信息系统安全等级保护基本要求-一级

《信息系统安全等级保护基本要求-一级》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、基本要求规定的范围：对象：不同安全保护等级信息系统内容：基本技术要求管理要求作用：指导分等级信息系统安全建设监督管理引用：保护等级：依重要程度、危害程度、由低到高分5级见：GB/T22240-2008不同等级的安全保护能力：共5级基本技术要求和管理要求：信统安全等保应让系统有它们相应等级的基本安全保护能力。基本安全要求，依实现方式，分基本技术要求、基本管理要求。技术要求：立基于技术安全机制，通过在信统中部署软硬件，正确配置其安全功能。管理要求：聚焦于信统中各种角色和角色参与的活动。控制角色活动、从政策、制度、规范、流程以

2、及记录等方面做出规定来实现。基本技术要求：从物理、网络、主机、应用和数据安全，4个层面提出要求。基本管理要求：从安全管理制度、机构、人员、系统建设、运维几方面提要求。基本安全要求从各个层面方面，提出系统的每个组件应该满足的安全要求。整体的安全保护能力依赖于其内部各不同组件的安全实现来满足。基本技术要求的三种类型：技术类安全要求进一步细分为：保护数据在存储、传输、处理过程中不被泄漏、破坏、和免受未授权的修改的要求（S要求）保护系统正常运行、免受对系统未授权修改、破坏而导致系统不可用的服务保护类要求（S要求）通用安全保护类要

3、求（G要求）第一级基本要求：技术要求：物理安全：访问控制：防盗窃、破坏：防雷击：防火：防水和防潮：温湿度控制：电力控制：网络安全：结构安全：a.保证关键网络设备的业务处理能力满足基本业务需要b.保证接入网络和核心网络的带宽满足基本业务需要c.绘制与当前运行情况相符的网络拓扑结构图访问控制：（G1）a.在网络边界部署访问控制设备，启用访问控制功能b.根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查，允许/拒绝数据包出入c.通过访问控制列表对系统资源实现允许或拒绝用户访问，控制粒度至少为用户组。网络设备防

4、护：a.应对登录网络设备的用户进行身份鉴别b.有登录失败处理功能，采取结束会话、限制非法登录次数、和当网络登录连接超时自动退出等措施c.对网络设备进行远程管理时，采措施防止信息传输中被窃听主机安全：身份鉴别：（S1）对登录操作系统和数据库系统的用户进行身份标识和鉴别。访问控制：a.启用访问控制功能，依安全策略控制用户对资源的访问b.限制默认帐户的访问权限，重命名系统默认账户，修改这些账户的默认口令c.及时删除多余的、过期的的账户、避免共享账户的存在入侵防范（G1）操作系统遵循最小安装原则，仅安装需要组件和应用程序，保持系

5、统补丁及时更新。恶意代码防范（G1）安装防恶意代码软件，及时更新防恶意代码软件版本和代码库应用安全：身份鉴别（S1）a.提供专用的登录控制模块对登录用户进行身份标识和鉴别a.提供登录失败处理功能b.启用身份鉴别和登录失败处理功能，根据安全策略配置相关参数访问控制a.应提供访问控制功能控制用户组/用户对系统功能和用户数据的访问b.由授权主体配置访问控制策略，严格限制默认用户的访问权限通信完整性（S1）应采用约定通信会话方式的方法保证通信过程中数据的完整性。软件容错（A1）提供数据有效性检验功能，保证通过人机接口输入或通过通

6、信接口输入的数据格式或长度符合系统设定要求。数据安全及备份恢复数据完整性（S1）检测重要用户数据在传输过程中完整性受到破坏。备份和恢复（A1）应能够对重要信息进行备份和恢复。管理要求安全管理制度管理制度（G1）建立日常管理活动中常用的安全管理制度制定和发布（G1）a.指定或授权专门的人员负责安全管理制度的制定b.将安全管理制度以某种方式发布到相关人员手中。安全管理机构岗位设置（G1）设立系统管理员、网络管理员、安全管理员等岗位，定义各个工作岗位职责。人员配备（G1）应配备一定数量的系统管理员、网络管理员、安全管理员等。授

7、权和审批（G1）根据各个部门和岗位的职责明确授权审批部门及批准人，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批。沟通和合作应加强与兄弟单位、公关机关、电信公司的合作与沟通。人员安全管理人员录用a.指定或授权专门的部门或人员负责人员录用b.对被录用人员的身份和专业资格等进行审查，并确保其具有基本的专业技术水平和安全管理知识。人员离岗a.立即终止由于各种原因离岗员工的所有访问权限b.应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。安全意识教育和培训（G1）a.应对各类人员进行安全意识教育和岗位技能

8、培训b.应告知人员相关的安全责任和惩戒措施外部人员访问管理（G1）确保外部人员访问受控区域前得到授权或审批。系统建设管理系统定级a.明确信息系统的边界和安全保护等级b.以书面形式说明信息系统确定为某个安全保护等级的方法和理由c.确保信息系统的定级结果经过相关部门的批准安全方案设计（G1）a.根据系统的安全保护等级选择