软件等保二级基本要求内容.doc

软件等保，全称为“信息系统安全等级保护”，是中国网络安全法规体系中的一个重要组成部分，旨在确保信息系统安全稳定运行。二级等保是对一般性信息系统的安全要求，适用于处理非敏感但重要的信息。以下将详细解释文档中提到的二级等保技术要求的各个部分。 **1. 物理安全** 物理安全是确保信息系统硬件设备安全的基础，包括： - **物理位置的选择**：机房和办公场地应选在抗震、防风、防雨的建筑内，以抵御自然灾害。 - **物理访问控制**：机房出入口应有人值守，控制人员进出，并对访客进行审批和监控。 - **防盗窃和防破坏**：设备应固定，通信线缆隐蔽，介质分类存储，主机房安装防盗报警设施。 - **防雷击**：机房需有避雷装置和地线。 - **防火**：机房配备灭火设备和火灾报警系统。 - **防水和防潮**：水管不穿过机房，防止雨水渗透，防止水蒸气结露。 - **防静电**：关键设备应有防静电接地措施。 - **温湿度控制**：机房应有温湿度调节设施，保持设备运行适宜环境。 - **电力供应**：配置稳压器和过电压防护设备，提供备用电力以保障关键设备运行。 **2. 网络安全** 网络安全主要涉及网络结构、访问控制、安全审计、边界完整性检查、入侵防护和网络设备防护： - **结构安全**：网络设备应有冗余，满足业务高峰需求，绘制准确的网络拓扑图，根据职能和信息重要性划分子网。 - **访问控制**：在网络边界部署访问控制设备，实施细粒度的访问控制，限制拨号访问用户数量。 - **安全审计**：记录网络设备运行、流量和用户行为，包括日期、时间、用户、事件类型等信息。 - **边界完整性检查**：检测内部用户未经授权的外部网络连接。 - **入侵防护**：在边界处监控各种攻击行为，如端口扫描、强力攻击等。 - **网络设备防护**：对登录用户进行身份鉴别，限制管理员登录地址，确保用户标识唯一，口令复杂并定期更换，登录失败处理功能以及远程管理时的安全措施。 **3. 主机安全** 主机安全主要包括身份鉴别、访问控制和安全审计： - **身份鉴别**：对操作系统和数据库系统的用户进行身份标识和鉴别，启用登录失败处理，远程管理时防止信息窃听，确保用户名唯一。 - **访问控制**：启用访问控制功能，实现特权用户的权限分离，限制默认权限，重命名和修改默认口令，删除多余、过期和共享的账户。 - **安全审计**：记录主机上的操作，以便追踪和调查潜在的安全事件。 这些要求旨在建立一个全面的、多层次的安全防护体系，以保护信息系统的稳定性和数据的完整性。在实施二级等保时，组织应根据自身实际情况，结合这些要求制定具体的安全策略和措施，确保信息安全合规。