等级保护第三级基本要求.docx
- 文档编号:18644982
- 上传时间:2023-08-24
- 格式:DOCX
- 页数:61
- 大小:35.10KB
等级保护第三级基本要求.docx
《等级保护第三级基本要求.docx》由会员分享,可在线阅读,更多相关《等级保护第三级基本要求.docx(61页珍藏版)》请在冰点文库上搜索。
等级保护第三级基本要求
肆等级保护第三级基本要求
肄实施建议
肃残留问题
蚁物理安全
膆物理位置的选择(G3)
蒅本项要求包括:
a)
b)袅机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;
c)
d)蒀机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。
薀一般选择在建筑物2-3层。
(同B类安全机房的选址要求。
)
袆物理访问控制(G3)
节本项要求包括:
a)
b)蒂机房出入口应安排专人值守,控制、鉴别和记录进入的人员;
c)
d)蚀需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围;
e)
f)芆应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过渡区域;
g)
h)羄重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。
芁重要区域物理隔离,并安装电子门禁系统(北京天宇飞翔,深圳微耕,瑞士KABA或德国KABAGallenschutz)
蚀防盗窃和防破坏(G3)
蚇本项要求包括:
a)
b)蒂应将主要设备放置在机房内;
c)
d)肀应将设备或主要部件进行固定,并设置明显的不易除去的标记;
螀使用机柜并在设备上焊接铭牌,标明设备型号、负责保管人员、维护单位等信息。
(设备铭牌只能被破坏性地去除。
)
e)
f)螄应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;
g)
h)螈应对介质分类标识,存储在介质库或档案室中;
i)
j)莃应利用光、电等技术设置机房防盗报警系统;
蒄机房安装光电防盗报警系统。
k)
l)蝿应对机房设置监控报警系统。
芆机房安装视频监控报警系统。
蒆防雷击(G3)
薄本项要求包括:
a)
b)膀机房建筑应设置避雷装置;
c)
d)羈应设置防雷保安器,防止感应雷;
膅安装电源三级防雷器和信号二级防雷器(美国克雷太ALLTEC)。
e)
f)蚄机房应设置交流电源地线。
薁防火(G3)
莆本项要求包括:
a)
b)羄机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;
螃安装有管网气体自动灭火系统。
c)
d)蚈机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
肈进行机房改造,使用防火材料装修。
e)
f)螃机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。
螃进行机房改造,重要区域使用防火玻璃隔断。
聿防水和防潮(G3)
薆本项要求包括:
a)
b)螆水管安装,不得穿过机房屋顶和活动地板下;
c)
d)袃应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
e)
f)蒀应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;
g)
h)芈应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。
薅安装机房动力环境监控系统(对机房设备的运行状态、温度、湿度、洁净度、供电的电压、电流、频率、配电系统的开关状态、测漏系统等进行实时监控并记录历史数据),其中含漏水检测装置。
羃防静电(G3)
袁本项要求包括:
a)
b)螅主要设备应采用必要的接地防静电措施;
c)
d)莄机房应采用防静电地板。
肃温湿度控制(G3)
莂机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。
蒇安装精密空调系统,配置温湿度检测装置,并接入动力环境监控系统。
莆电力供应(A3)
膃本项要求包括:
a)
b)蒈应在机房供电线路上配置稳压器和过电压防护设备;
腿配置线路稳压器和电源保护装置(如金属氧化物可变电阻、硅雪崩二极管、气体放电管、滤波器、电压调整变压器和浪涌滤波器)。
c)
d)膅应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运行要求;
芃为主要设备配置UPS。
e)
f)衿应设置冗余或并行的电力电缆线路为计算机系统供电;
g)
h)蚇应建立备用供电系统。
袄提供备用供电系统,并根据对业务恢复时间的要求,制定备用供电系统的切换时间。
莃电磁防护(S3)
芀本项要求包括:
a)
b)荿应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;
c)
d)蚃电源线和通信线缆应隔离铺设,避免互相干扰;
e)
f)莂应对关键设备和磁介质实施电磁屏蔽。
蚁采用屏蔽机柜。
螇网络安全
蚆结构安全(G3)
蚀本项要求包括:
a)
b)羆应保证主要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;
c)
d)蚇应保证网络各个部分的带宽满足业务高峰期需要;
e)
f)蚃应在业务终端与业务服务器之间进行路由控制建立安全的访问路径;
g)
h)螀应绘制与当前运行情况相符的网络拓扑结构图;
i)
j)莇应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段;
k)
l)膄应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采取可靠的技术隔离手段;
蒁重要网段与其他网段之间采用防火墙或网闸进行隔离。
m)
n)袀应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机。
螇在多个业务共用的网络设备上配置QOS。
袆访问控制(G3)
蒄本项要求包括:
a)
b)羀应在网络边界部署访问控制设备,启用访问控制功能;
c)
d)膈应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级;
e)
f)莄应对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制;
g)
h)芃应在会话处于非活跃一定时间或会话结束后终止网络连接;
i)
j)肀应限制网络最大流量数及网络连接数;
k)
l)蕿重要网段应采取技术手段防止地址欺骗;
m)
n)肆应按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户;
o)
p)羂应限制具有拨号访问权限的用户数量。
腿在网络边界部署防火墙。
螆安全审计(G3)
蒄本项要求包括:
a)
b)螁应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;
c)
d)腿审计记录应包括:
事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
e)
f)膇应能够根据记录数据进行分析,并生成审计报表;
g)
h)芆应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等。
袄部署专业的日志审计系统。
艿边界完整性检查(S3)
薈本项要求包括:
a)
b)蚄应能够对非授权设备私自联到内部网络的行为进行检查,准确定出位置,并对其进行有效阻断;
薃部署终端安全管理系统,利用IP/MAC绑定及ARP阻断功能实现非法接入控制。
c)
d)荿应能够对内部网络用户私自联到外部网络的行为进行检查,准确定出位置,并对其进行有效阻断。
罿部署终端安全管理系统,提供非法外联监控功能。
莆入侵防范(G3)
莂本项要求包括:
a)
b)葿应在网络边界处监视以下攻击行为:
端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等;
c)
d)莀当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供报警。
袃部署入侵检测系统。
莅恶意代码防范(G3)
蕿本项要求包括:
a)
b)蒆应在网络边界处对恶意代码进行检测和清除;
c)
d)薅应维护恶意代码库的升级和检测系统的更新。
膃部署病毒过滤网关系统。
虿网络设备防护(G3)
袇本项要求包括:
a)
b)芇应对登录网络设备的用户进行身份鉴别;
c)
d)羂应对网络设备的管理员登录地址进行限制;
e)
f)蝿网络设备用户的标识应唯一;
g)
h)芈主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别;
i)
j)螅身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
k)
l)蚁应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;
m)
n)螈当对网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
虿采用动态电子令牌身份认证系统(如RSASecurID)。
o)
p)蒇应实现设备特权用户的权限分离。
螄主机安全
袈身份鉴别(S3)
袆本项要求包括:
a)
b)袅应对登录操作系统和数据库系统的用户进行身份标识和鉴别;
c)
d)蒃操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
e)
f)节应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
g)
h)蒁当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;
i)
j)袁应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一性。
薆采用操作系统和数据库系统安全评估和加固服务。
k)
l)薆应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。
袂采用动态电子令牌身份认证系统(如RSASecurID)。
荿访问控制(S3)
蕿本项要求包括:
a)
b)蚆应启用访问控制功能,依据安全策略控制用户对资源的访问;
c)
d)芃应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;
e)
f)肁应实现操作系统和数据库系统特权用户的权限分离;
g)
h)莈应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;
i)
j)螆应及时删除多余的、过期的帐户,避免共享帐户的存在。
k)
l)蚄应对重要信息资源设置敏感标记;
m)
n)蒈应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;
肆采用安全操作系统(如一些国产Linux操作系统或B1级操作系统)或在C2级操作系统中安装内核加固软件(如浪潮SSR服务器安全加固系统-适用Windows)。
袆安全审计(G3)
袀本项要求包括:
a)
b)芀审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;
c)
d)袅审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;
e)
f)羆审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;
芁服务器开启日志功能;重要客户端安装终端安全管理软件进行审计。
g)
h)蚈应能够根据记录数据进行分析,并生成审计报表;
袈采用专业的日志审计系统。
i)
j)肆应保护审计进程,避免受到未预期的中断;
蚂服务器采用安全操作系统或安装内核加固软件,对审计进程进行守护,防止进程中断;重要客户端的终端安全管理代理进程具有自我保护机制。
k)
l)莀应保护审计记录,避免受到未预期的删除、修改或覆盖等。
蚇采用专业的日志审计系统。
肅剩余信息保护(S3)
肃本项要求包括:
a)
b)袈应保证操作系统和数据库系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
c)
d)蒆应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
膅采用安全操作系统(如一些国产Linux操作系统或B1级操作系统)或安装Windows平台的剩余信息保护软件。
(同客体重用。
)
膀入侵防范(G3)
薀本项要求包括:
a)
b)芅应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;
芅采用主机或网络入侵检测系统。
c)
d)薁应能够对重要程序的完整性进行检测,并在检测到完整性受到破坏后具有恢复的措施;
肈采用安全操作系统或安装内核加固软件。
e)
f)芈操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方式保持系统补丁及时得到更新。
莅采用操作系统安全评估和加固服务,并部署补丁服务器。
羂恶意代码防范(G3)
蝿本项要求包括:
a)
b)肇应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;
c)
d)蒅主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库;
e)
f)莃应支持防恶意代码的统一管理。
节安装网络版防病毒软件并与病毒过滤网关异构。
袀资源控制(A3)
蚀本项要求包括:
a)
b)袈应通过设定终端接入方式、网络地址范围等条件限制终端登录;
c)
d)羄应根据安全策略设置登录终端的操作超时锁定;
袃采用操作系统安全评估和加固服务。
e)
f)蚀应对重要服务器进行监视,包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况;
g)
h)羅应限制单个用户对系统资源的最大或最小使用限度;
i)
j)螆应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。
蚂采用操作系统附带或第三方资源监控软件。
螀应用安全
莆身份鉴别(S3)
膄本项要求包括:
a)
b)蒁应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
衿进行应用系统二次开发。
c)
d)螇应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;
e)
f)袆应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;
芀采用数字证书身份认证系统。
g)
h)罿应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
i)
j)膈应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。
莄进行应用系统二次开发。
芃访问控制(S3)
聿本项要求包括:
a)
b)莅应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;
c)
d)肆访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作;
e)
f)肂应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;
g)
h)腿应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系。
螆进行应用系统二次开发,并结合采用第三方身份认证和访问控制系统。
i)
j)薄应具有对重要信息资源设置敏感标记的功能;
k)
l)螁应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;
艿借助安全操作系统或内核加固软件提供的强制访问控制功能实现。
膇安全审计(G3)
芅本项要求包括:
a)
b)袄应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计;
c)
d)艿应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;
e)
f)薇审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;
g)
h)蚃应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。
薂采用网络审计结合日志审计实现;应用服务器采用安全操作系统或安装内核加固软件,对审计进程进行守护,防止进程中断。
蚃剩余信息保护(S3)
节本项要求包括:
a)
b)虿应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
c)
d)蚅应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。
螃同主机安全。
荿通信完整性(S3)
膇应采用密码技术保证通信过程中数据的完整性。
莄通信保密性(S3)
袃本项要求包括:
a)
b)螀在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证;
c)
d)衿应对通信过程中的整个报文或会话过程进行加密。
蒇抗抵赖(G3)
袂本项要求包括:
a)
b)膁应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;
c)
d)芇应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。
膆采用SSL或IPSEC技术,结合基于数字证书的PKI体系。
羂软件容错(A3)
薂本项要求包括:
a)
b)罿应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求;
c)
d)羅应提供自动保护功能,当故障发生时自动保护当前所有状态,保证系统能够进行恢复。
肂进行应用系统二次开发。
羃资源控制(A3)
蒇本项要求包括:
a)
b)羈当应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;
c)
d)膂应能够对系统的最大并发会话连接数进行限制;
e)
f)肀应能够对单个帐户的多重并发会话进行限制;
g)
h)膈应能够对一个时间段内可能的并发会话连接数进行限制;
i)
j)螇应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额;
k)
l)节应能够对系统服务水平降低到预先规定的最小值进行检测和报警;
m)
n)蒀应提供服务优先级设定功能,并在安装后根据安全策略设定访问帐户或请求进程的优先级,根据优先级分配系统资源。
袀进行应用系统二次开发或采用第三方应用监控系统。
薅数据安全及备份恢复
莂数据完整性(S3)
袁本项要求包括:
a)
b)薆应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;
薂采用SSL或IPSEC技术,结合基于数字证书的PKI体系。
c)
d)虿应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施。
蒀利用安全操作系统或安装内核加固软件提供的文件完整性保护功能或数据库系统提供的完整性保护功能。
芈数据保密性(S3)
薅本项要求包括:
a)
b)虿应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性;
蚇采用SSL或IPSEC技术,结合基于数字证书的PKI体系。
c)
d)螆应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。
莄利用操作系统和数据库系统提供的加密存储机制。
蝿备份和恢复(A3)
肈本项要求包括:
a)
b)蒈应提供本地数据备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放;
肃采用磁带机或光盘备份。
c)
d)膃应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地;
葿采用异地数据备份机制。
e)
f)袆应采用冗余技术设计网络拓扑结构,避免关键节点存在单点故障;
膆关键节点设备采用双机热备份。
g)
h)芃应提供主要网络设备、通信线路和数据处理系统的硬件冗余,保证系统的高可用性。
袀主要网络设备、服务器双机热备份,主要通信线路双线路备份。
蚇管理要求
袄安全管理制度
莃管理制度(G3)
芀本项要求包括:
a)
b)肅应制定信息安全工作的总体方针和安全策略,说明机构安全工作的总体目标、范围、原则和安全框架等;
c)
d)蚃应对安全管理活动中的各类管理内容建立安全管理制度;
e)
f)莃应对要求管理人员或操作人员执行的日常管理操作建立操作规程;
g)
h)莇应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
螇制定和发布(G3)
蒂本项要求包括:
a)
b)蒃应指定或授权专门的部门或人员负责安全管理制度的制定;
c)
d)肂安全管理制度应具有统一的格式,并进行版本控制;
e)
f)葿应组织相关人员对制定的安全管理制度进行论证和审定;
g)
h)蝿安全管理制度应通过正式、有效的方式发布;
i)
j)袇安全管理制度应注明发布范围,并对收发文进行登记。
蒃评审和修订(G3)
芁本项要求包括:
a)
b)蒈信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定;
c)
d)羆应定期或不定期对安全管理制度进行检查和审定,对存在不足或需要改进的安全管理制度进行修订。
袄安全管理咨询服务,帮助用户建立全面的信息安全管理制度体系,包括制定安全策略、管理制度和操作规程等,并协助用户对管理制度进行发布、评审和修订。
虿安全管理机构
芇岗位设置(G3)
羆本项要求包括:
a)
b)羁应设立信息安全管理工作的职能部门,设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责;
c)应设立系统管理员、网络管理员、安全管理员等岗位,并定义各个工作岗位的职责;
d)应成立指导和管理信息安全工作的委员会或领导小组,其最高领导由单位主管领导委任或授权;
e)应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
人员配备(G3)
本项要求包括:
a)应配备一定数量的系统管理员、网络管理员、安全管理员等;
b)应配备专职安全管理员,不可兼任;
c)关键事务岗位应配备多人共同管理。
授权和审批(G3)
本项要求包括:
a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等;
b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活动建立逐级审批制度;
c)应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息;
d)应记录审批过程并保存审批文档。
沟通和合作(G3)
本项要求包括:
a)应加强各类管理人员之间、组织内
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 等级 保护 第三级 基本要求