新机房建设等保要求Word下载.docx
《新机房建设等保要求Word下载.docx》由会员分享,可在线阅读,更多相关《新机房建设等保要求Word下载.docx(92页珍藏版)》请在冰豆网上搜索。
控其活动范围;
人员,限制和监控其活动
3)应对机房划分区域进行管理,区域和区
范围。
域之间设置物理隔离装置,在重要区域
前设置交付或安装等过度区域;
4)应对重要区域配置电子门禁系统,鉴别
和记录进入的人员身份并监控其活动。
防盗
1)应将主要设备放置在物
1)应将主要设备放置在物理受限的范围
窃和
理受限的范围内;
内;
防破
2)应对设备或主要部件进
2)应对设备或主要部件进行固定,并设置
坏
行固定,并设置明显的不
明显的无法除去的标记;
易除去的标记;
3)应将通信线缆铺设在隐蔽处,如铺设在
3)应将通信线缆铺设在隐
地下或管道中等;
蔽处,如铺设在地下或管
4)应对介质分类标识,存储在介质库或档
道中等;
案室中;
4)应对介质分类标识,存储
5)设备或存储介质携带出工作环境时,应
在介质库或档案室中;
受到监控和内容加密;
5)应安装必要的防盗报警
6)应利用光、电等技术设置机房的防盗报
设施,以防进入机房的盗
警系统,以防进入机房的盗窃和破坏行
窃和破坏行为。
为;
7)应对机房设置监控报警系统。
防雷
1)机房建筑应设置避雷装
1)机房建筑应设置避雷装置;
击
置;
2)应设置防雷保安器,防止感应雷;
2)应设置交流电源地线。
3)应设置交流电源地线。
防火
1)应设置灭火设备和火灾
1)应设置火灾自动消防系统,自动检测火
自动报警系统,并保持灭
情、自动报警,并自动灭火;
火设备和火灾自动报警
2)机房及相关的工作房间和辅助房,其建
系统的良好状态。
筑材料应具有耐火等级;
3)机房采取区域隔离防火措施,将重要设
备与其他设备隔离开。
防水
1)水管安装,不得穿过屋顶
1)水管安装,不得穿过屋顶和活动地板下;
和防
和活动地板下;
2)应对穿过墙壁和楼板的水管增加必要的
潮
2)应对穿过墙壁和楼板的
保护措施,如设置套管;
水管增加必要的保护措
3)应采取措施防止雨水通过屋顶和墙壁渗
施,如设置套管;
透;
3)应采取措施防止雨水通
4)应采取措施防止室内水蒸气结露和地下
过屋顶和墙壁渗透;
积水的转移与渗透。
4)应采取措施防止室内水
蒸气结露和地下积水的
转移与渗透。
防静
1)应采用必要的接地等防
1)应采用必要的接地等防静电措施;
电
静电措施
2)应采用防静电地板。
温湿
1)应设置温、湿度自动调节
1)应设置恒温恒湿系统,使机房温、湿度
度控
设施,使机房温、湿度的
的变化在设备运行所允许的范围之内。
制
变化在设备运行所允许
的范围之内。
电力
1)计算机系统供电应与其
1)计算机系统供电应与其他供电分开;
供应
他供电分开;
2)应设置稳压器和过电压防护设备;
2)应设置稳压器和过电压
3)应提供短期的备用电力供应(如UPS设
防护设备;
备);
3)应提供短期的备用电力
4)应设置冗余或并行的电力电缆线路;
供应(如UPS设备)。
5)应建立备用供电系统(如备用发电机),
以备常用供电系统停电时启用。
1)应采用接地方式防止外
1)应采用接地方式防止外界电磁干扰和设
电磁
界电磁干扰和设备寄生
备寄生耦合干扰;
防护
耦合干扰;
2)电源线和通信线缆应隔离,避免互相干
2)电源线和通信线缆应隔
扰;
离,避免互相干扰。
3)对重要设备和磁介质实施电磁屏蔽。
网络
结构
1)网络设备的业务处理能
1)网络设备的业务处理能力应具备冗余空
力应具备冗余空间,要求
间,要求满足业务高峰期需要;
与网
满足业务高峰期需要;
2)应设计和绘制与当前运行情况相符的网
段划
2)应设计和绘制与当前运
络拓扑结构图;
分
行情况相符的网络拓扑
3)应根据机构业务的特点,在满足业务高
结构图;
峰期需要的基础上,合理设计网络带宽;
3)应根据机构业务的特点,
4)应在业务终端与业务服务器之间进行路
在满足业务高峰期需要
由控制建立安全的访问路径;
的基础上,合理设计网络
5)应根据各部门的工作职能、重要性、所
带宽;
涉及信息的重要程度等因素,划分不同
4)应在业务终端与业务服
的子网或网段,并按照方便管理和控制
务器之间进行路由控制,
的原则为各子网、网段分配地址段;
建立安全的访问路径;
6)重要网段应采取网络层地址与数据链路
5)应根据各部门的工作职
层地址绑定措施,防止地址欺骗;
能、重要性、所涉及信息
7)应按照对业务服务的重要次序来指定带
的重要程度等因素,划分
宽分配优先级别,保证在网络发生拥堵
不同的子网或网段,并按
的时候优先保护重要业务数据主机。
照方便管理和控制的原
则为各子网、网段分配地
址段;
6)重要网段应采取网络层
地址与数据链路层地址
绑定措施,防止地址欺
骗。
1)应能根据会话状态信息
1)应能根据会话状态信息(包括数据包的
(包括数据包的源地址、
源地址、目的地址、源端口号、目的端
目的地址、源端口号、目
口号、协议、出入的接口、会话序列号、
的端口号、协议、出入的
发出信息的主机名等信息,并应支持地
接口、会话序列号、发出
址通配符的使用),为数据流提供明确的
信息的主机名等信息,并
允许/拒绝访问的能力;
应支持地址通配符的使
2)应对进出网络的信息内容进行过滤,实
用),为数据流提供明确的允许/拒绝访问的能力。
拨号
1)应在基于安全属性的允许远程用户对系统访问的规则的基础上,对系统所有资源允许或拒绝用户进行访问,控制粒度为单个用户;
2)应限制具有拨号访问权限的用户数量。
现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制;
3)应依据安全策略允许或者拒绝便携式和移动式设备的网络接入;
4)应在会话处于非活跃一定时间或会话结束后终止网络连接;
5)应限制网络最大流量数及网络连接数。
1)应在基于安全属性的允许远程用户对系
统访问的规则的基础上,对系统所有资
源允许或拒绝用户进行访问,控制粒度
为单个用户;
2)应限制具有拨号访问权限的用户数量;
审计
1)应对网络系统中的网络设备运行状况、网络流量、用户行为等事件进行日志记录;
2)对于每一个事件,其审计记录应包括:
事件的日期和时间、用户、事件类型、事件是否成功,及其他与审计相关的信息。
3)应按用户和系统之间的允许访问规则,决定允许用户对受控系统进行资源访问。
1)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录;
2)对于每一个事件,其审计记录应包括:
事件的日期和时间、用户、事件类型、
事件是否成功,及其他与审计相关的信
3)安全审计应可以根据记录数据进行分
析,并生成审计报表;
4)安全审计应可以对特定事件,提供指定
方式的实时报警;
5)审计记录应受到保护避免受到未预期的删除、修改或覆盖等。
边界
1)
应能够检测内部网络中
应能够检测内部网络中出现的内部用户
完整
出现的内部用户未通过
未通过准许私自联到外部网络的行为
性检
准许私自联到外部网络
查
的行为(即“非法外联”
(即“非法外联”行为);
行为)。
2)
应能够对非授权设备私自联到网络的行
为进行检查,并准确定出位置,对其进
行有效阻断;
3)
应能够对内部网络用户私自联到外部网
络的行为进行检测后准确定出位置,并
对其进行有效阻断。
应在网络边界处监视以
应在网络边界处应监视以下攻击行为:
入侵
下攻击行为:
端口扫描、
端口扫描、强力攻击、木马后门攻击、
防范
强力攻击、木马后门攻
击、拒绝服务攻击、缓冲
拒绝服务攻击、缓冲区溢出攻击、IP碎
区溢出攻击、IP碎片攻
片攻击、网络蠕虫攻击等入侵事件的发
击、网络蠕虫攻击等入侵
生;
事件的发生。
当检测到入侵事件时,应记录入侵的源
IP、攻击的类型、攻击的目的、攻击的
时间,并在发生严重入侵事件时提供报
警。
恶意
应在网络边界及核心业
应在网络边界及核心业务网段处对恶意
代码
务网段处对恶意代码进
代码进行检测和清除;
行检测和清除;
应维护恶意代码库的升
应维护恶意代码库的升级和检测系统的
级和检测系统的更新;
更新;
应支持恶意代码防范的
应支持恶意代码防范的统一管理。
统一管理。
应对登录网络设备的用
应对登录网络设备的用户进行身份鉴
设备
户进行身份