【文章內(nèi)容簡介】 進行限制， 禁止在內(nèi)部網(wǎng)絡中的任何終端 均可 登陸到管理系統(tǒng) ，應在管理系統(tǒng)前的防火墻 上做好 訪問控制。 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換； 系統(tǒng)管理員的登錄身份標識應唯一，口令應 至少 12 位 以上，且數(shù)字和字母大小寫組合，每 半年 應更改 一次。 應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施； 當?shù)卿洿螖?shù)錯誤超過 6次 ，應自動退出并告警 評定內(nèi)容 ?主機安全解讀 2 基本要求指標項 實施建議 應及時刪除多余的、過期的帳戶，避免共享帳戶的存在。 應定期（ 每半年 ）清理服務器中多余、過期的賬戶 。 應 能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表； 審計分析系統(tǒng)應具有這些功能，并 對異常行為 實時 告警 。 應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。 審計記錄至少應保存 半年 。 評定內(nèi)容 等級測評內(nèi)容： 身份鑒別 應用安全 (三級 ) 訪問控制 通信完整性 通信保密性 安全審計 剩余信息保護 抗抵賴 軟件容錯 資源控制 評定內(nèi)容 ?應用安全解讀 基本要求指標項 實施建議 應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別 可采用 堡壘機 等方式，對登錄用戶的身份進行標識 和鑒別。 應由授權主體配置訪問控制策略，并嚴格限制默認帳戶的 訪問 權限； 在應用服務器和數(shù)據(jù)庫服務器前 部署網(wǎng)關或 授權管理系統(tǒng) ，對主體配置訪問控制策略。 當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何 響應 ，另一方應能夠自動結束會話； 如果通信雙方中有一方在 10分鐘 內(nèi)未作任何響 應，則應自動結束會話，釋放網(wǎng)絡連接。 應能夠?qū)ο到y(tǒng)服務水平降低到預先規(guī)定的最小值進行檢測和報警； 在網(wǎng)絡管理系統(tǒng)或安全管理系統(tǒng)中， 對重要 服務器 運行狀況設定門限值 ，實時監(jiān)測，低于 門限值時 ，應及時告警。 評定內(nèi)容 等級測評內(nèi)容： 數(shù)據(jù)完整性 數(shù)據(jù)安全 (三級 ) 數(shù)據(jù)保密性 安全備份 評定內(nèi)容 ?數(shù)據(jù)安全解讀 基本要求指標項 實施建議 應采用加密或其他保護措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息 和重要 業(yè)務數(shù)據(jù)存儲保密性。 在數(shù)據(jù)存儲前， 增設安全加密網(wǎng)關設備 ，通過 密碼 技術對重要數(shù)據(jù)實現(xiàn)加密存儲。 應提供本地數(shù)據(jù)備份與恢復功能，完全數(shù)據(jù)備份至少每天 一次 ，備份介質(zhì)場外存放； 對 網(wǎng)絡管理和安全管理系統(tǒng)等重要信息系統(tǒng) 應 提供 本地的數(shù)據(jù)備份和恢復功能，并按要求備份。 應提供異地數(shù)據(jù)備份功能，利用通信網(wǎng)絡將關鍵數(shù)據(jù)定時 批量 傳送至備用場地； 對重要信息系統(tǒng)的數(shù)據(jù)，應提供異地數(shù)據(jù)備份 的功能 ，定時批量或增量備份， 數(shù)據(jù)異地備份 至少每月一 次 。 應提供主要網(wǎng)絡設備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件 冗余 ，保證系統(tǒng)的高可用性。 廣域網(wǎng)和城域網(wǎng)的關鍵設備應采用 雙電源、雙 引擎 ，通信線路應采用 環(huán)型或雙鏈路 等手段， 保證網(wǎng)絡 的高可用性。 評定內(nèi)容 等級測評內(nèi)容： 崗 位設置 安全管理機構 (三級 ) 人員配備 授權和審批 溝 通不合作 審核和檢查 評定內(nèi)容 等級測評內(nèi)容： 管理制度 安全管理制度 (三級 ) 制訂和發(fā)布 評審和修訂 安全管理制度一般是文檔化的，被正式制定、評審、發(fā)布和修訂，內(nèi)容包括策略、制度、規(guī)程、表格和記錄等，構成一個塔式結構的文檔體系。 評定內(nèi)容 等級測評內(nèi)容： 人員錄用 人員安全管理 (三級 ) 人員離崗 人員考核 安全意識教育和培訓 外部人員訪問管理 評定內(nèi)容 等級測評內(nèi)容： 系統(tǒng)定級 系統(tǒng)建設管理 (三級 ) 安全方案設計 產(chǎn)品采購和使用 自行軟件開發(fā) 外包軟件開發(fā) 工程實施 測試驗收 系統(tǒng)交付 安全服務商選擇 系統(tǒng)備案 評定內(nèi)容 等級測評內(nèi)容： 環(huán)境管理 系統(tǒng)運維管理 (三級 ) 資產(chǎn)管理 設備管理 介質(zhì)管理 運行管理和監(jiān)控管理 網(wǎng)絡安全管理 系統(tǒng)安全管理 惡意代碼防范管理 變更管理 密碼管理 備份和恢復管理 安全事件處置 應急預案管理 評定內(nèi)容 ?管理安全解讀 基本要求指標項 實施建議 安全管理員應負責定期進行安全檢查，檢查內(nèi)容包括系統(tǒng) 日常 運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況； 安全管理員應至少 每月 對管轄的系統(tǒng)和設備日 志、系統(tǒng)漏洞、數(shù)據(jù)備份情況檢查一次。 應對關鍵崗位的人員進行全面、嚴格的安全審查和技能 考核 ； 考察內(nèi)容主要應包括 技能、工作責任心、保密 意識 和工作態(tài)度、再學習能力 等各方面。 應 在軟件安裝之前檢測軟件包中可能存在的惡意代碼； 應用軟件上線前，應委托 第三方對軟件中可能 存在 的惡意代碼專門進行檢測 ，并提交檢測報告。 應指定和授權專門的部門對信息系統(tǒng)的安全建設進行 總體規(guī)劃 ，制定近期和遠期的安全建設工作計劃； 可委托 信息化工程建設咨詢單位 對管轄內(nèi)的 政務外 網(wǎng)安全建設進行總體規(guī)劃。 評定內(nèi)容 ?管理安全解讀 2 基本要求指標項 實施建議 應指定或授權專門的部門或人員負責工程實施過程的管理； 應 采用監(jiān)理制 ，加強工程實施過程中的 管理 。 應對通信線路、主機、網(wǎng)絡設備和應用軟件的運行狀況、 網(wǎng)絡 流量、