二级等保标准

《二级等保标准》由会员分享，可在线阅读，更多相关《二级等保标准（6页珍藏版）》请在金锄头文库上搜索。

1、二级级别保护规定一、 技术规定技术规定项二级等保实现方式物理安全物理位置的选择1） 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。机房建设物理访问控制1） 机房出入口应有专人值守,鉴别进入的人员身份并登记在案;2） 应批准进入机房的来访人员,限制和监控其活动范畴。门禁管理系统防盗窃和防破坏1） 应将重要设备放置在物理受限的范畴内;2） 应对设备或重要部件进行固定，并设立明显的不易除去的标记;3） 应将通信线缆铺设在隐蔽处,如铺设在地下或管道中档；4） 应对介质分类标记,存储在介质库或档案室中;5） 应安装必要的防盗报警设施,以防进入机房的盗窃和破坏行为。机房建设防雷击1） 机房建筑

2、应设立避雷装置；2） 应设立交流电源地线。防雷系统防火1） 应设立灭火设备和火灾自动报警系统，并保持灭火设备和火灾自动报警系统的良好状态。消防系统防水和防潮1） 水管安装，不得穿过屋顶和活动地板下;2） 应对穿过墙壁和楼板的水管增长必要的保护措施,如设立套管；3） 应采用措施避免雨水通过屋顶和墙壁渗入;4） 应采用措施避免室内水蒸气结露和地下积水的转移与渗入。机房建设防静电1） 应采用必要的接地等防静电措施静电地板温湿度控制1） 应设立温、湿度自动调节设施，使机房温、湿度的变化在设备运营所容许的范畴之内。机房动力环境监控系统电力供应1） 计算机系统供电应与其她供电分开;2） 应设立稳压器和过电

3、压防护设备；3） 应提供短期的备用电力供应(如UP设备）。PS电磁防护1） 应采用接地方式避免外界电磁干扰和设备寄生耦合干扰；2） 电源线和通信线缆应隔离,避免互相干扰。防电磁排插,防电磁机柜网络安全构造安全与网段划分1） 网络设备的业务解决能力应具有冗余空间，规定满足业务高峰期需要；2） 应设计和绘制与目前运营状况相符的网络拓扑构造图； 3） 应根据机构业务的特点,在满足业务高峰期需要的基本上，合理设计网络带宽；4） 应在业务终端与业务服务器之间进行路由控制,建立安全的访问途径；5） 应根据各部门的工作职能、重要性、所波及信息的重要限度等因素，划分不同的子网或网段,并按照以便管理和控制的原则

4、为各子网、网段分派地址段;6） 重要网段应采用网络层地址与数据链路层地址绑定措施，避免地址欺骗。设备做好双机冗余网络访问控制1） 应能根据会话状态信息（涉及数据包的源地址、目的地址、源端标语、目的端标语、合同、出入的接口、会话序列号、发出信息的主机名等信息,并应支持地址通配符的使用），为数据流提供明确的容许/回绝访问的能力。防火墙拨号访问控制1） 应在基于安全属性的容许远程顾客对系统访问的规则的基本上，对系统所有资源容许或回绝顾客进行访问，控制粒度为单个顾客；2） 应限制具有拨号访问权限的顾客数量。PN网络安全审计1） 应对网络系统中的网络设备运营状况、网络流量、顾客行为等事件进行日记记录；2

5、） 对于每一种事件，其审计记录应涉及：事件的日期和时间、顾客、事件类型、事件与否成功，及其她与审计有关的信息。上网行为管理设备边界完整性检查1） 应可以检测内部网络中浮现的内部顾客未通过准许擅自联到外部网络的行为(即“非法外联”行为）。DS入侵检测网络入侵防备1） 应在网络边界处监视如下袭击行为：端口扫描、强力袭击、木马后门袭击、回绝服务袭击、缓冲区溢出袭击、P碎片袭击、网络蠕虫袭击等入侵事件的发生。I入侵防御歹意代码防备1） 应在网络边界及核心业务网段处对歹意代码进行检测和清除；2） 应维护歹意代码库的升级和检测系统的更新；3） 应支持歹意代码防备的统一管理。防毒墙网络设备防护1） 应对登录

6、网络设备的顾客进行身份鉴别；2） 应对网络设备的管理员登录地址进行限制;3） 网络设备顾客的标记应唯一;4） 身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；5） 应具有登录失败解决功能，如：结束会话、限制非法登录次数,当网络登录连接超时,自动退出。维护堡垒机主机系统安全身份鉴别1） 操作系统和数据库管理系统顾客的身份标记应具有唯一性;2） 应对登录操作系统和数据库管理系统的顾客进行身份标记和鉴别；3） 操作系统和数据库管理系统身份鉴别信息应具有不易被冒用的特点,例如口令长度、复杂性和定期的更新等；4） 应具有登录失败解决功能,如:结束会话、限制非法登录次数，当登录连接

7、超时，自动退出。VN自主访问控制1） 应根据安全方略控制主体对客体的访问；2） 自主访问控制的覆盖范畴应涉及与信息安全直接有关的主体、客体及它们之间的操作;3） 自主访问控制的粒度应达到主体为顾客级,客体为文献、数据库表级;4） 应由授权主体设立对客体访问和操作的权限；5） 应严格限制默认顾客的访问权限。VN防火墙强制访问控制无数据库审计系统安全审计1） 安全审计应覆盖到服务器上的每个操作系统顾客和数据库顾客；2） 安全审计应记录系统内重要的安全有关事件，涉及重要顾客行为和重要系统命令的使用等；3） 安全有关事件的记录应涉及日期和时间、类型、主体标记、客体标记、事件的成果等;4） 审计记录应受

8、到保护避免受到未预期的删除、修改或覆盖等。数据库审计系统系统保护1） 系统应提供在管理维护状态中运营的能力，管理维护状态只能被系统管理员使用。数据存储藏份，剩余信息保护1） 应保证操作系统和数据库管理系统顾客的鉴别信息所在的存储空间,被释放或再分派给其她顾客前得到完全清除,无论这些信息是寄存在硬盘上还是在内存中；2） 应保证系统内的文献、目录和数据库记录等资源所在的存储空间,被释放或重新分派给其她顾客前得到完全清除。PN入侵防备无网管系统,P入侵防御系统歹意代码防备1） 服务器和重要终端设备（涉及移动设备）应安装实时检测和查杀歹意代码的软件产品;2） 主机系统防歹意代码产品应具有与网络防歹意代

9、码产品不同的歹意代码库;防毒墙,杀毒软件资源控制1） 应限制单个顾客的会话数量；2） 应通过设定终端接入方式、网络地址范畴等条件限制终端登录。VPN应用安全身份鉴别1） 应用系统顾客的身份标记应具有唯一性;2） 应对登录的顾客进行身份标记和鉴别;3） 系统顾客身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等;4） 应具有登录失败解决功能，如：结束会话、限制非法登录次数,当登录连接超时,自动退出。访问控制1） 应根据安全方略控制顾客对客体的访问;2） 自主访问控制的覆盖范畴应涉及与信息安全直接有关的主体、客体及它们之间的操作；3） 自主访问控制的粒度应达到主体为顾客级,客体

10、为文献、数据库表级；4） 应由授权主体设立顾客对系统功能操作和对数据访问的权限；5） 应实现应用系统特权顾客的权限分离，例如将管理与审计的权限分派给不同的应用系统顾客;6） 权限分离应采用最小授权原则，分别授予不同顾客各自为完毕自己承当任务所需的最小权限,并在它们之间形成互相制约的关系;7） 应严格限制默认顾客的访问权限。防火墙安全审计1） 安全审计应覆盖到应用系统的每个顾客；2） 安全审计应记录应用系统重要的安全有关事件,涉及重要顾客行为和重要系统功能的执行等；3） 安全有关事件的记录应涉及日期和时间、类型、主体标记、客体标记、事件的成果等;4） 审计记录应受到保护避免受到未预期的删除、修改

11、或覆盖等。日记审计系统剩余信息保护1） 应保证顾客的鉴别信息所在的存储空间,被释放或再分派给其她顾客前得到完全清除,无论这些信息是寄存在硬盘上还是在内存中；2） 应保证系统内的文献、目录和数据库记录等资源所在的存储空间，被释放或重新分派给其她顾客前得到完全清除。VPN通信完整性1） 通信双方应商定单向的校验码算法，计算通信数据报文的校验码,在进行通信时,双方根据校验码判断对方报文的有效性。PN加密抗抵赖无P通信保密性1） 当通信双方中的一方在一段时间内未作任何响应,另一方应可以自动结束会话;2） 在通信双方建立连接之前,运用密码技术进行会话初始化验证；3） 在通信过程中,应对敏感信息字段进行加

12、密。V软件容错1） 应对通过人机接口输入或通过通信接口输入的数据进行有效性检查;2） 应对通过人机接口方式进行的操作提供“回退”功能，即容许按照操作的序列进行回退；3） 在故障发生时,应继续提供一部分功能,保证可以实行必要的措施。PN资源控制1） 应限制单个顾客的多重并发会话;2） 应相应用系统的最大并发会话连接数进行限制；3） 应对一种时间段内也许的并发会话连接数进行限制。VPN代码安全1） 应相应用程序代码进行歹意代码扫描；2） 应相应用程序代码进行安全脆弱性分析。防火墙数据安全数据完整性1） 应可以检测到系统管理数据、鉴别信息和顾客数据在传播过程中完整性受到破坏;2） 应可以检测到系统管理数据、鉴别信息和顾客数据在存储过程中完整性受到破坏。防火墙数据保密性1） 网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏感的系统管理数据和敏感的顾客数据应采用加密或其她有效措施实现传播保密性；2） 网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏感的系统管理数据和敏感的顾客数据应采用加密或其她保护措施实现存储保密性；3） 当使用便携式和移动式设备时，应加密或者采用可移动磁盘存储敏感信息。堡垒机数据备份和恢复1） 应提供自动机制对重要信息进行有选择的数据备份；2） 应提供恢复重要信息的功能;3） 应提供重要网络设备、通信线路和服务器的硬件冗余数据存储藏份