【正文】 全策略、安全配置、日志管理和日常操作流程等方面作出規(guī)定；e) 應依據(jù)操作手冊對系統(tǒng)進行維護，詳細記錄操作日志，包括重要的日常操作、運行維護記錄、參數(shù)的設置和修改等內(nèi)容，嚴禁進行未經(jīng)授權的操作；f) 應定期對運行日志和審計數(shù)據(jù)進行分析，以便及時發(fā)現(xiàn)異常行為?！?惡意代碼防范管理（G2）本項要求包括:a) 應提高所有用戶的防病毒意識，告知及時升級防病毒軟件，在讀取移動存儲設備上的數(shù)據(jù)以及網(wǎng)絡上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設備接入網(wǎng)絡系統(tǒng)之前也應進行病毒檢查；b) 應指定專人對網(wǎng)絡和主機進行惡意代碼檢測并保存檢測記錄；c) 應對防惡意代碼軟件的授權使用、惡意代碼庫升級、定期匯報等作出明確規(guī)定。　 密碼管理（G2） 應使用符合國家密碼管理規(guī)定的密碼技術和產(chǎn)品?！?變更管理（G2）本項要求包括:a) 應確認系統(tǒng)中要發(fā)生的重要變更，并制定相應的變更方案；b) 系統(tǒng)發(fā)生重要變更前，應向主管領導申請，審批后方可實施變更，并在實施后向相關人員通告?！?備份與恢復管理（G2）本項要求包括:a) 應識別需要定期備份的重要業(yè)務信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；b) 應規(guī)定備份信息的備份方式、備份頻度、存儲介質(zhì)、保存期等；c) 應根據(jù)數(shù)據(jù)的重要性及其對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復策略，備份策略指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和數(shù)據(jù)離站運輸方法?！?安全事件處置（G2）本項要求包括:a) 應報告所發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應嘗試驗證弱點；b) 應制定安全事件報告和處置管理制度，明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責； c) 應根據(jù)國家相關管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響，對本系統(tǒng)計算機安全事件進行等級劃分；d) 應記錄并保存所有報告的安全弱點和可疑事件，分析事件原因，監(jiān)督事態(tài)發(fā)展，采取措施避免安全事件發(fā)生?！?應急預案管理（G2）本項要求包括:a) 應在統(tǒng)一的應急預案框架下制定不同事件的應急預案，應急預案框架應包括啟動應急預案的條件、應急處理流程、系統(tǒng)恢復流程、事后教育和培訓等內(nèi)容；b) 應對安全管理員、系統(tǒng)管理員、網(wǎng)絡管理員等相關的人員進行應急預案培訓，應急預案的培訓應至少每年舉辦一次。（細化）8　 第三級基本要求　 技術要求　 物理安全　 物理位置的選擇（G3）本項要求包括:a) 機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內(nèi)；b) 機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁,如果不可避免，應采取有效防水措施。（落實）　 物理訪問控制（G3）本項要求包括:a) 機房各出入口應安排專人值守或配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；（增強）b) 進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；c) 應對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間應用物理方式隔斷，在重要區(qū)域前設置交付或安裝等過渡區(qū)域；（增強）d) 重要區(qū)域應配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員?！?防盜竊和防破壞（G3）本項要求包括:a) 應將主要設備放置在機房內(nèi)；b) 應將設備或主要部件進行固定，并設置明顯的不易除去的標記；c) 應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中；d) 應對介質(zhì)分類標識，存儲在介質(zhì)庫或檔案室中；e) 應利用光、電等技術設置機房防盜報警系統(tǒng)；f) 應對機房設置監(jiān)控報警系統(tǒng)?！?防雷擊（G3）本項要求包括:a) 機房建筑應設置避雷裝置；b) 應設置防雷保安器，防止感應雷；c) 機房應設置交流電源地線?！?防火（G3）本項要求包括:a) 機房應設置火災自動消防系統(tǒng)，能夠自動檢測火情、自動報警、自動滅火； b) 機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料；c) 機房應采取區(qū)域隔離防火措施，將重要設備與其他設備隔離開?！?防水和防潮（G3）本項要求包括:a) 主機房盡量避開水源，與主機房無關的給排水管道不得穿過主機房,與主機房相關的給排水管道必須有可靠的防滲漏措施；（落實）b) 應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；c) 應采取措施防止機房內(nèi)水蒸氣結露和地下積水的轉移與滲透；d) 應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警?！?防靜電（G3）本項要求包括:a) 主要設備采用必要的接地防靜電措施；b) 機房應采用防靜電地板?！?溫濕度控制（G3）機房應設置溫、濕度自動調(diào)節(jié)設施，使機房溫、濕度的變化在設備運行所允許的范圍之內(nèi)?！?電力供應（A3）本項要求包括:a) 應在機房供電線路上配置穩(wěn)壓器和過電壓防護設備；b) 應提供短期的備用電力供應，至少滿足主要設備在斷電情況下的正常運行要求；c) 設置冗余或并行的電力電纜線路為計算機系統(tǒng)供電，輸入電源應采用雙路自動切換供電方式；（增強）d) 應建立備用供電系統(tǒng)?！?電磁防護（S3）本項要求包括:a) 電源線和通信線纜應隔離鋪設，避免互相干擾；b) 應采用接地方式防止外界電磁干擾和設備寄生耦合干擾；c) 應對關鍵設備和磁介質(zhì)實施電磁屏蔽?！?網(wǎng)絡安全　 結構安全（G3）本項要求包括:a) 管理信息大區(qū)網(wǎng)絡與生產(chǎn)控制大區(qū)網(wǎng)絡應物理隔離；兩網(wǎng)之間有信息通信交換時應部署符合電力系統(tǒng)要求的單向隔離裝置；（新增）b) 管理信息大區(qū)網(wǎng)絡可進一步劃分為內(nèi)部網(wǎng)絡和外部網(wǎng)絡，兩網(wǎng)之間有信息通信交換時防護強度應強于邏輯隔離；（新增）c) 具有層次網(wǎng)絡結構的單位可統(tǒng)一提供互聯(lián)網(wǎng)出口；（新增）d) 單個系統(tǒng)應單獨劃分安全域，系統(tǒng)由獨立子網(wǎng)承載，每個域的網(wǎng)絡出口應唯一；（新增）e) 應保證主要網(wǎng)絡設備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰期需要；f) 應保證網(wǎng)絡各個部分的帶寬滿足業(yè)務高峰期需要；g) 應在業(yè)務終端與業(yè)務服務器之間進行路由控制建立安全的訪問路徑；h) 應繪制完整的網(wǎng)絡拓撲結構圖，有相應的網(wǎng)絡配置表，包含設備IP地址等主要信息，與當前運行情況相符；（增強）i) 應根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；j) 在業(yè)務高峰時段，現(xiàn)有寬帶不能滿足要求時，應按照對業(yè)務服務的重要次序來制定帶寬分配優(yōu)先級，保證在網(wǎng)絡發(fā)生擁堵的時候優(yōu)先保障重要業(yè)務服務的帶寬；（落實）k) 采用冗余技術設計網(wǎng)絡拓撲結構，提供主要網(wǎng)絡設備、通信線路的硬件冗余,避免關鍵節(jié)點存在單點故障。（增強）l) 在進行內(nèi)外網(wǎng)隔離的情況下，應將應用系統(tǒng)部署在內(nèi)網(wǎng)，如有外網(wǎng)交互功能的應用系統(tǒng)，可將前端部署在外網(wǎng)，數(shù)據(jù)庫部分部署在內(nèi)網(wǎng)。（新增）　 訪問控制（G3）本項要求包括:a) 應在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能；b) 應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；c) 應按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶。以撥號或VPN等方式接入網(wǎng)絡的，應采用強認證方式，并對用戶訪問權限進行嚴格限制；（增強）d) 應限制具有撥號、VPN等訪問權限的用戶數(shù)量；（增強）e) 應對進出網(wǎng)絡的信息內(nèi)容進行過濾，實現(xiàn)對應用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；f) 應在會話處于非活躍一定時間或會話結束后終止網(wǎng)絡連接；g) 在互聯(lián)網(wǎng)出口和核心網(wǎng)絡接口處應限制網(wǎng)絡最大流量數(shù)及網(wǎng)絡連接數(shù)；（細化）h) 重要網(wǎng)段應采取技術手段防止地址欺騙。　 安全審計（G3）本項要求包括:a) 應對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等進行日志記錄；b) 審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；c) 應能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表，網(wǎng)絡設備不支持的應采用第三方工具生成審計報表；（落實）d) 應對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等?！?邊界完整性檢查（S3）本項要求包括:a) 應能夠?qū)Ψ鞘跈嘣O備私自聯(lián)到內(nèi)部網(wǎng)絡的行為進行檢查，準確定出位置，并對其進行有效阻斷；b) 應能夠?qū)?nèi)部網(wǎng)絡用戶私自聯(lián)到外部網(wǎng)絡的行為進行檢查，準確定出位置，并對其進行有效阻斷?！?入侵防范（G3）本項要求包括:a) 應在網(wǎng)絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等； b) 當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應提供報警?！?惡意代碼防范（G3）本項要求包括:a) 應在網(wǎng)絡邊界處對惡意代碼進行檢測和清除；b) 應維護惡意代碼庫的升級和檢測系統(tǒng)的更新?！?網(wǎng)絡設備防護（G3）本項要求包括:a) 應對登錄網(wǎng)絡設備的用戶進行身份鑒別；b) 應對網(wǎng)絡設備的管理員登錄地址進行限制；c) 網(wǎng)絡設備標識應唯一；同一網(wǎng)絡設備的用戶標識應唯一；禁止多個人員共用一個賬號；（增強）d) 身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換。應修改默認用戶和口令，不得使用缺省口令，口令長度不得小于8位，要求是字母和數(shù)字或特殊字符的混合并不得與用戶名相同，口令應定期更換，并加密存儲；（增強）e) 主要網(wǎng)絡設備應對同一用戶選擇兩種或兩種以上組合的鑒別技術來進行身份鑒別；f) 應具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和當網(wǎng)絡登錄連接超時自動退出等措施；g) 當對網(wǎng)絡設備進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽；h) 應實現(xiàn)設備特權用戶的權限分離，系統(tǒng)不支持的應部署日志服務器保證管理員的操作能夠被審計，并且網(wǎng)絡特權用戶管理員無權對審計記錄進行操作；（細化）i) 應封閉不需要的網(wǎng)絡端口，關閉不需要的網(wǎng)絡服務。如需使用SNMP服務，應采用安全性增強版本；并應設定復雜的Community控制字段，不使用Public、Private等默認字段。（新增）　 主機安全　 身份鑒別（S3）本項要求包括:a) 對登錄操作系統(tǒng)的用戶進行身份標識和鑒別；b) 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換。口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令禁止相同；（細化）c) 啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施。限制同一用戶連續(xù)失敗登錄次數(shù)；（增強）d) 當對服務器進行遠程管理時，采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽；e) 應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性；f) 應采用兩種或兩種以上組合的鑒別技術對管理用戶進行身份鑒別?！?訪問控制（S3）本項要求包括:a) 應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；b) 應根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶的權限分離，僅授予管理用戶所需的最小權限；c) 應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離；d) 應限制默認帳戶的訪問權限，重命名系統(tǒng)默認帳戶，修改這些帳戶的默認口令；e) 應及時刪除多余的、過期的帳戶，避免共享帳戶的存在；f) 應對重要信息資源設置敏感標記，系統(tǒng)不支持設置敏感標記的，應采用專用安全設備生成敏感標記，用以支持強制訪問控制機制；（落實）g) 應依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作?！?安全審計（G3）本項要求包括:a) 審計范圍應覆蓋到服務器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；系統(tǒng)不支持該要求的，應以系統(tǒng)運行安全和效率為前提，采用第三方安全審計產(chǎn)品實現(xiàn)審計要求；（落實）b) 審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件，審計內(nèi)容至少包括：用戶的添加和刪除、審計功能的啟動和關閉、審計策略的調(diào)整、權限變更、系統(tǒng)資源的異常使用、重要的系統(tǒng)操作（如用戶登錄、退出）等；（細化）c) 審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等；d) 應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等；e) 應能夠通過操作系統(tǒng)自身功能或第三方工具根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；（細化）f) 應保護審計進程，避免受到未預期的中斷?！?剩余信息保護（S3）本項要求包括:a) 應保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。　 入侵防范（G3）本項要求包括:a) 操作系統(tǒng)應遵循最小安裝的原則，僅安裝必要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新，補丁安裝前應進行安全性和兼容性測試；（增強）b) 應能夠檢測到對重要服務器進行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警；c) 應能夠?qū)χ匾绦虻耐暾赃M行檢測，并具有完整性恢復的能力。（增強）　 惡意代碼防范（G3）本項要求包括:a) 應在本機安裝防惡意代碼軟件或獨立部署惡意代碼防護設備，并及時更新防惡意代碼軟件版本和惡意代碼庫； （細化）b) 應支持防惡意代碼的統(tǒng)一管理；c) 主機防惡意代碼產(chǎn)品應具有與網(wǎng)絡防惡意代碼產(chǎn)品不同的惡意代碼庫?！?資源控制（A3）本項要求包括:a) 應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄；b) 應根據(jù)安全策略設置登錄終端的操作超時鎖定；c) 應根據(jù)需要限制單個用戶對系統(tǒng)資源的最大或最小使用限度；（