要性及其對系統(tǒng)運行的影響，制定〔G2〕數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略指明備份數(shù)據(jù)的放置場所、文件命名規(guī)章、介質(zhì)替換頻率和數(shù)據(jù)離站運輸方法。應(yīng)報告所覺察的安全弱點和可疑大事，但任何狀況下用戶均不應(yīng)嘗試驗證弱點；應(yīng)制定安全大事報告和處置治理制度，明確安全事安全大事處置〔G2〕

件類型，規(guī)定安全大事的現(xiàn)場處理、大事報告和后期恢復(fù)的治理職責(zé)；應(yīng)依據(jù)國家相關(guān)治理部門對計算機安全大事等級劃分方法和安全