【正文】 安全事件處置1） 所有用戶均有責(zé)任報告自己發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗證弱點；2） 應(yīng)制定安全事件報告和處置管理制度，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)；3） 應(yīng)分析信息系統(tǒng)的類型、網(wǎng)絡(luò)連接特點和信息系統(tǒng)用戶特點，了解本系統(tǒng)和同類系統(tǒng)已發(fā)生的安全事件，識別本系統(tǒng)需要防止發(fā)生的安全事件，事件可能來自攻擊、錯誤、故障、事故或災(zāi)難；4） 應(yīng)根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法，根據(jù)安全事件在本系統(tǒng)產(chǎn)生的影響，將本系統(tǒng)計算機安全事件進行等級劃分；5） 應(yīng)記錄并保存所有報告的安全弱點和可疑事件，分析事件原因，監(jiān)督事態(tài)發(fā)展，采取措施避免安全事件發(fā)生。惡意代碼防范管理1） 應(yīng)提高所用用戶的防病毒意識，告知及時升級防病毒軟件；2） 應(yīng)在讀取移動存儲設(shè)備（如軟盤、移動硬盤、光盤）上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也要進行病毒檢查；3） 應(yīng)指定專人對網(wǎng)絡(luò)和主機的進行惡意代碼檢測并保存檢測記錄；4） 應(yīng)對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出明確管理規(guī)定。設(shè)備管理1） 應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)施、設(shè)備、線路等指定專人或?qū)ｉT的部門定期進行維護管理；2） 應(yīng)對信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放或領(lǐng)用等過程建立基于申報、審批和專人負責(zé)的管理規(guī)定；3） 應(yīng)對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進行規(guī)范化管理；4） 應(yīng)對帶離機房或辦公地點的信息處理設(shè)備進行控制； 5） 應(yīng)按操作規(guī)程實現(xiàn)服務(wù)器的啟動/停止、加電/斷電等操作，加強對服務(wù)器操作的日志文件管理和監(jiān)控管理，應(yīng)按安全策略的要求對網(wǎng)絡(luò)及設(shè)備進行配置，并對其定期進行檢查。安全服務(wù)商選擇1） 應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定。工程實施1） 應(yīng)與工程實施單位簽訂與安全相關(guān)的協(xié)議，約束工程實施單位的行為；2） 應(yīng)指定或授權(quán)專門的人員或部門負責(zé)工程實施過程的管理；3） 應(yīng)制定詳細的工程實施方案控制實施過程。安全方案設(shè)計1） 應(yīng)根據(jù)系統(tǒng)的安全級別選擇基本安全措施，依據(jù)風(fēng)險分析的結(jié)果補充和調(diào)整安全措施；2） 應(yīng)以書面的形式描述對系統(tǒng)的安全保護要求和策略、安全措施等內(nèi)容，形成系統(tǒng)的安全方案；3） 應(yīng)對安全方案進行細化，形成能指導(dǎo)安全系統(tǒng)建設(shè)和安全產(chǎn)品采購的詳細設(shè)計方案；4） 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對安全設(shè)計方案的合理性和正確性進行論證和審定；5） 應(yīng)確保安全設(shè)計方案必須經(jīng)過批準(zhǔn)，才能正式實施。1） 應(yīng)立即終止由于各種原因即將離崗的員工的所有訪問權(quán)限；2） 應(yīng)取回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備；3） 應(yīng)經(jīng)機構(gòu)人事部門辦理嚴格的調(diào)離手續(xù)，并承諾調(diào)離后的保密義務(wù)后方可離開。1） 應(yīng)制定信息安全工作的總體方針、政策性文件和安全策略等，說明機構(gòu)安全工作的總體目標(biāo)、范圍、方針、原則、責(zé)任等；2） 應(yīng)對安全管理活動中的各類管理內(nèi)容建立安全管理制度，以規(guī)范安全管理活動，約束人員的行為方式；3） 應(yīng)對要求管理人員或操作人員執(zhí)行的日常管理操作，建立操作規(guī)程，以規(guī)范操作行為，防止操作失誤；4） 應(yīng)形成由安全政策、安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系；5） 應(yīng)由安全管理職能部門定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進行審定。1） 應(yīng)配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員等；2） 應(yīng)配備專職安全管理人員，不可兼任；3） 關(guān)鍵崗位應(yīng)定期輪崗。數(shù)據(jù)安全數(shù)據(jù)完整性1） 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸過程中完整性受到破壞；2） 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在存儲過程中完整性受到破壞。通信保密性1） 當(dāng)通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；2） 在通信雙方建立連接之前，利用密碼技術(shù)進行會話初始化驗證；3） 在通信過程中，應(yīng)對敏感信息字段進行加密。1） 應(yīng)依據(jù)安全策略控制用戶對客體的訪問；2） 自主訪問控制的覆蓋范圍應(yīng)包括與信息安全直接相關(guān)的主體、客體及它們之間的操作；3） 自主訪問控制的粒度應(yīng)達到主體為用戶級，客體為文件、數(shù)據(jù)庫表級；4） 應(yīng)由授權(quán)主體設(shè)置用戶對系統(tǒng)功能操作和對數(shù)據(jù)訪問的權(quán)限；5） 應(yīng)實現(xiàn)應(yīng)用系統(tǒng)特權(quán)用戶的權(quán)限分離，例如將管理與審計的權(quán)限分配給不同的應(yīng)用系統(tǒng)用戶；6） 權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授予不同用戶各自為完成自己承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系；7） 應(yīng)嚴格限制默認用戶的訪問權(quán)限。1） 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；2） 應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。自主訪問控制1） 應(yīng)依據(jù)安全策略控制主體對客體的訪問；2） 自主訪問控制的覆蓋范圍應(yīng)包括與信息安全直接相關(guān)的主體、客體及它們之間的操作；3） 自主訪問控制的粒度應(yīng)達到主體為用戶級，客體為文件、數(shù)據(jù)庫表級；4） 應(yīng)由授權(quán)主體設(shè)置對客體訪問和操作的權(quán)限；5） 應(yīng)嚴格限制默認用戶的訪問權(quán)限。網(wǎng)絡(luò)入侵防范1） 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊、網(wǎng)絡(luò)蠕蟲攻擊等入侵事件的發(fā)生。網(wǎng)絡(luò)訪問控制1） 應(yīng)能根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信息的主機名等信息，并應(yīng)支持地址通配符的使用），為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力。溫濕度控制1） 應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。1） 應(yīng)將主要設(shè)備放置在物理受限的范圍內(nèi)；2） 應(yīng)對設(shè)備或主要部件進行固定，并設(shè)置明顯的無法除去的標(biāo)記；3） 應(yīng)將通信線纜鋪設(shè)在隱蔽處，如鋪設(shè)在地下或管道中等；4） 應(yīng)對介質(zhì)分類標(biāo)識，存儲在介質(zhì)庫或檔案室中；5） 設(shè)備或存儲介質(zhì)攜帶出工作環(huán)境時，應(yīng)受到監(jiān)控和內(nèi)容加密；6） 應(yīng)利用光、電等技術(shù)設(shè)置機房的防盜報警系統(tǒng)，以防進入機房的盜竊和破壞行為；7） 應(yīng)對機房設(shè)置監(jiān)控報警系統(tǒng)。物理訪問控制1） 機房出入口應(yīng)有專人值守，鑒別進入的人員身份并登記在案；2） 應(yīng)批準(zhǔn)進入機房的來訪人員，限制和監(jiān)控其活動范圍。防水和防潮1） 水管安裝，不得穿過屋頂和活動地板下；2） 應(yīng)對穿過墻壁和樓板的水管增加必要的保護措施，如設(shè)置套管；3） 應(yīng)采取措施防止雨水通過屋頂和墻壁滲透；4） 應(yīng)采取措施防止室內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。1） 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；2） 電源線和通信線纜應(yīng)隔離，避免互相干擾；3） 對重要設(shè)備和磁介質(zhì)實施電磁屏蔽。1） 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行全面的監(jiān)測、記錄；2） 對于每一個事件，其審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功，及其他與審計相關(guān)的信息；3） 安全審計應(yīng)可以根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；4） 安全審計應(yīng)可以對特定事件，提供指定方式的實時報警；5） 審計記錄應(yīng)受到保護避免受到未預(yù)期的刪除、修改或覆蓋等。1） 應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；2） 應(yīng)對網(wǎng)絡(luò)上的對等實體進行身份鑒別；3） 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制；4） 網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一；5） 身份鑒別信息應(yīng)具有不易被冒用的特點，例如口令長度、復(fù)雜性和定期的更新等；6） 應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進行身份鑒別；7） 應(yīng)具有登錄失敗處理功能，如：結(jié)束會話、限制非法登錄次數(shù)，當(dāng)網(wǎng)絡(luò)登錄連接超時，自動退出；8） 應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離，例如將管理與審計的權(quán)限分配給不同的網(wǎng)絡(luò)設(shè)備用戶。系統(tǒng)保護1） 系統(tǒng)應(yīng)提供在管理維護狀態(tài)中運行的能力，管理維護狀態(tài)只能被系統(tǒng)管理員使用。應(yīng)用安全身份鑒別1） 應(yīng)用系統(tǒng)用戶的身份標(biāo)識應(yīng)具有唯一性；2） 應(yīng)對登錄的用戶進行身份標(biāo)識和鑒別；3） 系統(tǒng)用戶身份鑒別信息應(yīng)具有不易被冒用的特點，例如口令長度、復(fù)雜性和定期的更新等；4） 應(yīng)具有登錄失敗處理功能，如：結(jié)束會話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時，自動退出。通信完整性1） 通信雙方應(yīng)約定單向的校驗碼算法，計算通信數(shù)據(jù)報文的校驗碼，在進行通信時，雙方根據(jù)校驗碼判斷對方報文的有效性。1） 應(yīng)限制單個用戶的多重并發(fā)會話；2） 應(yīng)對應(yīng)用系統(tǒng)的最大并發(fā)會話連接數(shù)進行限制；3） 應(yīng)對一個時間段內(nèi)可能的并發(fā)會話連接數(shù)進行限制；4） 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定和鑒別失敗鎖定，并規(guī)定解鎖或終止方式；5） 應(yīng)禁止同一用戶賬號在同一時間內(nèi)并發(fā)登錄；6） 應(yīng)對一個訪問用戶或一個請求進程占用的資源分配最大限額和最小限額；7） 應(yīng)根據(jù)安全屬性（用戶身份、訪問地址、時間范圍等）允許或拒絕用戶建立會話連接；8） 當(dāng)系統(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值時，應(yīng)能檢測和報警；9） 應(yīng)根據(jù)安全策略設(shè)定主體的服務(wù)優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源，保證優(yōu)先級低的主體處理能力不會影響到優(yōu)先級高的主體的處理能力。二、 管理要求管理要求項二級等保三級等保安全管理機構(gòu)崗位設(shè)置1） 應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管人、安全管理各個方面的負責(zé)人崗位，定義各負責(zé)人的職責(zé)；2） 應(yīng)設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員崗位，定義各個工作崗位的職責(zé)；3） 應(yīng)制定文件明確安全管理機構(gòu)各個部門和崗位的職責(zé)、分工和技能要求。審核和檢查1） 應(yīng)由安全管理人員定期進行安全檢查，檢查內(nèi)容包括用戶賬號情況、系統(tǒng)漏洞情況、系統(tǒng)審計情況等。人員安全管理人員錄用1） 應(yīng)保證被錄用人具備基本的專業(yè)技術(shù)水平和安全管理知識；2） 應(yīng)對被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進行審查；3） 應(yīng)對被錄用人所具備的技術(shù)技能進行考核；4） 應(yīng)對被錄用人說明其角色和職責(zé)；5） 應(yīng)簽署保密協(xié)議。1） 第三方人員應(yīng)在訪問前與機構(gòu)簽署安全責(zé)任合同書或保密協(xié)議；2） 對重要區(qū)域的訪問，須提出書面申請，批準(zhǔn)后由專人全程陪同或監(jiān)督，并記錄備案；3） 對第三方人員允許訪問的區(qū)域、系統(tǒng)、設(shè)備、信息等內(nèi)容應(yīng)進行書面的規(guī)定，并按照規(guī)定執(zhí)行。1） 應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開；2） 應(yīng)確保系統(tǒng)開發(fā)文檔由專人負責(zé)保管，系統(tǒng)開發(fā)文檔的使用受到控制；3） 應(yīng)制定開發(fā)方面的管理制度明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則；4） 應(yīng)確保開發(fā)人員和測試人員的分離，測試數(shù)據(jù)和測試結(jié)果受到控制；5） 應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南；6） 應(yīng)確保對程序資源庫的修改、更新、發(fā)布進行授權(quán)和批準(zhǔn)。1） 應(yīng)明確系統(tǒng)的交接手續(xù)，并按照交接手續(xù)完成交接工作；2） 應(yīng)由系統(tǒng)建設(shè)方完成對委托建設(shè)方的運維技術(shù)人員的培訓(xùn)；3） 應(yīng)由系統(tǒng)建設(shè)方提交系統(tǒng)建設(shè)過程中