安全等保二级、三级保护细节比较

安全等保二级、三级保护细节比较 一、 等级保护总体示意图 二、 二三级差距体现 三、 技术细节比较 技术要求项 二级等保 三级等保 物理物理1) 机房和办公场地应选择在具有防震、防风1) 机房和办公场地应选择在具有防震、防风安全 位置和防雨等能力的建筑内。 和防雨等能力的建筑内; 的选2) 机房场地应避免设在建筑物的高层或地下 择 室，以及用水设备的下层或隔壁; 技术要求项 二级等保 三级等保 3) 机房场地应当避开强电场、强磁场、强震 动源、强噪声源、重度环境污染、易发生 火灾、水灾、易遭受雷击的地区。 物理1) 机房出入口应有专人值守，鉴别进入的人1) 机房出入口应有专人值守，鉴别进入的人访问员身份并登记在案; 员身份并登记在案; 控制 2) 应批准进入机房的来访人员，限制和监控2) 应批准进入机房的来访人员，限制和监控 其活动范围。 其活动范围; 3) 应对机房划分区域进行管理，区域和区域 之间设置物理隔离装置，在重要区域前设 置交付或安装等过度区域; 4) 应对重要区域配置电子门禁系统，鉴别和 记录进入的人员身份并监控其活动。 防盗1) 应将主要设备放置在物理受限的范围内; 1) 应将主要设备放置在物理受限的范围内; 窃和2) 应对设备或主要部件进行固定，并设置明2) 应对设备或主要部件进行固定，并设置明防破显的不易除去的标记; 显的无法除去的标记; 坏 3) 应将通信线缆铺设在隐蔽处，如铺设在地3) 应将通信线缆铺设在隐蔽处，如铺设在地 下或管道中等; 下或管道中等; 4) 应对介质分类标识，存储在介质库或档案4) 应对介质分类标识，存储在介质库或档案 室中; 室中; 5) 应安装必要的防盗报警设施，以防进入机5) 设备或存储介质携带出工作环境时，应受 房的盗窃和破坏行为。 到监控和内容加密; 6) 应利用光、电等技术设置机房的防盗报警 系统，以防进入机房的盗窃和破坏行为; 7) 应对机房设置监控报警系统。 防雷1) 机房建筑应设置避雷装置; 1) 机房建筑应设置避雷装置; 击 2) 应设置交流电源地线。 2) 应设置防雷保安器，防止感应雷; 3) 应设置交流电源地线。 防火 1) 应设置灭火设备和火灾自动报警系统，并1) 应设置火灾自动消防系统，自动检测火情、 保持灭火设备和火灾自动报警系统的良好自动报警，并自动灭火; 状态。 2) 机房及相关的工作房间和辅助房，其建筑 材料应具有耐火等级; 3) 机房采取区域隔离防火措施，将重要设备 与其他设备隔离开。 防水1) 水管安装，不得穿过屋顶和活动地板下; 1) 水管安装，不得穿过屋顶和活动地板下; 技术要求项 二级等保 三级等保 和防2) 应对穿过墙壁和楼板的水管增加必要的保2) 应对穿过墙壁和楼板的水管增加必要的保潮 护措施，如设置套管; 护措施，如设置套管; 3) 应采取措施防止雨水通过屋顶和墙壁渗3) 应采取措施防止雨水通过屋顶和墙壁渗 透; 透; 4) 应采取措施防止室内水蒸气结露和地下积4) 应采取措施防止室内水蒸气结露和地下积 水的转移与渗透。 水的转移与渗透。 防静1) 应采用必要的接地等防静电措施 1) 应采用必要的接地等防静电措施; 电 2) 应采用防静电地板。 温湿1) 应设置温、湿度自动调节设施，使机房温、1) 应设置恒温恒湿系统，使机房温、湿度的度控湿度的变化在设备运行所允许的范围之变化在设备运行所允许的范围之内。 制 内。 电力1) 计算机系统供电应与其他供电分开; 1) 计算机系统供电应与其他供电分开; 供应 2) 应设置稳压器和过电压防护设备; 2) 应设置稳压器和过电压防护设备; 3) 应提供短期的备用电力供应(如UPS设3) 应提供短期的备用电力供应(如UPS设 备)。 备); 4) 应设置冗余或并行的电力电缆线路; 5) 应建立备用供电系统(如备用发电机)，以 备常用供电系统停电时启用。 1) 应采用接地方式防止外界电磁干扰和设备1) 应采用接地方式防止外界电磁干扰和设备电磁寄生耦合干扰; 寄生耦合干扰; 防护 2) 电源线和通信线缆应隔离，避免互相干扰。 2) 电源线和通信线缆应隔离，避免互相干扰; 3) 对重要设备和磁介质实施电磁屏蔽。 网络结构1) 网络设备的业务处理能力应具备冗余空1) 网络设备的业务处理能力应具备冗余空 安全 安全间，要求满足业务高峰期需要; 间，要求满足业务高峰期需要; 与网2) 应设计和绘制与当前运行情况相符的网络2) 应设计和绘制与当前运行情况相符的网络段划拓扑结构图; 拓扑结构图; 分 3) 应根据机构业务的特点，在满足业务高峰3) 应根据机构业务的特点，在满足业务高峰 期需要的基础上，合理设计网络带宽;(AC、期需要的基础上，合理设计网络带宽; WOC) 4) 应在业务终端与业务服务器之间进行路由 4) 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径; 控制，建立安全的访问路径; 5) 应根据各部门的工作职能、重要性、所涉 5) 应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子 及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则 网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段; 为各子网、网段分配地址段; 6) 重要网段应采取网络层地址与数据链路层 技术要求项 二级等保 三级等保 6) 重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗; 地址绑定措施，防止地址欺骗。 7) 应按照对业务服务的重要次序来指定带宽 分配优先级别，保证在网络发生拥堵的时 候优先保护重要业务数据主机。(AC、AD) 网络1) 应能根据会话状态信息(包括数据包的源1) 应能根据会话状态信息(包括数据包的源访问地址、目的地址、源端口号、目的端口号、地址、目的地址、源端口号、目的端口号、控制 协议、出入的接口、会话序列号、发出信协议、出入的接口、会话序列号、发出信 息的主机名等信息，并应支持地址通配符息的主机名等信息，并应支持地址通配符 的使用)，为数据流提供明确的允许/拒绝访的使用)，为数据流提供明确的允许/拒绝访 问的能力。(AF) 问的能力; 2) 应对进出网络的信息内容进行过滤，实现 对应用层HTTP、FTP、TELNET、SMTP、 POP3等协议命令级的控制;(AF) 3) 应依据安全策略允许或者拒绝便携式和移 动式设备的网络接入;(AC) 4) 应在会话处于非活跃一定时间或会话结束 后终止网络连接; 5) 应限制网络最大流量数及网络连接数。 (AC) 拨号1) 应在基于安全属性的允许远程用户对系统1) 应在基于安全属性的允许远程用户对系统访问访问的规则的基础上，对系统所有资源允访问的规则的基础上，对系统所有资源允控制 许或拒绝用户进行访问，控制粒度为单个许或拒绝用户进行访问，控制粒度为单个 用户;(SSL) 用户; 2) 应限制具有拨号访问权限的用户数量。 2) 应限制具有拨号访问权限的用户数量; 3) 应按用户和系统之间的允许访问规则，决 定允许用户对受控系统进行资源访问。 (SSL) 网络1) 应对网络系统中的网络设备运行状况、网1) 应对网络系统中的网络设备运行状况、网安全络流量、用户行为等事件进行日志记录;络流量、用户行为等进行全面的监测、记审计 (APM、堡垒机) 录; 2) 对于每一个事件，其审计记录应包括:事 2) 对于每一个事件，其审计记录应包括:事件的日期和时间、用户、事件类型、事件 件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息。(堡 是否成功，及其他与审计相关的信息; 垒机) 技术要求项 二级等保 三级等保 3) 安全审计应可以根据记录数据进行分析， 并生成审计报表; 4) 安全审计应可以对特定事件，提供指定方 式的实时报警; 5) 审计记录应受到保护避免受到未预期的删 除、修改或覆盖等。 边界1) 应能够检测内部网络中出现的内部用户未1) 应能够检测内部网络中出现的内部用户未完整通过准许私自联到外部网络的行为(即“非通过准许私自联到外部网络的行为(即“非性检法外联”行为)。(AC) 法外联”行为); 查 2) 应能够对非授权设备私自联到网络的行为 进行检查，并准确定出位置，对其进行有 效阻断;(AC) 3) 应能够对内部网络用户私自联到外部网络 的行为进行检测后准确定出位置，并对其 进行有效阻断。(AC) 网络1) 应在网络边界处监视以下攻击行为:端口1) 应在网络边界处应监视以下攻击行为:端入侵扫描、强力攻击、木马后门攻击、拒绝服口扫描、强力攻击、木马后门攻击、拒绝防范 务攻击、缓冲区溢出攻击、IP碎片攻击、服务攻击、缓冲区溢出攻击、IP碎片攻击、 网络蠕虫攻击等入侵事件的发生。(AF) 网络蠕虫攻击等入侵事件的发生; 2) 当检测到入侵事件时，应记录入侵的源IP、 攻击的类型、攻击的目的、攻击的时间， 并在发生严重入侵事件时提供报警。(AF) 恶意1) 应在网络边界及核心业务网段处对恶意代1) 应在网络边界及核心业务网段处对恶意代代码码进行检测和清除;(AF) 码进行检测和清除; 防范 2) 应维护恶意代码库的升级和检测系统的更2) 应维护恶意代码库的升级和检测系统的更 新;(AF) 新; 3) 应支持恶意代码防范的统一管理。(AF) 3) 应支持恶意代码防范的统一管理。 网络1) 应对登录网络设备的用户进行身份鉴别;1) 应对登录网络设备的用户进行身份鉴别; 设备(堡垒机) 2) 应对网络上的对等实体进行身份鉴别; 防护 2) 应对网络设备的管理员登录地址进行限3) 应对网络设备的管理员登录地址进行限 制;(堡垒机) 技术要求项 二级等保 三级等保 3) 网络设备用户的标识应唯一; 制; 4) 身份鉴别信息应具有不易被冒用的特点，4) 网络设备用户的标识应唯一; 例如口令长度、复杂性和定期的更新等; 5) 身份鉴别信息应具有不易被冒用的特点， 5) 应具有登录失败处理功能，如:结束会话、例如口令长度、复杂性和定期的更新等; 限制非法登录次数，当网络登录连接超时， 6) 应对同一用户选择两种或两种以上组合的自动退出。 鉴别技术来进行身份鉴别; 7) 应具有登录失败处理功能，如:结束会话、 限制非法登录次数，当网络登录连接超时， 自动退出; 8) 应实现设备特权用户的权限分离，例如将 管理与审计的权限分配给不同的网络设备 用户。 主机身份1) 操作系统和数据库管理系统用户的身份标1) 操作系统和数据库管理系统用户的身份标 系统鉴别 识应具有唯一性; 识应具有唯一性; 安全 2) 应对登录操作系统和数据库管理系统的用2) 应对登录操作系统和数据库管理系统的用 户进行身份标识和鉴别; 户进行身份标识和鉴别; 3) 操作系统和数据库管理系统身份鉴别信息 3) 应对同一用户采用两种或两种以上组合的应具有不易被冒用的特点，例如口令长度、 鉴别技术实现用户身份鉴别; 复杂性和定期的更新等; 4) 应具有登录失败处理功能，如:结束会话、4) 操作系统和数据库管理系统用户的身份鉴 限制非法登录次数，当登录连接超时，自别信息应具有不易被冒用的特点，例如口 动退出。 令长度、复杂性和定期的更新等; 5) 应具有登录失败处理功能，如:结束会话、 限制非法登录次数，当登录连接超时，自 动退出; 6) 应具有鉴别警示功能; 7) 重要的主机系统应对与之相连的服务器或 终端设备进行身份标识和鉴别。 自主1) 应依据安全策略控制主体对客体的访问; 1) 应依据安全策略控制主体对客体的访问; 访问2) 自主访问控制的覆盖范围应包括与信息安2) 自主访问控制的覆盖范围应包括与信息安控制 全直接相关的主体、客体及它们之间的操全直接相关的主体、客体及它们之间的操 作; 技术要求项 二级等保 三级等保 3) 自主访问控制的粒度应达到主体为用户作; 级，客体为文件、数据库表级; 3) 自主访问控制的粒度应达到主体为用户 4) 应由授权主体设置对客体访问和操作的权级，客体为文件、数据库表级; 限; 4) 应由授权主体设置对客体访问和操作的权5) 应严格限制默认用户的访问权限。 限; 5) 权限分离应采用最小授权原则，分别授予 不同用户各自为完成自己承担任务所需的 最小权限，并在他们之间形成相互制约的 关系; 6) 应实现操作系统和数据库管理系统特权用 户的权限分离; 7) 应严格限制默认用户的访问权限。 强制无 1) 应对重要信息资源和访问重要信息资源的访问所有主体设置敏感标记; 控制 2) 强制访问控制的覆盖范围应包括与重要信 息资源直接相关的所有主体、客体及它们 之间的操作; 3) 强制访问控制的粒度应达到主体为用户 级，客体为文件、数据库表级。 安全1) 安全审计应覆盖到服务器上的每个操作系1) 安全审计应覆盖到服务器和客户端上的每审计 统用户和数据库用户;(堡垒机) 个操作系统用户和数据库用户; 2) 安全审计应记录系统内重要的安全相关事2) 安全审计应记录系统内重要的安全相关事 件，包括重要用户行为和重要系统命令的件，包括重要用户行为、系统资源的异常使用等;(堡垒机) 使用和重要系统命令的使用; 3) 安全相关事件的记录应包括日期和时间、 3) 安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果 等;(堡垒机) 类型、主体标识、客体标识、事件的结果 4) 审计记录应受到保护避免受到未预期的删等; 除、修改或覆盖等。 4) 安全审计应可以根据记录数据进行分析， 并生成审计报表; 5) 安全审计应可以对特定事件，提供指定方 技术要求项 二级等保 三级等保 式的实时报警; 6) 审计进程应受到保护避免受到未预期的中 断;(堡垒机) 7) 审计记录应受到保护避免受到未预期的删 除、修改或覆盖等。 系统1) 系统应提供在管理维护状态中运行的能1) 系统因故障或其他原因中断后，应能够以保护 力，管理维护状态只能被系统管理员使用。 手动或自动方式恢复运行。(备份) 剩余1) 应保证操作系统和数据库管理系统用户的1) 应保证操作系统和数据库管理系统用户的信息鉴别信息所在的存储空间，被释放或再分鉴别信息所在的存储空间，被释放或再分保护 配给其他用户前得到完全清除，无论这些配给其他用户前得到完全清除，无论这些 信息是存放在硬盘上还是在内存中; 信息是存放在硬盘上还是在内存中; 2) 应确保系统内的文件、目录和数据库记录 2) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分 等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。 配给其他用户前得到完全清除。 入侵无 1) 应进行主机运行监视，包括监视主机的防范 CPU、硬盘、内存、网络等资源的使用情况; (APM) 2) 应设定资源报警域值，以便在资源使用超 过规定数值时发出报警; 3) 应进行特定进程监控，限制操作人员运行 非法进程; 4) 应进行主机账户监控，限制对重要账户的 添加和更改; 5) 应检测各种已知的入侵行为，记录入侵的 源IP、攻击的类型、攻击的目的、攻击的 时间，并在发生严重入侵事件时提供报警; (AF) 6) 应能够检测重要程序完整性受到破坏，并 在检测到完整性错误时采取必要的恢复措 施。 技术要求项 二级等保 三级等保 恶意1) 服务器和重要终端设备(包括移动设备)1) 服务器和终端设备(包括移动设备)均应代码应安装实时检测和查杀恶意代码的软件产安装实时检测和查杀恶意代码的软件产防范 品;(卡巴斯基) 品; 2) 主机系统防恶意代码产品应具有与网络防2) 主机系统防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库; 恶意代码产品不同的恶意代码库; 3) 应支持恶意代码防范的统一管理。(AF) 资源1) 应限制单个用户的会话数量; 1) 应限制单个用户的多重并发会话; 控制 2) 应通过设定终端接入方式、网络地址范围2) 应对最大并发会话连接数进行限制;(AC) 等条件限制终端登录。 3) 应对一个时间段内可能的并发会话连接数 进行限制;(AC) 4) 应通过设定终端接入方式、网络地址范围 等条件限制终端登录; 5) 应根据安全策略设置登录终端的操作超时 锁定和鉴别失败锁定，并规定解锁或终止 方式;(AC) 6) 应禁止同一用户账号在同一时间内并发登 录;(AC) 7) 应限制单个用户对系统资源的最大或最小 使用限度;(AC) 8) 当系统的服务水平降低到预先规定的最小 值时，应能检测和报警; 9) 应根据安全策略设定主体的服务优先级， 根据优先级分配系统资源，保证优先级低 的主体处理能力不会影响到优先级高的主 体的处理能力。 应用身份1) 应用系统用户的身份标识应具有唯一性; 1) 系统用户的身份标识应具有唯一性; 安全 鉴别 2) 应对登录的用户进行身份标识和鉴别; 2) 应对登录的用户进行身份标识和鉴别; 3) 系统用户身份鉴别信息应具有不易被冒用3) 系统用户的身份鉴别信息应具有不易被冒 的特点，例如口令长度、复杂性和定期的 用的特点，例如口令长度、复杂性和定期更新等; 的更新等; 4) 应具有登录失败处理功能，如:结束会话、 技术要求项 二级等保 三级等保 限制非法登录次数，当登录连接超时，自4) 应对同一用户采用两种或两种以上组合的 动退出。 鉴别技术实现用户身份鉴别; 5) 应具有登录失败处理功能，如:结束会话、 限制非法登录次数，当登录连接超时，自 动退出; 6) 应具有鉴别警示功能; 7) 应用系统应及时清除存储空间中动态使用 的鉴别信息。 访问1) 应依据安全策略控制用户对客体的访问; 1) 应依据安全策略控制用户对客体的访问; 控制 2) 自主访问控制的覆盖范围应包括与信息安2) 自主访问控制的覆盖范围应包括与信息安 全直接相关的主体、客体及它们之间的操全直接相关的主体、客体及它们之间的操 作; 作; 3) 自主访问控制的粒度应达到主体为用户 3) 自主访问控制的粒度应达到主体为用户级，客体为文件、数据库表级; 级，客体为文件、数据库表级; 4) 应由授权主体设置用户对系统功能操作和 对数据访问的权限; 4) 应由授权主体设置用户对系统功能操作和5) 应实现应用系统特权用户的权限分离，例对数据访问的权限; 如将管理与审计的权限分配给不同的应用5) 应实现应用系统特权用户的权限分离，例 系统用户; 如将管理与审计的权限分配给不同的应用6) 权限分离应采用最小授权原则，分别授予 系统用户; 不同用户各自为完成自己承担任务所需的 6) 权限分离应采用最小授权原则，分别授予最小权限，并在它们之间形成相互制约的 关系; 不同用户各自为完成自己承担任务所需的7) 应严格限制默认用户的访问权限。 最小权限，并在它们之间形成相互制约的 关系; 7) 应严格限制默认用户的访问权限。 安全1) 安全审计应覆盖到应用系统的每个用户; 1) 安全审计应覆盖到应用系统的每个用户; 审计 2) 安全审计应记录应用系统重要的安全相关2) 安全审计应记录应用系统重要的安全相关 事件，包括重要用户行为和重要系统功能事件，包括重要用户行为、系统资源的异 的执行等; 常使用和重要系统功能的执行等; 3) 安全相关事件的记录应包括日期和时间、 3) 安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果 类型、主体标识、客体标识、事件的结果等; 技术要求项 二级等保 三级等保 4) 审计记录应受到保护避免受到未预期的删等; 除、修改或覆盖等。 4) 安全审计应可以根据记录数据进行分析， 并生成审计报表; 5) 安全审计应可以对特定事件，提供指定方 式的实时报警; 6) 审计进程应受到保护避免受到未预期的中 断;(堡垒机) 7) 审计记录应受到保护避免受到未预期的删 除、修改或覆盖等。 剩余1) 应保证用户的鉴别信息所在的存储空间，1) 应保证用户的鉴别信息所在的存储空间，信息被释放或再分配给其他用户前得到完全清被释放或再分配给其他用户前得到完全清保护 除，无论这些信息是存放在硬盘上还是在除，无论这些信息是存放在硬盘上还是在 内存中; 内存中; 2) 应确保系统内的文件、目录和数据库记录 2) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分 等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。 配给其他用户前得到完全清除。 通信1) 通信双方应约定单向的校验码算法，计算1) 通信双方应约定密码算法，计算通信数据完整通信数据报文的校验码，在进行通信时，报文的报文验证码，在进行通信时，双方性 双方根据校验码判断对方报文的有效性。 根据校验码判断对方报文的有效性。 抗抵无 1) 应具有在请求的情况下为数据原发者或接赖 收者提供数据原发证据的功能; 2) 应具有在请求的情况下为数据原发者或接 收者提供数据接收证据的功能。 通信1) 当通信双方中的一方在一段时间内未作任1) 当通信双方中的一方在一段时间内未作任保密何响应，另一方应能够自动结束会话; 何响应，另一方应能够自动结束会话; 性 2) 在通信双方建立连接之前，利用密码技术2) 在通信双方建立连接之前，利用密码技术 进行会话初始化验证; 进行会话初始化验证; 3) 在通信过程中，应对敏感信息字段进行加 3) 在通信过程中，应对整个报文或会话过程密。 进行加密; 4) 应选用符合国家有关部门要求的密码算 技术要求项 二级等保 三级等保 法。 软件1) 应对通过人机接口输入或通过通信接口输1) 应对通过人机接口输入或通过通信接口输 容错 入的数据进行有效性检验; 入的数据进行有效性检验; 2) 应对通过人机接口方式进行的操作提供2) 应对通过人机接口方式进行的操作提供 “回退”功能，即允许按照操作的序列进行回 “回退”功能，即允许按照操作的序列进退; 行回退; 3) 在故障发生时，应继续提供一部分功能， 3) 应有状态监测能力，当故障发生时，能实确保能够实施必要的措施。 时检测到故障状态并报警; 4) 应有自动保护能力，当故障发生时，自动 保护当前所有状态。 资源1) 应限制单个用户的多重并发会话; 1) 应限制单个用户的多重并发会话; 控制 2) 应对应用系统的最大并发会话连接数进行2) 应对应用系统的最大并发会话连接数进行 限制; 限制; 3) 应对一个时间段内可能的并发会话连接数3) 应对一个时间段内可能的并发会话连接数 进行限制。 进行限制; 4) 应根据安全策略设置登录终端的操作超时 锁定和鉴别失败锁定，并规定解锁或终止 方式; 5) 应禁止同一用户账号在同一时间内并发登 录; 6) 应对一个访问用户或一个请求进程占用的 资源分配最大限额和最小限额; 7) 应根据安全属性(用户身份、访问地址、 时间范围等)允许或拒绝用户建立会话连 接; 8) 当系统的服务水平降低到预先规定的最小 值时，应能检测和报警; 9) 应根据安全策略设定主体的服务优先级， 根据优先级分配系统资源，保证优先级低 的主体处理能力不会影响到优先级高的主 体的处理能力。 技术要求项 二级等保 三级等保 代码1) 应对应用程序代码进行恶意代码扫描; 1) 应制定应用程序代码编写安全 规范 编程规范下载gsp规范下载钢格栅规范下载警徽规范下载建设厅规范下载 ，要求安全 2) 应对应用程序代码进行安全脆弱性分析。 开发人员参照规范编写代码; 2) 应对应用程序代码进行代码复审，识别可 能存在的恶意代码; 3) 应对应用程序代码进行安全脆弱性分析; 4) 应对应用程序代码进行穿透性测试。 数据数据1) 应能够检测到系统管理数据、鉴别信息和1) 应能够检测到系统管理数据、鉴别信息和 安全 完整用户数据在传输过程中完整性受到破坏; 用户数据在传输过程中完整性受到破坏，性 2) 应能够检测到系统管理数据、鉴别信息和并在检测到完整性错误时采取必要的恢复 用户数据在存储过程中完整性受到破坏。 措施; 2) 应能够检测到系统管理数据、鉴别信息和 用户数据在存储过程中完整性受到破坏， 并在检测到完整性错误时采取必要的恢复 措施; 3) 应能够检测到重要程序的完整性受到破 坏，并在检测到完整性错误时采取必要的 恢复措施。 数据1) 网络设备、操作系统、数据库管理系统和1) 网络设备、操作系统、数据库管理系统和保密应用系统的鉴别信息、敏感的系统管理数应用系统的鉴别信息、敏感的系统管理数性 据和敏感的用户数据应采用加密或其他有据和敏感的用户数据应采用加密或其他有 效措施实现传输保密性; 效措施实现传输保密性; 2) 网络设备、操作系统、数据库管理系统和 2) 网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏感的系统管理数 应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据应采用加密或其他保 护措施实现存储保密性; 据和敏感的用户数据应采用加密或其他保 3) 当使用便携式和移动式设备时，应加密或护措施实现存储保密性; 者采用可移动磁盘存储敏感信息。 3) 当使用便携式和移动式设备时，应加密或 者采用可移动磁盘存储敏感信息; 4) 用于特定业务通信的通信信道应符合相关 的国家规定。 数据1) 应提供自动机制对重要信息进行有选择的1) 应提供自动机制对重要信息进行本地和异 技术要求项 二级等保 三级等保 备份数据备份; 地备份; 和恢2) 应提供恢复重要信息的功能; 2) 应提供恢复重要信息的功能; 复 3) 应提供重要网络设备、通信线路和服务器3) 应提供重要网络设备、通信线路和服务器 的硬件冗余 的硬件冗余; 4) 应提供重要业务系统的本地系统级热备 份。 四、 管理要求 管理要求项 二级等保 三级等保 安全岗位1) 应设立信息安全管理工作的职能部门，设1) 应设立信息安全管理工作的职能部门，设管理设置 立安全主管人、安全管理各个方面的负责立安全主管人、安全管理各个方面的负责机构 人岗位，定义各负责人的职责; 人岗位，定义各负责人的职责; 2) 应设立系统管理人员、网络管理人员、安2) 应设立系统管理人员、网络管理人员、安 全管理人员岗位，定义各个工作岗位的职全管理人员岗位，定义各个工作岗位的职 责; 责; 3) 应制定文件明确安全管理机构各个部门和3) 应成立指导和管理信息安全工作的委员会 岗位的职责、分工和技能要求。 或领导小组，其最高领导应由单位主管领 导委任或授权; 4) 应制定文件明确安全管理机构各个部门和 岗位的职责、分工和技能要求。 人员1) 应配备一定数量的系统管理人员、网络管1) 应配备一定数量的系统管理人员、网络管 配备 理人员、安全管理人员等; 理人员、安全管理人员等; 2) 安全管理人员不能兼任网络管理员、系统2) 应配备专职安全管理人员，不可兼任; 管理员、数据库管理员等。 3) 关键岗位应定期轮岗。 授权1) 应授权审批部门及批准人，对关键活动进1) 应授权审批部门及批准人，对关键活动进 和审行审批; 行审批; 批 2) 应列表说明须审批的事项、审批部门和可2) 应列表说明须审批的事项、审批部门和可 批准人。 批准人; 3) 应建立各审批事项的审批程序，按照审批 程序执行审批过程; 4) 应建立关键活动的双重审批制度; 5) 不再适用的权限应及时取消授权; 6) 应定期审查、更新需授权和审批的项目; 7) 应记录授权过程并保存授权文档。 管理要求项 二级等保 三级等保 沟通1) 应加强各类管理人员和组织内部机构之间1) 应加强各类管理人员和组织内部机构之间和合的合作与沟通，定期或不定期召开协调会的合作与沟通，定期或不定期召开协调会作 议，共同协助处理信息安全问题; 议，共同协助处理信息安全问题; 2) 信息安全职能部门应定期或不定期召集相2) 信息安全职能部门应定期或不定期召集相 关部门和人员召开安全工作会议，协调安关部门和人员召开安全工作会议，协调安 全工作的实施; 全工作的实施; 3) 应加强与兄弟单位、公安机关、电信公司3) 信息安全领导小组或者安全管理委员会定 的合作与沟通，以便在发生安全事件时能期召开例会，对信息安全工作进行指导、 够得到及时的支持。 决策; 4) 应加强与兄弟单位、公安机关、电信公司 的合作与沟通，以便在发生安全事件时能 够得到及时的支持; 5) 应加强与供应商、业界专家、专业的安全 公司、安全组织的合作与沟通，获取信息 安全的最新发展动态，当发生紧急事件的 时候能够及时得到支持和帮助; 6) 应文件说明外联单位、合作内容和联系方 式; 7) 聘请信息安全专家，作为常年的安全顾问， 指导信息安全建设，参与安全规划和安全 评审等。 审核1) 应由安全管理人员定期进行安全检查，检1) 应由安全管理人员定期进行安全检查，检和检查内容包括用户账号情况、系统漏洞情况、查内容包括用户账号情况、系统漏洞情况、查 系统审计情况等。 系统审计情况等; 2) 应由安全管理部门组织相关人员定期进行 全面安全检查，检查内容包括现有安全技 术措施的有效性、安全配置与安全策略的 一致性、安全 管理制度 档案管理制度下载食品安全管理制度下载三类维修管理制度下载财务管理制度免费下载安全设施管理制度下载 的执行情况等; 3) 应由安全管理部门组织相关人员定期分 析、评审异常行为的审计记录，发现可疑 行为，形成审计分析报告，并采取必要的 应对措施; 4) 应制定安全检查表格实施安全检查，汇总 安全检查数据，形成安全检查报告，并对 安全检查结果进行通报; 管理要求项 二级等保 三级等保 5) 应制定安全审核和安全检查制度规范安全 审核和安全检查工作，定期按照程序进行 安全审核和安全检查活动。 安全管理1) 应制定信息安全工作的总体方针、政策性1) 应制定信息安全工作的总体方针、政策性 管理制度 文件和安全策略等，说明机构安全工作的文件和安全策略等，说明机构安全工作的 制度 总体目标、范围、方针、原则、责任等; 总体目标、范围、方针、原则、责任等; 2) 应对安全管理活动中重要的管理内容建立2) 应对安全管理活动中的各类管理内容建立 安全管理制度，以规范安全管理活动，约安全管理制度，以规范安全管理活动，约 束人员的行为方式; 束人员的行为方式; 3) 应对要求管理人员或操作人员执行的重要3) 应对要求管理人员或操作人员执行的日常 管理操作，建立操作规程，以规范操作行管理操作，建立操作规程，以规范操作行 为，防止操作失误。 为，防止操作失误; 4) 应形成由安全政策、安全策略、管理制度、 操作规程等构成的全面的信息安全管理制 度体系; 5) 应由安全管理职能部门定期组织相关部门 和相关人员对安全管理制度体系的合理性 和适用性进行审定。 制定1) 应在信息安全职能部门的总体负责下，组1) 应在信息安全领导小组的负责下，组织相和发织相关人员制定; 关人员制定; 布 2) 应保证安全管理制度具有统一的格式风2) 应保证安全管理制度具有统一的格式风 格，并进行版本控制; 格，并进行版本控制; 3) 应组织相关人员对制定的安全管理进行论3) 应组织相关人员对制定的安全管理进行论 证和审定; 证和审定; 4) 安全管理制度应经过管理层签发后按照一4) 安全管理制度应经过管理层签发后按照一 定的程序以文件形式发布。 定的程序以文件形式发布; 5) 安全管理制度应注明发布范围，并对收发 文进行登记。 评审1) 应定期对安全管理制度进行评审和修订，1) 应定期对安全管理制度进行评审和修订，和修对存在不足或需要改进的安全管理制度进对存在不足或需要改进的安全管理制度进订 行修订。 行修订; 2) 当发生重大安全事故、出现新的安全漏洞 以及技术基础结构发生变更时，应对安全 管理制度进行检查、审定和修订; 3) 每个制度文档应有相应负责人或负责部 管理要求项 二级等保 三级等保 门，负责对明确需要修订的制度文档的维 护。 人员人员1) 应保证被录用人具备基本的专业技术水平1) 应保证被录用人具备基本的专业技术水平 安全录用 和安全管理知识; 和安全管理知识; 管理 2) 应对被录用人的身份、背景、专业资格和2) 应对被录用人的身份、背景、专业资格和 资质等进行审查; 资质等进行审查; 3) 应对被录用人所具备的技术技能进行考3) 应对被录用人所具备的技术技能进行考 核; 核; 4) 应对被录用人说明其角色和职责; 4) 应对被录用人说明其角色和职责; 5) 应签署保密协议。 5) 应签署保密协议; 6) 从事关键岗位的人员应从内部人员选拔， 并定期进行信用审查; 7) 从事关键岗位的人员应签署岗位安全协 议。 人员1) 应立即终止由于各种原因即将离岗的员工1) 应立即终止由于各种原因即将离岗的员工离岗 的所有访问权限; 的所有访问权限; 2) 应取回各种身份证件、钥匙、徽章等以及2) 应取回各种身份证件、钥匙、徽章等以及 机构提供的软硬件设备; 机构提供的软硬件设备; 3) 应经机构人事部门办理严格的调离手续，3) 应经机构人事部门办理严格的调离手续， 并承诺调离后的保密义务后方可离开。 并承诺调离后的保密义务后方可离开。 人员1) 应定期对各个岗位的人员进行安全技能及1) 应对所有人员进行全面、严格的安全审查; 考核 安全认知的考核; 2) 应定期对各个岗位的人员进行安全技能及 2) 应对关键岗位的人员进行全面、严格的安安全认知的考核; 全审查; 3) 应对考核结果进行记录并保存; 3) 应对违背安全策略和规定的人员进行惩戒 4) 应对违背安全策略和规定的人员进行惩 戒。 安全1) 应对各类人员进行安全意识教育; 1) 应对各类人员进行安全意识教育; 意识2) 应告知人员相关的安全责任和惩戒措施; 2) 应告知人员相关的安全责任和惩戒措施; 教育3) 应制定安全教育和培训计划，对信息安全3) 应制定安全教育和培训计划，对信息安全和培基础知识、岗位操作规程等进行培训; 基础知识、岗位操作规程等进行培训; 训 4) 应对安全教育和培训的情况和结果进行记4) 应针对不同岗位制定不同培训计划; 录并归档保存。 5) 应对安全教育和培训的情况和结果进行记 录并归档保存。 第三1) 第三方人员应在访问前与机构签署安全责1) 第三方人员应在访问前与机构签署安全责方人任 合同 劳动合同范本免费下载装修合同范本免费下载租赁合同免费下载房屋买卖合同下载劳务合同范本下载 书或保密协议; 任合同书或保密协议; 管理要求项 二级等保 三级等保 员访2) 对重要区域的访问，必须经过有关负责人2) 对重要区域的访问，须提出书面申请，批问管的批准，并由专人陪同或监督下进行，并准后由专人全程陪同或监督，并记录备案; 理 记录备案。 3) 对第三方人员允许访问的区域、系统、设 备、信息等内容应进行书面的规定，并按 照规定执行。 系统系统1) 应明确信息系统划分的方法; 1) 应明确信息系统划分的方法; 建设定级 2) 应确定信息系统的安全等级; 2) 应确定信息系统的安全等级; 管理 3) 应以书面的形式定义确定了安全等级的信3) 应以书面的形式定义确定了安全等级的信 息系统的属性，包括使命、业务、网络、息系统的属性，包括使命、业务、网络、 硬件、软件、数据、边界、人员等; 硬件、软件、数据、边界、人员等; 4) 应确保信息系统的定级结果经过相关部门4) 应以书面的形式说明确定一个信息系统为 的批准。 某个安全等级的方法和理由; 5) 应组织相关部门和有关安全技术专家对信 息系统的定级结果的合理性和正确性进行 论证和审定; 6) 应确保信息系统的定级结果经过相关部门 的批准。 安全1) 应根据系统的安全级别选择基本安全措1) 应根据系统的安全级别选择基本安全措方案施，依据风险分析的结果补充和调整安全施，依据风险分析的结果补充和调整安全设计 措施; 措施; 2) 应以书面的形式描述对系统的安全保护要2) 应指定和授权专门的部门对信息系统的安 求和策略、安全措施等内容，形成系统的全建设进行总体规划，制定近期和远期的 安全方案; 安全建设 工作计划 幼儿园家访工作计划关于小学学校工作计划班级工作计划中职财务部门工作计划下载关于学校后勤工作计划 ; 3) 应对安全方案进行细化，形成能指导安全3) 应根据信息系统的等级划分情况，统一考 系统建设和安全产品采购的详细设计方虑安全保障体系的总体安全策略、安全技 案; 术框架、安全管理策略、总体建设规划和 4) 应组织相关部门和有关安全技术专家对安详细设计方案，并形成配套文件; 全设计方案的合理性和正确性进行论证和4) 应组织相关部门和有关安全技术专家对总 审定; 体安全策略、安全技术框架、安全管理策 5) 应确保安全设计方案必须经过批准，才能略、总体建设规划、详细设计方案等相关 正式实施。 配套文件的合理性和正确性进行论证和审 定; 5) 应确保总体安全策略、安全技术框架、安 全管理策略、总体建设规划、详细设计方 案等文件必须经过批准，才能正式实施; 管理要求项 二级等保 三级等保 6) 应根据安全测评、安全评估的结果定期调 整和修订总体安全策略、安全技术框架、 安全管理策略、总体建设规划、详细设计 方案等相关配套文件。 产品1) 应确保安全产品的使用符合国家的有关规1) 应确保安全产品的使用符合国家的有关规采购 定; 定; 2) 应确保密码产品的使用符合国家密码主管2) 应确保密码产品的使用符合国家密码主管 部门的要求; 部门的要求; 3) 应指定或授权专门的部门负责产品的采3) 应指定或授权专门的部门负责产品的采 购。 购; 4) 应制定产品采购方面的管理制度明确说明 采购过程的控制方法和人员行为准则; 5) 应预先对产品进行选型测试，确定产品的 候选范围，并定期审定和更新候选产品名 单。 自行1) 应确保开发环境与实际运行环境物理分1) 应确保开发环境与实际运行环境物理分软件开; 开; 开发 2) 应确保提供软件设计的相关文档和使用指2) 应确保系统开发文档由专人负责保管，系 南; 统开发文档的使用受到控制; 3) 应确保系统开发文档由专人负责保管，系3) 应制定开发方面的管理制度明确说明开发 统开发文档的使用受到控制。 过程的控制方法和人员行为准则; 4) 应确保开发人员和测试人员的分离，测试 数据和测试结果受到控制; 5) 应确保提供软件设计的相关文档和使用指 南; 6) 应确保对程序资源库的修改、更新、发布 进行授权和批准。 外包1) 应与软件开发单位签订协议，明确知识产1) 应与软件开发单位签订协议，明确知识产软件权的归属和安全方面的要求; 权的归属和安全方面的要求; 开发 2) 应根据协议的要求检测软件质量; 2) 应根据协议的要求检测软件质量; 3) 应在软件安装之前检测软件包中可能存在3) 应在软件安装之前检测软件包中可能存在 的恶意代码; 的恶意代码; 4) 应确保提供软件设计的相关文档和使用指4) 应要求开发单位提供技术培训和服务承 南。 诺; 5) 应要求开发单位提供软件设计的相关文档 管理要求项 二级等保 三级等保 和使用指南。 工程1) 应与工程实施单位签订与安全相关的协1) 应与工程实施单位签订与安全相关的协实施 议，约束工程实施单位的行为; 议，约束工程实施单位的行为; 2) 应指定或授权专门的人员或部门负责工程2) 应指定或授权专门的人员或部门负责工程 实施过程的管理; 实施过程的管理; 3) 应制定详细的工程实施方案控制实施过3) 应制定详细的工程实施方案控制实施过 程。 程，并要求工程实施单位能正式地执行安 全工程过程; 4) 应制定工程实施方面的管理制度，明确说 明实施过程的控制方法和人员行为准则。 测试1) 应对系统进行安全性测试验收; 1) 应对系统进行安全性测试验收; 验收 2) 应在测试验收前根据设计方案或合同要求2) 应在测试验收前根据设计方案或合同要求 等制订测试验收方案，测试验收过程中详等制订测试验收方案，测试验收过程中详 细记录测试验收结果，形成测试验收报告; 细记录测试验收结果，形成测试验收报告; 3) 应组织相关部门和相关人员对系统测试验3) 应委托公正的第三方测试单位对系统进行 收报告进行审定，没有疑问后由双方签字。 测试，并出具测试报告; 4) 应制定系统测试验收方面的管理制度明确 说明系统测试验收的控制方法和人员行为 准则; 5) 应指定或授权专门的部门负责系统测试验 收的管理，并按照管理制度的要求完成系 统测试验收工作; 6) 应组织相关部门和相关人员对系统测试验 收报告进行审定，没有疑问后由双方签字。 系统1) 应明确系统的交接手续，并按照交接手续1) 应明确系统的交接手续，并按照交接手续交付 完成交接工作; 完成交接工作; 2) 应由系统建设方完成对委托建设方的运维2) 应由系统建设方完成对委托建设方的运维 技术人员的培训; 技术人员的培训; 3) 应由系统建设方提交系统建设过程中的文3) 应由系统建设方提交系统建设过程中的文 档和指导用户进行系统运行维护的文档; 档和指导用户进行系统运行维护的文档; 4) 应由系统建设方进行服务承诺，并提交服4) 应由系统建设方进行服务承诺，并提交服 务承诺书，确保对系统运行维护的支持。 务承诺书，确保对系统运行维护的支持; 5) 应制定系统交付方面的管理制度明确说明 系统交付的控制方法和人员行为准则; 6) 应指定或授权专门的部门负责系统交付的 管理要求项 二级等保 三级等保 管理工作，并按照管理制度的要求完成系 统交付工作。 系统无 1) 应将系统定级、系统属性等材料指定专门备案 的人员或部门负责管理，并控制这些材料 的使用; 2) 应将系统等级和系统属性等资料报系统主 管部门备案; 3) 应将系统等级、系统属性、等级划分理由 及其他要求的备案材料报相应公安机关备 案。 安全无 1) 应在系统投入运行前进行安全测评，测评测评 后符合相应等级保护 标准 excel标准偏差excel标准偏差函数exl标准差函数国标检验抽样标准表免费下载红头文件格式标准下载 要求的才能投入 使用; 2) 应在系统运行过程中定期对系统进行安全 测评，发现不符合相应等级保护标准要求 的及时整改; 3) 应在系统发生变更时及时对系统进行安全 测评，发现级别发生变化的及时调整级别 并进行安全改造;发现不符合相应等级保 护标准要求的及时整改; 4) 应选择具有国家相关技术资质和安全资质 的测评单位进行安全测评; 5) 应与测评单位签订与安全相关的协议，约 束测评单位的行为; 6) 应指定或授权专门的人员或部门负责安全 测评的管理。 安全1) 应确保安全服务商的选择符合国家的有关1) 应确保安全服务商的选择符合国家的有关服务规定。 规定。 商选 择 系统环境1) 应对机房供配电、空调、温湿度控制等设1) 应对机房供配电、空调、温湿度控制等设 运维管理 施指定专人或专门的部门定期进行维护管施指定专人或专门的部门定期进行维护管 管理 理; 理; 2) 应配备机房安全管理人员，对机房的出入、2) 应配备机房安全管理人员，对机房的出入、 服务器的开机或关机等工作进行管理; 服务器的开机或关机等工作进行管理; 管理要求项 二级等保 三级等保 3) 应建立机房安全管理制度，对有关机房物3) 应建立机房安全管理制度，对有关机房物 理访问，物品带进、带出机房和机房环境理访问，物品带进、带出机房和机房环境 安全等方面的管理作出规定; 安全等方面的管理作出规定; 4) 应对机房来访人员实行登记、备案管理，4) 加强对办公环境的保密性管理，包括如工 同时限制来访人员的活动范围; 作人员调离办公室应立即交还该办公室钥5) 加强对办公环境的保密性管理，包括如工匙和不在办公区接待来访人员等; 作人员调离办公室应立即交还该办公室钥5) 应有指定的部门负责机房安全，并配置电 匙和不在办公区接待来访人员等。 子门禁系统，对机房来访人员实行登记记 录和电子记录双重备案管理; 6) 应对办公环境的人员行为，如工作人员离 开座位应确保终端计算机退出登录状态和 桌面上没有包含敏感信息的纸档文件等作 出规定。 资产1) 应建立资产安全管理制度，规定信息系统1) 应建立资产安全管理制度，规定信息系统 管理 资产管理的责任人员或责任部门; 资产管理的责任人员或责任部门，并规范2) 应编制并保存与信息系统相关的资产、资资产管理和使用的行为; 产所属关系、安全级别和所处位置等信息2) 应编制并保存与信息系统相关的资产、资 的资产清单; 产所属关系、安全级别和所处位置等信息3) 应根据资产的重要程度对资产进行定性赋的资产清单; 值和标识管理，根据资产的价值选择相应3) 应根据资产的重要程度对资产进行定性赋 的管理措施。 值和标识管理，根据资产的价值选择相应 的管理措施; 4) 应确定信息分类与标识的原则和方法，并 对信息的使用、传输和存储作出规定。 介质1) 应确保介质存放在安全的环境中，并对各1) 应建立介质安全管理制度，对介质的存放 管理 类介质进行控制和保护，以防止被盗、被环境、使用、维护和销毁等方面作出规定; 毁、被未授权的修改以及信息的非法泄漏; 2) 应有介质的归档和查询记录，并对存档介2) 应有介质的存储、归档、登记和查询记录，质的目录清单定期盘点; 并根据备份及存档介质的目录清单定期盘3) 对于需要送出维修或销毁的介质，应首先 点; 清除介质中的敏感数据，防止信息的非法3) 对于需要送出维修或销毁的介质，应首先泄漏; 清除介质中的敏感数据，防止信息的非法4) 应根据数据备份的需要对某些介质实行异 泄漏; 地存储，存储地的环境要求和管理方法应4) 应根据所承载数据和软件的重要程度对介与本地相同; 质进行分类和标识管理，并实行存储环境5) 应根据所承载数据和软件的重要程度对介 管理要求项 二级等保 三级等保 专人管理。 质进行分类和标识管理，并实行存储环境 专人管理; 6) 应对介质的物理传输过程中人员选择、打 包、交付等情况进行控制; 7) 应对存储介质的使用过程、送出维修以及 销毁进行严格的管理，保密性较高的信息 存储介质未经批准不得自行销毁; 8) 必要时应对重要介质的数据和软件采取加 密存储，对带出工作环境的存储介质进行 内容加密和监控管理; 9) 应对存放在介质库中的介质定期进行完整 性和可用性检查，确认其数据或软件没有 受到损坏或丢失。 设备1) 应对信息系统相关的各种设施、设备、线1) 应对信息系统相关的各种设备、线路等指 管理 路等指定专人或专门的部门定期进行维护定专人或专门的部门定期进行维护管理; 管理; 2) 应对信息系统的各种软硬件设备的选型、2) 应对信息系统的各种软硬件设备的选型、采购、发放或领用等过程建立基于申报、 采购、发放或领用等过程建立基于申报、审批和专人负责的管理规定; 审批和专人负责的管理规定; 3) 应对终端计算机、工作站、便携机、系统3) 应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管 和网络等设备的操作和使用进行规范化管理; 理; 4) 应对带离机房或办公地点的信息处理设备4) 应对带离机房或办公地点的信息处理设备进行控制; 进行控制; 5) 应按操作规程实现服务器的启动/停止、加5) 应按操作规程实现服务器的启动/停止、加电/断电等操作，加强对服务器操作的日志 电/断电等操作，加强对服务器操作的日志文件管理和监控管理，并对其定期进行检 文件管理和监控管理，应按安全策略的要查; 求对网络及设备进行配置，并对其定期进6) 应建立配套设施、软硬件维护方面的管理 行检查。 制度，对其维护进行有效的管理，包括明 确维护人员的责任、涉外维修和服务的审 批、维修过程的监督控制等; 7) 应在安全管理机构统一安全策略下对服务 器进行系统配置和服务设定，并实施配置 管理。 监控1) 应了解服务器的CPU、内存、进程、磁盘使1) 应进行主机运行监视，包括监视主机的 管理要求项 二级等保 三级等保 管理 用情况。 CPU、硬盘、内存、网络等资源的使用情况; 2) 应对分散或集中的安全管理系统的访问授 权、操作记录、日志等方面进行有效管理; 3) 应严格管理运行过程文档，其中包括责任 书、授权书、许可证、各类策略文档、事 故报告处理文档、安全配置文档、系统各 类日志等，并确保文档的完整性和一致性。 网络1) 应指定专人对网络进行管理，负责运行日1) 赢指定专人对网络进行管理，负责运行日 安全志、网络监控记录的日常维护和报警信息志、网络监控记录的日常维护和报警信息 管理 分析和处理工作; 分析和处理工作; 2) 应建立网络安全管理制度，对网络安全配2) 应根据厂家提供的软件升级版本对网络设 置和日志等方面作出规定; 备进行更新，并在更新前对现有的重要文3) 应根据厂家提供的软件升级版本对网络设件进行备份; 备进行更新，并在更新前对现有的重要文3) 应进行网络系统漏洞扫描，对发现的网络 件进行备份; 系统安全漏洞进行及时的修补; 4) 应进行网络系统漏洞扫描，对发现的网络4) 应保证所有与外部系统的连接均应得到授 系统安全漏洞进行及时的修补; 权和批准; 5) 应保证所有与外部系统的连接均应得到授5) 应建立网络安全管理制度，对网络安全配 权和批准; 置、网络用户以及日志等方面作出规定; 6) 应对网络设备的安全策略、授权访问、最6) 应对网络设备的安全策略、授权访问、最 小服务、升级与打补丁、维护记录、日志小服务、升级与打补丁、维护记录、日志 等方面做出具体要求; 以及配置文件的生成、备份、变更审批、7) 应规定网络审计日志的保存时间以便为可符合性检查等方面做出具体规定; 能的安全事件调查提供支持。 7) 应规定网络审计日志的保存时间以便为可 能的安全事件调查提供支持; 8) 应明确各类用户的责任、义务和风险，并 按照机构制定的审查和批准程序建立用户 和分配权限，定期检查用户实际权限与分 配权限的符合性; 9) 应对日志的备份、授权访问、处理、保留 时间等方面做出具体规定，使用统一的网 络时间，以确保日志记录的准确; 10)应通过身份鉴别、访问控制等严格的规定 限制远程管理账户的操作权限和登录行 为; 管理要求项 二级等保 三级等保 11)应定期检查违反规定拨号上网或其他违反 网络安全策略的行为。 系统1) 应指定专人对系统进行管理，删除或者禁1) 应指定专人对系统进行管理，删除或者禁 安全用不使用的系统缺省账户; 用不使用的系统缺省账户; 管理 2) 应制度系统安全管理制度，对系统安全配2) 应制定系统安全管理制度，对系统安全配 置、系统账户以及审计日志等方面作出规置、系统账户以及审计日志等方面作出规 定; 定; 3) 应定期安装系统的最新补丁程序，并根据3) 应对能够使用系统工具的人员及数量进行 厂家提供的可能危害计算机的漏洞进行及限制和控制; 时修补，并在安装系统补丁前对现有的重4) 应定期安装系统的最新补丁程序，并根据 要文件进行备份; 厂家提供的可能危害计算机的漏洞进行及4) 应根据业务需求和系统安全分析确定系统时修补，并在安装系统补丁前对现有的重 的访问控制策略，系统访问控制策略用于要文件进行备份; 控制分配信息系统、文件及服务的访问权5) 应根据业务需求和系统安全分析确定系统 限; 的访问控制策略，系统访问控制策略用于5) 应对系统账户进行分类管理，权限设定应控制分配信息系统、文件及服务的访问权 当遵循最小授权要求; 限; 6) 应对系统的安全策略、授权访问、最小服6) 应对系统账户进行分类管理，权限设定应 务、升级与打补丁、维护记录、日志等方当遵循最小授权要求; 面做出具体要求; 7) 应对系统的安全策略、授权访问、最小服7) 应规定系统审计日志的保存时间以便为可务、升级与打补丁、维护记录、日志以及 能的安全事件调查提供支持; 配置文件的生成、备份、变更审批、符合8) 应进行系统漏洞扫描，对发现的系统安全性检查等方面做出具体规定; 漏洞进行及时的修补。 8) 应规定系统审计日志的保存时间以便为可 能的安全事件调查提供支持; 9) 应进行系统漏洞扫描，对发现的系统安全 漏洞进行及时的修补; 10)应明确各类用户的责任、义务和风险，对 系统账户的登记造册、用户名分配、初始 口令分配、用户权限及其审批程序、系统 资源分配、注销等作出规定; 11)应对于账户安全管理的执行情况进行检查 和监督，定期审计和分析用户账户的使用 情况，对发现的问题和异常情况进行相关 处理。 管理要求项 二级等保 三级等保 恶意1) 应提高所用用户的防病毒意识，告知及时1) 应提高所有用户的防病毒意识，告知及时代码升级防病毒软件; 升级防病毒软件; 防范2) 应在读取移动存储设备(如软盘、移动硬2) 应在读取移动存储设备(如软盘、移动硬管理 盘、光盘)上的数据以及网络上接收文件盘、光盘)上的数据以及网络上接收文件 或邮件之前，先进行病毒检查，对外来计或邮件之前，先进行病毒检查，对外来计 算机或存储设备接入网络系统之前也要进算机或存储设备接入网络系统之前也要进 行病毒检查; 行病毒检查; 3) 应指定专人对网络和主机的进行恶意代码3) 应指定专人对网络和主机的进行恶意代码 检测并保存检测记录; 检测并保存检测记录; 4) 应对防恶意代码软件的授权使用、恶意代4) 应对防恶意代码软件的授权使用、恶意代 码库升级、定期汇报等作出明确管理规定。 码库升级、定期汇报等作出明确管理规定; 5) 应建立恶意代码集中防护的安全管理中 心，确保整个网络统一配置、统一升级、 统一控制; 6) 应定期检查信息系统内各种产品的恶意代 码库的升级情况并进行记录，对主机防病 毒产品、防病毒网关和邮件防病毒网关上 截获的危险病毒或恶意代码进行及时分析 处理，并形成书面的报表和总结汇报。 密码1) 密码算法和密钥的使用应符合国家密码管1) 应建立密码使用管理制度，密码算法和密管理 理规定。 钥的使用应符合国家密码管理规定。 变更2) 确认系统中要发生的变更，并制定变更方5) 确认系统中要发生的变更，并制定变更方管理 案; 案; 3) 建立变更管理制度，重要系统变更前，应6) 建立变更管理制度，重要系统变更前，应 向主管领导申请，审批后方可实施变更; 向主管领导申请，变更和变更方案经过评 4) 系统变更情况应向所有相关人员通告。 审、审批后方可实施变更; 7) 系统变更情况应向所有相关人员通告; 8) 应建立变更控制的申报和审批文件化程 序，变更影响分析应文档化，变更实施过 程应记录，所有文档记录应妥善保存; 9) 中止变更并从失败变更中恢复程序应文档 化，应明确过程控制方法和人员职责，必 要时恢复过程应经过演练。 备份1) 应识别需要定期备份的重要业务信息、系1) 应识别需要定期备份的重要业务信息、系与恢统数据及软件系统等; 统数据及软件系统等; 管理要求项 二级等保 三级等保 复管2) 应规定备份信息的备份方式(如增量备份2) 应规定备份信息的备份方式(如增量备份理 或全备份等)、备份频度(如每日或每周或全备份等)、备份频度(如每日或每周 等)、存储介质、保存期等; 等)、存储介质、保存期等; 3) 应根据数据的重要性和数据对系统运行的3) 应根据数据的重要性和数据对系统运行的 影响，制定数据的备份策略和恢复策略，影响，制定数据的备份策略和恢复策略， 备份策略应指明备份数据的放置场所、文备份策略应指明备份数据的放置场所、文 件命名规则、介质替换频率和将数据离站件命名规则、介质替换频率和将数据离站 运输的方法; 运输的方法; 4) 应指定相应的负责人定期维护和检查备份4) 应指定相应的负责人定期维护和检查备份 及冗余设备的状况，确保需要接入系统时及冗余设备的状况，确保需要接入系统时 能够正常运行; 能够正常运行; 5) 根据备份方式，规定相应设备的安装、配5) 应建立控制数据备份和恢复过程的程序， 置和启动的流程。 备份过程应记录，所有文件和记录应妥善 保存; 6) 应根据系统级备份所采用的方式和产品， 建立备份及冗余设备的安装、配置、启动、 操作及维护过程控制的程序，记录设备运 行过程状况，所有文件和记录应妥善保存; 7) 应定期执行恢复程序，检查和测试备份介 质的有效性，确保可以在恢复程序规定的 时间内完成备份的恢复。 安全1) 所有用户均有责任报告自己发现的安全弱1) 所有用户均有责任报告自己发现的安全弱 事件点和可疑事件，但任何情况下用户均不应点和可疑事件，但任何情况下用户均不应 处置 尝试验证弱点; 尝试验证弱点; 2) 应制定安全事件报告和处置管理制度，规2) 应制定安全事件报告和处置管理制度，规 定安全事件的现场处理、事件报告和后期定安全事件的现场处理、事件报告和后期 恢复的管理职责; 恢复的管理职责; 3) 应分析信息系统的类型、网络连接特点和3) 应分析信息系统的类型、网络连接特点和 信息系统用户特点，了解本系统和同类系信息系统用户特点，了解本系统和同类系 统已发生的安全事件，识别本系统需要防统已发生的安全事件，识别本系统需要防 止发生的安全事件，事件可能来自攻击、止发生的安全事件，事件可能来自攻击、 错误、故障、事故或灾难; 错误、故障、事故或灾难; 4) 应根据国家相关管理部门对计算机安全事4) 应根据国家相关管理部门对计算机安全事 件等级划分方法，根据安全事件在本系统件等级划分方法，根据安全事件在本系统 产生的影响，将本系统计算机安全事件进产生的影响，将本系统计算机安全事件进 管理要求项 二级等保 三级等保 行等级划分; 行等级划分; 5) 应记录并保存所有报告的安全弱点和可疑5) 应制定的安全事件报告和响应处理程序， 事件，分析事件原因，监督事态发展，采确定事件的报告流程，响应和处置的范围、 取措施避免安全事件发生。 程度，以及处理方法等; 6) 应在安全事件报告和响应处理过程中，分 析和鉴定事件产生的原因，收集证据，记 录处理过程，总结经验教训，制定防止再 次发生的补救措施，过程形成的所有文件 和记录均应妥善保存; 7) 对造成系统中断和造成信息泄密的安全事 件应采用不同的处理程序和报告程序。 应急1) 应在统一的应急预案框架下制定不同事件1) 应在统一的应急预案框架下制定不同事件 预案的应急预案，应急预案框架应包括启动应的应急预案，应急预案框架应包括启动应 管理 急预案的条件、应急处理流程、系统恢复急预案的条件、应急处理流程、系统恢复 流程和事后教育和培训等内容; 流程和事后教育和培训等内容; 2) 应对系统相关的人员进行培训使之了解如2) 应从人力、设备、技术和财务等方面确保 何及何时使用应急预案中的控制手段及恢应急预案的执行有足够的资源保障; 复策略，对应急预案的培训至少每年举办3) 应对系统相关的人员进行培训使之了解如 一次。 何及何时使用应急预案中的控制手段及恢 复策略，对应急预案的培训至少每年举办 一次; 4) 应急预案应定期演练，根据不同的应急恢 复内容，确定演练的周期; 5) 应规定应急预案需要定期审查和根据实际 情况更新内容，并按照执行。