国家信息安全等级保护制度第三级要求cxpz.docx

《国家信息安全等级保护制度第三级要求cxpz.docx》由会员分享，可在线阅读，更多相关《国家信息安全等级保护制度第三级要求cxpz.docx（36页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、国家信息息安全等等级保护护制度第第三级要要求1 第三三级基本本要求1.1技技术要求求1.1.1 物物理安全全1.1.1.11 物理理位置的的选择(G3)本项要求求包括:a) 机机房和办办公场地地应选择择在具有有防震、防防风和防防雨等能能力的建建筑内;b) 机机房场地地应避免免设在建建筑物的的高层或或地下室室,以及用用水设备备的下层层或隔壁壁。1.1.1.22 物理理访问控控制(GG3)本项要求求包括:a) 机机房出入入口应安安排专人人值守,控制、鉴鉴别和记记录进入入的人员员;b) 需需进入机机房的来来访人员员应经过过申请和和审批流流程,并限制制和监控控其活动动范围;c) 应应对机房房划分区区域

2、进行行管理,区域和和区域之之间设置置物理隔隔离装置置,在重要要区域前前设置交交付或安安装等过渡渡区域;d) 重重要区域域应配置置电子门门禁系统统,控制、鉴鉴别和记记录进入入的人员员。1.1.1.33 防盗盗窃和防防破坏(G3)本项要求求包括:a) 应应将主要要设备放放置在机机房内;b) 应应将设备备或主要要部件进进行固定定,并设置置明显的的不易除除去的标标记;c) 应应将通信信线缆铺铺设在隐隐蔽处,可铺设设在地下下或管道道中;d) 应应对介质质分类标标识,存储在在介质库库或档案案室中;e) 应应利用光光、电等等技术设设置机房房防盗报报警系统统;f) 应应对机房房设置监监控报警警系统。1.1.1

3、.44 防雷雷击(GG3)本项要求求包括:a) 机机房建筑筑应设置置避雷装装置;b) 应应设置防防雷保安安器,防止感感应雷;c) 机机房应设设置交流流电源地地线。7.1.1.55 防火火(G33)本项要求求包括:a) 机机房应设设置火灾灾自动消消防系统统,能够自自动检测测火情、自自动报警警,并自动动灭火;b) 机机房及相相关的工工作房间间和辅助助房应采采用具有有耐火等等级的建建筑材料料;c) 机机房应采采取区域域隔离防防火措施施,将重要要设备与与其他设设备隔离离开。1.1.1.66 防水水和防潮潮(G33)本项要求求包括:a) 水水管安装装,不得穿穿过机房房屋顶和和活动地地板下;b) 应应采取

4、措措施防止止雨水通通过机房房窗户、屋屋顶和墙墙壁渗透透;c) 应应采取措措施防止止机房内内水蒸气气结露和和地下积积水的转转移与渗渗透;d) 应应安装对对水敏感感的检测测仪表或或元件,对机房房进行防防水检测测和报警警。1.1.1.77 防静静电(GG3)本项要求求包括:a) 主主要设备备应采用用必要的的接地防防静电措措施;b) 机机房应采采用防静静电地板板。1.1.1.88 温湿湿度控制制(G33)机房应设设置温、湿湿度自动动调节设设施,使机房房温、湿湿度的变变化在设设备运行行所允许许的范围围之内。1.1.1.99 电力力供应(A3)本项要求求包括:a) 应应在机房房供电线线路上配配置稳压压器和

5、过过电压防防护设备备;b) 应应提供短短期的备备用电力力供应,至少满满足主要要设备在在断电情情况下的的正常运运行要求求;c) 应应设置冗冗余或并并行的电电力电缆缆线路为为计算机机系统供供电;d) 应应建立备备用供电电系统。1.1.1.110 电电磁防护护(S33)本项要求求包括:a) 应应采用接接地方式式防止外外界电磁磁干扰和和设备寄寄生耦合合干扰;b) 电电源线和和通信线线缆应隔隔离铺设设,避免互互相干扰扰;c) 应应对关键键设备和和磁介质质实施电电磁屏蔽蔽。1.1.2 网网络安全全1.1.2.11 结构构安全(G3)本项要求求包括:a) 应应保证主主要网络络设备的的业务处处理能力力具备冗冗

6、余空间间,满足业业务高峰峰期需要要;b) 应应保证网网络各个个部分的的带宽满满足业务务高峰期期需要;c) 应应在业务务终端与与业务服服务器之之间进行行路由控控制建立立安全的的访问路路径;d) 应应绘制与与当前运运行情况况相符的的网络拓拓扑结构构图;e) 应应根据各各部门的的工作职职能、重重要性和和所涉及及信息的的重要程程度等因因素,划分不不同的子子网或网网段,并按照方方便管理理和控制制的原则则为各子子网、网网段分配配地址段段;f) 应应避免将将重要网网段部署署在网络络边界处处且直接接连接外外部信息息系统,重要网网段与其其他网段段之间采采取可靠靠的技术术隔离手手段;g) 应应按照对对业务服服务的

7、重重要次序序来指定定带宽分分配优先先级别,保证在在网络发发生拥堵堵的时候候优先保保护重要要主机。1.1.2.22 访问问控制(G3)本项要求求包括:a) 应应在网络络边界部部署访问问控制设设备,启用访访问控制制功能;b) 应应能根据据会话状状态信息息为数据据流提供供明确的的允许/拒绝访访问的能能力,控制粒粒度为端端口级;c) 应应对进出出网络的的信息内内容进行行过滤,实现对对应用层层HTTTP、FTPP、TELLNETT、SMTTP、POPP3等协协议命令令级的控控制;d) 应应在会话话处于非非活跃一一定时间间或会话话结束后后终止网网络连接接;e) 应应限制网网络最大大流量数数及网络络连接数数

8、;f) 重重要网段段应采取取技术手手段防止止地址欺欺骗;g) 应应按用户户和系统统之间的的允许访访问规则则,决定允允许或拒拒绝用户户对受控控系统进进行资源源访问,控制粒粒度为单单个用户户;h) 应应限制具具有拨号号访问权权限的用用户数量量。1.1.2.33 安全全审计(G3)本项要求求包括:a) 应应对网络络系统中中的网络络设备运运行状况况、网络络流量、用用户行为为等进行行日志记记录;b) 审审计记录录应包括括:事件的的日期和和时间、用用户、事事件类型型、事件件是否成成功及其其他与审审计相关关的信息息;c) 应应能够根根据记录录数据进进行分析析,并生成成审计报报表;d) 应应对审计计记录进进行

9、保护护,避免受受到未预预期的删删除、修修改或覆覆盖等。1.1.2.44 边界界完整性性检查(S3)本项要求求包括:a) 应应能够对对非授权权设备私私自联到到内部网网络的行行为进行行检查,准确定定出位置置,并对其其进行有有效阻断断;b) 应应能够对对内部网网络用户户私自联联到外部部网络的的行为进进行检查查,准确定定出位置置,并对其其进行有有效阻断断。1.1.2.55 入侵侵防范(G3)本项要求求包括:a) 应应在网络络边界处处监视以以下攻击击行为:端口扫扫描、强强力攻击击、木马马后门攻攻击、拒拒绝服务务攻击、缓缓冲区溢溢出攻击击、IPP 碎片片攻击和和网络蠕蠕虫攻击击等;b) 当当检测到到攻击行

10、行为时,记录攻攻击源IIP、攻攻击类型型、攻击击目的、攻攻击时间间,在发生生严重入入侵事件件时应提提供报警警。7.1.2.66 恶意意代码防防范(GG3)本项要求求包括:a) 应应在网络络边界处处对恶意意代码进进行检测测和清除除;b) 应应维护恶恶意代码码库的升升级和检检测系统统的更新新。7.1.2.77 网络络设备防防护(GG3)本项要求求包括:a) 应应对登录录网络设设备的用用户进行行身份鉴鉴别;b) 应应对网络络设备的的管理员员登录地地址进行行限制;c) 网网络设备备用户的的标识应应唯一;d) 主主要网络络设备应应对同一一用户选选择两种种或两种种以上组组合的鉴鉴别技术术来进行行身份鉴鉴别

11、;e) 身身份鉴别别信息应应具有不不易被冒冒用的特特点,口令应应有复杂杂度要求求并定期期更换;f) 应应具有登登录失败败处理功功能,可采取取结束会会话、限限制非法法登录次次数和当当网络登登录连接接超时自自动退出出等措施施;g) 当当对网络络设备进进行远程程管理时时,应采取取必要措措施防止止鉴别信信息在网网络传输输过程中中被窃听听;h) 应应实现设设备特权权用户的的权限分分离。1.1.3 主主机安全全7.1.3.11 身份份鉴别(S3)本项要求求包括:a) 应应对登录录操作系系统和数数据库系系统的用用户进行行身份标标识和鉴鉴别;b) 操操作系统统和数据据库系统统管理用用户身份份标识应应具有不不易

12、被冒冒用的特特点,口令应应有复杂杂度要求求并定期期更换;c) 应应启用登登录失败败处理功功能,可采取取结束会会话、限限制非法法登录次次数和自自动退出出等措施施;d) 当当对服务务器进行行远程管管理时,应采取取必要措措施,防止鉴鉴别信息息在网络络传输过过程中被被窃听;e) 应应为操作作系统和和数据库库系统的的不同用用户分配配不同的的用户名名,确保用用户名具具有唯一一性。f) 应应采用两两种或两两种以上上组合的的鉴别技技术对管管理用户户进行身身份鉴别别。1.1.3.22 访问问控制(S3)本项要求求包括:a) 应应启用访访问控制制功能,依据安安全策略略控制用用户对资资源的访访问;b) 应应根据管管

13、理用户户的角色色分配权权限,实现管管理用户户的权限限分离,仅授予予管理用用户所需需的最小小权限;c) 应应实现操操作系统统和数据据库系统统特权用用户的权权限分离离;d) 应应严格限限制默认认帐户的的访问权权限,重命名名系统默默认帐户户,修改这这些帐户户的默认认口令;e) 应应及时删删除多余余的、过过期的帐帐户,避免共共享帐户户的存在在。f) 应应对重要要信息资资源设置置敏感标标记;g) 应应依据安安全策略略严格控控制用户户对有敏敏感标记记重要信信息资源源的操作作;7.1.3.33 安全全审计(G3)本项要求求包括:a) 审审计范围围应覆盖盖到服务务器和重重要客户户端上的的每个操操作系统统用户和

14、和数据库库用户;b) 审审计内容容应包括括重要用用户行为为、系统统资源的的异常使使用和重重要系统统命令的的使用等等系统内内重要的的安全相相关事件件;c) 审审计记录录应包括括事件的的日期、时时间、类类型、主主体标识识、客体体标识和和结果等等;d) 应应能够根根据记录录数据进进行分析析,并生成成审计报报表;e) 应应保护审审计进程程,避免受受到未预预期的中中断;f) 应应保护审审计记录录,避免受受到未预预期的删删除、修修改或覆覆盖等。1.1.3.44 剩余余信息保保护(SS3)本项要求求包括:a) 应应保证操操作系统统和数据据库系统统用户的的鉴别信信息所在在的存储储空间,被释放放或再分分配给其其

15、他用户户前得到到完全清清除,无论这这些信息息是存放放在硬盘盘上还是是在内存存中;b) 应应确保系系统内的的文件、目目录和数数据库记记录等资资源所在在的存储储空间,被释放放或重新新分配给给其他用用户前得得到完全全清除。7.1.3.55 入侵侵防范(G3)本项要求求包括:a) 应应能够检检测到对对重要服服务器进进行入侵侵的行为为,能够记记录入侵侵的源IIP、攻攻击的类类型、攻攻击的目目的、攻攻击的时时间,并在发发生严重重入侵事事件时提提供报警警;b) 应应能够对对重要程程序的完完整性进进行检测测,并在检检测到完完整性受受到破坏坏后具有有恢复的的措施;c) 操操作系统统应遵循循最小安安装的原原则,仅

16、安装装需要的的组件和和应用程程序,并通过过设置升升级服务务器等方方持系统统补丁及及时得到到更新。7.1.3.66 恶意意代码防防范(GG3)本项要求求包括:a) 应应安装防防恶意代代码软件件,并及时时更新防防恶意代代码软件件版本和和恶意代代码库;b) 主主机防恶恶意代码码产品应应具有与与网络防防恶意代代码产品品不同的的恶意代代码库;c) 应应支持防防恶意代代码的统统一管理理。7.1.3.77 资源源控制(A3)本项要求求包括:a) 应应通过设设定终端端接入方方式、网网络地址址范围等等条件限限制终端端登录;b) 应应根据安安全策略略设置登登录终端端的操作作超时锁锁定;c) 应应对重要要服务器器进

17、行监监视,包括监监视服务务器的CCPU、硬硬盘、内内存、网网络等资资源的使使用情况况;d) 应应限制单单个用户户对系统统资源的的最大或或最小使使用限度度;e) 应应能够对对系统的的服务水水平降低低到预先先规定的的最小值值进行检检测和报报警。7.1.4 应应用安全全7.1.4.11 身份份鉴别(S3)本项要求求包括:a) 应应提供专专用的登登录控制制模块对对登录用用户进行行身份标标识和鉴鉴别;b) 应应对同一一用户采采用两种种或两种种以上组组合的鉴鉴别技术术实现用用户身份份鉴别;c) 应应提供用用户身份份标识唯唯一和鉴鉴别信息息复杂度度检查功功能,保证应应用系统统中不存存在重复复用户身身份标识识

18、,身份鉴鉴别信息息不易被被冒用;d) 应应提供登登录失败败处理功功能,可采取取结束会会话、限限制非法法登录次次数和自自动退出出等措施施;e) 应应启用身身份鉴别别、用户户身份标标识唯一一性检查查、用户户身份鉴鉴别信息息复杂度度检查以以及登录录失败处处理功能能,并根据据安全策策略配置置相关参参数。7.1.4.22 访问问控制(S3)本项要求求包括:a) 应应提供访访问控制制功能,依据安安全策略略控制用用户对文文件、数数据库表表等客体体的访问问;b) 访访问控制制的覆盖盖范围应应包括与与资源访访问相关关的主体体、客体体及它们们之间的的操作;c) 应应由授权权主体配配置访问问控制策策略,并严格格限制

19、默默认帐户户的访问问权限;d) 应应授予不不同帐户户为完成成各自承承担任务务所需的的最小权权限,并在它它们之间间形成相相互制约约的关系系。e) 应应具有对对重要信信息资源源设置敏敏感标记记的功能能;f) 应应依据安安全策略略严格控控制用户户对有敏敏感标记记重要信信息资源源的操作作;7.1.4.33 安全全审计(G3)本项要求求包括:a) 应应提供覆覆盖到每每个用户户的安全全审计功功能,对应用用系统重重要安全全事件进进行审计计;b) 应应保证无无法单独独中断审审计进程程,无法删删除、修修改或覆覆盖审计计记录;c) 审审计记录录的内容容至少应应包括事事件的日日期、时时间、发发起者信信息、类类型、描

20、描述和结结果等;d) 应应提供对对审计记记录数据据进行统统计、查查询、分分析及生生成审计计报表的的功能。7.1.4.44 剩余余信息保保护(SS3)本项要求求包括:a) 应应保证用用户鉴别别信息所所在的存存储空间间被释放放或再分分配给其其他用户户前得到到完全清清除,无论这这些信息息是存放放在硬盘盘上还是是在内存存中;b) 应应保证系系统内的的文件、目目录和数数据库记记录等资资源所在在的存储储空间被被释放或或重新分分配给其其他用户户前得到到完全清清除。7.1.4.55 通信信完整性性(S33)应采用密密码技术术保证通通信过程程中数据据的完整整性。7.1.4.66 通信信保密性性(S33)本项要求

21、求包括:a) 在在通信双双方建立立连接之之前,应用系系统应利利用密码码技术进进行会话话初始化化验证;b) 应应对通信信过程中中的整个个报文或或会话过过程进行行加密。7.1.4.77 抗抵抵赖(GG3)本项要求求包括:a) 应应具有在在请求的的情况下下为数据据原发者者或接收收者提供供数据原原发证据据的功能能;b) 应应具有在在请求的的情况下下为数据据原发者者或接收收者提供供数据接接收证据据的功能能。7.1.4.88 软件件容错(A3)本项要求求包括:a) 应应提供数数据有效效性检验验功能,保证通通过人机机接口输输入或通通过通信信接口输输入的数数据格式式或长度度符合系系统设定定要求;b) 应应提供

22、自自动保护护功能,当故障障发生时时自动保保护当前前所有状状态,保证系系统能够够进行恢恢复。7.1.4.99 资源源控制(A3)本项要求求包括:a) 当当应用系系统的通通信双方方中的一一方在一一段时间间内未作作任何响响应,另一方方应能够够自动结结束会话话;b) 应应能够对对系统的的最大并并发会话话连接数数进行限限制;c) 应应能够对对单个帐帐户的多多重并发发会话进进行限制制;d) 应应能够对对一个时时间段内内可能的的并发会会话连接接数进行行限制;e) 应应能够对对一个访访问帐户户或一个个请求进进程占用用的资源源分配最最大限额额和最小小限额;f) 应应能够对对系统服服务水平平降低到到预先规规定的最

23、最小值进进行检测测和报警警;g) 应应提供服服务优先先级设定定功能,并在安安装后根根据安全全策略设设定访问问帐户或或请求进进程的优优先级,根据优优先级分分配系统统资源。7.1.5 数数据安全全及备份份恢复7.1.5.11 数据据完整性性(S33)本项要求求包括:a) 应应能够检检测到系系统管理理数据、鉴鉴别信息息和重要要业务数数据在传传输过程程中完整整性受到到破坏,并在检检测到完完整性错错误时采采取必要要的恢复复措施;b) 应应能够检检测到系系统管理理数据、鉴鉴别信息息和重要要业务数数据在存存储过程程中完整整性受到到破坏,并在检检测到完完整性错错误时采采取必要要的恢复复措施。7.1.5.22

24、数据保保密性(S3)本项要求求包括:a) 应应采用加加密或其其他有效效措施实实现系统统管理数数据、鉴鉴别信息息和重要要业务数数据传输输保密性性;b) 应应采用加加密或其其他保护护措施实实现系统统管理数数据、鉴鉴别信息息和重要要业务数数据存储储保密性性。7.1.5.33 备份份和恢复复(A33)本项要求求包括:a) 应应提供本本地数据据备份与与恢复功功能,完全数数据备份份至少每每天一次次,备份介介质场外外存放;b) 应应提供异异地数据据备份功功能,利用通通信网络络将关键键数据定定时批量量传送至至备用场场地;c) 应应采用冗冗余技术术设计网网络拓扑扑结构,避免关关键节点点存在单单点故障障;d) 应

25、应提供主主要网络络设备、通通信线路路和数据据处理系系统的硬硬件冗余余,保证系系统的高高可用性性。7.2 管理要要求7.2.1 安安全管理理制度7.2.1.11 管理理制度(G3)本项要求求包括:a) 应应制定信信息安全全工作的的总体方方针和安安全策略略,说明机机构安全全工作的的总体目目标、范范围、原原则和安安全框架架等;b) 应应对安全全管理活活动中的的各类管管理内容容建立安安全管理理制度;c) 应应对要求求管理人人员或操操作人员员执行的的日常管管理操作作建立操操作规程程;d) 应应形成由由安全策策略、管管理制度度、操作作规程等等构成的的全面的的信息安安全管理理制度体体系。7.2.1.22 制

26、定定和发布布(G33)本项要求求包括:a) 应应指定或或授权专专门的部部门或人人员负责责安全管管理制度度的制定定;b) 安安全管理理制度应应具有统统一的格格式,并进行行版本控控制;c) 应应组织相相关人员员对制定定的安全全管理制制度进行行论证和和审定;d) 安安全管理理制度应应通过正正式、有有效的方方式发布布;e) 安安全管理理制度应应注明发发布范围围,并对收收发文进进行登记记。7.2.1.33 评审审和修订订(G33)本项要求求包括:a) 信信息安全全领导小小组应负负责定期期组织相相关部门门和相关关人员对对安全管管理制度度体系的的合理性性和适用用性进行行审定;b) 应应定期或或不定期期对安全

27、全管理制制度进行行检查和和审定,对存在在不足或或需要改改进的安安全管理理制度进进行修订订。7.2.2 安安全管理理机构7.2.2.11 岗位位设置(G3)本项要求求包括:a) 应应设立信信息安全全管理工工作的职职能部门门,设立安安全主管管、安全全管理各各个方面面的负责责人岗位位,并定义义各负责责人的职职责;b) 应应设立系系统管理理员、网网络管理理员、安安全管理理员等岗岗位,并定义义各个工工作岗位位的职责责;c) 应应成立指指导和管管理信息息安全工工作的委委员会或或领导小小组,其最高高领导由由单位主主管领导导委任或或授权;d) 应应制定文文件明确确安全管管理机构构各个部部门和岗岗位的职职责、分

28、分工和技技能要求求。7.2.2.22 人员员配备(G3)本项要求求包括:a) 应应配备一一定数量量的系统统管理员员、网络络管理员员、安全全管理员员等;b) 应应配备专专职安全全管理员员,不可兼兼任;c) 关关键事务务岗位应应配备多多人共同同管理。7.2.2.33 授权权和审批批(G33)本项要求求包括:a) 应应根据各各个部门门和岗位位的职责责明确授授权审批批事项、审审批部门门和批准准人等;b) 应应针对系系统变更更、重要要操作、物物理访问问和系统统接入等等事项建建立审批批程序,按照审审批程序序执行审审批过程程,对重要要活动建建立逐级级审批制制度;c) 应应定期审审查审批批事项,及时更更新需授

29、授权和审审批的项项目、审审批部门门和审批批人等信信息;d) 应应记录审审批过程程并保存存审批文文档。7.2.2.44 沟通通和合作作(G3)a) 应应加强各各类管理理人员之之间、组组织内部部机构之之间以及及信息安安全职能能部门内内部的合合作与沟沟通,定期或或不定期期召开协协调会议议,共同协协作处理理信息安安全问题题;b) 应应加强与与兄弟单单位、公公安机关关、电信信公司的的合作与与沟通;c) 应应加强与与供应商商、业界界专家、专专业的安安全公司司、安全全组织的的合作与与沟通;d) 应应建立外外联单位位联系列列表,包括外外联单位位名称、合合作内容容、联系系人和联联系方式式等信息息;e) 应应聘请

30、信信息安全全专家作作为常年年的安全全顾问,指导信信息安全全建设,参与安安全规划划和安全全评审等等。7.2.2.55 审核核和检查查(G33)本项要求求包括:a) 安安全管理理员应负负责定期期进行安安全检查查,检查内内容包括括系统日日常运行行、系统统漏洞和和数据备备份等情情况;b) 应应由内部部人员或或上级单单位定期期进行全全面安全全检查,检查内内容包括括现有安安全技术术措施的的有效性性、安全全配置与与安全策策略的一一致性、安安全管理理制度的的执行情情况等;c) 应应制定安安全检查查表格实实施安全全检查,汇总安安全检查查数据,形成安安全检查查报告,并对安安全检查查结果进进行通报报;d) 应应制定

31、安安全审核核和安全全检查制制度规范范安全审审核和安安全检查查工作,定期按按照程序序进行安安全审核核和安全全检查活活动。7.2.3 人人员安全全管理7.2.3.11 人员员录用(G3)本项要求求包括:a) 应应指定或或授权专专门的部部门或人人员负责责人员录录用;b) 应应严格规规范人员员录用过过程,对被录录用人的的身份、背背景、专专业资格格和资质质等进行行审查,对其所所具有的的技术技技能进行行考核;c) 应应签署保保密协议议;d) 应应从内部部人员中中选拔从从事关键键岗位的的人员,并签署署岗位安安全协议议。7.2.3.22 人员员离岗(G3)本项要求求包括:a) 应应严格规规范人员员离岗过过程,

32、及时终终止离岗岗员工的的所有访访问权限限;b) 应应取回各各种身份份证件、钥钥匙、徽徽章等以以及机构构提供的的软硬件件设备;c) 应应办理严严格的调调离手续续,关键岗岗位人员员离岗须须承诺调调离后的的保密义义务后方方可离开开。7.2.3.33 人员员考核(G3)本项要求求包括:a) 应应定期对对各个岗岗位的人人员进行行安全技技能及安安全认知知的考核核;b) 应应对关键键岗位的的人员进进行全面面、严格格的安全全审查和和技能考考核;c) 应应对考核核结果进进行记录录并保存存。7.2.3.44 安全全意识教教育和培培训(GG3)本项要求求包括:a) 应应对各类类人员进进行安全全意识教教育、岗岗位技能

33、能培训和和相关安安全技术术培训;b) 应应对安全全责任和和惩戒措措施进行行书面规规定并告告知相关关人员,对违反反违背安安全策略略和规定定的人员员进行惩惩戒;c) 应应对定期期安全教教育和培培训进行行书面规规定,针对不不同岗位位制定不不同的培培训计划划,对信息息安全基基础知识识、岗位位操作规规程等进进行培训训;d) 应应对安全全教育和和培训的的情况和和结果进进行记录录并归档档保存。7.2.3.55 外部部人员访访问管理理(G33)本项要求求包括:a) 应应确保在在外部人人员访问问受控区区域前先先提出书书面申请请,批准后后由专人人全程陪陪同或监监督,并登记记备案;b) 对对外部人人员允许许访问的的

34、区域、系系统、设设备、信信息等内内容应进进行书面面的规定定,并按照照规定执执行。7.2.4 系系统建设设管理7.2.4.11 系统统定级(G3)本项要求求包括:a) 应应明确信信息系统统的边界界和安全全保护等等级;b) 应应以书面面的形式式说明确确定信息息系统为为某个安安全保护护等级的的方法和和理由;c) 应应组织相相关部门门和有关关安全技技术专家家对信息息系统定定级结果果的合理理性和正正确性进进行论证证和审定定;d) 应应确保信信息系统统的定级级结果经经过相关关部门的的批准。7.2.4.22 安全全方案设设计(GG3)本项要求求包括:a) 应应根据系系统的安安全保护护等级选选择基本本安全措措

35、施,并依据据风险分分析的结结果补充充和调整整安全措措施;b) 应应指定和和授权专专门的部部门对信信息系统统的安全全建设进进行总体体规划,制定近近期和远远期的安安全建设设工作计计划;c) 应应根据信信息系统统的等级级划分情情况,统一考考虑安全全保障体体系的总总体安全全策略、安安全技术术框架、安安全管理理策略、总总体建设设规划和和详细设设计方案案,并形成成配套文文件;d) 应应组织相相关部门门和有关关安全技技术专家家对总体体安全策策略、安安全技术术框架、安安全管理理策略、总总体建设设规划、详详细设计计方案等等相关配配套文件件的合理理性和正正确性进进行论证证和审定定,并且经经过批准准后,才能正正式实

36、施施;e) 应应根据等等级测评评、安全全评估的的结果定定期调整整和修订订总体安安全策略略、安全全技术框框架、安安全管理理策略、总总体建设设规划、详详细设计计方案等等相关配配套文件件。7.2.4.33 产品品采购和和使用(G3)本项要求求包括:a) 应应确保安安全产品品采购和和使用符符合国家家的有关关规定;b) 应应确保密密码产品品采购和和使用符符合国家家密码主主管部门门的要求求;c) 应应指定或或授权专专门的部部门负责责产品的的采购;d) 应应预先对对产品进进行选型型测试,确定产产品的候候选范围围,并定期期审定和和更新候候选产品品名单。7.2.4.44 自行行软件开开发(GG3)本项要求求包括

37、:a) 应应确保开开发环境境与实际际运行环环境物理理分开,开发人人员和测测试人员员分离,测试数数据和测测试结果果受到控控制;b) 应应制定软软件开发发管理制制度,明确说说明开发发过程的的控制方方法和人人员行为为准则;c) 应应制定代代码编写写安全规规范,要求开开发人员员参照规规范编写写代码;d) 应应确保提提供软件件设计的的相关文文档和使使用指南南,并由专专人负责责保管;e) 应应确保对对程序资资源库的的修改、更更新、发发布进行行授权和和批准。7.2.4.55 外包包软件开开发(GG3)本项要求求包括:a) 应应根据开开发需求求检测软软件质量量;b) 应应在软件件安装之之前检测测软件包包中可能

38、能存在的的恶意代代码;c) 应应要求开开发单位位提供软软件设计计的相关关文档和和使用指指南;d) 应应要求开开发单位位提供软软件源代代码,并审查查软件中中可能存存在的后后门。7.2.4.66 工程程实施(G3)本项要求求包括:a) 应应指定或或授权专专门的部部门或人人员负责责工程实实施过程程的管理理;b) 应应制定详详细的工工程实施施方案控控制实施施过程,并要求求工程实实施单位位能正式式地执行行安全工工程过程程;c) 应应制定工工程实施施方面的的管理制制度,明确说说明实施施过程的的控制方方法和人人员行为为准则。7.2.4.77 测试试验收(G3)本项要求求包括:a) 应应委托公公正的第第三方测

39、测试单位位对系统统进行安安全性测测试,并出具具安全性性测试报报告;b) 在在测试验验收前应应根据设设计方案案或合同同要求等等制订测测试验收收方案,在测试试验收过过程中应应详细记记录测试试验收结结果,并形成成测试验验收报告告;c) 应应对系统统测试验验收的控控制方法法和人员员行为准准则进行行书面规规定;d) 应应指定或或授权专专门的部部门负责责系统测测试验收收的管理理,并按照照管理规规定的要要求完成成系统测测试验收收工作;e) 应应组织相相关部门门和相关关人员对对系统测测试验收收报告进进行审定定,并签字字确认。7.2.4.88 系统统交付(G3)本项要求求包括:a) 应应制定详详细的系系统交付付

40、清单,并根据据交付清清单对所所交接的的设备、软软件和文文档等进进行清点点;b) 应应对负责责系统运运行维护护的技术术人员进进行相应应的技能能培训;c) 应应确保提提供系统统建设过过程中的的文档和和指导用用户进行行系统运运行维护护的文档档;d) 应应对系统统交付的的控制方方法和人人员行为为准则进进行书面面规定;e) 应应指定或或授权专专门的部部门负责责系统交交付的管管理工作作,并按照照管理规规定的要要求完成成系统交交付工作作。7.2.4.99 系统统备案(G3)本项要求求包括:a) 应应指定专专门的部部门或人人员负责责管理系系统定级级的相关关材料,并控制制这些材材料的使使用;b) 应应将系统统等

41、级及及相关材材料报系系统主管管部门备备案;c) 应应将系统统等级及及其他要要求的备备案材料料报相应应公安机机关备案案。7.2.4.110 等等级测评评(G33)本项要求求包括:a) 在在系统运运行过程程中,应至少少每年对对系统进进行一次次等级测测评,发现不不符合相相应等级级保护标标准要求求的及时时整改;b) 应应在系统统发生变变更时及及时对系系统进行行等级测测评,发现级级别发生生变化的的及时调调整级别别并进行行安全改改造,发现不不符合相相应等级级保护标标准要求求的及时时整改;c) 应应选择具具有国家家相关技技术资质质和安全全资质的的测评单单位进行行等级测测评;d) 应应指定或或授权专专门的部部

42、门或人人员负责责等级测测评的管管理。7.2.4.111 安安全服务务商选择择(G33)本项要求求包括:a) 应应确保安安全服务务商的选选择符合合国家的的有关规规定;b) 应应与选定定的安全全服务商商签订与与安全相相关的协协议,明确约约定相关关责任;c) 应应确保选选定的安安全服务务商提供供技术培培训和服服务承诺诺,必要的的与其签签订服务务合同。7.2.5 系系统运维维管理7.2.5.11 环境境管理(G3)本项要求求包括:a) 应应指定专专门的部部门或人人员定期期对机房房供配电电、空调调、温湿湿度控制制等设施施进行维维护管理理;b) 应应指定部部门负责责机房安安全,并配备备机房安安全管理理人员

43、,对机房房的出入入、服务务器的开开机或关关机等工工作进行行管理;c) 应应建立机机房安全全管理制制度,对有关关机房物物理访问问,物品带带进、带带出机房房和机房房环境安安全等方方面的管管理做出出规定;d) 应应加强对对办公环环境的保保密性管管理,规范办办公环境境人员行行为,包括工工作人员员调离办办公室应应立即交交还该办办公室钥钥匙、不不在办公公区接待待来访人人员、工工作人员员离开座座位应确确保终端端计算机机退出登登录状态态和桌面面上没有有包含敏敏感信息息的纸档档文件等等。7.2.5.22 资产产管理(G3)本项要求求包括:a) 应应编制并并保存与与信息系系统相关关的资产产清单,包括资资产责任任部

44、门、重重要程度度和所处处位置等等内容;b) 应应建立资资产安全全管理制制度,规定信信息系统统资产管管理的责责任人员员或责任任部门,并规范范资产管管理和使使用的行行为;c) 应应根据资资产的重重要程度度对资产产进行标标识管理理,根据资资产的价价值选择择相应的的管理措措施;d) 应应对信息息分类与与标识方方法做出出规定,并对信信息的使使用、传传输和存存储等进进行规范范化管理理。7.2.5.33 介质质管理(G3)本项要求求包括:a) 应应建立介介质安全全管理制制度,对介质质的存放放环境、使使用、维维护和销销毁等方方面做出出规定;b) 应应确保介介质存放放在安全全的环境境中,对各类类介质进进行控制制

45、和保护护,并实行行存储环环境专人人管理;c) 应应对介质质在物理理传输过过程中的的人员选选择、打打包、交交付等情情况进行行控制,对介质质归档和和查询等等进行登登记记录录,并根据据存档介介质的目目录清单单定期盘盘点;d) 应应对存储储介质的的使用过过程、送送出维修修以及销销毁等进进行严格格的管理理,对带出出工作环环境的存存储介质质进行内内容加密密和监控控管理,对送出出维修或或销毁的的介质应应首先清清除介质质中的敏敏感数据据,对保密密性较高高的存储储介质未未经批准准不得自自行销毁毁;e) 应应根据数数据备份份的需要要对某些些介质实实行异地地存储,存储地地的环境境要求和和管理方方法应与与本地相相同;

46、f) 应应对重要要介质中中的数据据和软件件采取加加密存储储,并根据据所承载载数据和和软件的的重要程程度对介介质进行行分类和和标识管管理。7.2.5.44 设备备管理(G3)本项要求求包括:a) 应应对信息息系统相相关的各各种设备备(包括备备份和冗冗余设备备)、线路路等指定定专门的的部门或或人员定定期进行行维护管管理;b) 应应建立基基于申报报、审批批和专人人负责的的设备安安全管理理制度,对信息息系统的的各种软软硬件设设备的选选型、采采购、发发放和领领用等过过程进行行规范化化管理;c) 应应建立配配套设施施、软硬硬件维护护方面的的管理制制度,对其维维护进行行有效的的管理,包括明明确维护护人员的的责任、涉涉外维修修和服务务的审批批、维修修过程的的监督控控制等;d) 应应对终端端计算机机、工作作站、便便携机、系系统和网网络等设设备的操操作和使使用进行行规范化化管理,按操作作规程实实现主要