等保二級基本要求-預(yù)覽頁
【正文】 、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等?！?安全審計（G2）本項要求包括：a) 審計范圍應(yīng)覆蓋到服務(wù)器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；b) 審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；c) 審計記錄應(yīng)包括事件的日期、時間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；d) 應(yīng)保護審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等?！?應(yīng)用安全 身份鑒別（S2）本項要求包括：a) 應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標(biāo)識和鑒別；b) 應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用；c) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；d) 應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。 通信保密性（S2）本項要求包括：a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進行會話初始化驗證；b) 應(yīng)對通信過程中的敏感信息字段進行加密?！?數(shù)據(jù)保密性（S2）應(yīng)采用加密或其他保護措施實現(xiàn)鑒別信息的存儲保密性。 評審和修訂（G2）應(yīng)定期對安全管理制度進行評審，對存在不足或需要改進的安全管理制度進行修訂?！?溝通和合作（G2）本項要求包括：a) 應(yīng)加強各類管理人員之間、組織內(nèi)部機構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通；b) 應(yīng)加強與兄弟單位、公安機關(guān)、電信公司的合作與溝通?！?人員考核（G2）應(yīng)定期對各個崗位的人員進行安全技能及安全認(rèn)知的考核?！?安全方案設(shè)計（G2）本項要求包括：a) 應(yīng)根據(jù)系統(tǒng)的安全保護等級選擇基本安全措施，依據(jù)風(fēng)險分析的結(jié)果補充和調(diào)整安全措施；b) 應(yīng)以書面形式描述對系統(tǒng)的安全保護要求、策略和措施等內(nèi)容，形成系統(tǒng)的安全方案；c) 應(yīng)對安全方案進行細化，形成能指導(dǎo)安全系統(tǒng)建設(shè)、安全產(chǎn)品采購和使用的詳細設(shè)計方案；d) 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)對安全設(shè)計方案的合理性和正確性進行論證和審定，并且經(jīng)過批準(zhǔn)后，才能正式實施?！?工程實施（G2）本項要求包括：a) 應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實施過程的管理；b) 應(yīng)制定詳細的工程實施方案，控制工程實施過程?！?系統(tǒng)運維管理 環(huán)境管理（G2）本項要求包括：a) 應(yīng)指定專門的部門或人員定期對機房供配電、空調(diào)、溫濕度控制等設(shè)施進行維護管理；b) 應(yīng)配備機房安全管理人員，對機房的出入、服務(wù)器的開機或關(guān)機等工作進行管理；c) 應(yīng)建立機房安全管理制度，對有關(guān)機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定；d) 應(yīng)加強對辦公環(huán)境的保密性管理，包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等。 網(wǎng)絡(luò)安全管理（G2）本項要求包括：a) 應(yīng)指定人員對網(wǎng)絡(luò)進行管理，負(fù)責(zé)運行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護和報警信息分析和處理工作；b) 應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規(guī)定；c) 應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進行更新，并在更新前對現(xiàn)有的重要文件進行備份；d) 應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時的修補；e) 應(yīng)對網(wǎng)絡(luò)設(shè)備的配置文件進行定期備份；f) 應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)?！?變更管理（G2）本項要求包括：a) 應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的重要變更，并制定相應(yīng)的變更方案；b) 系統(tǒng)發(fā)生重要變更前，應(yīng)向主管領(lǐng)導(dǎo)申請，審批后方可實施變更，并在實施后向相關(guān)人員通告。
公司管理相關(guān)推薦
鄂ICP備17016276號-1