信息系統(tǒng)安全等級保護三級評測內(nèi)容-文庫吧資料
2025-04-19 04:28本頁面
【正文】 人員錄用；b)應規(guī)范人員錄用過程，對被錄用人的身份、背景、專業(yè)資格和資質等進行審查，對其所具有的技術技能進行考核；c)應與從事關鍵崗位的人員簽署保密協(xié)議。 授權和審批（G2）a)應根據(jù)各個部門和崗位的職責明確授權審批部門和批準人，對系統(tǒng)投入運行、網(wǎng)絡系統(tǒng)接入和重要資源的訪問等關鍵活動進行審批；b)應針對關鍵活動建立審批程序，并由批準人簽字確認?！?備份和恢復（A2）a)應能夠對重要信息進行備份和恢復；b)應提供關鍵網(wǎng)絡設備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的可用性。指標及檢查表：信息系統(tǒng)安全等級保護基本要求數(shù)據(jù)安全及備份恢復 數(shù)據(jù)安全及備份恢復 數(shù)據(jù)完整性（S2）應能夠檢測到鑒別信息和重要業(yè)務數(shù)據(jù)在傳輸過程中完整性受到破壞?！?資源控制（A2）a)當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話；b)應能夠對應用系統(tǒng)的最大并發(fā)會話連接數(shù)進行限制；c)應能夠對單個帳戶的多重并發(fā)會話進行限制?！?通信保密性（S2）a)在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證；b)應對通信過程中的敏感信息字段進行加密?！?安全審計（G2）a)應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計；b)應保證無法刪除、修改或覆蓋審計記錄；c)審計記錄的內(nèi)容至少應包括事件日期、時間、發(fā)起者信息、類型、描述和結果等。指標及檢測內(nèi)容：信息系統(tǒng)安全等級保護基本要求應用安全 應用安全 身份鑒別（S2）a)應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；b)應提供用戶身份標識唯一和鑒別信息復雜度檢查功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用；c)應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施；d)應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關參數(shù)。 資源控制（A2）a)應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄；b)應根據(jù)安全策略設置登錄終端的操作超時鎖定；c)應限制單個用戶對系統(tǒng)資源的最大或最小使用限度。 入侵防范（G2）a)操作系統(tǒng)應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新?！?訪問控制（S2）a)應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；b)應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離；c)應限制默認帳戶的訪問權限，重命名系統(tǒng)默認帳戶，修改這些帳戶的默認口令；d)應及時刪除多余的、過期的帳戶，避免共享帳戶的存在。主機系統(tǒng)安全對象包括：服務器、數(shù)據(jù)庫管理系統(tǒng)?！?入侵防范（G2）a) 應在網(wǎng)絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等?！?安全審計（G2）a)應對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等進行日志記錄；b)審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；。指標及檢測內(nèi)容：信息系統(tǒng)安全等級保護基本要求網(wǎng)絡安全1 網(wǎng)絡安全 結構安全（G2）a)應保證關鍵網(wǎng)絡設備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰期需要；b)應保證接入網(wǎng)絡和核心網(wǎng)絡的帶寬滿足業(yè)務高峰期需要；c)應繪制與當前運行情況相符的網(wǎng)絡拓撲結構圖；d)應根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段。 電磁防護（S2）a) 電源線和通信線纜應隔離鋪設，避免互相干擾。 溫濕度控制（G2）a)機房應設置溫、濕度自動調(diào)節(jié)設
公司管理相關推薦
鄂ICP備17016276號-1