信息系统安全等级保护基本要求一、技术要求:标记说明：保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求（简记为S）；保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求（简记为A）；通用安全保护类要求（简记为G）基本要求第三级物理 安全物理位置的选择（G）a）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内b）机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁物理访问控制（G）a）机房出入应安排专人负责b）需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围c）应对机房划分区域进行管理d）重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员防盗窃和防破坏 （G）a）应将主要设备放置在机房内；b）应将设备或主要部件进行固定，并设置明显的不易除去的标记c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；d）应对介质分类标识，存储在介质库或档案室中；e）应利用光、电等技术设置机房防盗报警系统；（主机房应安装必要的防盗报警设施）f）应对机房设置监控报警系统防雷击a）机房建筑应设置避雷装置b）机房应设置交流电源地线C）应设置防雷保安器，防止感应雷防火a）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；（机房应设置火灾自动报 警系统）b）机房及相关的工作房间和辅助房应釆用具有耐火等级的建筑材料；C）机房应釆取区域隔离防火措施，将重要设备与其他设备隔离开防水和防潮（G）a）水管安装，不得穿过机房屋顶和活动地板下b）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透c）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透d）应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警防静电（G）a）主要设备（关键设备）应米用必要的接地防静电措施；b）机房应采用防静电地板温湿度控制（G）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内电力供应（A）a）应在机房供电线路上配置稳压器和过电压防护设备b）应提供短期的备用电力供应，至少满足主要设备（关键设备）在断电情况下的正常运行要求；c）应设置冗余或并行的电力电缆线路为计算机系统供电；d）应建立备用供电系统电磁防护（S）a）应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；b）电源线和通信线缆应隔离铺设，避免互相干扰c）应对关键设备和磁介质实施电磁屏蔽网络 安全结构安全（G）a）应保证主要网络设备（关键网络设备）有多余的空间，满足业务高峰期需要；b）应保证网络各个部分的带宽（接入网络和核心网络的带宽）满足业务高峰期需要；c）应在业务终端与业务服务器之间进行路由器放置d）网络拓扑结构图e）划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段f ）应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技 术隔离手段；g）应指定带宽分配优先级别，优先保护重要主机访问控制（G）a）部署访问控制设备，启用访问控制功能；b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级（网段级）；c）应对进出网络的信息内容进行过滤，实现对应用层协议命令级的控制；d）会话断连机制e）应限制网络最大流量数及网络连接数；f）重要网段应釆取技术手段防止地址欺骗g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个 用户；h）应限制具有拨号访问权限的用户数量安全审计（G）a）日志记录b）审计记录哪些内容c）应能够根据记录数据进行分析，并生成审计报表；d）审计记录保护边界完整性检査（S）a）非授权设备私联内网检査，准确定出位置，并对其进行有效阻断；b）内部网络用户私联外网检查，准确定出位置，并对其进行有效阻断入侵防范（G）a）应在网络边界处监视攻击行为b）记录攻击行为，在发生严重入侵事件时应提供报警恶意代码防范（G）a）对恶意代码进行检测和清除；b）恶意代码库升级、系统更新网络设备防护（G）a）用户身份鉴别；b）对管理员登录地址进行限制；c）用户标识唯一；d）双因子鉴别技术e）密码策略f）登录失败处理g）远程传输防护h）应实现设备特权用户的权限分离主机 安全身份鉴别（S）a）身份标识、鉴别b）密码复杂度，密码策略c）登录失败处理，登陆控制功能d）远程传输防护e）用户名具有唯一性f）双因子鉴别组合技术访问控制（S）a）启用访问控制功能，对系统的访问控制功能b）管理用户角色分配，最小权限，避免拥有过大权限，各岗位细致协调工作c）操作系统和数据库系统管理员权限分离d）严格限制默认用户访问权限e）多余，过期账户清理，避免共享账户f）重要信息资源敏感标记的设置g）对有敏感标记重要信息资源的访问控制安全审计（G）a）审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户b）审计哪些安全相关事件c）审计记录哪些东西，格式d）审计报表的生成e）审计进程的保护f）审计记录的保护剩余信息保护（S）a）应保证操作系统和数据库系统用户的个人登录信息还保留在存储空间中，比如是否勾选记住用户名b）应确保系统内的文件、目录和数据库记录等资源所在的存储空间，缓存是否清理，是否有用过的记录存 在入侵防范（G）a）入侵行为的记录和报警b）重要文件的完整性保护，能及时恢复c）最小安装原则，保持系统补丁及时得到更新恶意代码防范（G）a）应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库b）主机防恶意代码产品与网络防恶意代码产品有不冋的恶意代码库c）应支持防恶意代码软件的统一管理，统一更新，定时查杀资源控制（A）a）接入控制，条件限制b）登录终端的操作超时锁定；c）对重要服务器进行监视d）限制单个用户系统资源使用限度e）系统服务水平监控和报警机制应用 安全身份鉴别（S）a）提供专用的登录控制模块，用户验证鉴别b）双因子鉴别组合技术c）身份标识唯一，密码策略d）登录失败处理，登录控制功能e）根据以上四点，配置相关参数访问控制（S）a）提供访问控制功能，控制用户对客体的访问；b）访问控制的覆盖范围c）严格限制默认帐户的访问权限d）账户角色分配，最小权限，相互制约e）对重要信息资源设置敏感标记f）对有敏感标记重要信息资源的访问控制安全审计（G）a）审计范围b）审计进程保护，审计记录保护c）审计记录哪些东西，格式d）审计记录数据进行统计、查询、分析及生成审计报表剩余信息保护（S）a）应保证操作系统和数据库系统用户的个人登录信息还保留在存储空间中，比如是否勾选记住用户名b）应确保系统内的文件、目录和数据库记录等资源所在的存储空间，缓存是否清理，是否有用过的记录存 在通信完整性（S）应米用密码技术（校验码技术）保证通信过程中数据的完整性，hash函数（md5）通信保密性（S）a）建立通信连接前，利用密码技术进行会话初始化验证b）应对通信过程中的整个报文或会话过程（敏感信息字段）进行加密抗抵赖（G）a）应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能，打电话b）应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能，接电话软件容错（A）a）应提供数据有效性检验功能，对输入的数据格式或长度等进行限制b）应提供自动保护功能，能够进行恢复（在故障发生时，应用系统应能够继续提供一部分功能，确保能够 实施必要的措施）资源控制（A）a）未作任何响应，自动结束会话；b）最大并发会话连接数进行限制；c）对单个帐户的多重并发会话进行限制d）对一个时间段内可能的并发会话连接数进行限制；e）对资源占用分配最大限额和最小限额；f）系统服务水平检测和报警机制G）提供服务优先级，访问帐户或请求进程优先级，优先级分配系统资源数据 安全 及备 份恢 复数据完整性（S）a）应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并提供恢复功能b）检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并提供恢复功能数据保密性（S）a）应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；b）应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性备份和恢复（A）a）应提供本地数据备份与恢复功能，完全数据备份至少每天次，备份介质场外存放；（应能够对重要信 息进行备份和恢复）b）异地数据备份功能c）采用多条线路设计网络拓扑结构d）主要网络设备（关键网络设备）、通信线路和数据处理系统的硬件要有多余的二、管理要求基本要求第三级安全 管理 制度管理制度（G）a）总体方针和安全朿略b）应对安全管理活动中的各类管理内容（重要管理内容）建立安全管理制度；c）应对管理人员或操作人员执行的日常管理操作（重要管理操作）建立操作规程；d）形成由上面三项构成的全面的管理制度体系制定和发布（G）a）要有专门的部门或人员负责安全管理制度的制定；b）论证和审定安全管理制度c）安全管理制度应通过正式、有效的方式发布（应将安全管理制度以某种方式发布到相关人员手中）d）安全管理制度应注明发布范围，并对收发文进行登记e）对安全管理制度进行格式统一，版本控制评审和修订（G）a）定期对安全管理制度体系的合理性和适用性进行审定；b）应定期或不定期对安全管理制度进行检査和审定（定期），对存在不足或需要改进的安全管理制度进行 修订安全 管理 机构岗位设置（G）a）应设立信息安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负 责人的职责；b）应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责c）应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权；d）制定文件明确各个部门和岗位的职责、分工和技能要求人员配备（G）a）应配备一定数量的系统管理员、网络管理员、安全管理员等；b）应配备专职安全管理员c）关键事务岗位应配备多人共同管理授权和审批（G）a）应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等；b）应建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度（应针对关键活动建立 审批流程，并由批准人签字确认）c）定期审査审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息；d）应记录审批过程并保存审批文档沟通和合作（G）a）应加强合作与沟通，定期或不定期召开协调会议，共冋协作处理信息安全问题；b）应加强与兄弟单位、公安机关、电信公司的合作与沟通c）应加强与供应商、