等保二級三級差異縱向?qū)Ρ?/h2>

【時間】2020-12-24

【編輯】Admin

【瀏覽量】

【等級保護QQ交流群】881590869

什么是等保測評？

網(wǎng)絡(luò)安全等級保護是指對國家重要信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。

等級的劃分，主要是根據(jù)受侵害的客體和對客體的侵害程度來劃分的。

為什么要進行等保測評?

摘自《中華人民共和國網(wǎng)絡(luò)安全法》

習(xí)近平總書記說：“沒有網(wǎng)絡(luò)安全就沒有國家安全”，在互聯(lián)網(wǎng)時代，網(wǎng)絡(luò)安全就像是地基，其他一切業(yè)務(wù)，公民，法人和其他組織的合法權(quán)益都建立在此之上，地基不安全，就如空中樓閣，會造成特別大的損害。舉個例子：大慶油田、三峽大壩等等，類似的例子還很多。所以等級保護測評是作為檢驗等級保護制度合規(guī)落地中非常重要的一環(huán)。

等保測評的流程是怎樣的?

首先我們的等保測評是分為5個等級的

85項a) 第一級，等級保護對象受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益；

175項b) 第二級，等級保護對象受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全；

290項c) 第三級，等級保護對象受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生特別嚴(yán)重損害，或者對社會秩序和公共利益造成嚴(yán)重損害，或者對國家安全造成損害；

318項d) 第四級，等級保護對象受到破壞后，會對社會秩序和公共利益造成特別嚴(yán)重損害，或者對國家安全造成嚴(yán)重損害；

e) 第五級，等級保護對象受到破壞后，會對國家安全造成特別嚴(yán)重損害。

測評報告一式三份，一份提交測評委托單位、一份提交公安監(jiān)管部門，一份由測評單位留存。

上面講完了等級保護和等保測評的具體流程和相關(guān)制度，作為甲方，會更加關(guān)注等級保護中不同等級的差異區(qū)別和要求，目前涉及面最廣，也是我們最常見的要求就是等保二級和等保三級的建設(shè)要求，小編我梳理了一下，下面我們來看下等保二級三級差異的縱向?qū)Ρ龋?/span>

			二級	三級
安全通用要求	安全物理環(huán)境	物理位置選擇	本項要求包括：  a) 機房場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；  b) 機房場地應(yīng)避免設(shè)在建筑物的頂層或地下室，否則應(yīng)加強防水和防潮措施。
		物理訪問控制	機房出入口應(yīng)安排專人值守或配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。	機房出入口應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。
		防盜竊和防破壞	本項要求包括：  a) 應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標(biāo)識；  b) 應(yīng)將通信線纜鋪設(shè)在隱蔽安全處	c) 應(yīng)設(shè)置機房防盜報警系統(tǒng)或設(shè)置有專人值守的視頻監(jiān)控系統(tǒng)。
		防雷擊	a)應(yīng)將各類機柜、設(shè)施和設(shè)備等通過接地系統(tǒng)安全接地。	b) 應(yīng)采取措施防止感應(yīng)雷，例如設(shè)置防雷保安器或過壓保護裝置等
		防火	本項要求包括：  a) 機房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自 動滅火；  b) 機房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料。	c) 應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置隔離防火措施。
		防水和防潮	本項要求包括：  a) 應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；  b) 應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。	c) 應(yīng)安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。
		防靜電	a)應(yīng)采用防靜電地板或地面并采用必要的接地防靜電措施。	b) 應(yīng)采取措施防止靜電的產(chǎn)生，例如采用靜電消除器、佩戴防靜電手環(huán)等。
		溫濕度控制應(yīng)設(shè)置必要的溫濕度調(diào)節(jié)設(shè)施，使機房溫濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。	應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備。
		電力供應(yīng)	本項要求包括： a) 應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備； b) 應(yīng)提供短期的備用電力供應(yīng)，至少滿足設(shè)備在斷電情況下的正常運行要求。	c) 應(yīng)設(shè)置冗余或并行的電力電纜線路為計算機系統(tǒng)供電。
		電磁防護	電源線和通 信線纜應(yīng)隔離鋪設(shè)，避免互相干擾。	b) 應(yīng)對關(guān)鍵設(shè)備實施電磁屏蔽。
	安全通信網(wǎng)絡(luò)	網(wǎng)絡(luò)架構(gòu)	本項要求包括：  a) 應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址；  b) 應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段 。	a) 應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要； b) 應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；                e) 應(yīng)提供通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備和關(guān)鍵計算設(shè)備的硬件冗余，保證系統(tǒng)的可用性。
		通信傳輸	應(yīng)采用校驗技術(shù)保證通信過程中數(shù)據(jù)的完整性。	b) 應(yīng)采用密碼技術(shù)保證通信過程中 數(shù)據(jù) 的保密性。
		可信驗證	可基于可信根對通信設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序等進行可信驗證，并在檢測到其可信性受到破壞后進行報警。	可基于可信根對通信設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序等進行可信驗證， 并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，在檢測到其可信性受到破壞后進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。
	安全區(qū)域邊界	邊界防護	應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進行通信	b) 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行 檢查或限制 ； c) 應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進行 檢查或限制 ； d) 應(yīng)限制無線網(wǎng)絡(luò)的使用，保證 無線網(wǎng)絡(luò)通過受控的邊界 設(shè)備接入內(nèi)部網(wǎng)絡(luò)
		訪問控制	本項要求包括：  a) 應(yīng)在 網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認(rèn)情況下除允許通信外受控接口拒絕所有通信；  b) 應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化；  c) 應(yīng)對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許/拒絕數(shù)據(jù)包進出；  d)應(yīng)能根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)流提供明確的允許/ /	e) 應(yīng)對進出網(wǎng)絡(luò)的數(shù)據(jù)流實現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制
		入侵防范	應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處監(jiān)視網(wǎng)絡(luò)攻擊行為。	a) 應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為；  b) 應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為；  c) 應(yīng)采取技術(shù)措施對網(wǎng)絡(luò)行為進行分析，實現(xiàn)對網(wǎng)絡(luò)攻擊特別是新型網(wǎng)絡(luò)攻擊行為的分析；  d) 當(dāng)檢測到攻擊行為時，記錄攻擊源 IP 、攻擊類型、攻擊 目標(biāo) 、攻擊時間，在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報警。
		惡意代碼防范	應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處對惡意代碼進行檢測和清除，并維護惡意代碼防護機制的升級和更新	b)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點處對垃圾郵件進行檢測和防護，并維護垃圾郵件防護機制的升級和更新。
		安全審計	本項要求包括：  a) 應(yīng)在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點進行安全審計，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；  b) 審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；  c) 應(yīng)對審計記錄進行保護，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等 。	d) 應(yīng)能對遠程訪問的用戶行為、訪問互聯(lián)網(wǎng)的用戶行為等單獨進行行為審計和數(shù)據(jù)分析。
		可信驗證	可基于可信根對邊界設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和 邊界防護 應(yīng)用程序等進行可信驗證，并在檢測到其可信性受到破壞后進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。	并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證
	安全計算環(huán)境	身份鑒別	本項要求包括：  a) 應(yīng)對登錄的用戶進行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；  b) 應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施；  c) 當(dāng)進行遠程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。	d) 應(yīng)采用 口令、密碼技術(shù)、生物技術(shù)等 兩種或兩種以上組合的鑒別技術(shù)對用戶進行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。
		訪問控制	本項要求包括：  a) 應(yīng)對登錄的用戶分配賬戶和權(quán)限；  b) 應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令；  c) 應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在；  d) 應(yīng)授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用 戶的權(quán)限分離	e) 應(yīng)由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則；  f) 訪問控制的粒度應(yīng)達 到主體為用戶級或進程級，客體為文件、數(shù)據(jù)庫表級；  g) 應(yīng)對重要主體和客體設(shè)置 安全標(biāo)記 ，并控制主體對有 安全標(biāo)記 信 息資源的訪問。
		安全審計	本項要求包括：  a) 應(yīng)啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計 ；  b) 審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；  c) 應(yīng)對審計記錄進行保護，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等	d) 應(yīng)對審計進程進行保護，防止未經(jīng)授權(quán)的中斷。
		入侵防范	本項要求包括：  a) 應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序；  b) 應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口；  c) 應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進行管理的管理終端進行限制；  d) 應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通 過人機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求；  e) 應(yīng)能發(fā)現(xiàn)可能存在的 已知 漏洞，并在經(jīng)過充分測試評估后，及時修補漏洞。	f) 應(yīng)能夠檢測到對重要節(jié)點進行入侵的行為，并在發(fā)生嚴(yán)重入侵事件時提供報警。
		惡意代碼防范	應(yīng)安裝防惡意代碼軟件或配置具有相應(yīng)功能的軟件，并定期進行升級和更新防惡意代碼庫。	應(yīng)采用免受惡意代碼攻擊的技術(shù)措施或 主動免疫可信  驗證 機制及時識別入侵和病毒行為，并將其有效阻斷
		可信驗證	可基于可信根對計算設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序等進行可信驗證，并在檢測到其可信性受到破壞后進行報警。	并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，
		數(shù)據(jù)完整性	應(yīng)采用校驗技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性。	本項要求包括：  a) 應(yīng)采用校驗技術(shù) 或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性， 包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等；  b) 應(yīng)采用校驗 技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等。
		數(shù)據(jù)保密性		a) 應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等；  b) 應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等。
		數(shù)據(jù)備份恢復(fù)	本項要求包括：  a) 應(yīng)提供重要數(shù)據(jù)的本地數(shù)據(jù)備份與恢復(fù)功能；  b) 應(yīng)提供異地數(shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)定時批量傳送至備用場地。	b) 應(yīng)提供異地實時備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù) 實時備份至備份場地；  c)應(yīng)提供重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性。
		剩余信息保護	應(yīng)保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除。	b) 應(yīng)保 證存有敏感數(shù)據(jù)的存儲空間被釋放或重新分配前得到完全清除
		個人信息保護	本項要求包括：  a) 應(yīng)僅采集和保存業(yè)務(wù)必需的用戶個人信息；  b) 應(yīng)禁止未授權(quán)訪問和非法使用用戶個人信息。
	安全管理中心	系統(tǒng)管理	本項要求包括：  a) 應(yīng)對系統(tǒng)管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并對這些操作進行審計；  b) 應(yīng)通過系統(tǒng)管理員對系統(tǒng)的資源和運行進行配置、控制和管理，包括用戶身份、系統(tǒng)資源配置、系統(tǒng)加載和啟動、系統(tǒng)運行的異常處理、數(shù)據(jù)和設(shè)備的備份與恢復(fù)等。
		審計管理	本項要求包括：  a) 應(yīng)對審計管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作，并對這些操作進行審計；  b) 應(yīng)通過審計管理員對審計記錄進行分析，并根據(jù)分析結(jié)果進行處理，包括根據(jù)安全審計策略對審計記錄進行存儲、管理和查詢等。
		安全管理		a) 應(yīng)對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并對這些操作進行審計；  b) 應(yīng)通過安全管理員對系統(tǒng)中的安全策略進行配置，包括安全參數(shù)的設(shè)置，主體、客體進行統(tǒng)一安全標(biāo)記，對主體進行授權(quán)，配置可信驗證策略等。
		集中管控		本項要求包括：  a) 應(yīng)劃分出特定的管理區(qū)域，對分布在網(wǎng) 絡(luò)中的安全設(shè)備或安全組件進行管控；  b) 應(yīng)能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò)中的安全設(shè)備或安全組件進行管理；  c) 應(yīng)對網(wǎng)絡(luò)鏈路、安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等的運行狀況進行集中監(jiān)測；  d) 應(yīng)對分散在各個設(shè)備上的審計數(shù)據(jù)進行收集匯總和集中分析，并保證審計記錄的留存時間符  合法律法規(guī)要求；  e) 應(yīng)對安全策略、惡意代碼、補丁升級等安全相關(guān)事項進行集中管理；  f) 應(yīng)能對網(wǎng)絡(luò)中發(fā)生的各類安全事件進行識別、報警和分析。
	安全管理制度	安全策略	應(yīng)制定 網(wǎng)絡(luò)安全 工作的總體方針和安全策略， 闡明 機構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等。
		管理制度	本項要求包括：  a) 應(yīng)對安全管理活動中的主要管理內(nèi)容建立安全管理制度；  b) 應(yīng)對 管理人員 或操作人員執(zhí)行的日常管理操作建立操作規(guī)程。	c) 應(yīng)形成由安全策略、管理制度、操作規(guī)程、記錄表單等構(gòu)成的全面的安全管理制度體系。
		制定和發(fā)布	本項要求包括：  a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)安全管理制度的制定；  b) 安全管理制度應(yīng)通過正式、有效的方式發(fā)布，并進行版本控制
		評審和修訂	應(yīng)定期對安全管理制度的合理性和適用性進行論證和審定，對存在不足或需要改進的安全管理制  度進行修訂
	安全管理機構(gòu)	崗位設(shè)置	本項要求包括：  a) 應(yīng)設(shè)立 網(wǎng)絡(luò)安全 管理工作的職能部門，設(shè)立安全主管、安全管理各個方面的負責(zé)人崗位，并定義各負責(zé)人的職責(zé)；  b) 應(yīng)設(shè)立系統(tǒng)管理員、審計管理員和安全管理員等崗位，并 定義部門及各個工作崗位的職責(zé)。	a) 應(yīng)成立指 導(dǎo)和管理 網(wǎng)絡(luò)安全 工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo) 擔(dān)任 或授權(quán)；
		人員配備	應(yīng)配備一定數(shù)量的系統(tǒng)管理員、審計管理員和安全管理員等。	b) 應(yīng)配備專職安全管理員，不可兼任。
		授權(quán)和審批	本項要求包括：  a) 應(yīng)根據(jù)各個部門和崗位的職責(zé)明確授權(quán)審批事項、審批部門和批準(zhǔn)人等；  b) 應(yīng)針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項執(zhí)行審批過程。	b) 應(yīng)針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項建立審批程序，按照審批程序執(zhí)行審批過程， 對重要活動建立逐級審批制度；  c) 應(yīng)定期審查審批事項，及時更新需授權(quán)和審批的項目、審批部門和審批人等信息。
		溝通和合作	本項要求包括：  a) 應(yīng)加強各類管理人員、組織內(nèi)部機構(gòu)和網(wǎng)絡(luò)安全管理部門之間的合作與溝通，定期召開協(xié)調(diào)會議，共同協(xié)作處理網(wǎng)絡(luò)安全問題；  b) 應(yīng)加強與網(wǎng)絡(luò)安全職能 部門 、各類供應(yīng)商、業(yè)界專家及安全組織的合作與溝通；  c) 應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方
		審核和檢查	應(yīng)定期進行常規(guī)安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況	b) 應(yīng)定期進行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；  c) 應(yīng)制定安全檢查表格實施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報告，并對安全檢查結(jié)果進行通報
	安全管理人員	人員錄用	本項要求包括：  a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)人員錄用；  b) 應(yīng)對被錄用人員的身份、 安全 背景、專業(yè)資格 或 資質(zhì)等進行審查。	b) 應(yīng)對被錄用人員的身份、安全背景、專業(yè)資格或資質(zhì)等進行審查， 對其所具有的技術(shù)技能進行考核；  c) 應(yīng)與被錄用人員簽署保密協(xié)議，與關(guān)鍵崗位人員簽署崗位責(zé)任協(xié)議。
		人員離崗	應(yīng)及時終止離崗人員的所有訪問權(quán)限，取回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備。	b) 應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)，并承諾調(diào)離后的保密義務(wù)后方可離開
		安全意識教育和培訓(xùn)	應(yīng)對各類人員進行安全意識教育和崗位技能培訓(xùn)，并告知相關(guān)的安全責(zé)任和懲戒措施。	b) 應(yīng)針對不同崗位制定不同的培訓(xùn)計劃，對安全基礎(chǔ)知識、崗位操作規(guī)程等進行培訓(xùn)；  c) 應(yīng)定期對不同崗位的人員進行技能考核。
		外部人員訪問管理	本項要求包括：  a) 應(yīng)在外部人員物理訪問受控區(qū)域前先 提出書面申請，批準(zhǔn)后由專人全程陪同，并登記備案；  b) 應(yīng) 在外部人員接入受控網(wǎng)絡(luò)訪問系統(tǒng)前先提出書面申請，批準(zhǔn)后由專人開設(shè)賬戶、分配權(quán)限，并登記備案；  c) 外部人員離場后應(yīng)及時清除其所有的訪問權(quán)限。	d) 獲得系統(tǒng)訪問授權(quán)的外部人員應(yīng)簽署保密協(xié)議，不得進行非授權(quán)操作，不得復(fù)制和泄露任何敏感信息
	安全建設(shè)管理	定級和備案	本項要求包括：  a) 應(yīng)以書面的形式說明保護對象的安全保護等級及確定等級的方法和理由；  b) 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對定級結(jié)果的合理性和正確性進行論證和審定；  c) 應(yīng)保證 定級結(jié)果經(jīng)過相關(guān)部門的批準(zhǔn)；  d) 應(yīng)將備案材料報主管部門和相應(yīng)公安機關(guān)備案。
		安全方案設(shè)計	本項要求包括：  a) 應(yīng)根據(jù)安全保護等級選擇基本安全措施，依據(jù)風(fēng)險分析的結(jié)果補充和調(diào)整安全措施；  b) 應(yīng)根據(jù)保護對象的安全保護等級進行安全方案設(shè)計；  c) 應(yīng)組織相關(guān)部門和有關(guān)安全專家對安全方案的合理性和正確性進行論證和審定，經(jīng)過批準(zhǔn)后才能正式實施。	b) 應(yīng)根據(jù)保護對象的安全保護等級及與其他級別保護對象的關(guān)系進行安全整體規(guī)劃和安全方案設(shè)計，設(shè)計內(nèi)容應(yīng)包含密碼 技術(shù) 相關(guān)內(nèi)容，并形成配套文件；  c) 應(yīng)組織相關(guān)部門和有關(guān)安全專家對安全整體規(guī)劃及其配套文件的合理性和正確性進行論證和審定，經(jīng)過批準(zhǔn)后才能正式實施。
		產(chǎn)品采購和使用	本項要求包括：  a) 應(yīng)確保網(wǎng)絡(luò)安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定；  b) 應(yīng)確保密碼產(chǎn)品與服務(wù)的采購和使用符合國家密碼管理主管部門的要求。	c) 應(yīng)預(yù)先對產(chǎn)品進行選型測試，確定產(chǎn)品的候選 范圍，并定期審定和更新候選產(chǎn)品名單。
		自行軟件開發(fā)	本項要求包括：  a) 應(yīng)將 開發(fā)環(huán)境與實際運行環(huán)境物理分開，測試數(shù)據(jù)和測試結(jié)果受到控制；  b) 應(yīng) 在軟件開發(fā)過程中對安全性進行測試，在軟件安裝前對可能存在的惡意代碼進行檢測。	b) 應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則； c) 應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼； d) 應(yīng)具備軟件設(shè)計的相關(guān)文檔和使用指南，并對文檔使用進行控制                            f) 應(yīng) 對程序資源庫的修改、更新、發(fā)布進行授權(quán)和批準(zhǔn)，并嚴(yán)格進行版本控制；  g) 應(yīng)保證開發(fā)人員為專職人員，開發(fā)人員的開發(fā)
		外包軟件開發(fā)	本項要求包括：  a) 應(yīng)在軟件交付前檢測其中可能存在的惡意代碼；  b) 應(yīng)保證 開發(fā)單位提供軟件設(shè)計文檔和使用指南。	c) 應(yīng)保證 開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門和隱蔽信道。
		工程實施	本項要求包括：  a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)工程實施過程的管理；  b) 應(yīng)制定 安全	c) 應(yīng)通過第三方工程監(jiān)理控制項目的實施過程
		測試驗收	本項要求包括：  a) 應(yīng) 制訂測試驗收方案，并依據(jù)測試驗收方案實施測試驗收，形成測試驗收報告；  b) 應(yīng)進行上線前的安全性測試，并出具安全測試報告。	b) 應(yīng)進行上線前的安全性測試，并出具安全測試報告， 安全測試報告應(yīng)包含密碼應(yīng)用安全性測試相關(guān)內(nèi)容
		系統(tǒng)收付	本項要求包括：  a) 應(yīng)制定交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進行清點；  b) 應(yīng)對負責(zé)運行維護的技術(shù)人員進行相應(yīng)的技能培訓(xùn)；  c) 應(yīng) 提供建設(shè)過程文檔和運行維護文檔。
		等級測評	本項要求包括：  a) 應(yīng)定期進行等級測評，發(fā)現(xiàn)不符合相應(yīng)等級保護標(biāo)準(zhǔn)要求的及時整改；  b) 應(yīng)在發(fā)生重大變更或級別發(fā)生變化時進行等級測評；  c) 應(yīng)確保測評機構(gòu)的選擇符合國家有關(guān)規(guī)定。
		服務(wù)供應(yīng)商選擇	本項要求包括：  a) 應(yīng)確保服務(wù)供應(yīng)商的選擇符合國家的有關(guān)規(guī)定；  b) 應(yīng)與選定的服務(wù)供應(yīng)商簽訂相關(guān)協(xié)議， 明確整個服務(wù)供應(yīng)鏈各方需履行的 網(wǎng)絡(luò)安全。	c) 應(yīng)定期監(jiān)督 、評審和審核服務(wù)供應(yīng)商提供的服務(wù)，并對其變更服務(wù)內(nèi)容加以控制。
	安全運維管理	環(huán)境管理	本項要求包括：  a) 應(yīng)指定專門的部門或人員負責(zé)機房安全，對機房出入進行管理，定期對機房供配電、空調(diào)、溫濕度控制、消防等設(shè)施進行維護管理；  b) 應(yīng)對機房的安全管理做出規(guī)定，包括物理訪問、物品進出和環(huán)境安全等；  c) 應(yīng)不在重要區(qū)域接待來訪人員 ，不隨意放置含有 敏感信息的紙檔文件 和	b) 應(yīng)建立機房安全管理制度，對有關(guān)物理訪問、物品帶 進出
		資產(chǎn)管理	應(yīng)編制并保存與保護對象相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容。	b) 應(yīng)根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標(biāo)識管理，根據(jù)資產(chǎn)的價值選擇相應(yīng)的管理措施；  c) 應(yīng)對信息分類與標(biāo)識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進行規(guī)范化管理
		介質(zhì)管理	本項要求包括：  a) 應(yīng)將介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護，實行存儲環(huán)境專人管理，并根據(jù)存檔介質(zhì)的目錄清單定期盤點；  b) 應(yīng)對介質(zhì)在物理傳輸過程中的人員選擇、打包、交付等情況進行控制，并對介質(zhì)的歸檔和查詢等進行登記記錄 。
		設(shè)備維護管理	本項要求包括：  a) 應(yīng)對各種設(shè)備（包括備份和冗余設(shè)備）、線路等指定專門的部門或人員定期進行維護管理；  b) 應(yīng)對配套設(shè)施、軟硬件維護管理做出規(guī)定，包括明確維護人員的責(zé)任、維修和服務(wù)的審批、維修過程的監(jiān)督控制等。	c) 信息處理設(shè)備 應(yīng) 經(jīng)過審批才能帶離機房或辦公地點，含有存儲介質(zhì)的設(shè)備帶出工作環(huán)境時其中重要數(shù)據(jù)應(yīng)加密；  d) 含 有存儲介質(zhì)的設(shè)備在報廢或重用前，應(yīng)進行完全清除或被安全覆蓋，保證 該設(shè)備上的敏感數(shù)據(jù)和授權(quán)軟件無法被恢復(fù)重用。
		漏洞和風(fēng)險管理	應(yīng)采取必要的措施識別安全漏洞和隱患，對發(fā)現(xiàn)的安全漏洞和隱患及時進行修補或評估可能的影響后進行修補。	b) 應(yīng)定期開展安全測評，形成安全測評報告，采取措施應(yīng)對發(fā)現(xiàn)的安全問題。
		網(wǎng)絡(luò)和系統(tǒng)安全管理	本項要求包括：  a) 應(yīng)劃分不同的管理員角色進行網(wǎng)絡(luò)和系統(tǒng)的運維管理，明確各個角色的責(zé)任和權(quán)限；  b) 應(yīng)指定專門的部門或人員進行賬戶管理，對申請賬戶、建立賬戶、刪除賬戶等進行控制；  c) 應(yīng)建立網(wǎng)絡(luò)和系統(tǒng)安全管理制度，對安全策略、賬戶管理、配置管理、日志管理、日常操作、升級與打補丁、口令更新周期等方面作出規(guī)定；  d) 應(yīng)制定重要設(shè)備的配置和操作手冊，依據(jù)手冊對設(shè)備進行安全配置和優(yōu)化配置等；  e) 應(yīng)詳細記錄運維操作日志，包括日常巡檢工作、運行維護記錄、參數(shù)的設(shè)置和修改等內(nèi)容。	f) 應(yīng)指定專門的部門或人員對日志、監(jiān)測和報警數(shù)據(jù)等進行分析、統(tǒng)計，及時發(fā)現(xiàn)可疑行為；  g) 應(yīng)嚴(yán)格控制變更性運維，經(jīng)過審批后才可改變連接、安裝系統(tǒng)組件或調(diào)整配置參數(shù)，操作過程中應(yīng)保留不可更改的審計日志，操作結(jié)束后應(yīng)同步更新配置信息庫；  h) 應(yīng)嚴(yán)格控制運維工具的使用，經(jīng)過審批后才可接入進行操作，操作過程中應(yīng)保留不可更改的審計日志，操作結(jié)束后應(yīng)刪除工具中的敏感數(shù)據(jù)；  i) 應(yīng)嚴(yán)格控制遠程運維的開通，經(jīng)過審批后才可開通遠程運維接口或通道，操作過程中應(yīng)保留不可更改的審計日志，操作結(jié)束后立即關(guān)閉 接口或通道；  j) 應(yīng)保證所有與外部的連接均得到授權(quán)和批準(zhǔn)，應(yīng)定期檢查違反規(guī)定無線上網(wǎng)及其他違反網(wǎng)絡(luò)安全策略的行為。
		惡意代碼防范管理	本項要求包括：  a) 應(yīng)提高所有用戶的防惡意代碼意識，對外來計算機或存儲設(shè)備接入系統(tǒng)前進行惡意代碼檢查等；  b) 應(yīng)對惡意代碼防范要求做出規(guī)定，包括防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、惡意代碼的定期查殺等；  c) 應(yīng)定期檢查惡意代碼庫的升級情況，對截獲的惡意代碼進行及時分析處理。	b) 應(yīng)定期驗證防范惡意代碼攻擊的技術(shù)措施的有效性。
配置管理		應(yīng)記錄和保存基本配置信息，包括網(wǎng)絡(luò)拓撲結(jié)構(gòu)、各個設(shè)備安裝的軟件組件、軟件組件的版本和補丁信息、各個設(shè)備或軟件組件的配置參數(shù)等。	b) 應(yīng)將基本配置信息改變納入變更范疇，實施對配置信息改變的控制，并及時更新基本配置信息庫。
密碼管理		本項要求包括：  a) 應(yīng)遵循 密碼 相關(guān)國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)；  b) 應(yīng)使用國家密碼管理主管部門認(rèn)證核準(zhǔn)的密碼技術(shù)和產(chǎn)品
變更管理		應(yīng)明確 變更需求，變更前根據(jù)變更需求制定變更方案，變更方案經(jīng)過評審、審批后方可實施	b) 應(yīng)建立變更的申報和審批控制程序，依據(jù)程序控制所有的變更，記錄變更實施過程；  c) 應(yīng)建立中止變更并從失敗變更中恢復(fù)的程序，明確過程控制方法和人員職責(zé)，必要時對恢復(fù)過程進行演練。
備份與恢復(fù)管理		本項要求包括：  a) 應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；  b) 應(yīng)規(guī)定備份信息的備份方式、備份頻度、存儲介質(zhì)、保存期等；  c) 應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略、備份程序和恢復(fù)程序等。
安全事件處置		本項要求包括：  a) 應(yīng)及時向安全管理部門報告所發(fā)現(xiàn)的安全弱點和可疑事件；  b) 應(yīng)制定安全事件報告和處置管理制度，明確不同安全事件的報告、處置和響應(yīng)流程，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)等；  c) 應(yīng)在安全事件報告和響應(yīng)處理過程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結(jié)經(jīng)驗教訓(xùn)。	d) 對造成系統(tǒng)中斷和造成信息泄漏的重大安全事件應(yīng)采用不同的處
應(yīng)急預(yù)案管理		本項要求包括：  a) 應(yīng)制定重要事 件的應(yīng)急預(yù)案，包括應(yīng)急處理流程、系統(tǒng)恢復(fù)流程等內(nèi)容；  b) 應(yīng)定期對系統(tǒng)相關(guān)的人員進行應(yīng)急預(yù)案培訓(xùn)，并進行應(yīng)急預(yù)案的演練。	a) 應(yīng)規(guī)定統(tǒng)一的應(yīng)急預(yù)案框架，包括啟動預(yù)案的條件、應(yīng)急組織構(gòu)成、應(yīng)急資源保障、事后教育和培訓(xùn)等內(nèi)容  d) 應(yīng)定期對原有的應(yīng)急預(yù)案重新評估，修訂完善
外包運維管理		本項要求包括：  a) 應(yīng)確保外包運維服務(wù)商的選擇符合國家的有關(guān)規(guī)定；  b) 應(yīng)與選定的外包運維服務(wù)商簽訂相關(guān)的協(xié)議，明確約定外包運維的范圍、工作內(nèi)容。	c) 應(yīng)保證 選擇的外包運維服務(wù)商在技術(shù)和管 理方面均 應(yīng) 具有按照等級保護要求開展安全運維工  作的能力，并將能力要求在簽訂的協(xié)議中明確；  d) 應(yīng)在與外包運維服務(wù)商簽訂的協(xié)議中明確所有相關(guān)的安全要求，如可能涉及對敏感信息的訪問、處理、存儲要求，對 T IT 基礎(chǔ)設(shè)施中斷服務(wù)的應(yīng)急保障要求等。
工控安全擴展要求二級	安全物理環(huán)境	室外控制設(shè)備物理防護	本項要求包括：  a) 室外控制設(shè)備應(yīng)放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風(fēng)、散熱、防盜、防雨和防火能力等；  b) 室外控制設(shè)備放置應(yīng)遠離強電磁干擾、強熱源等環(huán)境，如無法避免應(yīng)及時做好應(yīng)急處置及檢修，保證設(shè)備正常運行。
	安全通信網(wǎng)絡(luò)	網(wǎng)絡(luò)架構(gòu)	本項要求包括：  a) 工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)劃分為兩個區(qū)域，區(qū)域間應(yīng)采用技術(shù)隔離手段；  b) 工業(yè)控制系統(tǒng)內(nèi)部應(yīng)根據(jù)業(yè)務(wù)特點劃分為不同的安全域，安全域之間應(yīng)采用技術(shù)隔離手段；  c) 涉及實時控制和數(shù)據(jù)傳輸?shù)墓I(yè)控制系統(tǒng)，應(yīng)使用獨立的網(wǎng)絡(luò)設(shè)備組網(wǎng) ，在物理層面上實現(xiàn)與其它數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。	工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)劃分為兩個區(qū)域，區(qū)域間應(yīng)采用單向的技術(shù)隔離手段；
		通信傳輸	在工業(yè)控制系統(tǒng)內(nèi)使用廣域網(wǎng)進行控制指令或相關(guān)數(shù)據(jù)交換的應(yīng)采用加密認(rèn)證技術(shù)手段實現(xiàn)身份認(rèn)證、訪問控制和數(shù)據(jù)加密傳輸
	安全區(qū)域邊界	訪問控制	本項要求包括：  a) 應(yīng)在工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間部署訪問控制設(shè)備，配置訪問控制策略，禁止任何穿越區(qū)域邊界的 E-Mail、Web、Telnet、Rlogin、FTP 等通用網(wǎng)絡(luò)服務(wù)；  b) 應(yīng)在工業(yè)控制系統(tǒng)內(nèi)安全域和安全域之間的邊界防護機制失效時，及時進行報警。
		撥號使用控制	工業(yè)控制系統(tǒng)確需使用撥號訪問服務(wù) 的，應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量 ，并采取用戶身份鑒別和訪問控制等措施。	b) 撥號服務(wù)器和客戶端均應(yīng)使用經(jīng)安全加固的操作系統(tǒng)，并采取數(shù)字證書認(rèn)證、傳輸加密和訪問控制等措施。
		無線使用控制	本項要求包括：  a) 應(yīng)對所有參與無線通信的用戶（人員、軟件進程或者設(shè)備）提供唯一性標(biāo)識和鑒別；  b) 應(yīng)對所有參與無線通信的用戶（人員、軟件進程或者設(shè)備）進行授權(quán)以及執(zhí)行使用進行限制。	c) 應(yīng)對無線通信采取傳輸加密的安全措施，實現(xiàn)傳輸報文的機密性保護； d) 對采用無線通信技術(shù)進行控制的工業(yè)控制系統(tǒng)，應(yīng)能識別其物理環(huán)境中發(fā)射的未經(jīng)授權(quán)的無線設(shè)備，報告未經(jīng)授權(quán)試圖接入或干擾控制系統(tǒng) 的行為。
	安全計算環(huán)境	控制設(shè)備安全	本項要求包括：  a) 控制設(shè)備自身應(yīng)實現(xiàn)相應(yīng)級別安全通用要求提出的身份鑒別、訪問控制和安全審計等安全要求，如受條件限制控制設(shè)備無法實現(xiàn)上述要求，應(yīng)由其上位控制或管理設(shè)備實現(xiàn)同等功能或通過管理手段控制；  b) 應(yīng)在經(jīng)過充分測試評估后，在不影響系統(tǒng)安全穩(wěn)定運行的情況下對控制設(shè)備進行補丁更新、固件更新等工作。	c)應(yīng)關(guān)閉或拆除控制設(shè)備的軟盤驅(qū)動、光盤驅(qū)動、B USB 接口、串行口 或多余網(wǎng)口 等，確需保留的應(yīng)通過相關(guān)的技術(shù)措施實施嚴(yán)格的監(jiān)控管理；  d) 應(yīng)使用專用設(shè)備和專用軟件對控制設(shè)備進行更新； e)應(yīng)保證控制設(shè)備在上線前經(jīng)過安全性檢測， 避免控制設(shè)備固件中存在惡意代碼程序
	安全建設(shè)管理	產(chǎn)品采購和使用	工業(yè)控制系統(tǒng)重要設(shè)備應(yīng)通過專業(yè)機構(gòu)的安全性檢測后方可采購使用
		外包軟件開發(fā)	應(yīng)在外包開發(fā)合同中規(guī)定針對開發(fā)單位、供應(yīng)商的約束條款，包括設(shè)備及系統(tǒng)在生命周期內(nèi)有關(guān)保密、禁止關(guān)鍵技術(shù)擴散和設(shè)備行業(yè)專用等方面的內(nèi)容

上一篇：堡壘機在等保2.0中的控制點及核心功能 下一篇：等保2.0 三級 拓撲圖+設(shè)備套餐+詳解