软件等保,全称为“信息系统安全等级保护”,是中国网络安全法规体系中的一个重要组成部分,旨在确保信息系统安全稳定运行。二级等保是对一般性信息系统的安全要求,适用于处理非敏感但重要的信息。以下将详细解释文档中提到的二级等保技术要求的各个部分。
**1. 物理安全**
物理安全是确保信息系统硬件设备安全的基础,包括:
- **物理位置的选择**:机房和办公场地应选在抗震、防风、防雨的建筑内,以抵御自然灾害。
- **物理访问控制**:机房出入口应有人值守,控制人员进出,并对访客进行审批和监控。
- **防盗窃和防破坏**:设备应固定,通信线缆隐蔽,介质分类存储,主机房安装防盗报警设施。
- **防雷击**:机房需有避雷装置和地线。
- **防火**:机房配备灭火设备和火灾报警系统。
- **防水和防潮**:水管不穿过机房,防止雨水渗透,防止水蒸气结露。
- **防静电**:关键设备应有防静电接地措施。
- **温湿度控制**:机房应有温湿度调节设施,保持设备运行适宜环境。
- **电力供应**:配置稳压器和过电压防护设备,提供备用电力以保障关键设备运行。
**2. 网络安全**
网络安全主要涉及网络结构、访问控制、安全审计、边界完整性检查、入侵防护和网络设备防护:
- **结构安全**:网络设备应有冗余,满足业务高峰需求,绘制准确的网络拓扑图,根据职能和信息重要性划分子网。
- **访问控制**:在网络边界部署访问控制设备,实施细粒度的访问控制,限制拨号访问用户数量。
- **安全审计**:记录网络设备运行、流量和用户行为,包括日期、时间、用户、事件类型等信息。
- **边界完整性检查**:检测内部用户未经授权的外部网络连接。
- **入侵防护**:在边界处监控各种攻击行为,如端口扫描、强力攻击等。
- **网络设备防护**:对登录用户进行身份鉴别,限制管理员登录地址,确保用户标识唯一,口令复杂并定期更换,登录失败处理功能以及远程管理时的安全措施。
**3. 主机安全**
主机安全主要包括身份鉴别、访问控制和安全审计:
- **身份鉴别**:对操作系统和数据库系统的用户进行身份标识和鉴别,启用登录失败处理,远程管理时防止信息窃听,确保用户名唯一。
- **访问控制**:启用访问控制功能,实现特权用户的权限分离,限制默认权限,重命名和修改默认口令,删除多余、过期和共享的账户。
- **安全审计**:记录主机上的操作,以便追踪和调查潜在的安全事件。
这些要求旨在建立一个全面的、多层次的安全防护体系,以保护信息系统的稳定性和数据的完整性。在实施二级等保时,组织应根据自身实际情况,结合这些要求制定具体的安全策略和措施,确保信息安全合规。