信息系統(tǒng)安全等級(jí)保護(hù)基本要求(三級(jí)要求)-wenkub
2023-04-28 04:28:11 本頁面
【正文】 ) 應(yīng)利用光、電等技術(shù)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)；f) 應(yīng)對(duì)機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。. . . .. .信息系統(tǒng)安全等級(jí)保護(hù)基本要求1 三級(jí)基本要求 3 技術(shù)要求 3 物理安全 3 物理位置的選擇（G3） 3 物理訪問控制（G3） 3 防盜竊和防破壞（G3） 3 防雷擊（G3） 3 防火（G3） 4 防水和防潮（G3） 4 防靜電（G3） 4 溫濕度控制（G3） 4 電力供應(yīng)（A3） 4 電磁防護(hù)（S3） 4 網(wǎng)絡(luò)安全 4 結(jié)構(gòu)安全（G3） 4 訪問控制（G3） 5 安全審計(jì)（G3） 5 邊界完整性檢查（S3） 5 入侵防范（G3） 5 惡意代碼防范（G3） 6 網(wǎng)絡(luò)設(shè)備防護(hù)（G3） 6 主機(jī)安全 6 身份鑒別（S3） 6 訪問控制（S3） 6 安全審計(jì)（G3） 7 剩余信息保護(hù)（S3） 7 入侵防范（G3） 7 惡意代碼防范（G3） 7 資源控制（A3） 7 應(yīng)用安全 7 身份鑒別（S3） 8 訪問控制（S3） 8 安全審計(jì)（G3） 8 剩余信息保護(hù)（S3） 8 通信完整性（S3） 8 通信保密性（S3） 8 抗抵賴（G3） 8 軟件容錯(cuò)（A3） 9 資源控制（A3） 9 數(shù)據(jù)安全及備份恢復(fù) 9 數(shù)據(jù)完整性（S3） 9 數(shù)據(jù)保密性（S3） 9 備份和恢復(fù)（A3） 9 管理要求 10 安全管理制度 10 管理制度（G3） 10 制定和發(fā)布（G3） 10 評(píng)審和修訂（G3） 10 安全管理機(jī)構(gòu) 10 崗位設(shè)置（G3） 10 人員配備（G3） 10 授權(quán)和審批（G3） 10 溝通和合作（G3） 11 審核和檢查（G3） 11 人員安全管理 11 人員錄用（G3） 11 人員離崗（G3） 11 人員考核（G3） 12 安全意識(shí)教育和培訓(xùn)（G3） 12 外部人員訪問管理（G3） 12 系統(tǒng)建設(shè)管理 12 系統(tǒng)定級(jí)（G3） 12 安全方案設(shè)計(jì)（G3） 12 產(chǎn)品采購和使用（G3） 13 自行軟件開發(fā)（G3） 13 外包軟件開發(fā)（G3） 13 工程實(shí)施（G3） 13 測(cè)試驗(yàn)收（G3） 13 系統(tǒng)交付（G3） 14 系統(tǒng)備案（G3） 14 等級(jí)測(cè)評(píng)（G3） 14 安全服務(wù)商選擇（G3） 14 系統(tǒng)運(yùn)維管理 14 環(huán)境管理（G3） 14 資產(chǎn)管理（G3） 15 介質(zhì)管理（G3） 15 設(shè)備管理（G3） 15 監(jiān)控管理和安全管理中心（G3） 16 網(wǎng)絡(luò)安全管理（G3） 16 系統(tǒng)安全管理（G3） 16 惡意代碼防范管理（G3） 16 密碼管理（G3） 17 變更管理（G3） 17 備份與恢復(fù)管理（G3） 17 安全事件處置（G3） 17 應(yīng)急預(yù)案管理（G3） 18第三級(jí)安全保護(hù)能力：應(yīng)能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來自外部有組織的團(tuán)體、擁有較為豐富資源的威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的主要資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大部分功能。 防雷擊（G3）本項(xiàng)要求包括：a) 機(jī)房建筑應(yīng)設(shè)置避雷裝置；b) 應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；c) 機(jī)房應(yīng)設(shè)置交流電源地線。 溫濕度控制（G3）機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。 訪問控制（G3）本項(xiàng)要求包括：a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；b) 應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級(jí)；c) 應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級(jí)的控制；d) 應(yīng)在會(huì)話處于非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接；e) 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；f) 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；g) 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶；h) 應(yīng)限制具有撥號(hào)訪問權(quán)限的用戶數(shù)量。 惡意代碼防范（G3）本項(xiàng)要求包括：a) 應(yīng)在網(wǎng)絡(luò)邊界處對(duì)惡意代碼進(jìn)行檢測(cè)和清除；b) 應(yīng)維護(hù)惡意代碼庫的升級(jí)和檢測(cè)系統(tǒng)的更新。 訪問控制（S3）本項(xiàng)要求包括：a) 應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問；b) 應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限；c) 應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離；d) 應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；e) 應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在。 惡意代碼防范（G3）本項(xiàng)要求包括：a) 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫；b) 主機(jī)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫；c) 應(yīng)支持防惡意代碼的統(tǒng)一管理。e) 應(yīng)具有對(duì)重要信息資源設(shè)置敏感標(biāo)記的功能；f) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作； 安全審計(jì)（G3）本項(xiàng)要求包括：a) 應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對(duì)應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)；b) 應(yīng)保證無法單獨(dú)中斷審計(jì)進(jìn)程，無法刪除、修改或覆蓋審計(jì)記錄；c) 審計(jì)記錄的內(nèi)容至少應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等；d) 應(yīng)提供對(duì)審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。 抗抵賴（G3）本項(xiàng)要求包括：a) 應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b) 應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。 數(shù)據(jù)保密性（S3）本項(xiàng)要求包括：a) 應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性；b) 應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲(chǔ)保密性。 評(píng)審和修訂（G3）本項(xiàng)要求包括：a) 信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)安全管理制度體系的合理性和適用性進(jìn)行審定；b) 應(yīng)定期或不定期對(duì)安全管理制度進(jìn)行檢查和審定，對(duì)存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂。 溝通和合作（G3）本項(xiàng)要求包括：a) 應(yīng)加強(qiáng)各類管理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通，定期或不定期召開協(xié)調(diào)會(huì)議，共同協(xié)作處理信息安全問題； b) 應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與溝通；c) 應(yīng)加強(qiáng)與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1