等级保护三级等保三级基本要求.docx

等级保护三级等保三级基本要求.docx

《等级保护三级等保三级基本要求.docx》由会员分享，可在线阅读，更多相关《等级保护三级等保三级基本要求.docx（48页珍藏版）》请在冰豆网上搜索。

等级保护三级等保三级基本要求

级别保护第三级基本规定

实行建议

残留问题

物理安全

物理位置选取（G3）

本项规定包括：

a）机房和办公场地应选取在具有防震、防风和防雨等能力建筑内；

b）机房场地应避免设在建筑物高层或地下室，和用水设备下层或隔壁。

普通选取在建筑物2-3层。

（同B类安全机房选址规定。

）

物理访问控制（G3）

本项规定包括：

a）机房出入口应安排专人值守，控制、鉴别和记录进入人员；

b）需进入机房来访人员应通过申请和审批环节，并限制和监控其活动范畴；

c）应对机房划分区域进行管理，区域和区域之间设立物理隔离装置，在核心区域前设立交付或安装等过渡区域；

d）核心区域应配备电子门禁系统，控制、鉴别和记录进入人员。

核心区域物理隔离，并安装电子门禁系统（北京天宇飞翔，深圳微耕，瑞士KABA或德国KABAGallenschutz）

防盗窃和防破坏（G3）

本项规定包括：

a）应将核心设备放置在机房内；

b）应将设备或核心部件进行固定，并设立明显不易除去标记；

使用机柜并在设备上焊接铭牌，标明设备型号、负责保管人员、维护单位等信息。

（设备铭牌只能被破坏性地去除。

）

c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；

d）应对介质分类标记，存储在介质库或档案室中；

e）应运用光、电等技术设立机房防盗报警系统；

机房安装光电防盗报警系统。

f）应对机房设立监控报警系统。

机房安装视频监控报警系统。

防雷击（G3）

本项规定包括：

a）机房建筑应设立避雷装置；

b）应设立防雷保安器，防止感应雷；

安装电源三级防雷器和信号二级防雷器（美国克雷太ALLTEC）。

c）机房应设立交流电源地线。

防火（G3）

本项规定包括：

a）机房应设立火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火；

安装有管网气体自动灭火系统。

b）机房及有关工作房间和辅助房应采用具有耐火级别建筑材料；

进行机房改造，使用防火材料装修。

c）机房应采用区域隔离防火办法，将核心设备和其他设备隔离开。

进行机房改造，核心区域使用防火玻璃隔断。

防水和防潮（G3）

本项规定包括：

a）水管安装，不得穿过机房屋顶和活动地板下；

b）应采用办法防止雨水通过机房窗户、屋顶和墙壁渗入；

c）应采用办法防止机房内水蒸气结露和地下积水转移和渗入；

d）应安装对水敏感检测仪表或元件，对机房进行防水检测和报警。

安装机房动力环境监控系统（对机房设备运营状态、温度、湿度、干净度、供电电压、电流、频率、配电系统开关状态、测漏系统等进行实时监控并记录历史数据），其中含漏水检测装置。

防静电（G3）

本项规定包括：

a）核心设备应采用必须接地防静电办法；

b）机房应采用防静电地板。

温湿度控制（G3）

机房应设立温、湿度自动调节设施，使机房温、湿度变化在设备运营所允许范畴之内。

安装精密空调系统，配备温湿度检测装置，并接入动力环境监控系统。

电力供应（A3）

本项规定包括：

a）应在机房供电线路上配备稳压器和过电压防护设备；

配备线路稳压器和电源保护装置（如金属氧化物可变电阻、硅雪崩二极管、气体放电管、滤波器、电压调节变压器和浪涌滤波器）。

b）应提供短期备用电力供应，至少满足核心设备在断电状况下正常运营规定；

为核心设备配备UPS。

c）应设立冗余或并行电力电缆线路为计算机系统供电；

d）应建立备用供电系统。

提供备用供电系统，并根据对业务恢复时间规定，制定备用供电系统切换时间。

电磁防护（S3）

本项规定包括：

a）应采用接地办法防止外界电磁干扰和设备寄生耦合干扰；

b）电源线和通信线缆应隔离铺设，避免互相干扰；

c）应对核心设备和磁介质实行电磁屏蔽。

采用屏蔽机柜。

网络安全

构造安全（G3）

本项规定包括：

a）应保证核心网络设备业务解决能力具有冗余空间，满足业务高峰期需要；

b）应保证网络各个某些带宽满足业务高峰期需要；

c）应在业务终端和业务服务器之间进行路由控制建立安全访问途径；

d）应绘制和当前运营状况相符网络拓扑构造图；

e）应根据各部门工作职能、核心性和所包括信息核心限度等因素，划分不同样子网或网段，并依照以便管理和控制原则为各子网、网段分派地址段；

f）应避免将核心网段布置在网络边界处且直接连接外部信息系统，核心网段和其他网段之间采用可靠技术隔离手段；

核心网段和其他网段之间采用防火墙或网闸进行隔离。

g）应依照对业务服务核心顺序来指定带宽分派优先级别，保证在网络发生拥堵时候优先保护核心主机。

在各种业务共用网络设备上配备QOS。

访问控制（G3）

本项规定包括：

a）应在网络边界布置访问控制设备，启用访问控制功能；

b）应能根据会话状态信息为数据流提供明确允许/回绝访问能力，控制粒度为端口级；

c）应对进出网络信息内容进行过滤，实现相应用层HTTP、FTP、TELNET、SMTP、POP3等合同命令级控制；

d）应在会话处在非活跃一定期间或会话结束后终结网络连接；

e）应限制网络最大流量数及网络连接数；

f）核心网段应采用技术手段防止地址欺骗；

g）应按顾客和系统之间允许访问规则，决定允许或回绝顾客对受控系统进行资源访问，控制粒度为单个顾客；

h）应限制具有拨号访问权限顾客数量。

在网络边界布置防火墙。

安全审计（G3）

本项规定包括：

a）应对网络系统中网络设备运营状况、网络流量、顾客行为等进行日记记录；

b）审计记录应包括：

事件日期和时间、顾客、事件类型、事件与否成功及其他和审计有关信息；

c）应可以根据记录数据进行分析，并生成审计报表；

d）应对审计记录进行保护，避免受到未预期删除、修改或覆盖等。

布置专业日记审计系统。

边界完整性检查（S3）

本项规定包括：

a）应可以对非授权设备擅自联到内部网络行为进行检查，正拟定出位置，并对其进行有效阻断；

布置终端安全管理系统，运用IP/MAC绑定及ARP阻断功能实现非法接入控制。

b）应可以对内部网络顾客擅自联到外部网络行为进行检查，正拟定出位置，并对其进行有效阻断。

布置终端安全管理系统，提供非法外联监控功能。

入侵防范（G3）

本项规定包括：

a）应在网络边界处监视如下袭击行为：

端口扫描、强力袭击、木马后门袭击、回绝服务袭击、缓冲区溢出袭击、IP碎片袭击和网络蠕虫袭击等；

b）当检测到袭击行为时，记录袭击源IP、袭击类型、袭击目的、袭击时间，在发生严重入侵事件时应提供报警。

布置入侵检测系统。

恶意代码防范（G3）

本项规定包括：

a）应在网络边界处对恶意代码进行检测和清除；

b）应维护恶意代码库升级和检测系统更新。

布置病毒过滤网关系统。

网络设备防护（G3）

本项规定包括：

a）应对登录网络设备顾客进行身份鉴别；

b）应对网络设备管理员登录地址进行限制；

c）网络设备顾客标记应唯一；

d）核心网络设备应对同一顾客选取两种或两种以上组合鉴别技术来进行身份鉴别；

e）身份鉴别信息应具有不易被冒用特点，口令应有复杂度规定并定期更换；

f）应具有登录失败解决功能，可采用结束会话、限制非法登录次数和当网络登录连接超时自动退出等办法；

g）当对网络设备进行远程管理时，应采用必须办法防止鉴别信息在网络传播过程中被窃听；

采用动态电子令牌身份认证系统（如RSASecurID）。

h）应实现设备特权顾客权限分离。

主机安全

身份鉴别（S3）

本项规定包括：

a）应对登录操作系统和数据库系统顾客进行身份标记和鉴别；

b）操作系统和数据库系统管理顾客身份标记应具有不易被冒用特点，口令应有复杂度规定并定期更换；

c）应启用登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等办法；

d）当对服务器进行远程管理时，应采用必须办法，防止鉴别信息在网络传播过程中被窃听；

e）应为操作系统和数据库系统不同样顾客分派不同样顾客名，保证顾客名具有唯一性。

采用操作系统和数据库系统安全评估和加固服务。

f）应采用两种或两种以上组合鉴别技术对管理顾客进行身份鉴别。

采用动态电子令牌身份认证系统（如RSASecurID）。

访问控制（S3）

本项规定包括：

a）应启用访问控制功能，根据安全方略控制顾客对资源访问；

b）应根据管理顾客角色分派权限，实现管理顾客权限分离，仅授予管理顾客所需最小权限；

c）应实现操作系统和数据库系统特权顾客权限分离；

d）应严格限制默认帐户访问权限，重命名系统默认帐户，修改这些帐户默认口令；

e）应及时删除多余、过期帐户，避免共享帐户存在。

f）应对核心信息资源设立敏感标记；

g）应根据安全方略严格控制顾客对有敏感标记核心信息资源操作；

采用安全操作系统（如某些国产Linux操作系统或B1级操作系统）或在C2级操作系统中安装内核加固软件（如浪潮SSR服务器安全加固系统-合用Windows）。

安全审计（G3）

本项规定包括：

a）审计范畴应覆盖到服务器和核心顾客端上每个操作系统顾客和数据库顾客；

b）审计内容应包括核心顾客行为、系统资源异常使用和核心系统命令使用等系统内核心安全有关事件；

c）审计记录应包括事件日期、时间、类型、主体标记、客体标记和成果等；

服务器启动日记功能；核心顾客端安装终端安全管理软件进行审计。

d）应可以根据记录数据进行分析，并生成审计报表；

采用专业日记审计系统。

e）应保护审计进程，避免受到未预期中断；

服务器采用安全操作系统或安装内核加固软件，对审计进程进行守护，防止进程中断；核心顾客端终端安全管理代理进程具有自我保护机制。

f）应保护审计记录，避免受到未预期删除、修改或覆盖等。

采用专业日记审计系统。

剩余信息保护（S3）

本项规定包括：

a）应保证操作系统和数据库系统顾客鉴别信息所在存储空间，被释放或再分派给其他顾客前得到完全清除，不论这些信息是存储在硬盘上还是在内存中；

b）应保证系统内文献、目录和数据库记录等资源所在存储空间，被释放或重新分派给其他顾客前得到完全清除。

采用安全操作系统（如某些国产Linux操作系统或B1级操作系统）或安装Windows平台剩余信息保护软件。

（同客体重用。

）

入侵防范（G3）

本项规定包括：

a）应可以检测到对核心服务器进行入侵行为，可以记录入侵源IP、袭击类型、袭击目的、袭击时间，并在发生严重入侵事件时提供报警；

采用主机或网络入侵检测系统。

b）应可以对核心程序完整性进行检测，并在检测到完整性受到破坏后具有恢复办法；

采用安全操作系统或安装内核加固软件。

c）操作系统应遵循最小安装原则，仅安装需要组件和应用程序，并通过设立升级服务器等办法保持系统补丁及时得到更新。

采用操作系统安全评估和加固服务，并布置补丁服务器。

恶意代码防范（G3）

本项规定包括：

a）应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；

b）主机防恶意代码产品应具有和网络防恶意代码产品不同样恶意代码库；

c）应支持防恶意代码统一管理。

安装网络版防病毒软件并和病毒过滤网关异构。

资源控制（A3）

本项规定包括：

a）应通过设定终端接入办法、网络地址范畴等条件限制终端登录；

b）应根据安全方略设立登录终端操作超时锁定；

采用操作系统安全评估和加固服务。

c）应对核心服务器进行监视，包括监视服务器CPU、硬盘、内存、网络等资源使用状况；

d）应限制单个顾客对系统资源最大或最小使用限度；

e）应可以对系统服务水平减少到预先规定最小值进行检测和报警。

采用操作系统附带或第三方资源监控软件。

应用安全

身份鉴别（S3）

本项规定包括：

a）应提供专用登录控制模块对登录顾客进行身份标记和鉴别；

进行应用系统二次开发。

b）应对同一顾客采用两种或两种以上组合鉴别技术实现顾客身份鉴别；

c）应提供顾客身份标记唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复顾客身份标记，身份鉴别信息不易被冒用；

采用数字证书身份认证系统。

d）应提供登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等办法；

e）应启用身份鉴别、顾客身份标记唯一性检查、顾客身份鉴别信息复杂度检查和登录失败解决功能，并根据安全方略配备有关参数。

进行应用系统二次开发。

访问控制（S3）

本项规定包括：

a）应提供访问控制功能，根据安全方略控制顾客对文献、数据库表等客体访问；

b）访问控制覆盖范畴应包括和资源访问有关主体、客体及它们之间操作；

c）应由授权主体配备访问控制方略，并严格限制默认帐户访问权限；

d）应授予不同样帐户为完毕各自承担任务所需最小权限，并在它们之间形成互相制约关系。

进行应用系统二次开发，并结合采用第三方身份认证和访问控制系统。

e）应具有对核心信息资源设立敏感标记功能；

f）应根据安全方略严格控制顾客对有敏感标记核心信息资源操作；

借助安全操作系统或内核加固软件提供强制访问控制功能实现。

安全审计（G3）

本项规定包括：

a）应提供覆盖到每个顾客安全审计功能，相应用系统核心安全事件进行审计；

b）应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

c）审计记录内容至少应包括事件日期、时间、建议者信息、类型、描述和成果等；

d）应提供对审计记录数据进行记录、查询、分析及生成审计报表功能。

采用网络审计结合日记审计实现；应用服务器采用安全操作系统或安装内核加固软件，对审计进程进行守护，防止进程中断。

剩余信息保护（S3）

本项规定包括：

a）应保证顾客鉴别信息所在存储空间被释放或再分派给其他顾客前得到完全清除，不论这些信息是存储在硬盘上还是在内存中；

b）应保证系统内文献、目录和数据库记录等资源所在存储空间被释放或重新分派给其他顾客前得到完全清除。

同主机安全。

通信完整性（S3）

应采用密码技术保证通信过程中数据完整性。

通信保密性（S3）

本项规定包括：

a）在通信双方建立连接之前，应用系统应运用密码技术进行会话初始化验证；

b）应对通信过程中整个报文或会话过程进行加密。

抗抵赖（G3）

本项规定包括：

a）应具有在祈求状况下为数据原发者或接受者提供数据原发证据功能；

b）应具有在祈求状况下为数据原发者或接受者提供数据接受证据功能。

采用SSL或IPSEC技术，结合基于数字证书PKI体系。

软件容错（A3）

本项规定包括：

a）应提供数据有效性检查功能，保证通过人机接口输入或通过通信接口输入数据格式或长度符合系统设定规定；

b）应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统可以进行恢复。

进行应用系统二次开发。

资源控制（A3）

本项规定包括：

a）当应用系统通信双方中一方在一段时间内未作任何响应，另一方应可以自动结束会话；

b）应可以对系统最大并发会话连接数进行限制；

c）应可以对单个帐户多重并发会话进行限制；

d）应可以对一种时间段内也许并发会话连接数进行限制；

e）应可以对一种访问帐户或一种祈求进程占用资源分派最大限额和最小限额；

f）应可以对系统服务水平减少到预先规定最小值进行检测和报警；

g）应提供服务优先级设定功能，并在安装后根据安全方略设定访问帐户或祈求进程优先级，根据优先级分派系统资源。

进行应用系统二次开发或采用第三方应用监控系统。

数据安全及备份恢复

数据完整性（S3）

本项规定包括：

a）应可以检测到系统管理数据、鉴别信息和核心业务数据在传播过程中完整性受到破坏，并在检测到完整性错误时采用必须恢复办法；

采用SSL或IPSEC技术，结合基于数字证书PKI体系。

b）应可以检测到系统管理数据、鉴别信息和核心业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采用必须恢复办法。

运用安全操作系统或安装内核加固软件提供文献完整性保护功能或数据库系统提供完整性保护功能。

数据保密性（S3）

本项规定包括：

a）应采用加密或其他有效办法实现系统管理数据、鉴别信息和核心业务数据传播保密性；

采用SSL或IPSEC技术，结合基于数字证书PKI体系。

b）应采用加密或其他保护办法实现系统管理数据、鉴别信息和核心业务数据存储保密性。

运用操作系统和数据库系统提供加密存储机制。

备份和恢复（A3）

本项规定包括：

a）应提供本地数据备份和恢复功能，完全数据备份至少每天一次，备份介质场外存储；

采用磁带机或光盘备份。

b）应提供异地数据备份功能，运用通信网络将核心数据定期批量传送至备用场地；

采用异地数据备份机制。

c）应采用冗余技术设计网络拓扑构造，避免核心节点存在单点故障；

核心节点设备采用双机热备份。

d）应提供核心网络设备、通信线路和数据解决系统硬件冗余，保证系统高可用性。

核心网络设备、服务器双机热备份，核心通信线路双线路备份。

管理规定

安全管理制度

管理制度（G3）

本项规定包括：

a）应制定信息安全工作总体方针和安全方略，阐明机构安全工作总体目的、范畴、原则和安全框架等；

b）应对安全管理活动中各类管理内容建立安全管理制度；

c）应对规定管理人员或操作人员实行寻常管理操作建立操作规程；

d）应形成由安全方略、管理制度、操作规程等构成全面信息安全管理制度体系。

制定和发布（G3）

本项规定包括：

a）应指定或授权专门部门或人员负责安全管理制度制定；

b）安全管理制度应具有统一格式，并进行版本控制；

c）应组织有关人员对制定安全管理制度进行论证和审定；

d）安全管理制度应通过正式、有效办法发布；

e）安全管理制度应注明发布范畴，并对收发文进行登记。

评审和修订（G3）

本项规定包括：

a）信息安全领导小组应负责定期组织有关部门和有关人员对安全管理制度体系合理性和合用性进行审定；

b）应定期或不定期对安全管理制度进行检查和审定，对存在局限性或需要改进安全管理制度进行修订。

安全管理征询服务，协助顾客建立全面信息安全管理制度体系，包括制定安全方略、管理制度和操作规程等，并协助顾客对管理制度进行发布、评审和修订。

安全管理机构

岗位设立（G3）

本项规定包括：

a）应设立信息安全管理工作职能部门，设立安全主管、安全管理各个方面负责人岗位，并定义各负责人职责；

b）应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位职责；

c）应成立指引和管理信息安全工作委员会或领导小组，其最高领导由单位主管领导委任或授权；

d）应制定文献明确安全管理机构各个部门和岗位职责、分工和技能规定。

人员配备（G3）

本项规定包括：

a）应配备一定数量系统管理员、网络管理员、安全管理员等；

b）应配备专职安全管理员，不可兼任；

c）核心事务岗位应配备多人共同管理。

授权和审批（G3）

本项规定包括：

a）应根据各个部门和岗位职责明确授权审批事项、审批部门和批准人等；

b）应针对系统变更、核心操作、物理访问和系统接入等事项建立审批程序，依照审批程序实行审批过程，对核心活动建立逐级审批制度；

c）应定期审查审批事项，及时更新需授权和审批项目、审批部门和审批人等信息；

d）应记录审批过程并保存审批文档。

沟通和合伙（G3）

本项规定包括：

a）应加强各类管理人员之间、组织内部机构之间和信息安全职能部门内部合伙和沟通，定期或不定期召开协调会议，共同协作解决信息安全问题；

b）应加强和兄弟单位、公安机关、电信公司合伙和沟通；

c）应加强和供应商、业界专家、专业安全公司、安全组织合伙和沟通；

d）应建立外联单位联系列表，包括外联单位名称、合伙内容、联系人和联系办法等信息；

e）应聘任信息安全专家作为常年安全顾问，指引信息安全建设，参加安全筹划和安全评审等。

审核和检查（G3）

本项规定包括：

a）安全管理员应负责定期进行安全检查，检查内容包括系统寻常运营、系统漏洞和数据备份等状况；

b）应由内部人员或上级单位定期进行全面安全检查，检查内容包括既有安全技术办法有效性、安全配备和安全方略一致性、安全管理制度实行状况等；

c）应制定安全检查表格实行安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查成果进行通报；

d）应制定安全审核和安全检查制度规范安全审核和安全检查工作，定期依照程序进行安全审核和安全检查活动。

安全管理征询服务，协助顾客建立全面安全管理组织机构，包括在岗位设立、人员配备、职责定义等方面提供合理建议。

人员安全管理

人员录取（G3）

本项规定包括：

a）应指定或授权专门部门或人员负责人员录取；

b）应严格规范人员录取过程，对被录取人身份、背景、专业资格和资质等进行审查，对其所具有技术技能进行考核；

c）应订立保密合同；

d）应从内部人员中选拔从事核心岗位人员，并订立岗位安全合同。

人员离岗（G3）

本项规定包括：

a）应严格规范人员离岗过程，及时终结离岗职工所有访问权限；

b）应取回各种身份证件、钥匙、徽章等和机构提供软硬件设备；

c）应办理严格调离手续，核心岗位人员离岗须承诺调离后保密义务后方可离开。

人员考核（G3）

本项规定包括：

a）应定期对各个岗位人员进行安全技能及安全认知考核；

b）应对核心岗位人员进行全面、严格安全审查和技能考核；

c）应对考核成果进行记录并保存。

安全意识教诲和培训（G3）

本项规定包括：

a）应对各类人员进行安全意识教诲、岗位技能培训和有关安全技术培训；

b）应对安全责任和惩戒办法进行书面规定并告知有关人员，对违背违背安全方略和规定人员进行惩戒；

c）应对定期安全教诲和培训进行书面规定，针对不同样岗位制定不同样培训筹划，对信息安全基本知识、岗位操作规程等进行培训；

d）应对安全教诲和培训状况和成果进行记录并归档保存。

外部人员访问管理（G3）

本项规定包括：

a）应保证在外部人员访问受控区域前先提出书面申请，批准后由专人全程陪伴或监督，并登记备案；

b）对外部人员允许访问区域、系统、设备、信息等内容应进行书面规定，并依照规定实行。

安全管理征询服务，协助顾客建立人员安全管理制度，涵盖人员录取、离岗、考核、教诲，和对外部来访人员进行合理管理等各个方面。

安全培训服务，为顾客各类人员提供安全意识教诲、岗位安全操作技能培训和有关安全技术培训等。

系统建设管理

系统定级（G3）

本项规定包括：

a）应明确信息系统边界和安全保护级别；

b）应以书面形式阐明拟定信息系统为某个安全保护级别办法和理由；

c）应组织有关部门和有关安全技术专家对信息系统定级成果合理性和对的性进行论证和审定；

d）应保证信息系统定级成果通过有关部门批准。

级别保护定级征询服务。

安全方案设计（G3）

本项规定包括：

a）应根据系统安全保护级别选取基本安全办