新机房建设等保要求Word格式.docx

1、5）设备或存储介质携带出工作环境时，应受到监控和容加密；6）应利用光、电等技术设置机房的防盗报警系统，以防进入机房的盗窃和破坏行为；7）应对机房设置监控报警系统。防雷击1）机房建筑应设置避雷装置；2）应设置交流电源地线。2）应设置防雷保安器，防止感应雷；3）应设置交流电源地线。防火1）应设置灭火设备和火灾自动报警系统，并保持灭火设备和火灾自动报警系统的良好状态。1）应设置火灾自动消防系统，自动检测火情、自动报警，并自动灭火；2）机房及相关的工作房间和辅助房，其建筑材料应具有耐火等级；3）机房采取区域隔离防火措施，将重要设备与其他设备隔离开。防水和防潮1）水管安装，不得穿过屋顶和活动地板下；2）

2、应对穿过墙壁和楼板的水管增加必要的保护措施，如设置套管；3）应采取措施防止雨水通过屋顶和墙壁渗透；4）应采取措施防止室水蒸气结露和地下积水的转移与渗透。防静电1）应采用必要的接地等防静电措施1）应采用必要的接地等防静电措施；2）应采用防静电地板。温湿度控制1）应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的围之。1）应设置恒温恒湿系统，使机房温、湿度的变化在设备运行所允许的围之。电力供给1）计算机系统供电应与其他供电分开；2）应设置稳压器和过电压防护设备；3）应提供短期的备用电力供给如UPS设备。3）应提供短期的备用电力供给如UPS设备；4）应设置冗余或并行的电力电缆线路；5

3、）应建立备用供电系统如备用发电机，以备常用供电系统停电时启用。电磁防护1）应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；2）电源线和通信线缆应隔离，防止互相干扰。2）电源线和通信线缆应隔离，防止互相干扰；3）对重要设备和磁介质实施电磁屏蔽。网络平安构造平安与网段划分1）网络设备的业务处理能力应具备冗余空间，要求满足业务顶峰期需要；2）应设计和绘制与当前运行情况相符的网络拓扑构造图；3）应根据机构业务的特点，在满足业务顶峰期需要的根底上，合理设计网络带宽；4）应在业务终端与业务效劳器之间进展路由控制，建立平安的访问路径；5）应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同

4、的子网或网段，并按照方便管理和控制的原那么为各子网、网段分配地址段；6）重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗。4）应在业务终端与业务效劳器之间进展路由控制建立平安的访问路径；6）重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗；7）应按照对业务效劳的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要业务数据主机。网络访问控制1）应能根据会话状态信息包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用，为数据流提供明确的允许/拒绝访问的能力。1）应能根据会话状态

5、信息包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用，为数据流提供明确的允许/拒绝访问的能力；2）应对进出网络的信息容进展过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；3）应依据平安策略允许或者拒绝便携式和移动式设备的网络接入；4）应在会话处于非活泼一定时间或会话完毕后终止网络连接；5）应限制网络最大流量数及网络连接数。拨号访问控制1）应在基于平安属性的允许远程用户对系统访问的规那么的根底上，对系统所有资源允许或拒绝用户进展访问，控制粒度为单个用户；2）应限制具有拨号访问

6、权限的用户数量。2）应限制具有拨号访问权限的用户数量；3）应按用户和系统之间的允许访问规那么，决定允许用户对受控系统进展资源访问。网络平安审计1）应对网络系统中的网络设备运行状况、网络流量、用户行为等事件进展日志记录；2）对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息。1）应对网络系统中的网络设备运行状况、网络流量、用户行为等进展全面的监测、记录；事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息；3）平安审计应可以根据记录数据进展分析，并生成审计报表；4）平安审计应可以对特定事件，提供指定方式的实时报警；5）审计记

7、录应受到保护防止受到未预期的删除、修改或覆盖等。边界完整性检查1）应能够检测部网络中出现的部用户未通过准许私自联到外部网络的行为即“非法外联行为。1）应能够检测部网络中出现的部用户未通过准许私自联到外部网络的行为即“非法外联行为；2）应能够对非授权设备私自联到网络的行为进展检查，并准确定出位置，对其进展有效阻断；3）应能够对部网络用户私自联到外部网络的行为进展检测后准确定出位置，并对其进展有效阻断。网络入侵防1）应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝效劳攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生。1）应在网络边界处应监视以下攻击行为：端口扫

8、描、强力攻击、木马后门攻击、拒绝效劳攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生；2）当检测到入侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。恶意代码防1）应在网络边界及核心业务网段处对恶意代码进展检测和去除；2）应维护恶意代码库的升级和检测系统的更新；3）应支持恶意代码防的统一管理。网络设备防护1）应对登录网络设备的用户进展身份鉴别；2）应对网络设备的管理员登录地址进展限制；3）网络设备用户的标识应唯一；4）身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；5）应具有登录失败处理功能，如：完毕会话、

9、限制非法登录次数，当网络登录连接超时，自动退出。2）应对网络上的对等实体进展身份鉴别；3）应对网络设备的管理员登录地址进展限制；4）网络设备用户的标识应唯一；5）身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；6）应对同一用户选择两种或两种以上组合的鉴别技术来进展身份鉴别；7）应具有登录失败处理功能，如：完毕会话、限制非法登录次数，当网络登录连接超时，自动退出；8）应实现设备特权用户的权限别离，例如将管理与审计的权限分配给不同的网络设备用户。主机系统平安身份鉴别1）操作系统和数据库管理系统用户的身份标识应具有唯一性；2）应对登录操作系统和数据库管理系统的用户进展身份标识

10、和鉴别；3）操作系统和数据库管理系统身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；4）应具有登录失败处理功能，如：完毕会话、限制非法登录次数，当登录连接超时，自动退出。3）应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；4）操作系统和数据库管理系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；完毕会话、限制非法登录次数，当登录连接超时，自动退出；6）应具有鉴别警示功能；7）重要的主机系统应对与之相连的效劳器或终端设备进展身份标识和鉴别。自主访问控制1）应依据平安策略控制主体对客体的访问；2）自主访问控制的覆盖围应包括与信息

11、平安直接相关的主体、客体及它们之间的操作；3）自主访问控制的粒度应到达主体为用户级，客体为文件、数据库表级；4）应由授权主体设置对客体访问和操作的权限；5）应严格限制默认用户的访问权限。5）权限别离应采用最小授权原那么，分别授予不同用户各自为完成自己承当任务所需的最小权限，并在他们之间形成相互制约的关系；6）应实现操作系统和数据库管理系统特权用户的权限别离；7）应严格限制默认用户的访问权限。强制访问控制无1）应对重要信息资源和访问重要信息资源的所有主体设置敏感标记；2）强制访问控制的覆盖围应包括与重要信息资源直接相关的所有主体、客体及它们之间的操作；3）强制访问控制的粒度应到达主体为用户级，客

12、体为文件、数据库表级。平安审计1）平安审计应覆盖到效劳器上的每个操作系统用户和数据库用户；2）平安审计应记录系统重要的平安相关事件，包括重要用户行为和重要系统命令的使用等；3）平安相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等；4）审计记录应受到保护防止受到未预期的删除、修改或覆盖等。1）平安审计应覆盖到效劳器和客户端上的每个操作系统用户和数据库用户；2）平安审计应记录系统重要的平安相关事件，包括重要用户行为、系统资源的异常使用和重要系统命令的使用；4）平安审计应可以根据记录数据进展分析，并生成审计报表；5）平安审计应可以对特定事件，提供指定方式的实时报警；6）审计进程

13、应受到保护防止受到未预期的中断；7）审计记录应受到保护防止受到未预期的删除、修改或覆盖等。系统保护1）系统应提供在管理维护状态中运行的能力，管理维护状态只能被系统管理员使用。1）系统因故障或其他原因中断后，应能够以手动或自动方式恢复运行。剩余信息保护1）应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全去除，无论这些信息是存放在硬盘上还是在存中；2）应确保系统的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全去除。入侵防1）应进展主机运行监视，包括监视主机的CPU、硬盘、存、网络等资源的使用情况；2）应设定资源报警域值

14、，以便在资源使用超过规定数值时发出报警；3）应进展特定进程监控，限制操作人员运行非法进程；4）应进展主机账户监控，限制对重要账户的添加和更改；5）应检测各种的入侵行为，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；6）应能够检测重要程序完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。1）效劳器和重要终端设备包括移动设备应安装实时检测和查杀恶意代码的软件产品；2）主机系统防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；1）效劳器和终端设备包括移动设备均应安装实时检测和查杀恶意代码的软件产品；资源控制1）应限制单个用户的会话数量；2）应通

15、过设定终端接入方式、网络地址围等条件限制终端登录。1）应限制单个用户的多重并发会话；2）应对最大并发会话连接数进展限制；3）应对一个时间段可能的并发会话连接数进展限制；4）应通过设定终端接入方式、网络地址围等条件限制终端登录；5）应根据平安策略设置登录终端的操作超时锁定和鉴别失败锁定，并规定解锁或终止方式；6）应制止同一用户账号在同一时间并发登录；7）应限制单个用户对系统资源的最大或最小使用限度；8）当系统的效劳水平降低到预先规定的最小值时，应能检测和报警；9）应根据平安策略设定主体的效劳优先级，根据优先级分配系统资源，保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。应用平安1）

16、应用系统用户的身份标识应具有唯一性；2）应对登录的用户进展身份标识和鉴别；3）系统用户身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；1）系统用户的身份标识应具有唯一性； 3）系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；4）应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；7）应用系统应及时去除存储空间中动态使用的鉴别信息。访问控制1）应依据平安策略控制用户对客体的访问；4）应由授权主体设置用户对系统功能操作和对数据访问的权限；5）应实现应用系统特权用户的权限别离，例如将管理与审计的权限分配给不同的应用系统用户；6）权限

17、别离应采用最小授权原那么，分别授予不同用户各自为完成自己承当任务所需的最小权限，并在它们之间形成相互制约的关系；1）平安审计应覆盖到应用系统的每个用户；2）平安审计应记录应用系统重要的平安相关事件，包括重要用户行为和重要系统功能的执行等；2）平安审计应记录应用系统重要的平安相关事件，包括重要用户行为、系统资源的异常使用和重要系统功能的执行等；1）应保证用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全去除，无论这些信息是存放在硬盘上还是在存中；通信完整性1）通信双方应约定单向的校验码算法，计算通信数据报文的校验码，在进展通信时，双方根据校验码判断对方报文的有效性。1）通信双方应约

18、定密码算法，计算通信数据报文的报文验证码，在进展通信时，双方根据校验码判断对方报文的有效性。抗抵赖1）应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；2）应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。通信性1）当通信双方中的一方在一段时间未作任何响应，另一方应能够自动完毕会话；2）在通信双方建立连接之前，利用密码技术进展会话初始化验证；3）在通信过程中，应对敏感信息字段进展加密。3）在通信过程中，应对整个报文或会话过程进展加密；4）应选用符合国家有关部门要求的密码算法。软件容错1）应对通过人机接口输入或通过通信接口输入的数据进展有效性检验；2）应对通过人机接口

19、方式进展的操作提供“回退功能，即允许按照操作的序列进展回退；3）在故障发生时，应继续提供一局部功能，确保能够实施必要的措施。3）应有状态监测能力，当故障发生时，能实时检测到故障状态并报警；4）应有自动保护能力，当故障发生时，自动保护当前所有状态。2）应对应用系统的最大并发会话连接数进展限制；3）应对一个时间段可能的并发会话连接数进展限制。4）应根据平安策略设置登录终端的操作超时锁定和鉴别失败锁定，并规定解锁或终止方式；5）应制止同一用户账号在同一时间并发登录；6）应对一个访问用户或一个请求进程占用的资源分配最大限额和最小限额；7）应根据平安属性用户身份、访问地址、时间围等允许或拒绝用户建立会话

20、连接；代码平安1）应对应用程序代码进展恶意代码扫描；2）应对应用程序代码进展平安脆弱性分析。1）应制定应用程序代码编写平安规，要求开发人员参照规编写代码；2）应对应用程序代码进展代码复审，识别可能存在的恶意代码；3）应对应用程序代码进展平安脆弱性分析；4）应对应用程序代码进展穿透性测试。数据平安数据完整性1）应能够检测到系统管理数据、鉴别信息和用户数据在传输过程中完整性受到破坏；2）应能够检测到系统管理数据、鉴别信息和用户数据在存储过程中完整性受到破坏。1）应能够检测到系统管理数据、鉴别信息和用户数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；2）应能够检测到系统管理

21、数据、鉴别信息和用户数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；3）应能够检测到重要程序的完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。数据性1）网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据应采用加密或其他有效措施实现传输性；2）网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据应采用加密或其他保护措施实现存储性；3）当使用便携式和移动式设备时，应加密或者采用可移动磁盘存储敏感信息。3）当使用便携式和移动式设备时，应加密或者采用可移动磁盘存储敏感信息；4）用于特定业务通信的通信信道应符合相关的国家规定。数据备份和恢复1）应提供自动机制对重要信息进展有选择的数据备份；2）应提供恢复重要信息的功能；3）应提供重要网络设备、通信线路和效劳器的硬件冗余1）应提供自动机制对重要信息进展本地和异地备份；3）应提供重要网络设备、通信线路和效劳器的硬件冗余；4）应提供重要