計算機(jī)信息系統(tǒng)等級保護(hù)二級基本要求-預(yù)覽頁
【正文】 、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等?！?安全審計（G2）本項要求包括：a) 審計范圍應(yīng)覆蓋到服務(wù)器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；b) 審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；c) 審計記錄應(yīng)包括事件的日期、時間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；d) 應(yīng)保護(hù)審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。 應(yīng)用安全 身份鑒別（S2）本項要求包括：a) 應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別；b) 應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用；c) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；d) 應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)?！?通信保密性（S2）本項要求包括：a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會話初始化驗證；b) 應(yīng)對通信過程中的敏感信息字段進(jìn)行加密?！?數(shù)據(jù)保密性（S2）應(yīng)采用加密或其他保護(hù)措施實現(xiàn)鑒別信息的存儲保密性。 評審和修訂（G2）應(yīng)定期對安全管理制度進(jìn)行評審，對存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂?！?溝通和合作（G2）本項要求包括：a) 應(yīng)加強(qiáng)各類管理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通；b) 應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與溝通?！?人員考核（G2）應(yīng)定期對各個崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核?！?安全方案設(shè)計（G2）本項要求包括：a) 應(yīng)根據(jù)系統(tǒng)的安全保護(hù)等級選擇基本安全措施，依據(jù)風(fēng)險分析的結(jié)果補(bǔ)充和調(diào)整安全措施；b) 應(yīng)以書面形式描述對系統(tǒng)的安全保護(hù)要求、策略和措施等內(nèi)容，形成系統(tǒng)的安全方案；c) 應(yīng)對安全方案進(jìn)行細(xì)化，形成能指導(dǎo)安全系統(tǒng)建設(shè)、安全產(chǎn)品采購和使用的詳細(xì)設(shè)計方案；d) 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對安全設(shè)計方案的合理性和正確性進(jìn)行論證和審定，并且經(jīng)過批準(zhǔn)后，才能正式實施。 工程實施（G2）本項要求包括：a) 應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實施過程的管理；b) 應(yīng)制定詳細(xì)的工程實施方案，控制工程實施過程?！?系統(tǒng)運維管理 環(huán)境管理（G2）本項要求包括：a) 應(yīng)指定專門的部門或人員定期對機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)管理；b) 應(yīng)配備機(jī)房安全管理人員，對機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理；c) 應(yīng)建立機(jī)房安全管理制度，對有關(guān)機(jī)房物理訪問，物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理作出規(guī)定；d) 應(yīng)加強(qiáng)對辦公環(huán)境的保密性管理，包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等。 網(wǎng)絡(luò)安全管理（G2）本項要求包括：a) 應(yīng)指定人員對網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報警信息分析和處理工作；b) 應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補(bǔ)丁、口令更新周期等方面作出規(guī)定；c) 應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進(jìn)行更新，并在更新前對現(xiàn)有的重要文件進(jìn)行備份；d) 應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時的修補(bǔ)；e) 應(yīng)對網(wǎng)絡(luò)設(shè)備的配置文件進(jìn)行定期備份；f) 應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)?！?變更管理（G2）本項要求包括：a) 應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的重要變更，并制定相應(yīng)的變更方案；b) 系統(tǒng)發(fā)生重要變更前，應(yīng)向主管領(lǐng)導(dǎo)申請，審批后方可實施變更，并在實施后向相關(guān)人員通告。
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1