GBT22239-2019信息安全技术网络安全等级保护基本要求.xlsx

《GBT22239-2019信息安全技术网络安全等级保护基本要求.xlsx》由会员分享，可在线阅读，更多相关《GBT22239-2019信息安全技术网络安全等级保护基本要求.xlsx（64页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、等等级级保保护护对对象象安安全全分分类类安安全全子子类类 保保护护能能力力保保护护能能力力 安安全全通通用用要要求求 安安全全物物理理环环境境 物物理理位位置置 物物理理访访问问控控制制 防防盗盗窃窃& &防防破破坏坏 防防雷雷击击 防防火火 防防水水& &防防潮潮 防防静静电电 温温湿湿度度控控制制 电电力力供供应应 电电磁磁防防护护 安安全全通通信信网网络络 网网络络架架构构 通通信信传传输输 可可信信验验证证 安安全全区区域域边边界界 边边界界防防护护 访访问问控控制制 安安全全通通用用要要求求 入入侵侵防防范范 恶恶意意代代码码( (垃垃圾圾邮邮件件) )防防范范 安安全全审审计计 可

2、可信信验验证证 安安全全计计算算环环境境 身身份份鉴鉴别别 访访问问控控制制 安安全全通通用用要要求求 安安全全区区域域边边界界 安安全全审审计计 入入侵侵防防范范 恶恶意意代代码码防防范范 可可信信验验证证 数数据据完完整整性性 数数据据保保密密性性 数数据据备备份份恢恢复复 安安全全通通用用要要求求 安安全全计计算算环环境境 剩剩余余信信息息保保护护 个个人人信信息息保保护护 安安全全管管理理中中心心 系系统统管管理理 审审计计管管理理 安安全全管管理理 集集中中管管控控 安安全全管管理理制制度度 安安全全策策略略 安安全全通通用用要要求求 管管理理制制度度 制制定定和和发发布布 评评审审

3、和和修修订订 安安全全管管理理机机构构 岗岗位位设设置置 人人员员配配备备 授授权权和和审审批批 沟沟通通和和合合作作 审审核核和和检检查查 安安全全通通用用要要求求 安安全全管管理理制制度度 安安全全管管理理人人员员 人人员员录录用用 人人员员离离岗岗 安安全全意意识识教教育育和和培培训训 外外部部人人员员访访问问管管理理 安安全全建建设设管管理理 定定级级和和备备案案 安安全全方方案案设设计计 产产品品采采购购和和使使用用 安安全全通通用用要要求求 自自行行软软件件开开发发 外外包包软软件件开开发发 工工程程实实施施 测测试试验验收收 系系统统交交付付 等等级级测测评评 服服务务供供应应商

4、商选选择择 安安全全运运维维管管理理 环环境境管管理理 安安全全通通用用要要求求 安安全全建建设设管管理理 资资产产管管理理 介介质质管管理理 设设备备维维护护管管理理 漏漏洞洞和和风风险险管管理理 网网络络和和系系统统安安全全管管理理 恶恶意意代代码码防防范范管管理理 安安全全通通用用要要求求 安安全全运运维维管管理理 配配置置管管理理 密密码码管管理理 变变更更管管理理 备备份份与与恢恢复复管管理理 安安全全事事件件处处置置 应应急急预预案案管管理理 外外包包运运维维管管理理 云云计计算算安安全全 安安全全物物理理环环境境基基础础设设施施位位置置 安安全全通通用用要要求求 安安全全运运维维

5、管管理理 安安全全通通信信网网络络网网络络架架构构 安安全全区区域域边边界界 访访问问控控制制 入入侵侵防防范范 安安全全审审计计 安安全全计计算算环环境境身身份份鉴鉴别别 安安全全计计算算环环境境 访访问问控控制制 入入侵侵防防范范 镜镜像像和和快快照照保保护护 云云计计算算安安全全 数数据据完完整整性性和和保保密密性性 数数据据备备份份恢恢复复 剩剩余余信信息息保保护护 安安全全管管理理中中心心集集中中管管控控 安安全全建建设设管管理理 云云服服务务商商选选择择 供供应应链链管管理理 云云计计算算安安全全 安安全全计计算算环环境境 安安全全运运维维管管理理云云计计算算环环境境管管理理 移移

6、动动互互联联安安全全 安安全全物物理理环环境境无无线线接接入入点点的的物物理理位位置置 安安全全区区域域边边界界 边边界界防防护护 访访问问控控制制 入入侵侵防防范范 安安全全计计算算环环境境 移移动动终终端端管管控控 移移动动应应用用管管控控 安安全全建建设设管管理理 移移动动应应用用软软件件采采购购 移移动动应应用用软软件件开开发发 安安全全运运维维管管理理配配置置管管理理 云云计计算算安安全全 物物联联网网安安全全 安安全全物物理理环环境境感感知知节节点点设设备备的的物物理理防防护护 安安全全区区域域边边界界 接接入入控控制制 入入侵侵防防范范 安安全全运运维维管管理理感感知知节节点点管

7、管理理 安安全全区区域域边边界界 接接入入控控制制 入入侵侵防防范范 安安全全计计算算环环境境 感感知知节节点点设设备备安安全全 网网关关节节点点设设备备安安全全 抗抗数数据据重重放放 数数据据融融合合处处理理 工工控控系系统统安安全全 安安全全物物理理环环境境室室外外控控制制设设备备物物理理防防护护 安安全全通通信信网网络络 网网络络架架构构 通通信信传传输输 安安全全区区域域边边界界 访访问问控控制制 拨拨号号使使用用控控制制 无无线线使使用用控控制制 物物联联网网安安全全 安安全全计计算算环环境境 安安全全计计算算环环境境控控制制设设备备安安全全 安安全全建建设设管管理理 产产品品采采购

8、购和和使使用用 外外包包软软件件开开发发 工工控控系系统统安安全全 说说明明： 高级别要求只列出与最近的一个低级别中不同项，相同项目只是引用序号 一一级级二二级级 应能够防护免受来自个个人人的的、拥拥有有很很少少资资源源的威胁源 发起的恶意攻击、一一般般的自然灾难，以及其他相当危 害程度的威胁所造成的关关键键资资源源损害，在自身遭到损 害后，能够恢恢复复部部分分功功能能。 应能够防护免受来自外外部部小小型型组组织织的的、拥拥有有少少量量资资源源 的威胁源发起的恶意攻击、一一般般的自然灾难，以及其 他相当危害程度的威胁所造成的重重要要资资源源损害，能够 发发现现重重要要的的安安全全漏漏洞洞和和处

9、处置置安安全全事事件件，在自身遭到损 害后，能够在在一一段段时时间间内内恢恢复复部部分分功功能能。 N/A a) 机房场地防风、防震、防雨 b) 避免在建筑物顶层或地下室(否则应加强防水和防 潮处理) a) 出入口专人或门禁系统，控制、鉴别、记录出入人 员 a) a) 设备或主要部件固定，设置明显不易不易除去的标 志 a) b) 通信线缆铺设隐蔽安全 a) 各类机柜、设施、设备进行安全接地a) a) 机房设置灭火设备 a) 自自动动防火系统，检测火情、报警、灭火 b) 具有耐火等级的防火材料 a) 防止雨水渗透(屋顶、窗户、墙壁) a) b) 防止水蒸气凝结、地下积水转移和渗透 N/Aa) 防

10、静电地板或者接地防静电 a) 设置必要的温湿度调节装置 a）设置温温湿湿度度自自动动调调节节设设施施，使机房温湿度的变化 在设备运行所允许的范围之内 a) 配置稳压器和过电压防护设备 b) 应提供短短期期的的备备用用电电力力供供应应，至少满足设备在断电 情况下的正常运行要求 N/Aa）电源线和通信线线缆缆应应隔隔离离铺铺设设，避免互相干扰 N/A a) 应划划分分不不同同的的网网络络区区域域，并按照方便管理和控制的 原则为各网络区域分配地址； b) 应避免将重要网络区域部署在边界处，重要网络区 域与其他网络区域之间应采取可靠的技技术术隔隔离离手段【 网闸、防火墙？】 a) 采用校校验验技技术术

11、保证通信过程中数数据据的的完完整整性性a） a) 基于可信根对通通信信设设备备的系系统统引引导导程程序序、系系统统程程序序 等进行可信验证，并在检测到其可信性受到破坏后进 行报警 a) 基于可信根对通通信信设设备备的系系统统引引导导程程序序、系系统统程程序序 、重重要要配配置置参参数数和和通通信信应应用用程程序序等进行可信验证，并 在检测到其可信性受到破坏后进行报警，并将将验验证证结结 果果形形成成审审计计记记录录送送至至安安全全管管理理中中心心 a) 跨越边界的访问和数据流通过边界设备提供的受受控控 接接口口进行通信 a） a) 在网络边界根据访问控制策略设设置置访访问问控控制制规规则则，

12、默默认认情况下除允许通信外受控接口拒拒绝绝所有通信 b) 删除多余或无效的访问控制规则，优化访问控制列 表，并保证访访问问控控制制规规则则数数量量最最小小化化 c) 对源地址、目的地址、源端口、目的端口和协议等 进行检查，以允许拒绝数据包进出 a) 应在网网络络边边界界或或区区域域之之间间根据访问控制策略设置访 问控制规则，默默认认情况下除允许通信外受控接口拒拒绝绝 所所有有通通信信； b) c) d) 应能根据会话状态信息为进出数据流提供明确的允 许拒绝访间的能力。 N/Aa) 在关关键键网网络络节节点点处监监视视网网络络攻攻击击行行为为 N/A a) 在关关键键网网络络节节点点处对对恶恶意

13、意代代码码进进行行检检测测和和清清除除，并 维护恶意代码防护机制的升升级级和和更更新新 N/A a) 在网络边界、重要网络节点进行安全审计，审审计计覆覆 盖盖到到每每个个用用户户，对对重重要要的的用用户户行行为为和和重重要要安安全全事事件件进进 行行审审计计； b) 审计记录应包括事件的日期和时间、用户、事件类 型、事件是否成功及其他与审计相关的信息； c) 对对审审计计记记录录进进行行保保护护，定期备份，避免受到未预期 的删除、修改或覆盖 a) 基于可信根对边边界界设设备备的系系统统引引导导程程序序、系系统统程程序序 等进行可信验证，并在检测到其可信性受到破坏后进 行报警 a) 基于可信根对

14、边边界界设设备备的的系系统统引引导导程程序序、系系统统程程序序 、重重要要配配置置参参数数和边边界界防防护护应应用用程程序序等进行可信验证 ，并在检测到其可信性受到破坏后进行报警，并将将验验 证证结结果果形形成成审审计计记记录录送送至至安安全全管管理理中中心心。 a) 对登录的用户进行身身份份标标识识和和鉴鉴别别，身身份份标标识识具具有有 唯唯 一一性性，身份鉴鉴别别信信息息具具有有复复杂杂度度要求并定定期期更更换换 ； b) 具有登登录录失失败败处处理理功功能能，应配置并启用结结束束会会话话、 限限制制非非法法登登录录次次数数和和当当登登录录连连接接超超时时自自动动退退出出等相关 措施。 a

15、) b) c) 当进行远程管理时，采取必要措施防防止止鉴鉴别别信信息息在在 网网络络传传输输过过程程中中被被窃窃听听。 a) 对登录的用户分分配配账账户户和和权权限限； b) 重重命命名名或或删删除除默默认认账账户户，修修改改默默认认账账户户的的默默认认口口令令 ； c) 及及时时删删除除或或停停用用多多余余的的、过过期期的的账账户户，避避免免共共享享账账 户户的存在。 a) b) c) d) 授予管理用户所需的最最小小权权限限，实现管管理理用用户户的的权权 限限分分离离 N/A a) 启用安全审计功能，审审计计覆覆盖盖到到每每个个用用户户，对对重重要要 的的用用户户行行为为和和重重要要安安全

16、全事事件件进进行行审审计计； b) 审计记录应包括事件的日期和时间、用户、事件类 型、事件是否成功及其他与审计相关的信息； c) 应对审计记录进行保护，定期备份，避免受到未预 期的删除、修改或覆盖等 a) 遵循最小安装的原则，仅仅安安装装需需要要的的组组件件和和应应用用程程 序序； b) 关关闭闭不不需需要要的的系系统统服服务务、默认共享和高危端口 a) b) c) 通过设设定定终终端端接接入入方方式式或或网网络络地地址址范范围围对通过网络 进行管理的管理终端进行限制； d) 提提供供数数据据有有效效性性检检验功能，保证通过人机接口输入 或通过通信接口输入的内容符合系统设定要求； e) 能能发

17、发现现可可能能存存在在的的已已知知漏漏洞洞，并在经过充分测试评 估后，及及时时修修补补漏漏洞洞 a）安安装装防防恶恶意意代代码码软软件件或配置具有相应功能的软件 ，并定定期期进进行行升升级级和和更更新新防防恶恶意意代代码码库库。 a) a）基于可信根对对计计算算设设备备的系系统统引引导导程程序序、系系统统程程 序序等进行可信验证，并在检测到其可信性受到破坏后 进行报警。 a) 可基于可信根对计计算算设设备备的系系统统引引导导程程序序、系系统统程程 序序、重重要要配配置置参参数数和和应应用用程程序序等进行可信验证，并在 检测到其可信性受到破坏后进行报报警警，并将验证结结果果 形形成成审审计计记记

18、录录送送至至安安全全管管理理中中心心。 a）采用校校验验技技术术保证重要数据在传输过程中的完完整整 性性。 a) N/AN/A a）应提供重重要要数数据据的本本地地数据备份与恢复功能。 a) b) 应提供异异地地数数据据备备份份功能，利用通信网络将重要数 据定定时时批批量量传传送送至备用场地 N/A a) 保证鉴鉴别别信信息息所所在在的的存存储储空空间间被被释释放放或或重重新新分分配配前前 得得到到完完全全清清除除 N/A a) 仅采集和保存业务必需的用户个人信息； b) 禁止未授权访间和非法使用用户个人信息 N/A a) 对系系统统管管理理员员进进行行身身份份鉴鉴别别，只允许其通过特定的 命

19、令或操作界面进行系统管理操作，并对 这些系系统统管管理理操操作作进进行行审审计计； b) 通过系统管理员对对系系统统的的资资源源和和运运行行进进行行配配置置、控控 制制和和管管理理，包括用户身份、系统资源配置、系统加载 和启动、系统运行的异常处理、数据和设备的备份与 恢复等 N/A a) 对审审计计管管理理员员进进行行身身份份鉴鉴别别，只允许其通过特定的 命令或操作界面进行安全审计操作，并对 这些审审计计操操作作进进行行审审计计； b) 通过审计管理员对对审审计计记记录录进进行行分分析析，并根据分析 结果进行处理，包括根据安全审计策略对对审审计计记记录录进进 行行存存储储、管管理理和和查查询询

20、 N/AN/A N/AN/A N/A a) 制定网络安全工作的总体方针和安全策略，阐明机 构安全工作的总体目标、范围、原则和安全框架 a）建建立立日常管理活动中常用的安全管理制制度度 a) b) 对管理人员或操作人员执行的日常管理操作建立操 作规程 N/A a) 指定或授权专门的部门或人员负责安全管理制度的 制定； b) 安全管理制度应通过正式、有效的方式发布，并进 行版本控制 N/A a) 定期对安全管理制度的合理性和适用性进行论证和 审定，对存在不足或需要改进的安全管理制 度进行修订 a）设设立立系统管理员等岗岗位位，并定定义义各个工作岗岗位位的的 职职责责 a) 设设立立网网络络安安全全

21、管管理理工工作作的的职职能能部部门门，设设立立安安全全主主管管 、安安全全管管理理各各个个方方面面的的负负责责人人岗岗位位，并定义各负责人 的职责； b) 设设立立系系统统管管理理员员、审审计计管管理理员员和和安安全全管管理理员员等等岗位 ，并定义部门及各个工作岗位的职责 a）配备一定数最的系系统统管管理理员员 a) 配备一定数量的系系统统管管理理员员、审审计计管管理理员员和和安安全全管管 理理员员等 a）根据各个部门和岗位的职责明明确确授授权权审审批批事事项项、 审审批批部部门门和和批批准准人 a) b) 针对系统变更、重要操作、物理访间和系统接入等 事项执行审批过程 N/A a) 加强各类

22、管理人员、组织内部机构和网络安全管理 部门之间的合作与沟通，定期召开协调会 议，共同协作处理网络安全间题； b) 加强与网络安全职能部门、各类供应商、业界专家 及安全组织的合作与沟通； c) 建立外联单位联系列表，包括外联单位名称、合作 内容、联系人和联系方式等信息 N/A a) 定期进行常规安全检查，检查内容包括系统日常运 行、系统漏洞和数据备份等情况 a）指定或授权专门的部门或人员负责人员录用 a) b) 对被录用人员的身份、安全背景、专业资格或资质 等进行审审查查 a）及及时时终终止止离离岗岗人人员员的的所所有有访访问问权权限限，取回各种身 份证件、钥匙、徽章等以及机构提供的软硬件设备

23、a) a）对各类人员进行安安全全意意识识教教育育和和岗岗位位技技能能培培训训， 并告告知知相关的安安全全责责任任和和惩惩戒戒措措施施 a) a）保证在外外部部人人员员访问受受控控区区域域前得到授权或审批 a) 在外部人员物理访间受控区域前先提出书面申请， 批准后由专人全程陪同，并登记备案； b) 在外部人员接入受控网络访间系统前先提出书面申 请，批批准准后后由由专专人人开开设设账账户户、分分配配权权限限，并并登登记记备备案案 ； c) 外部人员离离场场后后应及时清除其所有的访问权限。 a）以书书面面的的形形式式说说明明保护对象的安安全全保保护护等等级级及确 定等级的方方法法和和理理由由 a)

24、b) 组织相关部门和有关安全技术专家对定级结果的 合理性和正确性进行论证和审定； c) 保证定级结果经过相关部门的批准； d) 将备案材料报主管部门和相应公安机关备备案案 a）根根据据安全保护等等级级选选择基本安安全全措措施施，依依据据风风险险 分分析析的结果补补充充和和调调整整安安全全措措施施 a) b) 根据保护对象的安全保护等级进行安全方案设计； c) 组织相关部门和有关安全专家对安全方案的合理性 和正确性进行论证和审定，经经过过批批准准后后才才能能正正式式实实施施 a）确保网网络络安安全全产产品品采购和使用符合国家的有关规 定 a) b) 确保密密码码产产品品与与服服务务的采购和使用符

25、合国家密码管 理主管部门的要求 N/A a) 将开开发发环环境境与与实实际际运运行行环环境境物物理理分分开开，测试数数据据和 测试结结果果受受到到控控制制； b) 在软件开发过程中对安全性进行测试，在软软件件安安装装 前前对对可可能能存存在在的的恶恶意意代代码码进进行行检检测测 N/A a) 在软件交付前检检测测其中可能存在的恶恶意意代代码码 b) 保证开发单位提供软软件件设设计计文文档档和和使使用用指指南南 a）指指定定或或授授权权专专门门的的部部门门或或人人员员负负责责工程实施过程 的管理 a) b) 制定安全工程实施方案，控制工程实施过程 a）进行安安全全性性测测试试验收 a) 制定测试

26、验收方案，并根据方案实施测试验收，形 成测测试试验验收收报报告告 b) 进行上线前的安全测试，并出具安安全全测测试试报报告告 a) 制定交付清单，并根据交付清单对所交接的设设备备、 软软件件和和文文档档等进行清点； b) 对负责运行维护的技术人员进行相应的技技能能培培训训。 a) b) c) 提供建建设设过过程程文文档档和运运行行维维护护文文档档 N/A a) 定时进行等级测评，发现不符合相应等保标准要求 的及时更改 b) 在发生重大级别变更或级别发生变化时进行等级测 评 c) 选择符合国家规定的测评机构 a) 确保服务供应商的选择符合国家的有关规定； b) 与选定的服务供应商签订与安全相关的

27、协议，明确 约定相关责任。 a) b) 与选定的服务供应商签订相关协议，明确整个服务 供应链各方需履行的网网络络安安全全相相关关义义务务 a) 指定专门的部门或人员负责机房安全，对机房出入 进行管理，定期对机房供配电、空调、温湿度控制、 消防等设施进行维护管理； b) 对机房的安全管理做出规定，包括物理访问、物品 进出和环境安全等方面 a) b) c) 不在重要区域接待来访人员，不随意放置含有敏感 信息的纸档文件和移动介质等 N/A a) 编制并保存与保护对象相关的资产清单，包括资产 责任部门、重要程度和所处位置等内容 a）将介介质质存存放放在在安安全全的的环环境境中中，对各类介质进行控 制和

28、保护，实行存储环境专人管理，并根据存档介质 的目录清单定期盘点 a) b) 对介质在物理传输过程中的人员选择、打包、交付 等情况进行控制，并对介质的归档和查询等进行登记 记录 a）对各种设备（包括备份和冗余设备）、线路等指指 定定专专门门的的部部门门或或人人员员定定期期进进行行维护管 a) b) 对配套设施、软硬件维护管理做出规定，包括明确 维护人员的责任、维修和服务的审批、维修过程的监 督控制 a）采取必必要要的的措措施施识识别别安安全全漏漏洞洞和和隐隐患患，对发现的 安全漏洞和隐患及及时时进进行行修修补补或评评估估可可能能的的影影响响后后进进 行行修修补补 a) a) 应划分不不同同的的管

29、管理理员员角角色色进行网络和系统的运维管 理，明确各个角色的责任和权限； b) 应指定专专门门的的部部门门或或人人员员进进行行账账户户管管理理，对申请账 户、建立账户、删除账户等进行控制。 a) b) c) 建建立立网网络络和和系系统统安安全全管管理理制制度度，对安全策略、账户 管理、配置管理、日志管理、日常操作、升级与打补 丁、口令更新周期等方面作出规定； d) 制制定定重重要要设设备备的的配配置置和和操操作作手手册册，依据手册对设备 进行安全配置和优化配置等； e) 详详细细记记录录运运维维操操作作日日志志，包括日常巡检工作、运行 维护记录、参数的设置和修改等内容 a) 提高所有用户的防恶

30、意代码意意识识，对对外外来来计计算算机机或或 存存储储设设备备接入系统前进行恶意代码检查等； b) 对恶意代码防范要求做做出出规规定定，包括防恶意代码软 件的授权使用、恶意代码库升级、恶意代码的定期查 杀等 a) b) c) 定期检查恶意代码库的升级情况，对截获的恶意代 码进行及时分析处理 N/A a) 记记录录和和保保存存基基本本配配置置信信息息，包括网络拓扑结构、各 个设备安装的软件组件、软件组件的版本和补丁信息 、各个设备或软件组件的配置参数 N/A a) 遵遵循循密密码码相相关关国国家家标标准准和和行行业业标标准准； b) 使用国家密码管理主管部门认证核准的密码技术和 产品 N/A a

31、) 明确变更需求，根据变更需求制定变更方案，变更 方案经评审、审批后才可实施 a) 识别需要定定期期备备份份的的重重要要业业务务信信息息、系系统统数数据据及及软软 件件系系统统等； b) 规定备份信息的备份方式、备份频度、存储介质、 保存期等。 a） b) c) 根据数据的重要性和数据对系统运行的影响，制制定定 数数据据的的备备份份和和恢恢复复策策略略、备备份份和和恢恢复复程程序序 a）及时向安全管理部门报告所发现的安全弱点和可 疑事件 b) 明确安全事件的报告和处置流程，规定安全事件的 现场处理、事件报告和后期恢复的管理职责 a) b) 制定安全事件报告和处置管理制度，明确不同安全 事件的报

32、告、处置和响应流程，规定安全事件的现场 处理、事件报告和后期恢复的管理职责 c) 在安全事件报告和响应处理过程中，分分析析和和鉴鉴定定事事 件件产产生生的的原原因因，收集证据，记记录录处处理理过过程程，总总结结经经验验 教教训训。 N/A a) 制定重要事件的应急预案，包括应急处理流程和系 统恢复流程 b) 定期对系统相关人员进行应急预案培训，并进行应 急预案演练 N/A a) 确保外包运维服务商的选择符合国家的有关规定； b) 与选定的外包运维服务商签订相关的协议，明确约 定外包运维的范围、工作内容 a) 云计算基础设施位千中国境内a) a) 应保证云计算平台不不承承载载高高于于其其安安全全

33、保保护护等等级级的的业业 务务应用系统； b) 应实现不同云服务客户虚拟网网络络之间的隔隔离离。 a) b) c) 具有根据云服务客户业务需求提提供供通通信信传传输输、边边界界 防防护护、入入侵侵防防范范等等安安全全机机制制的能力 a）在虚拟化网络边界部署访问控制机制，并设置访访 问问控控制制规规则则 a) b) 在不不同同等等级级的的网网络络区区域域边边界界部部署署访访问问控控制制机机制制，设 置访间控制规则【网闸？】 N/A a) 能检测到云服务客户发起的网络攻击行为，并能记 录攻击类型、攻击时间、攻击流量等； b) 能检测到对虚拟网络节点的网络攻击行为，并能记 录攻击类型、攻击时间、攻击

34、流量等； c) 能检检测测到到虚虚拟拟机机与与宿宿主主机机、虚虚拟拟机机与与虚虚拟拟机机之之间间的的 异异常常流流量量 N/A a) 对云服务商和云服务客户在远远程程管管理理时时执执行行的的特特权权 命命令令进行审审计计，至少包括虚拟机删除、虚 拟机重启； b) 保证云服务商对云服务客户系统和数据的操作可被被 云云服服务务客客户户审审计计 N/AN/A a) 当虚虚拟拟机机迁迁移移时，访问控制策策略略随其迁迁移移； b)云服务客户设置不不同同虚虚拟拟机机之之间间的的访访问问控控制制策策略略。 a) b) N/AN/A N/A a) 针对重要业务系统提提供供加加固固的的操操作作系系统统镜镜像像或

35、或操操作作 系系统统安安全全加加固固服服务务； b) 提供虚拟机镜镜像像、快快照照完完整整性性校校验验功能，防止虚拟 机镜像被恶意篡改 a）云服务客客户户数数据据、用用户户个个人人信信息息等等存存储储于于中中国国境境 内内，如需出境应遵循国家相关规定。 a) b) 只有在云服务客户授授权权下，云服务商或第三方才具 有云服务客户数据的管理权限； c) 虚拟机迁迁移移过过程程中重要数据的完整性，并在检测到 完整性受到破坏时采取必要的恢复措施 N/A a) 云服务客户应在本本地地保保存存其业务数据的备备份份 b) 应提供查询云服务客户数据及备份存储位置的能力 N/A a) 虚拟机所使用的内存和存储空

36、间回收时得到完全清 除； b) 云服务客户删除业务应用数据时，云计算平台应将 云存储中所有副副本本删删除除 N/AN/A a) 应选择安全合规的云服务商，其所提供的云计算平平 台台应为其所承载的业业务务应用系统提供相相应应等等级级的的安安全全 保保护护能能力力； b) 应在服务水平协议中规定云服务的各项服务内容和 具体技术指标； c) 应在服务水平协议中规定云服务商的权限与责任， 包括管理范围、职责划分、访问授权、隐私保护、行 为准则、违约责任等 a) b) c) d) 在服务水平协议中规定服服务务合合约约到到期期时，完整提提供供 云云服服务务客客户户数数据据，并承承诺诺相相关关数数据据在在云

37、云计计 算算平平台台上上清清除除 a）供应商的选择符合国家有关规定 a) b) 将供应链安全事件信息或安全威胁信息及时传达到 云服务客户 N/A a) 云计算平台的运运维维地地点点应应位位于于中中国国境境内内，境外对境 内云计算平台实施运维操作应遵循国家相关 规定 a）位置合理，避免覆盖和过度干扰a) a）有线网络和无线网络之间的访问和数据流通过无无 线线接接入入安安全全设设备备 a) a）无线接入设备应开启接入认证功能，并禁禁止止使使用用 WEPWEP形形式式认认证证。如使用口令，长度不小于8字节。 a) N/A a) 能够检检测测到到非非授授权权无线接入设备和非授权移动终端 的接接入入行行

38、为为； b) 能够检检测测到到针针对对无无线线接接入入设设备备的网络扫描、DDoS 攻击、密钥破解、中间人攻击和欺骗攻攻击击 等等行行为为； c) 能够检检测测到到无无线线接接入入设设备备的SSID广播、WPS 等高高 风风险险功功能能的的开开启启状态； d) 禁用无线接入设备和无线接入网关存在风险的功能 ，如：SSID广播、WEP认证等； e) 禁止多个AP使用同 一 个认证密钥 N/AN/A a）具有选择应用安装运行的功能 a) b) 只允许可可靠靠证证书书签签名名的的应应用用软软件件安装和运行 a）移动终端安装、运行的应用软件来自可靠分发渠 道或者使用可可靠靠证证书书签签名名 a) b)

39、 移动终端安装、运行的应用软件由可可靠靠的的开开发发者者开开 发发 N/A a) 对移动业务应用软件开发者进行资格审查 b) 保证开发移动业务应用软件的签名证书合法性 N/AN/A a) 所处的物理环境应不对感知节点设备造成物理破坏 ； b) 在工作状态所处物理环境应能正确反映环境状态。 a) b) a）只有授授权权的的感感知知节节点点可以接入a) N/A a) 限限制制与与感感知知节节点点通通信信的的目目标标地地址址，以避免对陌生地 址的攻击行为； b) 限限制制与与网网关关节节点点通通信信的的目目标标地地址址，以避免对陌生地 址的攻击行为 a）指定人员定定期期巡巡视视感知节点设备、网关节点

40、设备 的部署环境，对可能影响感知节点设备、网关节点设 备正常工作的环境异异常常进进行行记记录录和和维维护护 a) b) 感知节点设备、网关节点设备入库、存储、部署、 携带、维修、丢失和报废等过程作出明确规定，并进 行全程管理 N/AN/A N/AN/A N/AN/A N/AN/A N/AN/A N/AN/A a) 放放置置于于采采用用铁铁板板或或其其他他防防火火材材料料制制作作的的箱箱体体或或装装置置 中中并并紧紧固固；箱体或装置具有透风、散热、防盗、防雨 和防火能力等； b) 放置应远远离离强强电电磁磁干干扰扰、强强热热源源等环境，如无法避 免应及时做好应急处置及检修，保证设备正常运行 a)

41、 b) a) 工工业业控控制制系系统统与与企企业业其其他他系系统统之间应划分为两个区 域，区域间应采用技技术术隔隔离离手段 b) 工业控制系系统统内内部部应根据业务特点划划分分为为不不同同的的安安 全全域域，安全域之间应采用技技术术隔隔离离手段 a) b) c) 涉及实时控制和数据传输的工业控制系统，应使用 独立的网络设备组网，在物物理理层层面面上实现与 其他数据网及外部公共信息网的安安全全隔隔离离 N/A a)在工业控制系统内使用广域网进行控制指令或相关 数据交换的应采用加密认证技术手段实现身份认证、 访间控制和数据加密传输 a）在工业控制系统与企业其他系统之间部部署署访访问问控控 制制设设

42、备备，配配置置访访问问控控制制策策略略，禁止任何穿越区域边界 的E-Mail_ Web、Telnet、Rlogin、FTP等通用网络 服务。 a) b) 在工业控制系统内安全域和安全域之间的边边界界防防护护 机机制制失失效效时时，及及时时进进行行报报警警 N/A a) 工业控制系统确需使用拨号访间服务的，应限制具 有拨号访间权限的用户数量，并采取用户身份鉴别和 访间控制等措施 a) 对所有参与无线通信的用用户户（人员、软件进程或者 设备）提供唯唯 一一性性标标识识和和鉴鉴别别； b) 对无线连接的授权、监视以及执行使用进行限制。 a) b) 对所有参与无线通信的用户（人员、软件进程或者 设备）

43、进行授权以及执行使用进行限制 a) 控制设备自身应实现相应级别安全通用要求提出的 身身份份鉴鉴别别、访访问问控控制制和和安安全全审审计计等安全要 求，如如受受条条件件限限制制控控制制设设备备无无法法实实现现上上述述要要求求，应应由由 其其上上位位控控制制或或管管理理设设备备实实现现同同等等功功能能或或通通 过过管管理理手手段段控控制制； b) 应在经过充分测试评估后，在不不影影响响系系统统安安全全稳稳定定 运运行行的的情情况况下下对对控控制制设设备备进进行行补补丁丁更更新新、固固 件件更更新新等工作 a) b) N/A a) 工业控制系统重要设备应通过专业机构的安全性检 测后方可采购使用 N/

44、A a) 在外包开发合同中规定针对开发单位、供应商的约 束条款，包括设备及系统在生命周期内有关保密、禁 止关键技术扩散和设备行业专用等方面的内容 三三级级 应能够防护免受来自外外部部有有组组织织的的团团体体、拥拥有有较较为为丰丰富富 资资源源的威胁源发起的恶意攻击、较较为为严严重重的自然灾难， 以及其他相当危害程度的威胁所造成的主主要要资资源源损害， 能够及及时时发发现现、监监测测攻攻击击行行为为和和处处置置安安全全事事件件，在自身 遭到损害后，能够较较快快恢恢复复绝绝大大部部分分功功能能。 a) b) a) 配置电电子子门门禁禁系系统统，控制、鉴别、记录出入人员 a) b) c) 设置机房防

45、防盗盗报报警警系系统统，或设置有专专人人值值守守的的视视频频 监监控控系系统统 a) b) 采取措施防防止止感感应应雷雷，如设置防雷保安器和过压保 护措施 a) b) c）对机房进行分区域管理，区区域域间间设设置置隔隔离离防防火火措措施施 a) b) c) 安装对水敏感的检测仪表或元件，对对机机房房进进行行防防水水 检检测测和和报报警警 a) b) 采取措施防防止止静静电电的的产产生生，例如采用静电消除器、 佩戴防静电手环等 a) a) b) c) 设置冗余或并行的电力电缆线路为计算机系统供电 a) b) 对关键设备实施电电磁磁屏屏蔽蔽 说说明明： 高级别要求只列出与最近的一个低级别中不同项，

46、相同项目只是引用序号 a) b) c) 保证网络设备的业务处理能力满足业务高峰期需要 d) 保证网络各个部分的带宽满足业务高峰期需要 e) 提供通通信信线线路路、关关键键网网络络设设备备和和关关键键计计算算设设备备的硬硬 件件冗冗余余，保证系统的可用性 a) 采用校校验验技技术术或或密密码码技技术术保证通信过程中数据的完 整性 b) 采用密密码码技技术术保证通信过程中数数据据的的保保密密性性【VPNVPN？ 】 a) 可基于可信根对通通信信设设备备的系系统统引引导导程程序序、系系统统程程 序序、重重要要配配置置参参数数和和通通信信应应用用程程序序等进行可信验证，并 在在应应用用程程序序的的关关

47、键键执执行行环环节节进进行行动动态态可可信信验验证证，在检测 到其可信性受到破坏后进行报警，并将验证结果形成审 计记录送至安全管理中心 a) b) 能够对非非授授权权设设备备私私自自联联到到内内部部网网络络的行为进行检 查或限制 c) 能够对内内部部用用户户非非授授权权联联到到外外部部网网络络的行为进行检 查或限制 d) 限制无线网络的使用，保证无无线线网网络络通通过过受受控控的的边边 界界设设备备接接入入内内部部网网络络 a) b) c) d) e) 对进出网络的数据流实现基基于于应应用用协协议议和和应应用用内内容容 的的访访问问控控制制 a) 在关键网络节点处检测，防止或限制从外外部部发起

48、的 网络攻击行为 b) 在关键网络节点处检测，防止或限制从内内部部发起的 网络攻击行为 c) 采取技术措施对对网网络络行行为为进进行行分分析析，实现对网络攻 击特别是新兴网络攻击的分析 d) 在检测到网络攻击行为时，记录攻击源IP、攻击类 型、攻击目标、攻击时间，在在发发生生严严重重的的入入侵侵事事件件时时要要 报报警警 a) b) 在关键网络节点处对垃垃圾圾邮邮件件进行检测和清除，并 维护垃垃圾圾邮邮件件防护机制的升级和更新 a) b) c) d) 对远远程程访访问问的的用用户户行行为为、访访问问互互联联网网的的用用户户行行为为单 独进行行为审计和数据分析 a) 基于可信根对边界设备的系统引

49、导程序、系统程序 、重要配置参数和边界防护应用程序等进行可信验证， 并在在应应用用程程序序的的关关键键执执行行环环节节进进行行动动态态可可信信验验证证，在检 测到其可信性受到破坏后进行报警，并将验证结果形成 审计记录送至安全管理中心 a) b) c) d) 对远程访问的用户行为、访问互联网的用户行为单 应应采采用用口口令令、密密码码技技术术、生生物物技技术术等等两两种种或或两两种种以以上上组组 合合的的鉴鉴别别技技术术对对用用户户进进行行身身份份鉴鉴别别，且其其中中一一种种鉴鉴别别技技 术术至至少少应应使使用用密密码码技技术术来实现 a) b) c) d) e) 由授权主体配置访问控制策略，访间控制策略规定 主体对客体的访间规则 f) 访访间间控控制制的的粒粒度度应应达达到到主主体体为为用用户户级级或或进进程程级级，客客体体 为为文文件件、数数据据库库表表级级 g) 对重要主体和客体设置安全标记，并控控制制主主体体对对有有 安安全全标标记记信信息息资资源源的的访访问问 a) b) c) d) 对对审审计计进进程程进进行行保保护护，防止未经授权的中断 a) b) c) d) e) f