计算机信息系统等级保护二级基本要求.doc

计算机信息系统等级保护二级基本要求是针对我国信息化建设中信息安全保障的一项重要规范，旨在确保计算机信息系统的安全性、稳定性。本文档主要涵盖了技术层面的物理安全、网络安全、主机安全等方面的要求。 在物理安全方面，主要包括以下几个要点： 1. 选择合适的物理位置，确保机房和办公场地具备防震、防风、防雨的能力。 2. 对机房的物理访问实施控制，如设置专人值守，对进入人员进行身份鉴别和记录。 3. 实施防盗窃和防破坏措施，例如固定关键设备，设置明显标记，隐藏通信线缆，存储介质时分类并有安全保管。 4. 建立防雷击系统，包括设置避雷装置和电源地线。 5. 配备防火设施，如灭火设备和火灾自动报警系统。 6. 防水防潮，确保水管不穿过机房，采取措施防止雨水渗漏和水蒸气凝结。 7. 防静电措施，关键设备需有接地防静电设计。 8. 温湿度控制，机房需配备自动调节设施，保持适宜环境。 9. 电力供应稳定，配置稳压器和备用电力系统，确保关键设备在断电情况下正常运行。 10. 电磁防护，电源线和通信线缆隔离铺设，减少相互干扰。 网络安全方面，主要涉及： 1. 结构安全，确保网络设备处理能力冗余，网络带宽充足，绘制准确的网络拓扑图，根据职能和信息重要性划分子网或网段。 2. 访问控制，部署访问控制设备，控制粒度细化至网段和用户级别，限制拨号访问用户数量。 3. 安全审计，记录网络设备运行、流量、用户行为等日志，包含事件日期、时间、用户等信息。 4. 边界完整性检查，监控内部用户私自联到外部网络的行为。 5. 入侵防护，监控多种类型的网络攻击，如端口扫描、强力攻击、木马等。 6. 网络设备防护，对登录用户进行身份鉴别，限制管理员登录地址，确保用户标识唯一，设定口令复杂度，处理登录失败情况，并在远程管理时保护鉴别信息安全。 主机安全涵盖： 1. 身份鉴别，对操作系统和数据库系统用户进行标识和鉴别，启用登录失败处理功能，防止远程管理时信息泄露，确保用户名唯一。 2. 访问控制，启用访问控制功能，分离特权用户权限，限制默认账号访问，及时删除多余和过期账号。 3. 安全审计，审计所有操作系统和数据库用户，记录重要安全事件。 这些基本要求旨在构建一个全面的安全防护体系，防止未经授权的访问、篡改和破坏，确保信息系统的正常运行和数据安全。对于任何组织来说，遵循这些规定都是确保信息安全的基础。