【正文】 制點(diǎn)的增加不多，但在具體的控制點(diǎn)上增加了要求項，故整體的級差增強(qiáng)較顯著。安全項目強(qiáng)度的增強(qiáng)表現(xiàn)為：l 范圍增大：如，對主機(jī)系統(tǒng)安全的“安全審計”，二級只要求“審計范圍應(yīng)覆蓋到服務(wù)器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶”；而三級則在對象的范圍上發(fā)生了變化，為“審計范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；“。l 要求細(xì)化：如，人員安全管理中的“安全意識教育和培訓(xùn)”，二級要求“應(yīng)制定安全教育和培訓(xùn)計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進(jìn)行培訓(xùn)；”，而三級在對培訓(xùn)計劃進(jìn)行了進(jìn)一步的細(xì)化并要求應(yīng)有書面文件，為“應(yīng)對定期安全教育和培訓(xùn)進(jìn)行書面規(guī)定，針對不同崗位制定不同的培訓(xùn)計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進(jìn)行培訓(xùn)”，培訓(xùn)計劃有了針對性，更符合各個崗位人員的實(shí)際需要。由“用戶組”到“單個用戶”，粒度上的細(xì)化，同樣也增強(qiáng)了要求的強(qiáng)度。三者綜合體現(xiàn)了不同等級的安全要求的級差。物理安全是防護(hù)信息系統(tǒng)安全的最底層，缺乏物理安全，其他任何安全措施都是毫無意義的。具體包括：物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)和電磁防護(hù)等十個控制點(diǎn)。 一級物理安全要求：主要要求對物理環(huán)境進(jìn)行基本的防護(hù)，對出入進(jìn)行基本控制，環(huán)境安全能夠?qū)ψ匀煌{進(jìn)行基本的防護(hù)，電力則要求提供供電電壓的正常。 三級物理安全要求：對出入加強(qiáng)了控制，做到人、電子設(shè)備共同監(jiān)控；物理環(huán)境方面，進(jìn)一步采取各種控制措施來進(jìn)行防護(hù)。 四級物理安全要求：對機(jī)房出入的要求進(jìn)一步增強(qiáng)，要求多道電子設(shè)備監(jiān)控；物理環(huán)境方面，要求采用一定的防護(hù)設(shè)備進(jìn)行防護(hù)，如靜電消除裝置等。（以下同）另外兩個特點(diǎn)（要求項增加和要求項強(qiáng)度增強(qiáng)）將在以下控制點(diǎn)描述時具體展開。物理位置的正確選擇是保證系統(tǒng)能夠在安全的物理環(huán)境中運(yùn)行的前提，它在一定程度上決定了面臨的自然災(zāi)難以及可能的環(huán)境威脅。如果沒有正確的選擇物理位置，必然會造成后期為保護(hù)物理環(huán)境而投入大量資金、設(shè)備，甚至無法彌補(bǔ)。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此方面要求。三級：除二級要求外，對建筑物的樓層以及周圍環(huán)境也提出了要求。具體見下表4：要求項一級二級三級四級項目N/Aa) a)—b) a)—b) 合計0122 物理訪問控制物理訪問控制主要是對內(nèi)部授權(quán)人員和臨時外部外部人員進(jìn)出系統(tǒng)主要物理工作環(huán)境進(jìn)行人員控制。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求對進(jìn)出機(jī)房時進(jìn)行基本的出入控制。三級：除二級要求外，加強(qiáng)了對進(jìn)出機(jī)房時的控制手段，做到人員和電子設(shè)備共同控制，并對機(jī)房分區(qū)域管理。具體見下表5： 要求項一級二級三級四級項目a)a)—b)a)—d)a)—d)*合計1244+ 注：“*”代表該要求項同上級相比，在強(qiáng)度上增強(qiáng)，“+”代表此級的要求項在強(qiáng)度上較上一級增強(qiáng)（以下同）。因此，三級、四級雖在要求項目數(shù)量上是相同的（同為4項），但四級的要求項在強(qiáng)度上得到了增強(qiáng)，為4+。物理訪問控制主要側(cè)重在進(jìn)出口，這在一定程度上防止了設(shè)備的被盜，但在機(jī)房內(nèi)部，該控制點(diǎn)則無法提供保護(hù)。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要從設(shè)備的存放位置和設(shè)備本身兩方面考慮。三級：除二級要求外，主要加強(qiáng)了機(jī)房內(nèi)的監(jiān)控報警要求。具體見下表6：要求項一級二級三級四級項目a)－b) a)－e)a)－e)*f) a)－f)合計256+6其中，在三級，e）項相對于二級的e）項在強(qiáng)度上增強(qiáng)，即，明確強(qiáng)調(diào)了采用光電等控制裝置監(jiān)控機(jī)房內(nèi)情況。雷電對設(shè)備的破壞主要有兩類：直擊雷破壞，即雷電直擊在建筑物或設(shè)備上，使其發(fā)熱燃燒和機(jī)械劈裂破壞；另一類是感應(yīng)雷破壞，即雷電的第二次作用，強(qiáng)大的雷電磁場產(chǎn)生的電磁效應(yīng)和靜電效應(yīng)使金屬構(gòu)件產(chǎn)生高至數(shù)十萬伏的電壓。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要考慮建筑防雷。三級：除二級要求外，增加了具體設(shè)備防感應(yīng)雷措施。具體見下表7：要求項一級二級三級四級項目a) a)－b)a)－c)a)－c)合計1233 防火該控制點(diǎn)主要考慮采取各種措施防止火災(zāi)的發(fā)生以及發(fā)生后能夠及時滅火。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要要求基本的設(shè)備滅火。三級：除二級要求外，增加了從建筑材料、區(qū)域隔離等方面考慮的防火措施。具體見下表8：要求項一級二級三級四級項目a) a)*a)* b)－c)a) b)－c)合計11+3+3其中，在二級，雖然要求仍是采取設(shè)備滅火，但設(shè)備的功能性要求增強(qiáng)，即，能夠自動報警，仍然對于a）項，在三級進(jìn)一步得到增強(qiáng)，要求設(shè)備能夠自動檢測、報警和滅火。 防水和防潮該控制點(diǎn)主要是考慮防止室內(nèi)由于各種原因的積水、水霧或濕度太高造成設(shè)備運(yùn)行異常。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要從室內(nèi)水管、墻壁、屋頂?shù)确矫婵紤]防水防潮。三級：除二級要求外，增加了對室內(nèi)的防水檢測報警要求。具體見下表9：要求項一級二級三級四級項目a)－b）a) *—c）a)—d）a)—d）合計23+44其中，在二級，水管安裝要求不得穿過機(jī)房屋頂和活動地板下，去掉了在一級要求穿過機(jī)房的水管使用套管的要求，所以對于a）項，增強(qiáng)了要求，為a)*。大量靜電如果積聚在設(shè)備上，會導(dǎo)致磁盤讀寫錯誤、損壞磁頭、對CMOS靜電電路也會造成極大威脅。防靜電措施包括最基本的接地、到防靜電地板、設(shè)備防靜電等方面。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。三級：除二級要求外，對地板材料做出了防靜電要求。具體見下表10：要求項一級二級三級四級項目N/Aa)a) *—b）a) *—c）合計012+3+其中，在二級，要求“關(guān)鍵設(shè)備“接地防靜電，三級，要求“主要設(shè)備”，四級要求“設(shè)備”，所以對于a）項，在三級和四級都增強(qiáng)了要求，都為a)*。溫、濕度過高或過低都會對設(shè)備產(chǎn)生不利影響。低于40％的低濕度增加了靜電產(chǎn)生的危害。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求做到基本的溫濕度控制。三級：與二級要求相同。具體見下表11：要求項一級二級三級四級項目a)a)*a)a)合計11+11其中，對二級要求溫濕度能夠自動調(diào)節(jié)，因此a)應(yīng)為a) *。許多因素威脅到電力系統(tǒng)，最常見的是電力波動。應(yīng)控制電力在10％以內(nèi)的波動范圍。保證充足短期電力供應(yīng)措施是可配備不間斷電源（UPS），重要系統(tǒng)可配備備份供電系統(tǒng)，以備不時之需。二級：除一級要求外，要求能夠提供短期的電力供應(yīng)。四級：除三級要求外，短期備用供電范圍增大。 電磁防護(hù)現(xiàn)代通信技術(shù)是建立在電磁信號傳播的基礎(chǔ)上，而空間電磁場的開放特性決定了電磁泄漏是危及系統(tǒng)安全性的一個重要因素，電磁防護(hù)主要是提供對信息系統(tǒng)設(shè)備的電磁信號進(jìn)行保護(hù)，確保用戶信息在使用和傳輸過程中的安全性。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。三級：除二級要求外，增強(qiáng)了防護(hù)能力，要求設(shè)備接地并能夠做到部分電磁屏蔽。具體見下表13：要求項一級二級三級四級項目N/Aa)a)—c）a)—c）*合計0133+其中，在第三級對關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽的基礎(chǔ)上，要求對關(guān)鍵區(qū)域?qū)嵤╇姶牌帘?，范圍增加了，因此c)為c)*。一方面，確保網(wǎng)絡(luò)設(shè)備的安全運(yùn)行，提供有效的網(wǎng)絡(luò)服務(wù)，另一方面，確保在網(wǎng)上傳輸數(shù)據(jù)的保密性、完整性和可用性等。對網(wǎng)絡(luò)安全的保護(hù)，主要關(guān)注兩個方面：共享和安全。因此，必須在二者之間尋找恰當(dāng)?shù)钠胶恻c(diǎn)，使得在盡可能安全的情況下實(shí)現(xiàn)最大程度的資源共享，這是我們實(shí)現(xiàn)網(wǎng)絡(luò)安全的理想目標(biāo)。 ，在三個方面都有所體現(xiàn)。 二級網(wǎng)絡(luò)安全要求：不僅要滿足網(wǎng)絡(luò)安全運(yùn)行的基本保障，同時還要考慮網(wǎng)絡(luò)處理能力要滿足業(yè)務(wù)極限時的需要。同時，加強(qiáng)了網(wǎng)絡(luò)邊界的防護(hù)，增加了安全審計、邊界完整性檢查、入侵防范等控制點(diǎn)。 三級網(wǎng)絡(luò)安全要求：對網(wǎng)絡(luò)處理能力增加了“優(yōu)先級”考慮，保證重要主機(jī)能夠在網(wǎng)絡(luò)擁堵時仍能夠正常運(yùn)行；網(wǎng)絡(luò)邊界的訪問控制擴(kuò)展到應(yīng)用層，網(wǎng)絡(luò)邊界的其他防護(hù)措施進(jìn)一步增強(qiáng)，不僅能夠被動的“防”，還應(yīng)能夠主動發(fā)出一些動作，如報警、阻斷等。 四級網(wǎng)絡(luò)安全要求：對網(wǎng)絡(luò)邊界的訪問控制做出了更為嚴(yán)格的要求，禁止遠(yuǎn)程撥號訪問，不允許數(shù)據(jù)帶通用協(xié)議通過；邊界的其他防護(hù)措施也加強(qiáng)了要求。網(wǎng)絡(luò)設(shè)備的防護(hù)，在身份鑒別手段上除要求兩種技術(shù)外，其中一種鑒別技術(shù)必須是不可偽造的，進(jìn)一步加強(qiáng)了對網(wǎng)絡(luò)設(shè)備的防護(hù)。1. 結(jié)構(gòu)安全 在對網(wǎng)絡(luò)安全實(shí)現(xiàn)全方位保護(hù)之前，首先應(yīng)關(guān)注整個網(wǎng)絡(luò)的資源分布、架構(gòu)是否合理。通常，一個機(jī)構(gòu)是由多個業(yè)務(wù)部門組成，各部門的地位、重要性不同，部門所要處理的信息重要性也不同，因此，需要對整個網(wǎng)絡(luò)進(jìn)行子網(wǎng)劃分。其在不同級別主要表現(xiàn)為： 一級：要求網(wǎng)絡(luò)資源方面能夠為網(wǎng)絡(luò)的正常運(yùn)行提供基本的保障。 三級：除二級要求外，增加了“處理優(yōu)先級”考慮，以保證重要主機(jī)能夠正常運(yùn)行。 具體見下表15：要求項一級二級三級四級項目a)－c)a)* b)* d) a)*b)*c)*—g) a)*—g) 合計34+7+7+ 在二級，a) b)控制點(diǎn)在網(wǎng)絡(luò)資源（設(shè)備處理能力、帶寬）加強(qiáng)了力度，不僅要求滿足基本的業(yè)務(wù)需要，更應(yīng)滿足業(yè)務(wù)高峰時的網(wǎng)絡(luò)正常運(yùn)行。在三級，a) b)控制點(diǎn)在第二級要求的“關(guān)鍵網(wǎng)絡(luò)設(shè)備”、“接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)”的基礎(chǔ)上在網(wǎng)絡(luò)范圍上增加了，要求“”主要網(wǎng)絡(luò)設(shè)備“、“網(wǎng)絡(luò)各個部分的帶寬”，因此，a) b)項在強(qiáng)度上都有所增強(qiáng)。2. 訪問控制 對于網(wǎng)絡(luò)而言，最重要的一道安全防線就是邊界，邊界上匯聚了所有流經(jīng)網(wǎng)絡(luò)的數(shù)據(jù)流，必須對其進(jìn)行有效的監(jiān)視和控制。有連接，必有數(shù)據(jù)間的流動，因此在邊界處，重要的就是對流經(jīng)的數(shù)據(jù)（或者稱進(jìn)出網(wǎng)絡(luò)）進(jìn)行嚴(yán)格的訪問控制。如果說，網(wǎng)絡(luò)訪問控制是從數(shù)據(jù)的角度對網(wǎng)絡(luò)中流動的數(shù)據(jù)進(jìn)行控制，那么，撥號訪問控制則是從用戶的角度對遠(yuǎn)程訪問網(wǎng)絡(luò)的用戶進(jìn)行控制。 該控制點(diǎn)在不同級別主要表現(xiàn)為： 一級：主要在網(wǎng)絡(luò)邊界處對經(jīng)過的數(shù)據(jù)進(jìn)行包頭信息的過濾，以控制數(shù)據(jù)的進(jìn)出網(wǎng)絡(luò)，對用戶進(jìn)行基本的訪問控制。 三級：在二級要求的基礎(chǔ)上，將過濾的力度擴(kuò)展到應(yīng)用層，即根據(jù)應(yīng)用的不同而過濾，對設(shè)備接入網(wǎng)絡(luò)進(jìn)行了一定的限制。 具體見下表16：要求項一級二級三級四級項目a)b)c)a)b)c)*d) a)b)*—h) a)—d) 合計34+8+4 二級與一級相比，在對數(shù)據(jù)的過濾上由一級包頭信息過濾增強(qiáng)為對會話信息的過濾，過濾的粒度增強(qiáng)，使得網(wǎng)絡(luò)訪問控制的強(qiáng)度增強(qiáng)。對用戶訪問粒度的變化（由用戶組到單個用戶）是該要求項的主要特點(diǎn)。3. 安全審計 如果將安全審計僅僅理解為“日志記錄”功能，那么目前大多數(shù)的操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備都有不同程度的日志功能。安全審計并非日志功能的簡單改進(jìn)，也并非等同于入侵檢測。通過對以上方面的記錄分析，形成報表，并在一定情況下發(fā)出報警、阻斷等動作。由于各個網(wǎng)絡(luò)產(chǎn)品產(chǎn)生的安全事件記錄格式也不統(tǒng)一，難以進(jìn)行綜合分析，因此，集中審計已成為網(wǎng)絡(luò)安全審計發(fā)展的必然趨勢。 二級：要求對網(wǎng)絡(luò)設(shè)備運(yùn)行、網(wǎng)絡(luò)流量等基本情況進(jìn)行記錄。同時對審計記錄提出了保護(hù)要求。 具體見下表17：要求項一級二級三級四級項目N/Aa) b）a)—d) a)－f）合計02464. 邊界完整性檢查 雖然網(wǎng)絡(luò)采取了防火墻、IDS等有效的技術(shù)手段對邊界進(jìn)行了防護(hù)，但如果內(nèi)網(wǎng)用戶在邊界處通過其他手段接入內(nèi)網(wǎng)（如無線網(wǎng)卡、雙網(wǎng)卡、modem撥號上網(wǎng)），這些邊界防御則形同虛設(shè)。 該控制點(diǎn)在不同級別主要表現(xiàn)為： 一級：無此要求。 三級：在二級的基礎(chǔ)上，能檢測到非授權(quán)設(shè)備私自外聯(lián)，而且能夠準(zhǔn)確定位并阻斷。 具體見下表18：要求項一級二級三級四級項目N/Aa) a)—b)* a)－b）合計012+2在三級，b)項是二級中的增強(qiáng)項，要求不但能夠檢測到，而且能夠準(zhǔn)確定位并阻斷。但其也有局限性，它只能對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行分析，對網(wǎng)絡(luò)內(nèi)部發(fā)生的事件則無能為力。 該控制點(diǎn)在不同級別主要表現(xiàn)為： 一級：無此要求。 三級：在二級要求的基礎(chǔ)上，不僅能夠檢測，并能發(fā)出報警。 具體見下表19：要求項一級二級三級四級項目N/Aa) a)—b) a)－b)*合計0122+ 四級要求較三級，在強(qiáng)度上增強(qiáng)，當(dāng)檢測到入侵事件時，不僅要求能夠發(fā)出報警，并能夠自動采取相應(yīng)動作，這對入侵檢測系統(tǒng)的要求就比較高。根據(jù)對惡意代碼引入的源頭進(jìn)行分析，可以得出，隨著互聯(lián)網(wǎng)的不斷發(fā)展，從網(wǎng)絡(luò)上引入到本地的惡意代碼占絕大多數(shù)。部署了相應(yīng)的網(wǎng)絡(luò)防病毒產(chǎn)品后，并不代表“萬事大吉”了，根據(jù)統(tǒng)計，平均每個月有300種新的病毒被發(fā)現(xiàn)，如果產(chǎn)品惡意代碼庫跟不上這一速度，其實(shí)際檢測效率可能會大大降低，因此，必須及時地、自動更新產(chǎn)品中的惡意代碼定義。 該控制點(diǎn)在不同級別主要表現(xiàn)為： 一級：無此要求。 三級：要求能夠在網(wǎng)絡(luò)邊界處防范惡意代碼，并保持代碼庫的及時更新。 具體見下表20：要求項一級二級三級四級項目N/AN/A a)－b） a)－b） 合計00227. 網(wǎng)絡(luò)設(shè)備防護(hù) 對網(wǎng)絡(luò)安全的防護(hù)，除了對網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)邊界部署相應(yīng)的安全措施外，另外一個重要的方面就是對實(shí)現(xiàn)這些控制要求的網(wǎng)絡(luò)設(shè)備的保護(hù)。因此，網(wǎng)絡(luò)設(shè)備的防護(hù)主要是對用戶登錄前后的行為進(jìn)行控制。 二級：對登錄要求進(jìn)