三级测评指导书等保20通用标准Word下载.docx

1、机房通信线缆应核查机房内通信线缆是否铺设在隐蔽安全处，如桥架中等应设置机房防盗报警系统或设置有专人值守的视频监控系统机房防盗报警系统或视频监控系统1） 应核查机房内是否配置防盗报警系统或专人值守的视频监控系统； 2） 应核查防盗报警系统或视频监控系统是否启用防雷击应将各类机柜、设施和设备等通过接地系统安全接地应核查机房内机柜、设施和设备等是否进行接地处理应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等机房防雷设施1） 应核查机房内是否设置防感应雷措施； 2） 应核查防雷装置是否通过验收或国家有关部门的技术检测防火机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火机房防火

2、设施1） 应核查机房内是否设置火灾自动消防系统； 2） 应核查火灾自动消防系统是否可以自动检测火情、自动报警并自动灭火机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料机房验收类文档应核查机房验收文档是否明确相关建筑材料的耐火等级应对机房划分区域进行管理，区域和区域之间设置隔离防火措施机房管理员和机房1） 应访谈机房管理员是否进行了区域划分； 2） 应核查各区域间是否采取了防火措施进行隔离防水和防潮应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透应核查窗户、屋顶和墙壁是否采取了防雨水渗透的措施应采取措施防止机房内水蒸气结露和地下积水的转移与渗透1） 应核查机房内是否采取了防止水蒸气结露的措

3、施； 2） 应核查机房内是否采取了排泄地下积水，防止地下积水渗透的措施应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警机房防水检测设施1） 应核查机房内是否安装了对水敏感的检测装置； 2） 应核查防水检测和报警装置是否启用防静电应采用防静电地板或地面并采用必要的接地防静电措施1） 应核查机房内是否安装了防静电地板或地面； 2） 应核查机房内是否采用了接地防静电措施应采取措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等应核查机房内是否配备了防静电设备温湿度控制应设置温、湿度自动询节设施，使机房温、湿度的变化在设备运行所允许的范围之内机房温湿度调节设施1） 应核查机房内是否配备了专

4、用空调； 2） 应核查机房内温湿度是否在设备运行所允许的范围之内电力供应应在机房供电线路上配置稳压器和过电压防护设备机房供电设施应核查供电线路上是否配置了稳压器和过电压防护设备应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求机房备用供电设施1） 应核查是否配备UPS等后备电源系统； 2） 应核查UPS等后备电源系统是否满足设备在断电情况下的正常运行要求应设置冗余或并行的电力电缆线路为计算机系统供电应核查机房内是否设置了冗余或并行的电力电缆线路为计算机系统供电电磁防护电源线和通信线缆应隔离铺设，避免互相干扰机房线缆应核查机房内电源线缆和通信线缆是否隔离铺设应对关键设备实施电磁屏蔽

5、机房关键设备应核查机房内是否为关键设备配备了电磁屏蔽装置2、安全通信网络网络架构应保证网络设备的业务处理能力满足业务高峰期需要路由器、交换机、无线接入设备和防火墙等提供网络通信功能的设备或相关组件1） 应核查业务高峰时期一段时间内主要网络设备的CPU使用率和内存使用率是否满足需要； 2） 应核查网络设备是否从未出现过因设备性能问题导致的岩机情况； 3） 应测试验证设备是否满足业务高峰期需求应保证网络各个部分的带宽满足业务高峰期需要综合网管系统等1） 应核查综合网管系统各通信链路带宽是否满足高峰时段的业务流量需要； 2） 应测试验证网络带宽是否满足业务高峰期需求应划分不同的网络区域，并按照方便管

6、理和控制的原则为各网络区域分配地址1） 应核查是否依据重要性、部门等因素划分不同的网络区域； 2） 应核查相关网络设备配置信息，验证划分的网络区域是否与划分原则一致应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段网络拓扑1） 应核查网络拓扑图是否与实际网络运行环境一致； 2） 应核查重要网络区域是否未部署在网络边界处； 3） 应核查重要网络区域与其他网络区域之间是否采取可靠的技术隔离手段，如网闸、防火墙和设备访问控制列表（ACL）等应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性网络管理员和网络拓扑应核查是否有关键网络设备、安全设备

7、和关键计算设备的硬件冗余（主备或双活等）和通信线路冗余通信传输应采用校检技术或密码技术保证通信过程中数据的完整性提供校检技术或密码技术功能的设备或组件1）应核查是否在数据传输过程中使用检验技术或密码技术来保证其完整性2）应测试验证密码技术设备或组件能否保证通信过程中数据的完整性应采用密码技术保证通信过程中数据的保密性提供密码技术功能的设备或组件1） 应核查是否在通信过程中采取保密措施，具体采用哪些技术措施； 2） 应测试验证在通信过程中是否对数据进行加密3、安全区域边界边界防护应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问

8、控制功能的设备或相关组件1） 应核查在网络边界处是否部署访问控制设备； 2） 应核查设备配置信息是否指定端口进行跨越边界的网络通信，指定端口是否配置并启用了安全策略； 3） 应采用其他技术手段（如非法无线网络设备定位、核查设备配置信息等）核查或测试验证是否不存在其他未受控端口进行跨越边界的网络通信应能够对非授权设备私自联到内部网络的行为进行检查或限制终端管理系统或相关设备1） 应核查是否采用技术措施防止非授权设备接入内部网络； 2） 应核查所有路由器和交换机等相关设备闲置端口是否均已关闭应能够对内部用户非授权联到外部网络的行为进行检查或限制应核查是否采用技术措施防止内部用户存在非法外联行为应限

9、制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络网络拓扑和无线网络设备1） 应核查无线网络的部署方式，是否单独组网后再连接到有线网络； 2） 应核查无线网络是否通过受控的边界防护设备接入到内部有线网络访问控制应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信1） 应核查在网络边界或区域之间是否部署访问控制设备并启用访问控制策略； 2） 应核查设备的最后一条访问控制策略是否为禁止所有网络通信应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化1） 应核查是否不存在多余或无效的访问控制策略； 2） 应核查不同的访

10、问控制策略之间的逻辑关系及前后排列顺序是否合理应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许拒绝数据包进出1） 应核查设备的访问控制策略中是否设定了源地址、目的地址、源端口、目的端口和协议等相关配置参数； 2） 应测试验证访问控制策略中设定的相关配置参数是否有效应能根据会话状态信息为进出数据流提供明确的允许拒绝访问的能力1） 应核查是否采用会话认证等机制为进出数据流提供明确的允许拒绝访问的能力； 2） 应测试验证是否为进出数据流提供明确的允许拒绝访问的能力入侵防范应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为抗APT攻击系统、网络回溯系统、威胁情报检测系统、抗DDo

11、S攻击系统和入侵保护系统或相关组件1） 应核查相关系统或组件是否能够检测从内部发起的网络攻击行为； 2） 应核查相关系统或组件的规则库版本或威胁情报库是否已经更新到最新版本； 3） 应核查相关系统或组件的配置信息或安全策略是否能够覆盖网络所有关键节点； 4） 应测试验证相关系统或组件的配置信息或安全策略是否有效应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析抗APT攻击系统、网络回溯系统和威胁情报检测系统或相关组件1） 应核查是否部署相关系统或组件对新型网络攻击进行检测和分析； 2） 应测试验证是否对网络行为进行分析，实现对网络攻击特别是未知的新型网络攻击的检测和分

12、析；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警1） 应核查相关系统或组件的记录是否包括攻击源 IP、攻击类型、攻击目标、攻击时间等相关内容；2） 应测试验证相关系统或组件的报警策略是否有效恶意代码和垃圾邮件防范应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新防病毒网关和UTM等提供防恶意代码功能的系统或相关组件1） 应核查在关键网络节点处是否部署防恶意代码产品等技术措施； 2） 应核查防恶意代码产品运行是否正常，恶意代码库是否已经更新到最新； 3） 应测试验证相关系统或组件的安全策略是否有效应在关键网络节点处对

13、垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新防垃圾邮件网关等提供防垃圾邮件功能的系统或相关组件1） 应核查在关键网络节点处是否部署了防垃圾邮件产品等技术措施； 2） 应核查防垃圾邮件产品运行是否正常，防垃圾邮件规则库是否已经更新到最新；安全审计应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计综合安全审计系统等1） 应核查是否部署了综合安全审计系统或类似功能的系统平台； 2） 应核查安全审计范围是否覆盖到每个用户； 3） 应核查是否对重要的用户行为和重要安全事件进行了审计审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及

14、其他与审计相关的信息应核查审计记录信息是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等1） 应核查是否采取了技术措施对审计记录进行保护； 2） 应核查是否采取技术措施对审计记录进行定期备份，并核查其备份策略；4、安全计算环境身份鉴别应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端、移动终端管理系统、移动终端管 理客户端、感知节点设备

15、、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等1） 应核查用户在登录时是否采用了身份鉴别措施； 2） 应核查用户列表确认用户身份标识是否具有唯一性； 3） 应核查用户配置信息或测试验证是否不存在空口令用户； 4） 应核查用户鉴别信息是否具有复杂度要求并定期更换应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施1） 应核查是否配置并启用了登录失败处理功能； 2） 应核查是否配置并启用了限制非法登录功能，非法登录达到一定次数后采取特定动作，如账户锁定等； 3） 应核查是否配置并启用了登录连接超时及自动退出功

16、能应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端：移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等1）应核查是否采用动态口令、数字证书、生物技术和设备指纹等两种或两种以上组合的鉴别技术对用户身份进行鉴别2）应核查其中一种鉴别技术是否使用密码技术来实现应对登陆的用户分配账户和权限1） 应核查是否为用户

17、分配了账户和权限及相关设置情况； 2） 应核查是否已禁用或限制匿名、默认账户的访问权限；应重命名或删除默认账户，修改默认账户的默认口令1） 应核查是否已经重命名默认账户或默认账户已被删除； 2） 应核查是否已修改默认账户的默认口令应及时删除或停用多余的、过期的账户，避免共享账户的存在移动终端管理系统、移动终端管 理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等1） 应核查是否不存在多余或过期账户，管理员用户与账户之间是否一一对应； 2） 应测试验证多余的、过期的账户是否被删除或停用应授予管理用户所需的最小权限，实现管理用户的权限

18、分离1） 应核查是否进行角色划分； 2） 应核查管理用户的权限是否已进行分离； 3） 应核查管理用户权限是否为其工作任务所需的最小权限应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计1） 应核查是否开启了安全审计功能； 3） 应核查是否对重要的用户行为和重要安全事件进行审计移动终端管理系统、移动终端管 理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等1） 应核查是否采取了保护措施对审计记录进行保护； 2） 应核查是否采取技术措施对审计记录进行定期备份，并核查其备份策略应对审计进程进行保护，防止XX的

19、中断应测试验证通过非审计管理员的其他账户来中断审计进程，验证审计进程是否受到保护应遵循最小安装的原则，仅安装需要的组件和应用程序终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备和控制设备等1） 应核查是否遵循最小安装原则； 2） 应核查是否未安装非必要的组件和应用程序应关闭不需要的系统服务、默认共享和高危端口1） 应核查是否关闭了非必要的系统服务和默认共享； 2） 应核查是否不存在非必要的高危端口应通过设定终端接入方式或网络地址范围对通过网络进行管

20、理的管理终端进行限制应核查配置文件或参数是否对终端接入范围进行限制应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞：终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件等1） 应通过漏洞扫描、渗透测试等方式核查是否不存在高风险漏洞； 2） 应核查是否在经过充分测试评估后及时修补漏洞应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警终端和服务器等设备中的操作系

21、统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备和控制设备等1） 应访谈并核查是否有入侵检测的措施； 2） 应核查在发生严重入侵事件时是否提供报警恶意代码防范应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、移动终端、移动终端管理系统、移动终端管理客户端和控制设备等1） 应核查是否安装了防恶意代码软件或相应功能的软件，定期进行升级和更新防恶意代码库； 2） 应核查是否采用主动

22、免疫可信验证技术及时识别入侵和病毒行为； 3） 应核查当识别入侵和病毒行为时是否将其有效阻断数据备份恢复应提供重要数据的本地数据备份与恢复功能配置数据和业务数据1） 应核查是否按照备份策略进行本地备份； 2） 应核查备份策略设置是否合理、配置是否正确； 3） 应核查备份结果是否与备份策略一致； 4） 应核查近期恢复测试记录是否能够进行正常的数据恢复应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地应核查是否提供异地实时备份功能，并通过网络将重要配置数据、重要业务数据实时备份至备份场地应提供重要数据处理系统的热冗余，保证系统的高可用性重要数据处理系统应核查重要数据处理系统（包括边界

23、路由器、边界防火墙、核心交换机、应用服务器和数据库服务器等）是否采用热冗余方式部署5、安全管理中心系统管理应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计提供集中系统管理功能的系统1） 应核查是否对系统管理员进行身份鉴别； 2） 应核查是否只允许系统管理员通过特定的命令或操作界面进行系统管理操作； 3） 应核查是否对系统管理的操作进行审计应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等应核查是否通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等审计管理应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计综合安全审计系统、数据库审计系统等提供集中审计功能的系统1） 应核查是否对审计管理员进行身份鉴别； 2） 应核查是否只允许审计管理员通过特定的命令或操作界面进行安全审计操作； 3） 应核查是否对安全审计操作进行审计应通过审计管理员对审计记录进