計算機信息系統(tǒng)等級保護二級基本要求(存儲版)
【正文】 a) 應能夠對重要信息進行備份和恢復；b) 應提供關鍵網(wǎng)絡設備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的可用性?！?審核和檢查（G2）安全管理員應負責定期進行安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況?！?產(chǎn)品采購和使用（G2）本項要求包括：a) 應確保安全產(chǎn)品采購和使用符合國家的有關規(guī)定；b) 應確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求；c) 應指定或授權專門的部門負責產(chǎn)品的采購?！?資產(chǎn)管理（G2）本項要求包括：a) 應編制與信息系統(tǒng)相關的資產(chǎn)清單，包括資產(chǎn)責任部門、重要程度和所處位置等內(nèi)容；b) 應建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責任人員或責任部門，并規(guī)范資產(chǎn)管理和使用的行為?！?備份與恢復管理（G2）本項要求包括：a) 應識別需要定期備份的重要業(yè)務信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；b) 應規(guī)定備份信息的備份方式、備份頻度、存儲介質、保存期等；c) 應根據(jù)數(shù)據(jù)的重要性及其對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復策略，備份策略指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質替換頻率和數(shù)據(jù)離站運輸方法?！?密碼管理（G2）應使用符合國家密碼管理規(guī)定的密碼技術和產(chǎn)品。 安全服務商選擇（G2）本項要求包括：a) 應確保安全服務商的選擇符合國家的有關規(guī)定；b) 應與選定的安全服務商簽訂與安全相關的協(xié)議，明確約定相關責任；c) 應確保選定的安全服務商提供技術支持和服務承諾，必要的與其簽訂服務合同?！?系統(tǒng)建設管理 系統(tǒng)定級（G2）本項要求包括：a) 應明確信息系統(tǒng)的邊界和安全保護等級； b) 應以書面的形式說明信息系統(tǒng)確定為某個安全保護等級的方法和理由；c) 應確保信息系統(tǒng)的定級結果經(jīng)過相關部門的批準?！?授權和審批（G2）本項要求包括：a) 應根據(jù)各個部門和崗位的職責明確授權審批部門及批準人，對系統(tǒng)投入運行、網(wǎng)絡系統(tǒng)接入和重要資源的訪問等關鍵活動進行審批； b) 應針對關鍵活動建立審批流程，并由批準人簽字確認?！?數(shù)據(jù)安全及備份恢復 數(shù)據(jù)完整性（S2）應能夠檢測到鑒別信息和重要業(yè)務數(shù)據(jù)在傳輸過程中完整性受到破壞?！?資源控制（A2）本項要求包括：a) 應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄；b) 應根據(jù)安全策略設置登錄終端的操作超時鎖定；c) 應限制單個用戶對系統(tǒng)資源的最大或最小使用限度?！?邊界完整性檢查（S2）應能夠對內(nèi)部網(wǎng)絡中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡的行為進行檢查?！?防靜電（G2）關鍵設備應采用必要的接地防靜電措施?！?物理訪問控制（G2）本項要求包括：a) 機房出入口應安排專人值守，控制、鑒別和記錄進入的人員；b) 需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍?！?電磁防護（S2）電源線和通信線纜應隔離鋪設，避免互相干擾?！?主機安全 身份鑒別（S2）本項要求包括：a) 應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別；b) 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換；c) 應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施；d) 當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽；e) 應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性?！?安全審計（G2）本項要求包括：a) 應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計；b) 應保證無法刪除、修改或覆蓋審計記錄；c) 審計記錄的
環(huán)評公示相關推薦
鄂ICP備17016276號-1