| 测评类 | 测评项 | 等保三级要求测评项 | 等保二级要求测评项 |
| 安全物理环境 | 物理位置选择 | a)机房场地应选择在具有防震、防风和防雨等能力的建筑内； | a)机房场地应选择在具有防震、防风和防雨等能力的建筑内； |
| b)机房场地应避免设在建筑物的顶层或地下室,否则应加强防水和防潮措施。 | b)机房场地应避免设在建筑物的顶层或地下室,否则应加强防水和防潮措施。 |
| 物理访问控制 | a)机房出入口应设置电子门禁体系,控制、鉴别和记录进入的职员。 | a)机房出入口应设置电子门禁体系,控制、鉴别和记录进入的职员。 |
| 防盗窃和防破坏 | a)应将设备或重要部进行固定，并设置明显的不易除去的标识； | a)应将设备或重要部进行固定，并设置明显的不易除去的标识； |
| b)应将通信线缆铺设在隐蔽安全处； | b)应将通信线缆铺设在隐蔽安全处； |
| c)应设置机房防盗报警体系或设置有专人值守的视频监控体系。 | |
| 防雷击 | a）应将各类机柜、办法和设备等通过接地体系安全接地； | a）应将各类机柜、办法和设备等通过接地体系安全接地； |
| b）应采取措施防止感应雷，比方设置防雷保安器或过压保护装置等。 | |
| 防火 | a）机房应设置火警主动消防体系，能够主动检测火情、主动报警，并主动灭火； | a）机房应设置火警主动消防体系，能够主动检测火情、主动报警，并主动灭火； |
| b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料； | b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料； |
| c）应对机房分别地区进行管理，地区和地区之间设置隔离防火措施。 | |
| 防水和防潮 | a) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； | a) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； |
| b) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透； | b) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透； |
| c) 应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。 | |
| 防静电 | a)应采用防静电地板或地面并采用须要的接地防静电措施； | a)应采用防静电地板或地面并采用须要的接地防静电措施； |
| b) 应采取措施防止静电的产生，比方采用静电消除器、佩戴防静电手环等。 | |
| 温湿度控制 | a)应设置温湿度主动调节办法，使机房温湿度的变化在设备运行所允许的范围之内。 | a)应设置温湿度主动调节办法，使机房温湿度的变化在设备运行所允许的范围之内。 |
| 电力供应 | a) 应在机房供电线路上设置稳压器和过电压防护设备； | a) 应在机房供电线路上设置稳压器和过电压防护设备； |
| b) 应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求； | b) 应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求； |
| c) 应设置冗余或并行的电力电缆线路为计算机体系供电。 | |
| 电磁防护 | a) 电源线和通信线缆应隔离铺设，避免互干系扰； | a) 电源线和通信线缆应隔离铺设，避免互干系扰； |
| b) 应对关键设备实行电磁屏蔽。 | |
| 安全通信网络 | 网络架构 | a) 应包管网络设备的业务处置惩罚能力满足业务高峰期需要； | |
| b) 应包管网络各个部分的带宽满足业务高峰期需要； | |
| c) 应分别不同的网络地区，并按照方便管理和控制的原则为各网络地区分配地址； | c) 应分别不同的网络地区，并按照方便管理和控制的原则为各网络地区分配地址； |
| d) 应避免将重要网络地区部署在界限处，重要网络地区与其他网络地区之间应采取可靠的技能隔离手段； | d) 应避免将重要网络地区部署在界限处，重要网络地区与其他网络地区之间应采取可靠的技能隔离手段； |
| e) 应提供通信线路、关键网络设备和关键计算设备的硬件冗余，包管体系的可用性。 | |
| 通信传输 | a) 应采用校验技能或密码技能包管通信过程中数据的完整性； | a) 应采用校验技能或密码技能包管通信过程中数据的完整性； |
| b) 应采用密码技能包管通信过程中数据的保密性。 | |
| 可信验证 | a)可基千可信根对通信设备的体系引导程序、体系程序、重要设置参数和通信应用程序等进行可信验证，并在应用程序的关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 | a)可基千可信根对通信设备的体系引导程序、体系程序、重要设置参数和通信应用程序等进行可信验证，并在应用程序的关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 |
| 安全地区界限 | 界限防护 | a) 应包管跨越界限的访间和数据流通过界限设备提供的受控接口进行通信； | a) 应包管跨越界限的访间和数据流通过界限设备提供的受控接口进行通信； |
| b) 应能够对非授权设备私自联到内部网络的行为进行查抄或限定； | |
| c) 应能够对内部用户非授权联到外部网络的行为进行查抄或限定； | |
| d) 应限定无线网络的使用，包管无线网络通过受控的界限设备接入内部网络。 | |
| 访问控制 | a) 应在网络界限或地区之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信； | a) 应在网络界限或地区之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信； |
| b)应删除多余或无效的访问控制规则，优化访问控制列表，并包管访问控制规则数量最小化； | b)应删除多余或无效的访问控制规则，优化访问控制列表，并包管访问控制规则数量最小化； |
| c）应对源地址、目的地址、源端口、目的端旦和协议等进行查抄，以允许/拒绝数据包进出； | c）应对源地址、目的地址、源端口、目的端旦和协议等进行查抄，以允许/拒绝数据包进出； |
| d）应能根据会话状态信息为效据流提供明确的允6绝访问的能力； | d）应能根据会话状态信息为效据流提供明确的允6绝访问的能力； |
| e）应对进出网络的数据流实现基于应用协媾和应用内容的访问控制。 | |
| 入侵防范 | a）应在关键网络节点处检测、防止或限定从外部发起的网络攻击行为； | a）应在关键网络节点处监视网络攻击行为。 |
| b）应在关键网络节点处检测防止或限定从内部发起的网络攻击行为； | |
| c）应采取技能措施对网络行为进行分析，实现对网络攻击特殊是新型网络攻击行为的分析； | |
| d）当检测到攻击行为厨。记录攻击源P、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。 | |
| 恶意代码和垃圾邮件防范 | a）应在关键网络节点对恶意我码进行检测和清除，并维护恶意代码防护机制的升级和更新； | a）应在关键网络节点对恶意我码进行检测和清除，并维护恶意代码防护机制的升级和更新； |
| b）应在关键网络节点处对垃圾邮件进行检测和防护并维护垃圾邮件防护机制的升级和更新。 | |
| 安全审计 | a）应在网络界限、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； | a）应在网络界限、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； |
| b）审计记录应包罗事件的日期和时间用户、事件类型、事件是否乐成及其他与审计相关的信息； | b）审计记录应包罗事件的日期和时间用户、事件类型、事件是否乐成及其他与审计相关的信息； |
| c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； | c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； |
| d）应能对长途访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。 | |
| 可信验证 | a）可基千可信根对界限设备的体系引导程序、体系程序、重要设置参数和界限防护应用程序等进行可信验证，并在应用程序的关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 | a）可基千可信根对界限设备的体系引导程序、体系程序、重要设置参数和界限防护应用程序等进行可信验证，并在应用程序的关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 |
| 安全计算环境 | 身份鉴别 | a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换； | a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换； |
| b) 应具有登录失败处置惩罚功能，应设置并启用结束会话、限定非法登录次数和当登录毗连超时主动退出等相关措施； | b) 应具有登录失败处置惩罚功能，应设置并启用结束会话、限定非法登录次数和当登录毗连超时主动退出等相关措施； |
| c)当进行长途管理时，应采取须要措施防止鉴别信息在网络传输过程中被窃听； | c)当进行长途管理时，应采取须要措施防止鉴别信息在网络传输过程中被窃听； |
| d)应采用口令、密码技能、生物技能等两种或两种以上组合的鉴别技能对用户进行身份鉴别，且其中一种鉴别技能至少应使用密码技能来实现。 | d)应采用口令、密码技能、生物技能等两种或两种以上组合的鉴别技能对用户进行身份鉴别，且其中一种鉴别技能至少应使用密码技能来实现。 |
| 访问控制 | a) 应对登录的用户分配账户和权限； | a) 应对登录的用户分配账户和权限； |
| b) 应重命名或删除默认账户，修改默认账户的默认口令； | b) 应重命名或删除默认账户，修改默认账户的默认口令； |
| c) 应实时删除或停用多余的、逾期的账户，避免共享账户的存在； | c) 应实时删除或停用多余的、逾期的账户，避免共享账户的存在； |
| d) 应授予管理用户所需的最小权限，实现管理用户的权限分离； | d) 应授予管理用户所需的最小权限，实现管理用户的权限分离； |
| e ) 应由授权主体设置访问控制策略，访间控制策略规定主体对客体的访间规则； | e ) 应由授权主体设置访问控制策略，访间控制策略规定主体对客体的访间规则； |
| f) 访间控制的粒度应达到主体为用户级或历程级，客体为文件、数据库表级； | f) 访间控制的粒度应达到主体为用户级或历程级，客体为文件、数据库表级； |
| g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。 | g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。 |
| 安全审计 | a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； | a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； |
| b) 审计记录应包罗事件的H期和时间、用户、事件类型、事件是否乐成及其他与审计相关的信息； | b) 审计记录应包罗事件的H期和时间、用户、事件类型、事件是否乐成及其他与审计相关的信息； |
| c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； | c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； |
| d) 应对审计历程进行保护，防止未经授权的中断。 | d) 应对审计历程进行保护，防止未经授权的中断。 |
| 入侵防范 | a) 应遵照最小安装的原则，仅安装需要的组件和应用程序； | a) 应遵照最小安装的原则，仅安装需要的组件和应用程序； |
| b) 应关闭不需要的体系服务、默认共享和高危端口； | b) 应关闭不需要的体系服务、默认共享和高危端口； |
| c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限定； | c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限定； |
| d) 应提供数据有效性检验功能，包管通过人机接口输入或通过通信接口输入的内容符合体系设定要求； | d) 应提供数据有效性检验功能，包管通过人机接口输入或通过通信接口输入的内容符合体系设定要求； |
| e) 应能发现可能存在的已知浦洞，并在经过充分测试评估后，实时修补毛病； | e) 应能发现可能存在的已知浦洞，并在经过充分测试评估后，实时修补毛病； |
| f) 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。 | f) 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。 |
| 恶意代码防范 | a）应采用免受恶意代码攻击的技能措施或主动免疫可信验证机制实时识别入侵和病毒行为，并将其有效阻断。 | a）应采用免受恶意代码攻击的技能措施或主动免疫可信验证机制实时识别入侵和病毒行为，并将其有效阻断。 |
| 可信验证 | 可基于可信根对计算设备的体系引导程序、体系程序、重要设置参数和应用程序等进行可信验证，并在应用程序的关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 | 可基于可信根对计算设备的体系引导程序、体系程序、重要设置参数和应用程序等进行可信验证，并在应用程序的关键实行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 |
| 数据完整性 | a) 应采用校验技能或密码技能包管重要数据在传输过程中的完整性，包罗但不限千鉴别数据、重要业务数据、重要审计数据、重要设置数据、重要视频数据和重要个人信息等； | a) 应采用校验技能或密码技能包管重要数据在传输过程中的完整性，包罗但不限千鉴别数据、重要业务数据、重要审计数据、重要设置数据、重要视频数据和重要个人信息等； |
| b) 应采用校验技能或密码技能包管重要数据在存储过程中的完整性，包罗但不限于鉴别数据、重要业务数据、重要审计数据、重要设置数据、重要视频数据和重要个人信息等。 | b) 应采用校验技能或密码技能包管重要数据在存储过程中的完整性，包罗但不限于鉴别数据、重要业务数据、重要审计数据、重要设置数据、重要视频数据和重要个人信息等。 |
| 数据保密性 | a) 应采用密码技能包管重要数据在传输过程中的保密性，包罗但不限于鉴别数据、重要业务数据和重要个人信息等； | a) 应采用密码技能包管重要数据在传输过程中的保密性，包罗但不限于鉴别数据、重要业务数据和重要个人信息等； |
| b) 应采用密码技能包管重要数据在存储过程中的保密性，包罗但不限千鉴别数据、重要业务数据和重要个人信息等。 | b) 应采用密码技能包管重要数据在存储过程中的保密性，包罗但不限千鉴别数据、重要业务数据和重要个人信息等。 |
| 数据备份恢复 | a) 应提供重要数据的本地数据备份与恢复功能； | a) 应提供重要数据的本地数据备份与恢复功能； |
| b) 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地； | b) 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地； |
| c) 应提供重要数据处置惩罚体系的热冗余，包管体系的高可用性。 | c) 应提供重要数据处置惩罚体系的热冗余，包管体系的高可用性。 |
| 剩余信息保护 | a) 应包管鉴别信息所在的存储空间被释放或重新分配前得到完全清除； | a) 应包管鉴别信息所在的存储空间被释放或重新分配前得到完全清除； |
| b) 应包管存有敏感数据的存储空间被释放或重新分配前得到完全清除。 | b) 应包管存有敏感数据的存储空间被释放或重新分配前得到完全清除。 |
| 个人信息保护 | a) 应仅采集和生存业务必需的用户个人信息； | a) 应仅采集和生存业务必需的用户个人信息； |
| b) 应克制未授权访问和非法使用用户个人信息。 | b) 应克制未授权访问和非法使用用户个人信息。 |
| 安全管理中心 | 体系管理 | a) 应对体系管理员进行身份鉴别，只允许其通过特定的下令或操纵界面进行体系管理操纵，并对这些操纵进行审计； | a) 应对体系管理员进行身份鉴别，只允许其通过特定的下令或操纵界面进行体系管理操纵，并对这些操纵进行审计； |
| b) 应通过体系管理员对体系的资源和运行进行设置、控制和管理，包罗用户身份、体系资源设置、体系加载和启动、体系运行的异常处置惩罚、数据和设备的备份与恢复等。 | b) 应通过体系管理员对体系的资源和运行进行设置、控制和管理，包罗用户身份、体系资源设置、体系加载和启动、体系运行的异常处置惩罚、数据和设备的备份与恢复等。 |
| 审计管理 | a) 应对审计管理员进行身份鉴别，只允许其通过特定的下令或操纵界面进行安全审计操纵，并对这些操纵进行审计； | a) 应对审计管理员进行身份鉴别，只允许其通过特定的下令或操纵界面进行安全审计操纵，并对这些操纵进行审计； |
| b) 应通过审计管理员对审计记录应进行分析，并根据分析结果进行处置惩罚，包罗根据安全审计策略对审计记录进行存储、管理和查询等。 | b) 应通过审计管理员对审计记录应进行分析，并根据分析结果进行处置惩罚，包罗根据安全审计策略对审计记录进行存储、管理和查询等。 |
| 安全管理 | a) 应对安全管理员进行身份鉴别，只允许其通过特定的下令或操纵界面进行安全管理操纵，并对这些操纵进行审计； | a) 应对安全管理员进行身份鉴别，只允许其通过特定的下令或操纵界面进行安全管理操纵，并对这些操纵进行审计； |
| b)应通过安全管理员对体系中的安全策略进行设置，包罗安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，设置可信验证策略等。 | b)应通过安全管理员对体系中的安全策略进行设置，包罗安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，设置可信验证策略等。 |
| 集中管控 | a) 应分别出特定的管理地区，对分布在网络中的安全设备或安全组件进行管控； | a) 应分别出特定的管理地区，对分布在网络中的安全设备或安全组件进行管控； |
| b) 应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理； | b) 应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理； |
| c) 应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测； | c) 应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测； |
| d) 应对分散在各个设备上的审计数据进行收集汇总和集中分析，并包管审计记录的留存时间符合法律法规要求； | d) 应对分散在各个设备上的审计数据进行收集汇总和集中分析，并包管审计记录的留存时间符合法律法规要求； |
| e) 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理； | e) 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理； |
| f) 应能对网络中发生的各类安全事件进行识别、报警和分析。 | f) 应能对网络中发生的各类安全事件进行识别、报警和分析。 |
| 安全管理制度 | 安全策略 | a）应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目的、范围、原则和安全框架等。 | a）应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目的、范围、原则和安全框架等。 |
| 管理制度 | a) 应对安全管理运动中的各类管理内容建立安全管理制度； | a) 应对安全管理运动中的各类管理内容建立安全管理制度； |
| b) 应对管理职员或操纵职员实行的一样平常管理操纵建立操纵规程； | b) 应对管理职员或操纵职员实行的一样平常管理操纵建立操纵规程； |
| c) 应形成由安全策略、管理制度、操纵规程、记录表单等构成的全面的安全管理制度体系。 | c) 应形成由安全策略、管理制度、操纵规程、记录表单等构成的全面的安全管理制度体系。 |
| 制定和发布 | a) 应指定或授权专门的部门或职员负责安全管理制度的制定； | a) 应指定或授权专门的部门或职员负责安全管理制度的制定； |
| b) 安全管理制度应通过正式、有效的方式发布，并进行版本控制。 | b) 安全管理制度应通过正式、有效的方式发布，并进行版本控制。 |
| 评审和修订 | a）应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。 | a）应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。 |
| 安全管理机构 | 岗位设置 | a) 应建立指导和管理网络安全工作的委员会或向导小组，其最高向导由单元主管向导担当或授权； | a) 应建立指导和管理网络安全工作的委员会或向导小组，其最高向导由单元主管向导担当或授权； |
| b) 应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责； | b) 应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责； |
| c) 应设立体系管理员、审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责。 | c) 应设立体系管理员、审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责。 |
| 职员配备 | a)应配备肯定数鼠的体系管理员、审计管理员和安全管理员等； | a)应配备肯定数鼠的体系管理员、审计管理员和安全管理员等； |
| b) 应配备专职安全管理员，不可兼任。 | b) 应配备专职安全管理员，不可兼任。 |
| 授权和审批 | a) 应根据各个部门和岗位的职责明确授权审批事项、审批部门和答应人等； | a) 应根据各个部门和岗位的职责明确授权审批事项、审批部门和答应人等； |
| b) 应针对体系变更、重要操纵、物理访问和体系接入等事项建立审批程序，按照审批程序实行审批过程，对重要运动建立逐级审批制度； | b) 应针对体系变更、重要操纵、物理访问和体系接入等事项建立审批程序，按照审批程序实行审批过程，对重要运动建立逐级审批制度； |
| c) 应定期审查审批事项，实时更新需授权和审批的项目、审批部门和审批人等信息。 | c) 应定期审查审批事项，实时更新需授权和审批的项目、审批部门和审批人等信息。 |
| 沟通和合作 | a) 应加强各类管理职员、构造内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会议，共同协作处置惩罚网络安全问题； | a) 应加强各类管理职员、构造内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会议，共同协作处置惩罚网络安全问题； |
| b) 应加强与网络安全职能部门、各类供应商、业界专家及安全构造的合作与沟通； | b) 应加强与网络安全职能部门、各类供应商、业界专家及安全构造的合作与沟通； |
| c) 应建立外联单元联系列表，包罗外联单元名称、合作内容、联系人和联系方式等信息。 | c) 应建立外联单元联系列表，包罗外联单元名称、合作内容、联系人和联系方式等信息。 |
| 考核和查抄 | a) 应定期进行常规安全查抄，查抄内容包罗体系一样平常运行、体系毛病和数据备份等情况； | a) 应定期进行常规安全查抄，查抄内容包罗体系一样平常运行、体系毛病和数据备份等情况； |
| b) 应定期进行全面安全查抄，查抄内容包罗现有安全技能措施的有效性、安全设置与安全策略的同等性、安全管理制度的实行情况等； | b) 应定期进行全面安全查抄，查抄内容包罗现有安全技能措施的有效性、安全设置与安全策略的同等性、安全管理制度的实行情况等； |
| c) 应制定安全查抄表格实行安全查抄，汇总安全查抄数据，形成安全查抄报告，并对安全查抄结果进行通报。 | c) 应制定安全查抄表格实行安全查抄，汇总安全查抄数据，形成安全查抄报告，并对安全查抄结果进行通报。 |
| 安全管理职员 | 职员录用 | a) 应指定或授权专门的部门或职员负责职员录用； | a) 应指定或授权专门的部门或职员负责职员录用； |
| b) 应对被录用职员的身份、安全背景、专业资格或资质等进行审查，对其所具有的技能技能进行考核； | b) 应对被录用职员的身份、安全背景、专业资格或资质等进行审查，对其所具有的技能技能进行考核； |
| c) 应与被录用职员签署保密协议，与关键岗位职员签署岗位责任协议。 | c) 应与被录用职员签署保密协议，与关键岗位职员签署岗位责任协议。 |
| 职员离岗 | a) 应实时终止离岗职员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备； | a) 应实时终止离岗职员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备； |
| b) 应办理严格的调离手续，并答应调离后的保密义务后方可离开。 | b) 应办理严格的调离手续，并答应调离后的保密义务后方可离开。 |
| 安全意识教诲和培训 | a) 应对各类职员进行安全意识教诲和岗位技能培训，并告知相关的安全责任和惩戒措施； | a) 应对各类职员进行安全意识教诲和岗位技能培训，并告知相关的安全责任和惩戒措施； |
| b) 应针对不同岗位制定不同的培训计划，对安全基础知识、岗位操纵规程等进行培训； | b) 应针对不同岗位制定不同的培训计划，对安全基础知识、岗位操纵规程等进行培训； |
| c) 应定期对不同岗位的职员进行技能考核。 | c) 应定期对不同岗位的职员进行技能考核。 |
| 外部职员访问管理 | a) 应在外部职员物理访问受控地区前先提出书面申请，答应后由专人全程陪同，并登记备案； | a) 应在外部职员物理访问受控地区前先提出书面申请，答应后由专人全程陪同，并登记备案； |
| b) 应在外部职员接入受控网络访问体系前先提出书面申请，答应后由专人开设账户、分配权限，并登记备案； | b) 应在外部职员接入受控网络访问体系前先提出书面申请，答应后由专人开设账户、分配权限，并登记备案； |
| c) 外部职员离场后应实时清除其所有的访间权限； | c) 外部职员离场后应实时清除其所有的访间权限； |
| d) 获得体系访间授权的外部职员应签署保密协议，不得进行非授权操纵，不得复制和泄露任何敏感信息。 | d) 获得体系访间授权的外部职员应签署保密协议，不得进行非授权操纵，不得复制和泄露任何敏感信息。 |
| 安全建立管理 | 定级和备案 | a) 应以书面的形式阐明保护对象的安全保护等级及确定等级的方法和理由； | a) 应以书面的形式阐明保护对象的安全保护等级及确定等级的方法和理由； |
| b) 应构造相关部门和有关安全技能专家对定级结果的合理性和正确性进行论证和审定； | b) 应构造相关部门和有关安全技能专家对定级结果的合理性和正确性进行论证和审定； |
| c) 应包管定级结果经过相关部门的答应； | c) 应包管定级结果经过相关部门的答应； |
| d) 应将备案材料报主管部门和相应公安机关备案。 | d) 应将备案材料报主管部门和相应公安机关备案。 |
| 安全方案设计 | a) 应根据安全保护等级选择根本安全措施，依据风险分析的结果补充和调整安全措施； | a) 应根据安全保护等级选择根本安全措施，依据风险分析的结果补充和调整安全措施； |
| b) 应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技能相关内容，并形成配套文件； | b) 应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技能相关内容，并形成配套文件； |
| c) 应构造相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过答应后才能正式实行。 | c) 应构造相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过答应后才能正式实行。 |
| 产物采购和使用 | a) 应确保网络安全产物采购和使用符合国家的有关规定； | a) 应确保网络安全产物采购和使用符合国家的有关规定； |
| b) 应确保密码产物与服务的采购和使用符合国家密码管理主管部门的要求； | b) 应确保密码产物与服务的采购和使用符合国家密码管理主管部门的要求； |
| c) 应预先对产物进行选型测试，确定产物的候选范围，并定期审定和更新候选产物名单。 | c) 应预先对产物进行选型测试，确定产物的候选范围，并定期审定和更新候选产物名单。 |
| 自行软件开发 | a）应将开发环境与现实运行环境物理分开，测试数据和测试结果受到控制； | a）应将开发环境与现实运行环境物理分开，测试数据和测试结果受到控制； |
| b）应制定软件开发管理制度，明确阐明开发过程的控制方法和职员行为准则； | b）应制定软件开发管理制度，明确阐明开发过程的控制方法和职员行为准则； |
| c）应制定代码编写安全规范，要求开发职员参照规范编写代码； | c）应制定代码编写安全规范，要求开发职员参照规范编写代码； |
| d）应具备软件计的相关文档和使用指南，并对文档使用进行控制： | d）应具备软件计的相关文档和使用指南，并对文档使用进行控制： |
| e）应包管在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测； | e）应包管在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测； |
| f）应对程序资源库的修改、更新、发布进行授权和答应，并严格进行版本控制； | f）应对程序资源库的修改、更新、发布进行授权和答应，并严格进行版本控制； |
| g）应包管开发职员为专职职员开发职员的开发运动受到控制、监视和审查。 | g）应包管开发职员为专职职员开发职员的开发运动受到控制、监视和审查。 |
| 外包软件开发 | a）应在软件交付前检测其事可能存的恶意代码； | a）应在软件交付前检测其事可能存的恶意代码； |
| b）应包管开发单元提供软设计文档和使用指南； | b）应包管开发单元提供软设计文档和使用指南； |
| c）应包管开发单元提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。 | c）应包管开发单元提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。 |
| 工程实行 | a）应指定或授权专门的部门或职员负责工程实行过程的管理； | a）应指定或授权专门的部门或职员负责工程实行过程的管理； |
| b）应制定安全工程实行方案控制工程实行过程； | b）应制定安全工程实行方案控制工程实行过程； |
| c）应通过第三方工程监理控制项目的实行过程。 | c）应通过第三方工程监理控制项目的实行过程。 |
| 测试验收 | a）应制订测试验收方案，并依据测试验收案实行测试验收，形成测试验收报告； | a）应制订测试验收方案，并依据测试验收案实行测试验收，形成测试验收报告； |
| b）应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。 | b）应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。 |
| 体系交付 | a) 应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； | a) 应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； |
| b) 应对负责运行维护的技能职员进行相应的技能培训； | b) 应对负责运行维护的技能职员进行相应的技能培训； |
| c) 应提供建立过程文档和运行维护文档。 | c) 应提供建立过程文档和运行维护文档。 |
| 等级测评 | a) 应定期进行等级测评，发现不符合相应等级保护标准要求的实时整改； | a) 应定期进行等级测评，发现不符合相应等级保护标准要求的实时整改； |
| b) 应在发生重大变更或级别发生变化时进行等级测评； | b) 应在发生重大变更或级别发生变化时进行等级测评； |
| c) 应确保测评机构的选择符合国家有关规定。 | c) 应确保测评机构的选择符合国家有关规定。 |
| 服务供应商选择 | a) 应确保服务供应商的选择符合国家的有关规定； | a) 应确保服务供应商的选择符合国家的有关规定； |
| b) 应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务； | b) 应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务； |
| c) 应定期监督、评审和考核服务供应商提供的服务，并对其变更服务内容加以控制。 | c) 应定期监督、评审和考核服务供应商提供的服务，并对其变更服务内容加以控制。 |
| 安全运维管理 | 环境管理 | a) 应指定专门的部门或职员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等办法进行维护管理； | a) 应指定专门的部门或职员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等办法进行维护管理； |
| b) 应建立机房安全管理制度，对有关物理访间、物品带进出和环境安全等方面的管理作出规定； | b) 应建立机房安全管理制度，对有关物理访间、物品带进出和环境安全等方面的管理作出规定； |
| c) 应不在重要地区欢迎来访职员，不随意放置含有敏感信息的纸档文件和移动介质等。 | c) 应不在重要地区欢迎来访职员，不随意放置含有敏感信息的纸档文件和移动介质等。 |
| 资产管理 | a) 应编制并生存与保护对象相关的资产清单，包罗资产责任部门、重要程度和所处位置等内容； | a) 应编制并生存与保护对象相关的资产清单，包罗资产责任部门、重要程度和所处位置等内容； |
| b) 应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施； | b) 应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施； |
| c) 应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。 | c) 应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。 |
| 介质管理 | a) 应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质的目录清单定期盘点； | a) 应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质的目录清单定期盘点； |
| b) 应对介质在物理传输过程中的职员选择、打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录。 | b) 应对介质在物理传输过程中的职员选择、打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录。 |
| 设备维护管理 | a) 应对各种设备（包罗备份和冗余设备）、线路等指定专门的部门或职员定期进行维护管理； | a) 应对各种设备（包罗备份和冗余设备）、线路等指定专门的部门或职员定期进行维护管理； |
| b) 应建立配套办法、软硬件维护方面的管理制度，对其维护进行有效的管理，包罗明确维护职员的责任、维修和服务的审批、维修过程的监督控制等； | b) 应建立配套办法、软硬件维护方面的管理制度，对其维护进行有效的管理，包罗明确维护职员的责任、维修和服务的审批、维修过程的监督控制等； |
| c) 信息处置惩罚设备应经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其中重要数据应加密； | c) 信息处置惩罚设备应经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其中重要数据应加密； |
| d) 含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，包管该设备上的敏感数据和授权软件无法被恢复重用。 | d) 含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，包管该设备上的敏感数据和授权软件无法被恢复重用。 |
| 毛病和风险管理 | a) 应采取须要的措施识别安全毛病和隐患，对发现的安全毛病和隐患实时进行修补或评估可能的影响后进行修补； | a) 应采取须要的措施识别安全毛病和隐患，对发现的安全毛病和隐患实时进行修补或评估可能的影响后进行修补； |
| b) 应定期开展安全测评，形成安全测评报告，采取措施应对发现的安全间题。 | b) 应定期开展安全测评，形成安全测评报告，采取措施应对发现的安全间题。 |
| 网络和体系安全管理 | a）应分别不同的管理员角色进行网络和体系的运维管理，一确各个用色的责任和权限； | a）应分别不同的管理员角色进行网络和体系的运维管理，一确各个用色的责任和权限； |
| b）应指定专门的部门或职员进行账户管理，对申请账户、建立账删除户等进行控制； | b）应指定专门的部门或职员进行账户管理，对申请账户、建立账删除户等进行控制； |
| c）应建立网络和体系安全管理制度，对安全策略、账户管理、设置管理、日记管理、一样平常操纵、升级与打补了、口令更新周期等方面作出规定； | c）应建立网络和体系安全管理制度，对安全策略、账户管理、设置管理、日记管理、一样平常操纵、升级与打补了、口令更新周期等方面作出规定； |
| d）应制定重要设备的设置和操纵手册，依据手册对设备进行安全设置和优化设置等； | d）应制定重要设备的设置和操纵手册，依据手册对设备进行安全设置和优化设置等； |
| e）应详细记录运维操纵目，包罗一样平常巡检工作，运行维护记录、参数的设置和修改等内容； | e）应详细记录运维操纵目，包罗一样平常巡检工作，运行维护记录、参数的设置和修改等内容； |
| f）应指定专门的部门或职员对目志、监测和报警数据等进行分析统实时发现可疑行为； | f）应指定专门的部门或职员对目志、监测和报警数据等进行分析统实时发现可疑行为； |
| g）应严格控制变更性运维经过审批后可改变毗连、安装体系组件或调整设置参数，操纵过程中应生存不可更改的审计志，操纵结束后应同步更新设置信息库； | g）应严格控制变更性运维经过审批后可改变毗连、安装体系组件或调整设置参数，操纵过程中应生存不可更改的审计志，操纵结束后应同步更新设置信息库； |
| h）应严格控制运维工具的使用，经过审批后才可接入进行操纵、操纵过程中应生存不可更改的审计日记，操纵结束后应删除工具中的敏感数据； | h）应严格控制运维工具的使用，经过审批后才可接入进行操纵、操纵过程中应生存不可更改的审计日记，操纵结束后应删除工具中的敏感数据； |
| i）应严格控制长途运维的开通经过审批届才可开通长途运维接目或通道，操纵过程中应生存不可更改的审计日记，操纵结束后立即关闭接口或通道； | i）应严格控制长途运维的开通经过审批届才可开通长途运维接目或通道，操纵过程中应生存不可更改的审计日记，操纵结束后立即关闭接口或通道； |
| j）应包管所有与外部的毗连均得到授权和答应，应定期查抄违反规定无线上网及其他违反网络安全策略的行为。 | j）应包管所有与外部的毗连均得到授权和答应，应定期查抄违反规定无线上网及其他违反网络安全策略的行为。 |
| 恶意代码防范管理 | a）应提高所有用户韵防恶意代码意识，对外来计算机或存储设备接入体系前进行恶意代码查抄等； | a）应提高所有用户韵防恶意代码意识，对外来计算机或存储设备接入体系前进行恶意代码查抄等； |
| b)应定期验证防范恶意代码攻击的技能措施的有效性。 | b)应定期验证防范恶意代码攻击的技能措施的有效性。 |
| 设置管理 | a) 应记录和生存根本设置信息，包罗网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的设置参数等； | a) 应记录和生存根本设置信息，包罗网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的设置参数等； |
| b) 应将根本设置信息改变纳入变更范畴，实行对设置信息改变的控制，并实时更新根本设置信息库。 | b) 应将根本设置信息改变纳入变更范畴，实行对设置信息改变的控制，并实时更新根本设置信息库。 |
| 密码管理 | a) 应遵照密码相关国家标准和行业标准； | a) 应遵照密码相关国家标准和行业标准； |
| b) 应使用国家密码管理主管部门认证核准的密码技能和产物。 | b) 应使用国家密码管理主管部门认证核准的密码技能和产物。 |
| 变更管理 | a) 应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实行； | a) 应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实行； |
| b) 应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实行过程； | b) 应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实行过程； |
| c)应建立中止变更并从失败变更中恢复的程序，明确过程控制方法和职员职责，须要时对恢复过程进行演练。 | c)应建立中止变更并从失败变更中恢复的程序，明确过程控制方法和职员职责，须要时对恢复过程进行演练。 |
| 备份与恢复管理 | a) 应识别需要定期备份的重要业务信息、体系数据及软件体系等； | a) 应识别需要定期备份的重要业务信息、体系数据及软件体系等； |
| b) 应规定备份信息的备份方式、备份频度、存储介质、生存期等； | b) 应规定备份信息的备份方式、备份频度、存储介质、生存期等； |
| c) 应根据数据的重要性和数据对体系运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。 | c) 应根据数据的重要性和数据对体系运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。 |
| 安全事件处置 | a) 应实时向安全管理部门报告所发现的安全弱点和可疑事件； | a) 应实时向安全管理部门报告所发现的安全弱点和可疑事件； |
| b) 应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处置惩罚、事件报告和后期恢复的管理职责等； | b) 应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处置惩罚、事件报告和后期恢复的管理职责等； |
| c) 应在安全事件报告和响应处置惩罚过程中，分析和鉴定事件产生的原因，收集证据，记录处置惩罚过程，总结履历教训； | c) 应在安全事件报告和响应处置惩罚过程中，分析和鉴定事件产生的原因，收集证据，记录处置惩罚过程，总结履历教训； |
| d) 对造成体系中断和造成信息泄漏的重大安全事件应采用不同的处置惩罚程序和报告程序。 | d) 对造成体系中断和造成信息泄漏的重大安全事件应采用不同的处置惩罚程序和报告程序。 |
| 应急预案管理 | a) 应规定统一的应急预案框架，包罗启动预案的条件、应急构造构成、应急资源保障、事后教诲和培训等内容； | a) 应规定统一的应急预案框架，包罗启动预案的条件、应急构造构成、应急资源保障、事后教诲和培训等内容； |
| b) 应制定重要事件的应急预案，包罗应急处置惩罚流程、体系恢复流程等内容； | b) 应制定重要事件的应急预案，包罗应急处置惩罚流程、体系恢复流程等内容； |
| c) 应定期对体系相关的职员进行应急预案培训，并进行应急预案的演练； | c) 应定期对体系相关的职员进行应急预案培训，并进行应急预案的演练； |
| d) 应定期对原有的应急预案重新评估，修订完善。 | d) 应定期对原有的应急预案重新评估，修订完善。 |
| 外包运维管理 | a) 应确保外包运维服务商的选择符合国家的有关规定； | a) 应确保外包运维服务商的选择符合国家的有关规定； |
| b) 应与选定的外包运维服务商签订相关的协议，明确约定外包运维的范围、工作内容； | b) 应与选定的外包运维服务商签订相关的协议，明确约定外包运维的范围、工作内容； |
| c) 应包管选择的外包运维服务商在技能和管理方面均应具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确； | c) 应包管选择的外包运维服务商在技能和管理方面均应具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确； |
| d) 应在与外包运维服务商签订的协议中明确所有相关的安全要求，如可能涉及对敏感信息的访间、处置惩罚、存储要求，对IT基础办法中断服务的应急保障要求等。 | d) 应在与外包运维服务商签订的协议中明确所有相关的安全要求，如可能涉及对敏感信息的访间、处置惩罚、存储要求，对IT基础办法中断服务的应急保障要求等。
|
