文档介绍：该【等保20二级要求 】是由【世界末末日】上传分享，文档一共【11】页，该文档可以免费在线阅读，需要了解更多关于【等保20二级要求 】的内容，可以使用淘豆网的站内搜索功能，选择自己适合的文档，以下文字是截取该文章内的部分文字，如需要获得完整电子版，请下载此文档到您的设备，方便您编辑和打印。7其次级安全要求
安全通用要求安全物理环境物理位置选择本项要求包括:
机房场地应选择在具有防震、防风和防雨等力量的建筑内;
机房场地应避开设在建筑物的顶层或地下室,否则应加强防水和防潮措施。物理访问掌握
机房出入口应安排专人值守或配置电子门禁系统。掌握、鉴别和记录进人的人员。防盗窃和防破坏
本项要求包括:
a)应将设备或主要部件进展固定,并设置明显的不易擦除的标识;b)应将通信线缆铺设在隐蔽安全处。
防雷击
应将各类机柜、设施和设备等通过接地系统安全接地。防火
本项要求包括:
a)机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;b)机房及相关的工作房间和关心房应承受具有耐火等级的建筑材料。
防水和防潮
本项要求包括:
应实行措施防止雨水通过机房窗户、屋顶和墙壁渗透;
应实行措施防止机房水蒸气结露和地下积水的转移与渗透。防静电
应承受防静电地板或地面并承受必要的接地防静电措施。温湿度掌握
应设置温湿度自动调整设施,使机房温湿度的变化在设备运行所允许的范围之内。
电力供给
本项要求包括:
应在机房供电线路上配置稳压器和过电压防护设备;
应供给短期的备用电力供给。至少满足设备在断电状况下的正常运行要求。电磁防护
电源线和通信线缆应隔离铺设,避开相互干扰。
安全通信网络网络架构
本项要求包括:
应划分不同的网络区域,并依据便利治理和掌握的原则为各网络区域安排地址;
应避开将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应实行牢靠的技术隔离手段。
通信传输
应承受校验技术保证通信过程中数据的完整性。可信验证
可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进展可信验证。并在检测到其可信性受到破坏后进展报警。并将验证结果形成审计记录送至安全治理中心。
安全区域边界边界防护
应保证跨越边界的访问和数据流通过边界设备供给的受控接口进展通信。访问掌握
本项要求包括:
应在网络边界或区域之间依据访问掌握策略设置访问掌握规章,默认状况下除允许通信外受控接口拒绝全部通信;
应删除多余或无效的访问掌握规章优化访问掌握列表,并保证访问掌握规章数量最小化;
应对源地址、目的地址、源端口、目的端口和协议等进展检查,以允许/拒绝数据包进出;
应能依据会话状态信息为进出数据流供给明确的允许/拒绝访问的力量。入侵防范
应在关键网络节点处监视网络攻行为。恶意代码防范
应在关键网络节点处对恶意代码进展检测和去除,并维护恶意代码防护机制的升级和更。
安全审计
本项要求包括:
应在网络边界,重要网络节点进展安全审计,审计掩盖到每个用户,对重要的用户行为和重要安全大事进展审计;
审计记录应包括大事的日期和时间、用户、大事类型、大事是否成功及其他与审计相关的信息;
应对审计记录进展保护,定期备份,避开受到未预期的删除、修改或掩盖等。可信验证
可基于可信根对边界设备的系统引导程序、系统程序、,并将验证结果形成审计记录送至安全治理中心。
安全计算环境身份鉴别
本项要求包括:
应对登录的用户进展身份标识和鉴别,身份标识具有唯一性。身份鉴别信息具有简单度要求并定期更换;
应具有登录失败处理功能,应配置并启用完毕会话、限制非法登录次数和当登录连接超时自动退出等相关措施;
当进展远程治理时,应实行必要措施防止鉴别信息在网络传输过程中被窃听。访问掌握
本项要求包括:
应对登录的用户安排账户和权限;
应重命名或删除默认账户,修改默认账户的默认口令;
应准时删除或停用多余的、过期的账户,避开共享账户的存在;d)应授予治理用户所需的最小权限。实现治理用户的权限分别。安全审计
本项要求包括:
应启用安全审计功能,审计掩盖到每个用户,对重要的用户行为和重要安全大事进展审计;
审计记录应包括大事的日期和时间、用户、大事类型,大事是否成功及其他与审计相关的信息;
应对审计记录进展保护,定期备份,避开受到未预期的删除、修改或掩盖等。
入侵防范
本项要求包括:
a)应遵循最小安装的原则,仅安装需要的组件和应用程序;b)应关闭不需要的系统效劳、默认共享和高危端口;
应通过设定终端接入方式或网络地址范围对通过网络进展治理的治理终端进展限制;
应供给数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求;
应能觉察可能存在的漏洞。并在经过充分测试评估后,准时修补漏洞。恶意代码防范
应安装防恶意代码软件或配置具有相应功能的软件,并定期进展升级和更防恶意代码库。
可信验证
可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进展可信验证,并在检测到其可信性受到破坏后进展报警,并将验证结果形成审计记最送至安全治理中心。
数据完整性
应承受校验技术保证重要数据在传输过程中的完整性。数据备份恢复
本项要求包括:
应供给重要数据的本地数据备份与恢复功能;
应供给异地数据备份功能,利用通信网络将重要数据定时批量传送至备用场地。剩余信息保护
应保证鉴别信息所在的存储空间被释放或重安排前得到完全去除。个人信息保护.
本项要求包括:
应仅采集和保存业务必需的用户个人信息;
应制止未授权访问和非法使用用户个人信息。安全治理中心
系统治理
应对系统治理员进展身份鉴别,只允许其通过特定的命令或操作界面进展系统治理操作,并对这些操作进展审计;
应通过系统治理员对系统的资源和运行进展配置掌握和治理,包括用户身份、系统资源配置、系统加载和启动、系统运行的特别处理、数据和设备的备份与恢复等。
审计治理
本项要求包括:
应对审计治理员进展身份鉴别,只允许其通过特定的命令或操作界面进展安全审计操作,并对这些操作进展审计:
应通过审计治理员对审计记录进展分析,并依据分析结果进展处理,包括依据安全审计策略对审计记录进展存储、治理和查询等。
安全治理制度安全策略
应制定网络安全工作的总体方针和安全策略,、原则和安全框架等。
治理制度
本项要求包括:
应对安全治理活动中的主要治理内容建立安全治理制度;
应对治理人员或操作人员执行的日常治理操作建立操作规程。
制定和公布
本项要求包括:
a)应指定或授权特地的部门或人员负责安全治理制度的制定;b)安全治理制度应通过正式、有效的方式公布,并进展版本掌握。
评审和修订
应定期对安全治理制度的合理性和适用性进展论证和审定,对存在缺乏或需要改进的安全治理制度进展修订。
安全治理机构岗位设置
本项要求包括:
应设立网络安全治理工作的职能部门。设立安全主管、安全治理各个方面的负责人岗位,并定义各负责人的职责;
应设立系统治理员、审计治理员和安全治理员等岗位,并定义部门及各个工作岗位的职责。
人员配备
应配备肯定数量的系统治理员、审计治理员和安全治理员等。授权和审批
本项要求包括:
本项要求包括:
本项要求包括:
应依据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等;
应针对系统变更、重要操作、物理访问和系统接入等事项执行审批过程。沟通和合作
本项要求包括:
应加强各类治理人员、组织内部机构和网络安全治理部门之间的合作与沟通,定期召开协调会议,共同协作处理网络安全问题;
应加强与网络安全职能部门、各类供给商、业界专家及安全组织的合作与沟通;c)应建立外联单位联系列表,包括外联单位名称、合作内容、联系人和联系方式等信息。
审核和检查
应定期进展常规安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等状况。
安全治理人员人员录用
本项要求包括:
应指定或授权特地的部门或人员负责人员录用;
应对被录用人员的身份,安全背景、专业资格或资质等进展审查。人员离岗
应准时终止离岗人员的全部访问权限,取回各种身份证件、钥匙、徽章等以及机构供给的软硬件设备。
安全意识教育和培训
。
外部人员访问治理;本项要求包括:
应在外部人员物理访问受控区域前先提出书面申请,批准后由专人全程伴随,并登记备案;
应在外部人员接入受控网络访问系统前先提出书面申请,批准后由专人开设账户、安排权限并登记备案;
外部人员离场后应准时去除其全部的访问权限。
安全建设治理定级和备案
本项要求包括:
a)应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由;b)应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进展论证和审定;
应保证定级结果经过相关都门的
应将备案材料报主管部门和相应公安机关备案。
本项要求包括:
本项要求包括:
安全方案设计
本项要求包括:
应依据安全保护等级选择根本安全措施,依据风险分析的结果补充和调整安全措施;
应依据保护对象的安全保护等级进展安全方案设计;
应组织相关部门和有关安全专家对安全方案的合理性和正确性进展论证和审定,经过批准后才能正式实施。
产品选购和使用本项要求包括:
应确保网络安全产品选购和使用符合国家的有关规定;
应确保密码产品与效劳的选购和使用符合国家密码治理主管部门的要求。自行软件开发
本项要求包话:
应将开发环境与实际运行环境物理分开,测试数据和测试结果受到掌握:
应在软件开发过程中对安全性进展测试,在软件安装前对可能存在的恶意代码进展检测。
外包软件开发本项要求包括:
a)应在软件交付前检测其中可能存在的恶意代码;b)应保证开发单位供给软件设计文档和使用指南。
工程实施
本项要求包括:
a)应指定授权特地的部门或人员负责工程实施过程的治理;b)应制定安全工程实施方案掌握工程实施过程。
测试验收
本项要求包括:
应制订测试验收方案、并依据测试验收方案实施测试验收,形成测试验收报告;b)应进展上线前的安全性测试,并出具安全测试报告。
系统交付
本项要求包括:
a应制定交付清单,并依据交付清单对所交接的设备、软件和文档进展清点;
应对负责运行维护的技术人员进展相应的技能培训;c)应供给建设过程文档和运行维护文档。
等级测评
本项要求包括:
a)应定期进展等级测评觉察不符合相应等级保护标准要求的准时整改;b)应在发生重大变更或级别发生变化时进展等级测评;
c)应确保测评机构的选择符合国家有关规定。
本项要求包括:
效劳供给商选择
应确保效劳供给商的选择符合国家的有关规定;
应与选定的效劳供给商签订相关协议,明确整个效劳供给链各方需履行的网络安全相关义务。
安全运维治理环境治理
本项要求包括:
应指定特地的部门或人员负责机房安全,对机房出入进展治理,、温湿度掌握、消防等设施进展维护治理;
应对机房的安全治理做出规定,包括物理访问、物品进出和环境安全等;
应不在重要区域接待来访人员,不随便放置含有敏感信息的纸档文件和移动介质等。
资产治理
应编制并保存与保护对象相关的资产清单,包括资产责任部门、重要程度和所处位置等内容。
介质治理
本项要求包括:
应将介质存放在安全的环境中,对各类介质进展掌握和保护,实行存储环境专人治理,并依据存档介质的名目清单定期盘点;
应对介质在物理传输过程中的人员选择打包、交付等状况进展掌握,并对介质的归档和查询等进展登记记录。
设备维护治理本项要求包括:
应对各种设备(包括备份和冗余设备)、线路等指定特地的部门或人员定期进展维护治理;
应对配套设施、软硬件维护治理做出规定,包括明确维护入员的责任、修理和效劳的审批、修理过程的监视掌握等。
漏洞和风险治理
应实行必要的措施识别安全漏洞和隐患,对觉察的安全漏洞和隐患准时进展修补或评估可能的影响后进展修补。
网络和系统安全治理本项要求包括:
应划分不同的治理员角色进展网络和系统的运维治理,明确各个角色的责任和权限;
应指定特地的部门或人员进展账户治理,对申请账户、建立账户、删除账户等进展掌握;
应建立网络和系统安全治理制度,对安全策略、账户治理、配置治理、日志治理、日常操作、升级与打补丁、口令更周期等方面作出规定;
应制定重要设备的配置和操作手册,依据手册对设备进展安全配置和优化配置等;
应具体记录运维操作日志,包括日常巡检工作、运行维护记录、参数的设置和修改等内容。
恶意代码防范治理本项要求包括:
应提高全部用户的防恶意代码意识,对外来计算机或存储设备接入系统前进展恶意代码检查等;
应对恶意代码防范要求做出规定,包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期查杀等;
应定期检查恶意代码库的升级状况,对截获的恶意代码进展准时分析处理。
配置治理
应记录和保存根本配置信息,包括网络拓扑构造、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等。
密码治理
本项要求包括:
应遵守密码相关国家标准和行业标准;
应使用国家密码治理主管部门认证核准的密码技术和产品。
变更治理
应明确变更需求,变更前依据变更需求制定变更方案,变更方案经过评审,审批前方可实施。
备份与恢复治理本项要求包括:
a)应识别需要定期备份的重要业务信息、系统数据及软件系统等;b)应规定备份信息的备份方式、备份频度、存储介质、保存期等;
c)应依据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略、备份程序和恢复程序等。
安全大事处置本项要求包括:
应准时向安全治理部门报告所觉察的安全弱点和可疑大事;
应制定安全大事报告和处置治理制度,明确不同安全大事的报告、处置和响应流程,规定安全大事的现场处理、大事报告和后期恢复的治理职责等;
应在安全大事报告和响应处理过程中,分析和鉴定大事产生的缘由,收集证据、记录处理过程。总结阅历教训。
应急预案治理本项要求包括:
应制定重要大事的应急预案,包括应急处理流程、系统恢复流程等内容;