【正文】 5） 應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南；6） 應(yīng)確保對程序資源庫的修改、更新、發(fā)布進(jìn)行授權(quán)和批準(zhǔn)。1） 應(yīng)根據(jù)系統(tǒng)的安全級別選擇基本安全措施，依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施；2） 應(yīng)指定和授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進(jìn)行總體規(guī)劃，制定近期和遠(yuǎn)期的安全建設(shè)工作計(jì)劃；3） 應(yīng)根據(jù)信息系統(tǒng)的等級劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細(xì)設(shè)計(jì)方案，并形成配套文件；4） 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的合理性和正確性進(jìn)行論證和審定；5） 應(yīng)確?？傮w安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等文件必須經(jīng)過批準(zhǔn)，才能正式實(shí)施；6） 應(yīng)根據(jù)安全測評、安全評估的結(jié)果定期調(diào)整和修訂總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件。1） 第三方人員應(yīng)在訪問前與機(jī)構(gòu)簽署安全責(zé)任合同書或保密協(xié)議；2） 對重要區(qū)域的訪問，須提出書面申請，批準(zhǔn)后由專人全程陪同或監(jiān)督，并記錄備案；3） 對第三方人員允許訪問的區(qū)域、系統(tǒng)、設(shè)備、信息等內(nèi)容應(yīng)進(jìn)行書面的規(guī)定，并按照規(guī)定執(zhí)行。人員考核1） 應(yīng)定期對各個(gè)崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核；2） 應(yīng)對關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查；3） 應(yīng)對違背安全策略和規(guī)定的人員進(jìn)行懲戒1） 應(yīng)對所有人員進(jìn)行全面、嚴(yán)格的安全審查；2） 應(yīng)定期對各個(gè)崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核；3） 應(yīng)對考核結(jié)果進(jìn)行記錄并保存；4） 應(yīng)對違背安全策略和規(guī)定的人員進(jìn)行懲戒。人員安全管理人員錄用1） 應(yīng)保證被錄用人具備基本的專業(yè)技術(shù)水平和安全管理知識；2） 應(yīng)對被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進(jìn)行審查；3） 應(yīng)對被錄用人所具備的技術(shù)技能進(jìn)行考核；4） 應(yīng)對被錄用人說明其角色和職責(zé)；5） 應(yīng)簽署保密協(xié)議。制定和發(fā)布1） 應(yīng)在信息安全職能部門的總體負(fù)責(zé)下，組織相關(guān)人員制定；2） 應(yīng)保證安全管理制度具有統(tǒng)一的格式風(fēng)格，并進(jìn)行版本控制；3） 應(yīng)組織相關(guān)人員對制定的安全管理進(jìn)行論證和審定；4） 安全管理制度應(yīng)經(jīng)過管理層簽發(fā)后按照一定的程序以文件形式發(fā)布。審核和檢查1） 應(yīng)由安全管理人員定期進(jìn)行安全檢查，檢查內(nèi)容包括用戶賬號情況、系統(tǒng)漏洞情況、系統(tǒng)審計(jì)情況等。授權(quán)和審批1） 應(yīng)授權(quán)審批部門及批準(zhǔn)人，對關(guān)鍵活動(dòng)進(jìn)行審批；2） 應(yīng)列表說明須審批的事項(xiàng)、審批部門和可批準(zhǔn)人。二、 管理要求管理要求項(xiàng)二級等保三級等保安全管理機(jī)構(gòu)崗位設(shè)置1） 應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管人、安全管理各個(gè)方面的負(fù)責(zé)人崗位，定義各負(fù)責(zé)人的職責(zé)；2） 應(yīng)設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員崗位，定義各個(gè)工作崗位的職責(zé)；3） 應(yīng)制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。1） 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施；2） 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在存儲過程中完整性受到破壞，并在檢測到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施；3） 應(yīng)能夠檢測到重要程序的完整性受到破壞，并在檢測到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施。1） 應(yīng)限制單個(gè)用戶的多重并發(fā)會話；2） 應(yīng)對應(yīng)用系統(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制；3） 應(yīng)對一個(gè)時(shí)間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制；4） 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定和鑒別失敗鎖定，并規(guī)定解鎖或終止方式；5） 應(yīng)禁止同一用戶賬號在同一時(shí)間內(nèi)并發(fā)登錄；6） 應(yīng)對一個(gè)訪問用戶或一個(gè)請求進(jìn)程占用的資源分配最大限額和最小限額；7） 應(yīng)根據(jù)安全屬性（用戶身份、訪問地址、時(shí)間范圍等）允許或拒絕用戶建立會話連接；8） 當(dāng)系統(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值時(shí)，應(yīng)能檢測和報(bào)警；9） 應(yīng)根據(jù)安全策略設(shè)定主體的服務(wù)優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源，保證優(yōu)先級低的主體處理能力不會影響到優(yōu)先級高的主體的處理能力。1） 當(dāng)通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動(dòng)結(jié)束會話；2） 在通信雙方建立連接之前，利用密碼技術(shù)進(jìn)行會話初始化驗(yàn)證；3） 在通信過程中，應(yīng)對整個(gè)報(bào)文或會話過程進(jìn)行加密；4） 應(yīng)選用符合國家有關(guān)部門要求的密碼算法。通信完整性1） 通信雙方應(yīng)約定單向的校驗(yàn)碼算法，計(jì)算通信數(shù)據(jù)報(bào)文的校驗(yàn)碼，在進(jìn)行通信時(shí)，雙方根據(jù)校驗(yàn)碼判斷對方報(bào)文的有效性。安全審計(jì)1） 安全審計(jì)應(yīng)覆蓋到應(yīng)用系統(tǒng)的每個(gè)用戶；2） 安全審計(jì)應(yīng)記錄應(yīng)用系統(tǒng)重要的安全相關(guān)事件，包括重要用戶行為和重要系統(tǒng)功能的執(zhí)行等；3） 安全相關(guān)事件的記錄應(yīng)包括日期和時(shí)間、類型、主體標(biāo)識、客體標(biāo)識、事件的結(jié)果等；4） 審計(jì)記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋等。應(yīng)用安全身份鑒別1） 應(yīng)用系統(tǒng)用戶的身份標(biāo)識應(yīng)具有唯一性；2） 應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別；3） 系統(tǒng)用戶身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長度、復(fù)雜性和定期的更新等；4） 應(yīng)具有登錄失敗處理功能，如：結(jié)束會話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時(shí)，自動(dòng)退出。入侵防范無1） 應(yīng)進(jìn)行主機(jī)運(yùn)行監(jiān)視，包括監(jiān)視主機(jī)的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；2） 應(yīng)設(shè)定資源報(bào)警域值，以便在資源使用超過規(guī)定數(shù)值時(shí)發(fā)出報(bào)警；3） 應(yīng)進(jìn)行特定進(jìn)程監(jiān)控，限制操作人員運(yùn)行非法進(jìn)程；4） 應(yīng)進(jìn)行主機(jī)賬戶監(jiān)控，限制對重要賬戶的添加和更改；5） 應(yīng)檢測各種已知的入侵行為，記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警；6） 應(yīng)能夠檢測重要程序完整性受到破壞，并在檢測到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施。系統(tǒng)保護(hù)1） 系統(tǒng)應(yīng)提供在管理維護(hù)狀態(tài)中運(yùn)行的能力，管理維護(hù)狀態(tài)只能被系統(tǒng)管理員使用。1） 應(yīng)依據(jù)安全策略控制主體對客體的訪問；2） 自主訪問控制的覆蓋范圍應(yīng)包括與信息安全直接相關(guān)的主體、客體及它們之間的操作；3） 自主訪問控制的粒度應(yīng)達(dá)到主體為用戶級，客體為文件、數(shù)據(jù)庫表級；4） 應(yīng)由授權(quán)主體設(shè)置對客體訪問和操作的權(quán)限；5） 權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授予不同用戶各自為完成自己承擔(dān)任務(wù)所需的最小權(quán)限，并在他們之間形成相互制約的關(guān)系；6） 應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)特權(quán)用戶的權(quán)限分離；7） 應(yīng)嚴(yán)格限制默認(rèn)用戶的訪問權(quán)限。1） 應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；2） 應(yīng)對網(wǎng)絡(luò)上的對等實(shí)體進(jìn)行身份鑒別；3） 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；4） 網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一；5） 身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長度、復(fù)雜性和定期的更新等；6） 應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進(jìn)行身份鑒別；7） 應(yīng)具有登錄失敗處理功能，如：結(jié)束會話、限制非法登錄次數(shù)，當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)，自動(dòng)退出；8） 應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離，例如將管理與審計(jì)的權(quán)限分配給不同的網(wǎng)絡(luò)設(shè)備用戶。1） 應(yīng)在網(wǎng)絡(luò)邊界處應(yīng)監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊、網(wǎng)絡(luò)蠕蟲攻擊等入侵事件的發(fā)生；2） 當(dāng)檢測到入侵事件時(shí)，應(yīng)記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警。1） 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行全面的監(jiān)測、記錄；2） 對于每一個(gè)事件，其審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功，及其他與審計(jì)相關(guān)的信息；3） 安全審計(jì)應(yīng)可以根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；4） 安全審計(jì)應(yīng)可以對特定事件，提供指定方式的實(shí)時(shí)報(bào)警；5） 審計(jì)記錄應(yīng)受到保護(hù)避免受到未預(yù)期的刪除、修改或覆蓋等。1） 應(yīng)能根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信息的主機(jī)名等信息，并應(yīng)支持地址通配符的使用），為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力；2） 應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；3） 應(yīng)依據(jù)安全策略允許或者拒絕便攜式和移動(dòng)式設(shè)備的網(wǎng)絡(luò)接入；4） 應(yīng)在會話處于非活躍一定時(shí)間或會話結(jié)束后終止網(wǎng)絡(luò)連接；5） 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)。1） 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；2） 電源線和通信線纜應(yīng)隔離，避免互相干擾；3） 對重要設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。1） 應(yīng)設(shè)置恒溫恒濕系統(tǒng)，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。防水和防潮1） 水管安裝，不得穿過屋頂和活動(dòng)地板下；2） 應(yīng)對穿過墻壁和樓板的水管增加必要的保護(hù)措施，如設(shè)置套管；3） 應(yīng)采取措施防止雨水通過屋頂和墻壁滲透；4） 應(yīng)采取措施防止室內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。防雷擊1） 機(jī)房建筑應(yīng)設(shè)置避雷裝置；2） 應(yīng)設(shè)置交流電源地線。物理訪問控制1） 機(jī)房出入口應(yīng)有專人值守，鑒別進(jìn)入的人員身份并登記在案；2） 應(yīng)批準(zhǔn)進(jìn)入機(jī)房的來訪人員，限制和監(jiān)控其活動(dòng)范圍。1） 機(jī)房和辦公場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；2） 機(jī)房場地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁； 3） 機(jī)房場地應(yīng)當(dāng)避開強(qiáng)電場、強(qiáng)磁場、強(qiáng)震動(dòng)源、強(qiáng)噪聲源、重度環(huán)境污染、易發(fā)生火災(zāi)、水災(zāi)、易遭受雷擊的地區(qū)。1） 應(yīng)將主要設(shè)備放置在物理受限的范圍內(nèi)；2） 應(yīng)對設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的無法除去的標(biāo)記；3） 應(yīng)將通信線纜鋪設(shè)在隱蔽處，如鋪設(shè)在地下或管道中等；4） 應(yīng)對介質(zhì)分類標(biāo)識，存儲在介質(zhì)庫或檔案室中；5） 設(shè)備或存儲介質(zhì)攜帶出工作環(huán)境時(shí)，應(yīng)受到監(jiān)控和內(nèi)容加密；6） 應(yīng)利用光、電等技術(shù)設(shè)置機(jī)房的防盜報(bào)警系統(tǒng)，以防進(jìn)入機(jī)房的盜竊和破壞行為；7） 應(yīng)對機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。1） 應(yīng)設(shè)置火災(zāi)自動(dòng)消防系統(tǒng)，自動(dòng)檢測火情、自動(dòng)報(bào)警，并自動(dòng)滅火；2） 機(jī)房及相關(guān)的工作房間和輔助房，其建筑材料應(yīng)具有耐火等級；3） 機(jī)房采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。溫濕度控制1） 應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。電磁防護(hù)1） 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；2） 電源線和通信線纜應(yīng)隔離，避免互相干擾。網(wǎng)絡(luò)訪問控制1） 應(yīng)能根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信息的主機(jī)名等信息，并應(yīng)支持地址通配符的使用），為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力。網(wǎng)絡(luò)安全審計(jì)1） 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等事件進(jìn)行日志記錄；2） 對于每一個(gè)事件，其審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功，及其他與審計(jì)相關(guān)的信息。網(wǎng)絡(luò)入侵防范1） 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、