信息系统安全等级保护基本要求28722.docx

《信息系统安全等级保护基本要求28722.docx》由会员分享，可在线阅读，更多相关《信息系统安全等级保护基本要求28722.docx（111页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全全技术信信息系统统安全等等级保护护基本要要求Innforrmattionn seecurrityy teechnnoloogy Baasellinee foor cclasssiffiedd prroteectiion of infformmatiion sysstemm ICS335.0040 L800 GB/TT 222239920008 中华人民民共和国国国家标标准GBB/T 22223920008 II 目次前言. IIII 引言. IV 信息系统统安全等等级保护护基本要要求. 1 1 范围围. 1 2 规范范性引用用文件. 1 3 术语语和定义义. 1 3.1 . 1 4 信

2、息息系统安安全等级级保护概概述. 11 4.1 信息系系统安全全保护等等级. 1 4.2 不同等等级的安安全保护护能力. 1 4.3 基本技技术要求求和基本本管理要要求. 2 4.4 基本技技术要求求的三种种类型. 2 5 第一一级基本本要求. 2 5.1 技术要要求. 2 5.1.1物理理安全. 2 5.1.2网络络安全. 3 5.1.3主机机安全. 3 5.1.4应用用安全. 4 5.1.5数据据安全及及备份恢恢复. 4 5.2 管理要要求. 4 5.2.1安全全管理制制度. 4 5.2.2安全全管理机机构. 4 5.2.3人员员安全管管理. 5 5.2.4系统统建设管管理. 5 5.2.

3、5系统统运维管管理. 6 6 第二二级基本本要求. 7 6.1 技术要要求. 7 6.1.1物理理安全. 7 6.1.2网络络安全. 8 6.1.3主机机安全. 9 6.1.4应用用安全. 110 6.1.5数据据安全及及备份恢恢复. 11 6.2 管理要要求. 11 6.2.1安全全管理制制度. 11 6.2.2安全管管理机构构. 111 6.2.3人员员安全管管理. 12 6.2.4系统统建设管管理. 12 6.2.5系统统运维管管理. 14 7 第三三级基本本要求. 16 7.1 技术要要求. 16 7.1.1物理理安全. 116 7.1.2网络络安全. 117GBB/T 2222392

4、0008 III GB/TT222239200087.1.3主机机安全.1997.1.4应用用安全.2007.1.5数据据安全及及备份恢恢复.2227.2管管理要求求.2227.2.1安全全管理制制度.2227.2.2安全全管理机机构.2237.2.3人员员安全管管理.2247.2.4系统统建设管管理.2257.2.5系统统运维管管理.2278第第四级基基本要求求.308.1技技术要求求.3008.1.1物理理安全.3008.1.2网络络安全.3228.1.3主机机安全.3338.1.4应用用安全.3558.1.5数据据安全及及备份恢恢复.3378.2管管理要求求.3778.2.1安全全管理制

5、制度.3378.2.2安全全管理机机构.3388.2.3人员员安全管管理.3398.2.4系统统建设管管理.4408.2.5系统统运维管管理.4429第第五级基基本要求求.46附附录A.447关于于信息系系统整体体安全保保护能力力的要求求.47附附录B.449基本本安全要要求的选选择和使使用.449参考考文献.511GB/T 2222339220088 IIII 前言（略）GGB/TT 222239920008 IV 引言依据国家家信息安安全等级级保护管管理规定定制定本本标准。本本标准是是信息安安全等级级保护相相关系列列标准之之一。与与本标准准相关的的系列标标准包括括：GB/T 2222440

6、220088信息息安全技技术信息息系统安安全等级级保护定定级指南南；国家家标准信信息安全全技术信信息系统统安全等等级保护护实施指指南。本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2

7、006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。GB/T 222392008 1 信息安全全技术信息系统统安全等等级保护护基本要要求1 范围围本标准规规定了不不同安全全保护等等级信息息系统的的基本保保护要求求，包括括基本技技术要求求和基本本管理要要求，适适用于指指导分等等级的信信息系统统的安全全建设和和监督管管理。2 规范范性引用用

8、文件下列文件件中的条条款通过过在本标标准的引引用而成成为本标标准的条条款。凡凡是注日日期的引引用文件件，其随随后所有有的修改改单（不不包括勘勘误的内内容）或或修订版版均不适适用于本本标准，然然而，鼓鼓励根据据本标准准达成协协议的各各方研究究是否使使用这些些文件的的最新版版本。凡凡是不注注明日期期的引用用文件，其其最新版版本适用用于本标标准。GGB/TT 52271.8 信信息技术术词汇第第8部分：安全GGB1778599 计算算机信息息系统安安全保护护等级划划分准则则GB/T 222244020008 信信息安全全技术信信息系统统安全等等级保护护定级指指南3 术语语和定义义GB/TT 5227

9、1.8和GB 178859-19999确立立的以及及下列术术语和定定义适用用于本标标准。3.1 安全保护护能力ssecuuritty pprottecttionn abbiliity 系统能能够抵御御威胁、发发现安全全事件以以及在系系统遭到到损害后后能够恢恢复先前前状态等等的程度度。4 信息息系统安安全等级级保护概概述4.1 信息系系统安全全保护等等级信息系统统根据其其在国家家安全、经经济建设设、社会会生活中中的重要要程度，遭遭到破坏坏后对国国家安全全、社会会秩序、公公共利益益以及公公民、法法人和其其他组织织的合法法权益的的危害程程度等，由由低到高高划分为为五级，五五级定义义见GBB/T 22

10、224020008。4.2 不同等等级的安安全保护护能力不同等级级的信息息系统应应具备的的基本安安全保护护能力如如下：第第一级安安全保护护能力：应能够够防护系系统免受受来自个个人的、拥拥有很少少资源的的威胁源源发起的的恶意攻攻击、一一般的自自然灾难难、以及及其他相相当危害害程度的的威胁所所造成的的关键资资源损害害，在系系统遭到到损害后后，能够够恢复部部分功能能。第二二级安全全保护能能力：应应能够防防护系统统免受来来自外部部小型组组织的、拥拥有少量量资源的的威胁源源发起的的恶意攻攻击、一一般的自自然灾难难、以及及其他相相当危害害程度的的威胁所所造成的的重要资资源损害害，能够够发现重重要的安安全漏

11、洞洞和安全全事件，在在系统遭遭到损害害后，能能够在一一段时间间内恢复复部分功功能。第第三级安安全保护护能力：应能够够在统一一安全策策略下防防护系统统免受来来自外部部有组织织的团体体、拥有有较为丰丰富资源源的威胁胁源发起起的恶意意攻击、较较为严重重的自然然灾难、以以及其他他相当危危害程度度的威胁胁所造成成的主要要资源损损害，能能够发现现安全漏漏洞和安安全事件件，在系系统遭到到损害后后，能够够较快恢恢复绝大大部分功功能。第四级安安全保护护能力：应能够够在统一一安全策策略下防防护系统统免受来来自国家家级别的的、敌对对组织的的、拥有有丰富资资源的威威胁源发发起的恶恶意攻击击、严重重的自然然灾难、以以及

12、其他他相当危危害程度度的威胁胁所造成成的资源源损害，GB/T 222392008 2 能够发现现安全漏漏洞和安安全事件件，在系系统遭到到损害后后，能够够迅速恢恢复所有有功能。第第五级安安全保护护能力：（略）。4.3 基本技技术要求求和基本本管理要要求信息系统统安全等等级保护护应依据据信息系系统的安安全保护护等级情情况保证证它们具具有相应应等级的的基本安安全保护护能力，不不同安全全保护等等级的信信息系统统要求具具有不同同的安全全保护能能力。基基本安全全要求是是针对不不同安全全保护等等级信息息系统应应该具有有的基本本安全保保护能力力提出的的安全要要求，根根据实现现方式的的不同，基基本安全全要求分分

13、为基本本技术要要求和基基本管理理要求两两大类。技技术类安安全要求求与信息息系统提提供的技技术安全全机制有有关，主主要通过过在信息息系统中中部署软软硬件并并正确的的配置其其安全功功能来实实现；管管理类安安全要求求与信息息系统中中各种角角色参与与的活动动有关，主主要通过过控制各各种角色色的活动动，从政政策、制制度、规规范、流流程以及及记录等等方面做做出规定定来实现现。基本本技术要要求从物物理安全全、网络络安全、主主机安全全、应用用安全和和数据安安全几个个层面提提出；基基本管理理要求从从安全管管理制度度、安全全管理机机构、人人员安全全管理、系系统建设设管理和和系统运运维管理理几个方方面提出出，基本本

14、技术要要求和基基本管理理要求是是确保信信息系统统安全不不可分割割的两个个部分。基基本安全全要求从从各个层层面或方方面提出出了系统统的每个个组件应应该满足足的安全全要求，信信息系统统具有的的整体安安全保护护能力通通过不同同组件实实现基本本安全要要求来保保证。除除了保证证系统的的每个组组件满足足基本安安全要求求外，还还要考虑虑组件之之间的相相互关系系，来保保证信息息系统的的整体安安全保护护能力。关关于信息息系统整整体安全全保护能能力的说说明见附附录A。对于于涉及国国家秘密密的信息息系统，应应按照国国家保密密工作部部门的相相关规定定和标准准进行保保护。对对于涉及及密码的的使用和和管理，应应按照国国家

15、密码码管理的的相关规规定和标标准实施施。4.4 基本技技术要求求的三种种类型根据保护护侧重点点的不同同，技术术类安全全要求进进一步细细分为：保护数数据在存存储、传传输、处处理过程程中不被被泄漏、破破坏和免免受未授授权的修修改的信信息安全全类要求求（简记记为S）；保保护系统统连续正正常的运运行，免免受对系系统的未未授权修修改、破破坏而导导致系统统不可用用的服务务保证类类要求（简简记为AA）；通通用安全全保护类类要求（简简记为GG）。本本标准中中对基本本安全要要求使用用了标记记，其中中的字母母表示安安全要求求的类型型，数字字表示适适用的安安全保护护等级。关关于各类类安全要要求的选选择和使使用见附附

16、录B。5 第一一级基本本要求5.1 技术要要求5.1.1物理理安全5.1.1.11 物理理访问控控制（GG1）机房出入入应安排排专人负负责，控控制、鉴鉴别和记记录进入入的人员员。5.1.1.2 防盗窃窃和防破破坏（GG1）本项要求求包括：a) 应应将主要要设备放放置在机机房内；b) 应应将设备备或主要要部件进进行固定定，并设设置明显显的不易易除去的的标记。5.1.1.33 防雷雷击（GG1）机房建筑筑应设置置避雷装装置。GGB/TT 222239920008 3 5.1.1.44 防火火（G11）机房应设设置灭火火设备。5.1.1.55 防水水和防潮潮（G11）本项要求求包括：a) 应应对穿过

17、过机房墙墙壁和楼楼板的水水管增加加必要的的保护措措施；b) 应应采取措措施防止止雨水通通过机房房窗户、屋屋顶和墙墙壁渗透透。5.1.1.66 温湿湿度控制制（G11）机房应设设置必要要的温、湿湿度控制制设施，使使机房温温、湿度度的变化化在设备备运行所所允许的的范围之之内。5.1.1.77 电力力供应（A1）应在机房房供电线线路上配配置稳压压器和过过电压防防护设备备。5.1.2网络络安全5.1.2.11 结构构安全（G1）本项要求求包括：a) 应应保证关关键网络络设备的的业务处处理能力力满足基基本业务务需要；b) 应应保证接接入网络络和核心心网络的的带宽满满足基本本业务需需要；c) 应应绘制与与

18、当前运运行情况况相符的的网络拓拓扑结构构图。5.1.2.22 访问问控制（G1）本项要求求包括：a) 应应在网络络边界部部署访问问控制设设备，启启用访问问控制功功能；b) 应应根据访访问控制制列表对对源地址址、目的的地址、源源端口、目目的端口口和协议议等进行行检查，以以允许/拒绝数数据包出出入；c) 应应通过访访问控制制列表对对系统资资源实现现允许或或拒绝用用户访问问，控制制粒度至至少为用用户组。5.1.2.33 网络络设备防防护（GG1）本项要求求包括：a) 应应对登录录网络设设备的用用户进行行身份鉴鉴别；b) 应应具有登登录失败败处理功功能，可可采取结结束会话话、限制制非法登登录次数数和当

19、网网络登录录连接超超时自动动退出等等措施；c) 当当对网络络设备进进行远程程管理时时，应采采取必要要措施防防止鉴别别信息在在网络传传输过程程中被窃窃听。5.1.3主机机安全5.1.3.11 身份份鉴别（S1）应对登录录操作系系统和数数据库系系统的用用户进行行身份标标识和鉴鉴别。5.1.3.22 访问问控制（S1）本项要求求包括：a) 应应启用访访问控制制功能，依依据安全全策略控控制用户户对资源源的访问问；b) 应应限制默默认帐户户的访问问权限，重重命名系系统默认认帐户，修修改这些些帐户的的默认口口令；c) 应应及时删删除多余余的、过过期的帐帐户，避避免共享享帐户的的存在。5.1.3.33 入侵

20、侵防范（G1）操作系统统应遵循循最小安安装的原原则，仅仅安装需需要的组组件和应应用程序序，并保保持系统统补丁及及时得到到更新。GB/T 222392008 4 5.1.3.44 恶意意代码防防范（GG1）应安装防防恶意代代码软件件，并及及时更新新防恶意意代码软软件版本本和恶意意代码库库。5.1.4应用用安全5.1.4.11 身份份鉴别（S1）本项要求求包括：a) 应应提供专专用的登登录控制制模块对对登录用用户进行行身份标标识和鉴鉴别；b) 应应提供登登录失败败处理功功能，可可采取结结束会话话、限制制非法登登录次数数和自动动退出等等措施；c) 应应启用身身份鉴别别和登录录失败处处理功能能，并根根

21、据安全全策略配配置相关关参数。5.1.4.22 访问问控制（S1）本项要求求包括：a) 应应提供访访问控制制功能控控制用户户组/用户对对系统功功能和用用户数据据的访问问；b) 应应由授权权主体配配置访问问控制策策略，并并严格限限制默认认用户的的访问权权限。5.1.4.33 通信信完整性性（S11）应采用约约定通信信会话方方式的方方法保证证通信过过程中数数据的完完整性。5.1.4.44 软件件容错（A1）应提供数数据有效效性检验验功能，保保证通过过人机接接口输入入或通过过通信接接口输入入的数据据格式或或长度符符合系统统设定要要求。5.1.5数据据安全及及备份恢恢复5.1.5.11 数据据完整性性

22、（S11）应能够检检测到重重要用户户数据在在传输过过程中完完整性受受到破坏坏。5.1.5.22 备份份和恢复复（A11）应能够对对重要信信息进行行备份和和恢复。5.2 管理要要求5.2.1安全全管理制制度5.2.1.11 管理理制度（G1）应建立日日常管理理活动中中常用的的安全管管理制度度。5.2.1.22 制定定和发布布（G11）本项要求求包括：a) 应应指定或或授权专专门的人人员负责责安全管管理制度度的制定定；b) 应应将安全全管理制制度以某某种方式式发布到到相关人人员手中中。5.2.2安全全管理机机构5.2.2.11 岗位位设置（G1）应设立系系统管理理员、网网络管理理员、安安全管理理员

23、等岗岗位，并并定义各各个工作作岗位的的职责。5.2.2.22 人员员配备（G1）应配备一一定数量量的系统统管理员员、网络络管理员员、安全全管理员员等。5.2.2.33 授权权和审批批（G11）应根据各各个部门门和岗位位的职责责明确授授权审批批部门及及批准人人，对系系统投入入运行、网网络系统统接入和和重要资资源的访访问等关关键活动动进行审审批。GGB/TT 222239920008 5 5.2.2.44 沟通通和合作作（G11）应加强与与兄弟单单位、公公安机关关、电信信公司的的合作与与沟通。5.2.3人员员安全管管理5.2.3.11 人员员录用（G1）本项要求求包括：a) 应应指定或或授权专专门

24、的部部门或人人员负责责人员录录用；b) 应应对被录录用人员员的身份份和专业业资格等等进行审审查，并并确保其其具有基基本的专专业技术术水平和和安全管管理知识识。5.2.3.22 人员员离岗（G1）本项要求求包括：a) 应应立即终终止由于于各种原原因离岗岗员工的的所有访访问权限限；b) 应应取回各各种身份份证件、钥钥匙、徽徽章等以以及机构构提供的的软硬件件设备。5.2.3.33 安全全意识教教育和培培训（GG1）本项要求求包括：a) 应应对各类类人员进进行安全全意识教教育和岗岗位技能能培训；b) 应应告知人人员相关关的安全全责任和和惩戒措措施。5.2.3.44 外部部人员访访问管理理（G11）应确

25、保在在外部人人员访问问受控区区域前得得到授权权或审批批。5.2.4系统统建设管管理5.2.4.11 系统统定级（G1）本项要求求包括：a) 应应明确信信息系统统的边界界和安全全保护等等级；b) 应应以书面面的形式式说明信信息系统统确定为为某个安安全保护护等级的的方法和和理由；c) 应应确保信信息系统统的定级级结果经经过相关关部门的的批准。5.2.4.22 安全全方案设设计（GG1）本项要求求包括：a) 应应根据系系统的安安全保护护等级选选择基本本安全措措施，依依据风险险分析的的结果补补充和调调整安全全措施；b) 应应以书面面的形式式描述对对系统的的安全保保护要求求和策略略、安全全措施等等内容，

26、形形成系统统的安全全方案；c) 应应对安全全方案进进行细化化，形成成能指导导安全系系统建设设、安全全产品采采购和使使用的详详细设计计方案。5.2.4.33 产品品采购和和使用（G1）应确保安安全产品品采购和和使用符符合国家家的有关关规定。5.2.4.44 自行行软件开开发（GG1）本项要求求包括：a) 应应确保开开发环境境与实际际运行环环境物理理分开；b) 应应确保软软件设计计相关文文档由专专人负责责保管。5.2.4.55 外包包软件开开发（GG1）本项要求求包括：a) 应应根据开开发要求求检测软软件质量量；GB/TT 222239920008 6 b) 应应在软件件安装之之前检测测软件包包中可能能存在的的恶意代代码；c) 应应确保提提供软件件设计的的相关文文档和使使用指南南。5.2.4.66 工程程实施（G1）应指定或或授权专专门的部部门或人人员负责责工程实实施过程程的管理理。5.2.4.77 测试试验收（G1）本项