信息系统安全等级保护基本要求三级要求.pdf

信息系统安全等级保护基本要求三级要求

信息系统安全等级保护基本要求

1 三级基本要求.............................................................. 3

1、1 技术要求............................................................... 3

1、1、1 物理安全............................................................ 3

1、1、1、1 物理位置的选择(G3)............................................... 3

1、1、1、2 物理访问控制(G3)................................................. 3

1、1、1、3 防盗窃与防破坏(G3)............................................... 3

1、1、1、4 防雷击(G3)....................................................... 3

1、1、2 网络安全............................................................ 4

1、1、2、1 结构安全(G3)..................................................... 4

1、1、2、2 访问控制(G3)..................................................... 4

1、1、2、3 安全审计(G3)..................................................... 5

1、1、2、4 边界完整性检查(S3)............................................... 5

1、1、2、5 入侵防范(G3)..................................................... 5

1、1、2、6 恶意代码防范(G3)................................................. 5

1、1、2、7 网络设备防护(G3)................................................. 5

1、1、3 主机安全............................................................ 6

1、1、3、1 身份鉴别(S3)..................................................... 6

1、1、4 应用安全............................................................ 7

1、1、4、1 身份鉴别(S3)..................................................... 7

1、1、4、2 访问控制(S3)..................................................... 8

1、1、4、3 安全审计(G3)..................................................... 8

1、1、4、4 剩余信息保护(S3)................................................. 8

1、1、4、5 通信完整性(S3)................................................... 8

1、1、4、6 通信保密性(S3)................................................... 8

1、1、4、7 抗抵赖(G3)....................................................... 8

1、1、4、8 软件容错(A3)..................................................... 8

1、1、4、9 资源控制(A3)..................................................... 8

信息系统安全等级保护基本要求三级要求

1、2、1 安全管理制度........................................................ 9

1、2、1、1 管理制度(G3)..................................................... 9

1、2、1、2 制定与发布(G3).................................................. 10

1、2、1、3 评审与修订(G3).................................................. 10

1、2、2 安全管理机构....................................................... 10

1、2、2、1 岗位设置(G3).................................................... 10

1、2、2、2 人员配备(G3).................................................... 10

1、2、3、3 人员考核(G3).................................................... 11

1、2、3、4 安全意识教育与培训(G3).......................................... 11

1、2、3、5 外部人员访问管理(G3)............................................ 12

1、2、4 系统建设管理....................................................... 12

1、2、4、1 系统定级(G3).................................................... 12

1、2、4、2 安全方案设计(G3)................................................ 12

1、2、4、3 产品采购与使用(G3).............................................. 12

1、2、4、4 自行软件开发(G3)................................................ 12

1、2、4、5 外包软件开发(G3)................................................ 13

1、2、4、6 工程实施(G3).................................................... 13

1、2、5、1 环境管理(G3).................................................... 14

1、2、5、2 资产管理(G3).................................................... 14

1、2、5、3 介质管理(G3).................................................... 15

1、2、5、4 设备管理(G3).................................................... 15

1、2、5、5 监控管理与安全管理中心(G3)...................................... 15

1、2、5、6 网络安全管理(G3)................................................ 15

1、2、5、7 系统安全管理(G3)................................................ 16

1、2、5、8 恶意代码防范管理(G3)............................................ 16

1、2、5、9 密码管理(G3).................................................... 16

1、2、5、10 变更管理(G3)................................................... 16

信息系统安全等级保护基本要求三级要求

体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其她相当危害

程度的威胁所造成的主要资源损害 ,能够发现安全漏洞与安全事件 ,在系统遭到损害后 ,能够

较快恢复绝大部分功能。

1 三级基本要求

1、1 技术要求

1、1、1 物理安全

1、1、1、1 物理位置的选择(G3)

本项要求包括:

a) 机房与办公场地应选择在具有防震、防风与防雨等能力的建筑内;

b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。

d) 重要区域应配置电子门禁系统,控制、鉴别与记录进入的人员。

1、1、1、3 防盗窃与防破坏(G3)

本项要求包括:

a) 应将主要设备放置在机房内;

b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记;

c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;

d) 应对介质分类标识,存储在介质库或档案室中;

e) 应利用光、电等技术设置机房防盗报警系统;

f) 应对机房设置监控报警系统。

1、1、1、4 防雷击(G3)

a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;

b) 机房及相关的工作房间与辅助房应采用具有耐火等级的建筑材料;

c) 机房应采取区域隔离防火措施,将重要设备与其她设备隔离开。