計算機信息系統(tǒng)等級保護二級基本要求-預覽頁
【正文】 、IP碎片攻擊和網絡蠕蟲攻擊等?！?安全審計（G2）本項要求包括：a) 審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數據庫用戶；b) 審計內容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內重要的安全相關事件；c) 審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等；d) 應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等?！?應用安全 身份鑒別（S2）本項要求包括：a) 應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；b) 應提供用戶身份標識唯一和鑒別信息復雜度檢查功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用；c) 應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出等措施；d) 應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據安全策略配置相關參數?！?通信保密性（S2）本項要求包括：a) 在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證；b) 應對通信過程中的敏感信息字段進行加密?！?數據保密性（S2）應采用加密或其他保護措施實現鑒別信息的存儲保密性?！?評審和修訂（G2）應定期對安全管理制度進行評審，對存在不足或需要改進的安全管理制度進行修訂?！?溝通和合作（G2）本項要求包括：a) 應加強各類管理人員之間、組織內部機構之間以及信息安全職能部門內部的合作與溝通；b) 應加強與兄弟單位、公安機關、電信公司的合作與溝通?！?人員考核（G2）應定期對各個崗位的人員進行安全技能及安全認知的考核。 安全方案設計（G2）本項要求包括：a) 應根據系統(tǒng)的安全保護等級選擇基本安全措施，依據風險分析的結果補充和調整安全措施；b) 應以書面形式描述對系統(tǒng)的安全保護要求、策略和措施等內容，形成系統(tǒng)的安全方案；c) 應對安全方案進行細化，形成能指導安全系統(tǒng)建設、安全產品采購和使用的詳細設計方案；d) 應組織相關部門和有關安全技術專家對安全設計方案的合理性和正確性進行論證和審定，并且經過批準后，才能正式實施。 工程實施（G2）本項要求包括：a) 應指定或授權專門的部門或人員負責工程實施過程的管理；b) 應制定詳細的工程實施方案，控制工程實施過程。 系統(tǒng)運維管理 環(huán)境管理（G2）本項要求包括：a) 應指定專門的部門或人員定期對機房供配電、空調、溫濕度控制等設施進行維護管理；b) 應配備機房安全管理人員，對機房的出入、服務器的開機或關機等工作進行管理；c) 應建立機房安全管理制度，對有關機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定；d) 應加強對辦公環(huán)境的保密性管理，包括工作人員調離辦公室應立即交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等。 網絡安全管理（G2）本項要求包括：a) 應指定人員對網絡進行管理，負責運行日志、網絡監(jiān)控記錄的日常維護和報警信息分析和處理工作；b) 應建立網絡安全管理制度，對網絡安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規(guī)定；c) 應根據廠家提供的軟件升級版本對網絡設備進行更新，并在更新前對現有的重要文件進行備份；d) 應定期對網絡系統(tǒng)進行漏洞掃描，對發(fā)現的網絡系統(tǒng)安全漏洞進行及時的修補；e) 應對網絡設備的配置文件進行定期備份；f) 應保證所有與外部系統(tǒng)的連接均得到授權和批準。 變更管理（G2）本項要求包括：a) 應確認系統(tǒng)中要發(fā)生的重要變更，并制定相應的變更方案；b) 系統(tǒng)發(fā)生重要變更前，應向主管領導申請，審批后方可實施變更，并在實施后向相關人員通告。
環(huán)評公示相關推薦
鄂ICP備17016276號-1