網(wǎng)絡(luò )安全等級保護2.0-等保三級合規基線(xiàn)表(技術(shù)要求)
網(wǎng)絡(luò )安全等級保護三級差距分析表（技術(shù)要求）
1.安全物理環(huán)境
| 分類(lèi) | 項目 | 內容 | 測評對象 | 要求項說(shuō)明 | 現狀分析 | 檢查結果 | 條目來(lái)源 | 備注 |
| 符合/不符合/部分符合/不適用 | ||||||||
| 安全物理環(huán)境 |
物理位置選擇 |
a) 機房場(chǎng)地應選擇在具有防震、防風(fēng)和防雨等能力的建筑內； | 記錄類(lèi)文檔和機房 |
1、應核查所在建筑物是否有建筑抗震設防審批文檔； 2、應核查機房是否不存在雨水滲漏； 3、應核查門(mén)窗是否不存在因風(fēng)導致的塵土嚴重； 4、應核查屋頂、墻體、門(mén)窗和地面等是否不存在破損開(kāi)裂。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||
| b) 機房場(chǎng)地應避免設在建筑物的頂層或地下室，否則應加強防水和防潮措施。 | 機房 | 應核查機房是否不位于所在建筑的頂層或地下室，如果否，則核查機房是否采取了防水和防潮措施。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
物理訪(fǎng)問(wèn)控制 |
a) 機房出入口應配置電子門(mén)禁系統，控制、鑒別和記錄進(jìn)入的人員。 | 機房電子門(mén)禁系統 |
1、應核查出入口是否配置電子門(mén)禁系統； 2、應核查電子門(mén)禁系統是否可以鑒別、記錄進(jìn)入的人員信息。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| 防盜竊和防破壞 | a) 應將設備或主要部件進(jìn)行固定，并設置明顯的不易除去的標識； | 機房設備或主要部件 |
1、應核查機房?jì)仍O備或主要部件是否固定； 2、應核查機房?jì)仍O備或主要部件上是否設置了明顯且不易除去的標識。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應將通信線(xiàn)纜鋪設在隱蔽安全處； | 機房通信線(xiàn)纜 | 應核查機房?jì)韧ㄐ啪€(xiàn)纜是否鋪設在隱蔽安全處，如橋架中等。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應設置機房防盜報警系統或設置有專(zhuān)人值守的視頻監控系統。 | 機房防盜報警系統或視頻監控系統 |
1、應核查機房?jì)仁欠衽渲梅辣I報警系統或專(zhuān)人值守的視頻監控系統； 2、應核查防盜報警系統或視頻監控系統是否啟用。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 防雷擊 | a) 應將各類(lèi)機柜、設施和設備等通過(guò)接地系統安全接地； | 機房 | 應核查機房?jì)葯C柜、設施和設備等是否進(jìn)行接地處理。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應采取措施防止感應雷，例如設置防雷保安器或過(guò)壓保護裝置等。 | 機房防雷設施 |
1、應核查機房?jì)仁欠裨O置防感應雷措施； 2、應核查防雷裝置是否通過(guò)驗收或國家相關(guān)部門(mén)的技術(shù)檢測。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
防火 |
a) 機房應設置火災自動(dòng)消防系統，能夠自動(dòng)檢測火情、自動(dòng)報警，并自動(dòng)滅火； | 機房防火設施 |
1、應核查機房?jì)仁欠裨O置火災自動(dòng)消防系統； 2、應核查火災自動(dòng)消防系統是否可以自動(dòng)檢測火情、自動(dòng)報警并自動(dòng)滅火。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 機房及相關(guān)的工作房間和輔助房應采用具有耐火等級的建筑材料； | 機房驗收類(lèi)文檔 | 應核查機房驗收文檔是否明確相關(guān)建筑材料的耐火等級。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應對機房劃分區域進(jìn)行管理，區域和區域之間設置隔離防火措施。 | 機房管理員和機房 |
1、應訪(fǎng)談機房管理員是否進(jìn)行了區域劃分； 2、應核查各區域間是否采取了防火措施進(jìn)行隔離。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
防水和防潮 |
a)應采取措施防止雨水通過(guò)機房窗戶(hù)、屋頂和墻壁滲透； | 機房 | 應核查窗戶(hù)、屋頂和墻壁是否采取了防雨水滲透的措施。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應采取措施防止機房?jì)人魵饨Y露和地下積水的轉移與滲透； | 機房 |
1、應核查機房?jì)仁欠癫扇×朔乐顾魵饨Y露的措施； 2、應核查機房?jì)仁欠癫扇×伺判沟叵路e水，防止地下積水滲透的措施。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c)應安裝對水敏感的檢測儀表或元件，對機房進(jìn)行防水檢測和報警。 | 機房防水檢查設施 |
1、應核查機房?jì)仁欠癜惭b了對水敏感的檢測裝置； 2、應核查防水檢測和報警裝置是否啟用。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
防靜電 |
a) 應采用防靜電地板或地面并采用必要的接地防靜電措施； | 機房 |
1、應核查機房?jì)仁欠癜惭b了防靜電地板或地面； 2、應核查機房?jì)仁欠癫捎昧私拥胤漓o電措施。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應采取措施防止靜電的產(chǎn)生，例如采用靜電消除器、佩戴防靜電手環(huán)等。 | 機房 | 應核查機房?jì)仁欠衽鋫淞朔漓o電設備。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 溫濕度控制 | 應設置溫濕度自動(dòng)調節設施，使機房溫濕度的變化在設備運行所允許的范圍之內。 | 機房溫濕度調解設施 |
1、應核查機房?jì)仁欠衽鋫淞藢?zhuān)用空調； 2、應核查機房?jì)葴貪穸仁欠裨谠O備運行所允許的范圍內之內。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| 電力供應 | a) 應在機房供電線(xiàn)路上配置穩壓器和過(guò)電壓防護設備； | 機房供電設施 | 應核查供電線(xiàn)路上是否配置了穩壓器和過(guò)電壓防護設備。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應提供短期的備用電力供應，至少滿(mǎn)足設備在斷電情況下的正常運行要求； | 機房備用供電設施 |
1、應核查是否配備UPS等后備電源系統； 2、應核查UPS等后備電源系統是否滿(mǎn)足設備在斷電情況下的正常運行要求。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應設置冗余或并行的電力電纜線(xiàn)路為計算機系統供電。 | 機房 | 應核查機房?jì)仁欠裨O置了冗余或并行的電力電纜線(xiàn)路為計算機系統供電。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 電磁防護 | a)電源線(xiàn)和通信線(xiàn)纜應隔離鋪設，避免互相干擾； | 機房線(xiàn)纜 | 應核查機房?jì)入娫淳€(xiàn)纜和通信線(xiàn)纜是否隔離鋪設。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應對關(guān)鍵設備實(shí)施電磁屏蔽。 | 機房關(guān)鍵設備 | 應核查機房?jì)仁欠駷殛P(guān)鍵設備配備了電磁屏蔽裝置。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 |
2.安全通信網(wǎng)絡(luò )
| 分類(lèi) | 項目 | 內容 | 測評對象 | 要求項說(shuō)明 | 現狀分析 | 檢查結果 | 條目來(lái)源 | 備注 |
| 符合/不符合/部分符合/不適用 | ||||||||
| 安全通信網(wǎng)絡(luò ) |
網(wǎng)絡(luò )結構 |
a) 應保證網(wǎng)絡(luò )設備的業(yè)務(wù)處理能力滿(mǎn)足業(yè)務(wù)高峰期需要； | 路由器、交換機、無(wú)線(xiàn)接入設備和防火墻等提供網(wǎng)絡(luò )通信功能的設備或相關(guān)組件。 |
1、應核查業(yè)務(wù)高峰時(shí)期一段時(shí)間內主要網(wǎng)絡(luò )設備的CPU使用率和內存使用率是否滿(mǎn)足需求； 2、應核查網(wǎng)絡(luò )設備是否從未出現過(guò)因設備性能問(wèn)題導致的宕機情況； 3、應測試驗證設備是否滿(mǎn)足業(yè)務(wù)高峰期需求。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||
| b) 應保證網(wǎng)絡(luò )各個(gè)部分的帶寬滿(mǎn)足業(yè)務(wù)高峰期需要； | 綜合網(wǎng)管系統等 |
1、應核查綜合網(wǎng)管系統各通信鏈路寬帶是否滿(mǎn)足高峰時(shí)段的業(yè)務(wù)流量需要； 2、應測試驗證網(wǎng)絡(luò )帶寬是否滿(mǎn)足業(yè)務(wù)高峰期需求。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應劃分不同的網(wǎng)絡(luò )區域，并按照方便管理和控制的原則為各網(wǎng)絡(luò )區域分配地址； | 路由器、交換機、無(wú)線(xiàn)接入設備和防火墻等提供網(wǎng)絡(luò )通信功能的設備或相關(guān)組件。 |
1、應核查是否依據重要性、部門(mén)等因素劃分不同的網(wǎng)絡(luò )區域； 2、應核查相關(guān)網(wǎng)絡(luò )設備配置信息，驗證劃分的網(wǎng)絡(luò )區域是否與劃分原則一致。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| d) 應避免將重要網(wǎng)絡(luò )區域部署在網(wǎng)絡(luò )邊界處，重要網(wǎng)絡(luò )區域與其他網(wǎng)絡(luò )區域之間采取可靠的技術(shù)隔離手段； | 網(wǎng)絡(luò )拓撲 |
1、應核查網(wǎng)絡(luò )拓撲圖是否與實(shí)際網(wǎng)絡(luò )運行環(huán)境一致； 2、應核查重要網(wǎng)絡(luò )區域是否未部署在網(wǎng)絡(luò )邊界處； 3、應核查重要網(wǎng)絡(luò )區域與其他網(wǎng)絡(luò )區域之間是否采取可靠的技術(shù)隔離手段，如網(wǎng)閘、防火墻和設備訪(fǎng)問(wèn)控制列表（ACL）等。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| e) 應提供通信線(xiàn)路、關(guān)鍵網(wǎng)絡(luò )設備的硬件冗余，保證系統的可用性。 | 網(wǎng)絡(luò )管理員和網(wǎng)絡(luò )拓撲 | 應核查是否有關(guān)鍵網(wǎng)絡(luò )設備、安全設備和關(guān)鍵計算設備的硬件冗余（主備或雙活）和通信線(xiàn)路冗余。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
通信傳輸 |
a) 應采用校驗碼技術(shù)或密碼技術(shù)保證通信過(guò)程中數據的完整性； | 提供校驗技術(shù)和密碼技術(shù)功能的設備或組件 |
1、應核查是否在數據傳輸過(guò)程中使用校驗技術(shù)或密碼技術(shù)來(lái)保證其完整性； 2、應測試驗證密碼技術(shù)設備或組件能否保證通信過(guò)程中數據的完整性。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應采用密碼技術(shù)保證通信過(guò)程中敏感信息字段或整個(gè)報文的保密性。 | 提供密碼技術(shù)功能的設備或組件 |
1、應核查是否在通信過(guò)程中采取保密措施，具體采用哪些技術(shù)措施； 2、應測試驗證在通信過(guò)程中是否對數據進(jìn)行加密。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 可信驗證 | 可基于可信根對通信設備的系統引導程序、系統程序、重要配置參數和通信應用程序等進(jìn)行可信驗證，并在應用程序的關(guān)鍵執行環(huán)節進(jìn)行動(dòng)態(tài)可信驗證，在檢測到其可信性受到破壞后進(jìn)行報警，并將驗證結果形成審計記錄送至安全管理中心。 | 提供可信驗證的設備或組件、提供集中審計功能的系統。 |
1、應核查是否基于可信根對通信設備的系統引導程序、系統程序、重要配置參數和通信應用程序等進(jìn)行可信驗證； 2、應核查是否在應用程序的關(guān)鍵執行環(huán)節進(jìn)行動(dòng)態(tài)可信驗證； 3、應測試驗證當檢測到通信設備的可信性受到破壞后是否進(jìn)行報警； 4、應測試驗證結果是否以審計記錄的形式送至安全管理中心。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 |
3.安全區域邊界
| 分類(lèi) | 項目 | 內容 | 測評對象 | 要求項說(shuō)明 | 現狀分析 | 檢查結果 | 條目來(lái)源 | 備注 |
| 符合/不符合/部分符合/不適用 | ||||||||
| 安全區域邊界 | 邊界防護 | a) 應保證跨越邊界的訪(fǎng)問(wèn)和數據流通過(guò)邊界設備提供的受控接口進(jìn)行通信； | 網(wǎng)閘、防火墻、路由器、交換機和無(wú)線(xiàn)接入網(wǎng)關(guān)設備等提供訪(fǎng)問(wèn)控制功能的設備或相關(guān)組件 |
1、應核查在網(wǎng)絡(luò )邊界處是否部署訪(fǎng)問(wèn)控制設備； 2、應核查設備配置信息是否指定端口進(jìn)行跨越邊界的網(wǎng)絡(luò )通信，指定端口是否配置并啟用了安全策略； 3、應采用其他技術(shù)手段（如非法無(wú)線(xiàn)網(wǎng)絡(luò )設備定位、核查設備配置信息等）核查或測試驗證是否不存在其他未受控端口進(jìn)行跨越邊界的網(wǎng)絡(luò )通信。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||
| b) 應能夠對非授權設備私自聯(lián)到內部網(wǎng)絡(luò )的行為進(jìn)行檢查或限制； | 終端管理系統或相關(guān)設備 |
1、應核查是否采用技術(shù)措施防止非授權設備接入內部網(wǎng)絡(luò )； 2、應核查所有路由器和交換機等相關(guān)設備閑置端口是否均已關(guān)閉。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應能夠對內部用戶(hù)非授權聯(lián)到外部網(wǎng)絡(luò )的行為進(jìn)行檢查或限制； | 終端管理系統或相關(guān)設備 | 應核查是否采用技術(shù)措施防止內部用戶(hù)存在非法外聯(lián)行為。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| d) 應限制無(wú)線(xiàn)網(wǎng)絡(luò )的使用，確保無(wú)線(xiàn)網(wǎng)絡(luò )通過(guò)受控的邊界設備接入內部網(wǎng)絡(luò )。 | 網(wǎng)絡(luò )拓撲和無(wú)線(xiàn)網(wǎng)絡(luò )設備 |
1、應核查無(wú)線(xiàn)網(wǎng)絡(luò )的部署方式，是否單獨組網(wǎng)后再連接到有線(xiàn)網(wǎng)絡(luò )； 2、應核查無(wú)線(xiàn)網(wǎng)絡(luò )是否通過(guò)受控的邊界防護設備接入到內部有線(xiàn)網(wǎng)絡(luò )。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 訪(fǎng)問(wèn)控制 | a) 應在網(wǎng)絡(luò )邊界或區域之間根據訪(fǎng)問(wèn)控制策略設置訪(fǎng)問(wèn)控制規則，默認情況下除允許通信外受控接口拒絕所有通信； | 網(wǎng)閘、防火墻、路由器、交換機和無(wú)線(xiàn)接入網(wǎng)關(guān)設備等提供訪(fǎng)問(wèn)控制功能的設備或相關(guān)組件 |
1、應核查在網(wǎng)絡(luò )邊界或區域之間是否部署訪(fǎng)問(wèn)控制設備并啟用訪(fǎng)問(wèn)控制策略； 2、應核查設備的最后一條訪(fǎng)問(wèn)控制策略是否為禁止所有網(wǎng)絡(luò )通信。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應刪除多余或無(wú)效的訪(fǎng)問(wèn)控制規則，優(yōu)化訪(fǎng)問(wèn)控制列表，并保證訪(fǎng)問(wèn)控制規則數量最小化； | 網(wǎng)閘、防火墻、路由器、交換機和無(wú)線(xiàn)接入網(wǎng)關(guān)設備等提供訪(fǎng)問(wèn)控制功能的設備或相關(guān)組件 |
1、應核查是否不存在多余或無(wú)效的訪(fǎng)問(wèn)控制策略； 2、應核查不同的訪(fǎng)問(wèn)控制策略之間的邏輯關(guān)系及前后排列順序是否合理。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應對源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數據包進(jìn)出； | 網(wǎng)閘、防火墻、路由器、交換機和無(wú)線(xiàn)接入網(wǎng)關(guān)設備等提供訪(fǎng)問(wèn)控制功能的設備或相關(guān)組件 |
1、應核查設備的訪(fǎng)問(wèn)控制策略中是否設定了源地址、目的地址、源端口、目的端口和協(xié)議等相關(guān)配置參數； 2、應測試驗證訪(fǎng)問(wèn)控制策略中設定的相關(guān)配置參數是否有效。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| d) 應能根據會(huì )話(huà)狀態(tài)信息為進(jìn)出數據流提供明確的允許/拒絕訪(fǎng)問(wèn)的能力； | 網(wǎng)閘、防火墻、路由器、交換機和無(wú)線(xiàn)接入網(wǎng)關(guān)設備等提供訪(fǎng)問(wèn)控制功能的設備或相關(guān)組件 |
1、應核查是否采用會(huì )話(huà)認證等機制為進(jìn)出數據流提供明確的允許/拒絕訪(fǎng)問(wèn)的能力； 2、應測試驗證是否為進(jìn)出數據流提供明確的允許/拒絕訪(fǎng)問(wèn)的能力。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| e) 應對進(jìn)出網(wǎng)絡(luò )的數據流實(shí)現基于應用協(xié)議和應用內容的訪(fǎng)問(wèn)控制； | 第二代防火墻等提供應用層訪(fǎng)問(wèn)控制功能的設備或相關(guān)組件 |
1、應核查是否部署訪(fǎng)問(wèn)控制設備并啟用訪(fǎng)問(wèn)控制策略； 2、應測試驗證設備訪(fǎng)問(wèn)控制策略是否能夠對進(jìn)出網(wǎng)絡(luò )的數據流實(shí)現基于應用協(xié)議和應用內容的訪(fǎng)問(wèn)控制。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
入侵防范 |
a) 應在關(guān)鍵網(wǎng)絡(luò )節點(diǎn)處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò )攻擊行為； | 抗APT攻擊系統、網(wǎng)絡(luò )回溯系統、威脅情報檢測系統、抗DDoS攻擊和入侵保護系統或相關(guān)組件 |
1、應核查相關(guān)系統或組件是否能夠檢測從外部發(fā)起的網(wǎng)絡(luò )攻擊行為； 2、應核查相關(guān)系統或組件的規則庫版本或威脅情報庫是否已經(jīng)更新到最新版本； 3、應核查相關(guān)系統或組件的配置信息或安全策略是否能夠覆蓋網(wǎng)絡(luò )所有關(guān)鍵節點(diǎn)； 4、應測試驗證相關(guān)系統或組件的配置信息或安全策略是否有效。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應在關(guān)鍵網(wǎng)絡(luò )節點(diǎn)處檢測、防止或限制從內部發(fā)起的網(wǎng)絡(luò )攻擊行為； | 抗APT攻擊系統、網(wǎng)絡(luò )回溯系統、威脅情報檢測系統、抗DDoS攻擊和入侵保護系統或相關(guān)組件 |
1、應核查相關(guān)系統或組件是否能夠檢測到從內部發(fā)起的網(wǎng)絡(luò )攻擊行為； 2、應核查相關(guān)系統或組件的規則庫版本或威脅情報庫是否已經(jīng)更新到最新版本； 3、應核查相關(guān)系統或組件的配置信息或安全策略是否能夠覆蓋網(wǎng)絡(luò )所有關(guān)鍵節點(diǎn)； 4、應測試驗證相關(guān)系統或組件的配置信息或安全策略是否有效。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應采取技術(shù)措施對網(wǎng)絡(luò )行為進(jìn)行分析，實(shí)現對網(wǎng)絡(luò )攻擊特別是新型網(wǎng)絡(luò )攻擊行為的分析； | 抗APT攻擊系統、網(wǎng)絡(luò )回溯系統、威脅情報檢測系統、抗DDoS攻擊和入侵保護系統或相關(guān)組件 |
1、應核查是否部署相關(guān)系統或組件對新型網(wǎng)絡(luò )攻擊進(jìn)行檢測和分析； 2、應測試驗證是否對網(wǎng)絡(luò )行為進(jìn)行分析，實(shí)現對網(wǎng)絡(luò )攻擊特別是未知的新型網(wǎng)絡(luò )攻擊的檢測和分析。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| d) 當檢測到攻擊行為時(shí)，記錄攻擊源IP、攻擊類(lèi)型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴重入侵事件時(shí)應提供報警。 | 抗APT攻擊系統、網(wǎng)絡(luò )回溯系統、威脅情報檢測系統、抗DDoS攻擊和入侵保護系統或相關(guān)組件 |
1、應核查相關(guān)系統或組件的記錄是否包括攻擊源IP、攻擊類(lèi)型、攻擊目標、攻擊時(shí)間等相關(guān)內容； 2、應測試驗證相關(guān)系統或組件的報警策略是否有效。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
惡意代碼防范 |
a) 應在關(guān)鍵網(wǎng)絡(luò )節點(diǎn)處對惡意代碼進(jìn)行檢測和清除，并維護惡意代碼防護機制的升級和更新； | 防病毒網(wǎng)關(guān)和UTM等提供防惡意代碼功能的系統或相關(guān)組件 |
1、應核查在關(guān)鍵網(wǎng)絡(luò )節點(diǎn)處是否部署防惡意代碼產(chǎn)品等技術(shù)措施； 2、應核查防惡意代碼產(chǎn)品運行是否正常，惡意代碼庫是否已更新到最新； 3、應測試驗證相關(guān)系統或組件的安全策略是否有效。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應在關(guān)鍵網(wǎng)絡(luò )節點(diǎn)處對垃圾郵件進(jìn)行檢測和防護，并維護垃圾郵件防護機制的升級和更新。 | 防垃圾郵件網(wǎng)關(guān)等提供防垃圾郵件功能的系統或相關(guān)組件 |
1、應核查在關(guān)鍵網(wǎng)絡(luò )節點(diǎn)處是否部署了防垃圾郵件產(chǎn)品等技術(shù)措施； 2、應核查防垃圾郵件產(chǎn)品運行是否正常，防垃圾郵件規則庫是否已經(jīng)更新到最新； 3、應測試驗證相關(guān)系統或組件的安全策略是否有效。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
安全審計 |
a) 應在網(wǎng)絡(luò )邊界、重要網(wǎng)絡(luò )節點(diǎn)進(jìn)行安全審計，審計覆蓋到每個(gè)用戶(hù)，對重要的用戶(hù)行為和重要安全事件進(jìn)行審計； | 綜合安全審計系統等 |
1、應核查是否部署了綜合安全審計系統或類(lèi)似功能的系統平臺； 2、應核查安全審計范圍是否覆蓋到每個(gè)用戶(hù)； 3、應核查是否對重要的用戶(hù)行為和重要安全事件進(jìn)行了審計。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 審計記錄應包括事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他與審計相關(guān)的信息； | 綜合安全審計系統等 | 應核查審計記錄信息是否包括事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他與審計相關(guān)的信息。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應對審計記錄進(jìn)行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等； | 綜合安全審計系統等 |
1、應核查是否采取了技術(shù)措施對審計記錄進(jìn)行保護； 2、應核查是否采取技術(shù)措施對審計記錄進(jìn)行定期備份，并核查其備份策略。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| d) 應能對遠程訪(fǎng)問(wèn)的用戶(hù)行為、訪(fǎng)問(wèn)互聯(lián)網(wǎng)的用戶(hù)行為等單獨進(jìn)行行為審計和數據分析。 | 上網(wǎng)行為管理系統或綜合安全審計系統 | 應核查是否對遠程訪(fǎng)問(wèn)用戶(hù)及互相聯(lián)網(wǎng)訪(fǎng)問(wèn)用戶(hù)行為單獨進(jìn)行審計分析。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 可信驗證 | 可基于可信根對邊界設備的系統引導程序、系統程序、重要配置參數和邊界防護應用程序等進(jìn)行可信驗證，并在應用程序的關(guān)鍵執行環(huán)節進(jìn)行動(dòng)態(tài)可信驗證，在檢測到其可信性受到破壞后進(jìn)行報警，并將驗證結果形成審計記錄送至安全管理中心。 | 提供可信驗證的設備或組件、提供集中審計功能的系統 |
1、應核查是否基于可信根對邊界設備的系統引導程序、系統程序、重要配置參數和邊界防護應用程序等進(jìn)行可信驗證； 2、應核查是否在應用程序的關(guān)鍵執行環(huán)節進(jìn)行動(dòng)態(tài)可信驗證； 3、應測試驗證當檢測到邊界設備的可信性受到破壞后是否進(jìn)行報警； 4、應測試驗證結果是否以審計記錄的形式發(fā)送至安全管理中心。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 |
| 分類(lèi) | 項目 | 內容 | 測評對象 | 要求項說(shuō)明 | 現狀分析 | 檢查結果 | 條目來(lái)源 | 備注 |
| 符合/不符合/部分符合/不適用 | ||||||||
| 安全計算環(huán)境 |
身份鑒別 |
a) 應對登錄的用戶(hù)進(jìn)行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換； | 終端和服務(wù)器等設備中的操作系統（包括宿主機和虛擬機操作系統）、網(wǎng)絡(luò )設備（包括虛擬機網(wǎng)絡(luò )設備）、安全設備（包括虛擬機安全設備）、移動(dòng)終端、移動(dòng)終端管理系統、移動(dòng)終端管理客戶(hù)端、感知節點(diǎn)設備、網(wǎng)關(guān)節點(diǎn)設備、控制設備、業(yè)務(wù)應用系統、數據庫管理系統、中間件和系統管理軟件及系統設計文檔等 |
1、應核查用戶(hù)在登錄時(shí)是否采用了身份鑒別措施； 2、應核查用戶(hù)列表確認用戶(hù)身份標識是否具有唯一性； 3、應核查用戶(hù)配置信息或測試驗證是否不存在空口令用戶(hù)； 4、應核查用戶(hù)鑒別信息是否具有復雜度要求并定期更換。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||
| b) 應具有登錄失敗處理功能，應配置并啟用結束會(huì )話(huà)、限制非法登錄次數和當登錄連接超時(shí)自動(dòng)退出等相關(guān)措施； |
1、應核查是否配置并啟用了登錄失敗處理功能； 2、應核查是否配置并啟用了限制非法登錄功能，非法登錄達到一定次數后采取特定動(dòng)作，如賬戶(hù)鎖定等； 3、應核查是否配置并啟用了登錄連接超時(shí)及自動(dòng)退出功能。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| c) 當進(jìn)行遠程管理時(shí)，應采取必要措施，防止鑒別信息在網(wǎng)絡(luò )傳輸過(guò)程中被竊聽(tīng)； | 應核查是否采用加密等安全方式對系統進(jìn)行遠程管理，防止鑒別信息在網(wǎng)絡(luò )傳輸過(guò)程中被竊聽(tīng)。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| d) 應采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶(hù)進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應使用密碼技術(shù)來(lái)實(shí)現。 |
1、應核查是否采用動(dòng)態(tài)口令、數字證書(shū)、生物技術(shù)和設備指紋等兩種或兩種以上組合的鑒別技術(shù)對用戶(hù)身份進(jìn)行鑒別； 2、應核查其中一種鑒別技術(shù)是否使用密碼技術(shù)來(lái)實(shí)現。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| 訪(fǎng)問(wèn)控制 | a) 應對登錄的用戶(hù)分配賬戶(hù)和權限； |
1、應核查是否為用戶(hù)分配了賬戶(hù)和權限及相關(guān)設置情況； 2、應核查是否已禁用或限制匿名、默認賬戶(hù)的訪(fǎng)問(wèn)權限。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| b) 應重命名或刪除默認賬戶(hù)，修改默認賬戶(hù)的默認口令； |
1、應核查是否已經(jīng)重命名默認賬戶(hù)或默認賬戶(hù)已被刪除； 2、應核查是否已修改默認賬戶(hù)的默認口令。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| c) 應及時(shí)刪除或停用多余的、過(guò)期的賬戶(hù)，避免共享賬戶(hù)的存在； |
1、應核查是否不存在多余或過(guò)期賬戶(hù)，管理員用戶(hù)與賬戶(hù)之間是否一一對應； 2、應測試驗證多余的、過(guò)期的賬戶(hù)是否被刪除或停用。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| d)應授予管理用戶(hù)所需的最小權限，實(shí)現管理用戶(hù)的權限分離； |
1、應核查是否進(jìn)行角色劃分； 2、應核查管理用戶(hù)的權限是否已進(jìn)行分離； 3、應核查管理用戶(hù)權限是否為其工作任務(wù)所需的最小權限。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| e) 應由授權主體配置訪(fǎng)問(wèn)控制策略，訪(fǎng)問(wèn)控制策略規定主體對客體的訪(fǎng)問(wèn)規則； |
1、應核查是否由授權主體（如管理用戶(hù)）負責配置訪(fǎng)問(wèn)控制策略； 2、應核查授權主體是否依據安全策略配置了主體對客體的訪(fǎng)問(wèn)規則； 3、應測試驗證用戶(hù)是否有可越權訪(fǎng)問(wèn)情形。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| f) 訪(fǎng)問(wèn)控制的粒度應達到主體為用戶(hù)級或進(jìn)程級，客體為文件、數據庫表級； | 應核查訪(fǎng)問(wèn)控制策略的控制粒度是否達到主體為用戶(hù)級別或進(jìn)程級，客體為文件、數據庫表、記錄或字段級。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| g) 應對重要主體和客體設置安全標記，并控制主體對有安全標記信息資源的訪(fǎng)問(wèn)。 |
1、應核查是否對主體、客體設置了安全標記； 2、應測試驗證是否依據主體、客體安全標記控制主體對客體訪(fǎng)問(wèn)的強制訪(fǎng)問(wèn)控制策略。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| 安全審計 | a) 應啟用安全審計功能，審計覆蓋到每個(gè)用戶(hù)，對重要的用戶(hù)行為和重要安全事件進(jìn)行審計； |
1、應核查是否開(kāi)啟了安全審計功能； 2、應核查安全審計范圍是否覆蓋到每個(gè)用戶(hù)； 3、應核查是否對重要的用戶(hù)行為和重要安全事件進(jìn)行審計。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| b) 審計記錄應包括事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他與審計相關(guān)的信息； | 應核查審計記錄信息是否包括事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他與審計相關(guān)的信息。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| c) 應對審計記錄進(jìn)行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等； |
1、應核查是否采取了保護措施對審計記錄進(jìn)行保護； 2、應核查是否采取技術(shù)措施對審計記錄進(jìn)行定期備份，并核查其備份策略。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| d) 應對審計進(jìn)程進(jìn)行保護，防止未經(jīng)授權的中斷。 | 應測試驗證通過(guò)非審計管理員的其他賬戶(hù)來(lái)中斷審計進(jìn)程，驗證審計進(jìn)程是否受到保護。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| 入侵防范 | a) 應遵循最小安裝的原則，僅安裝需要的組件和應用程序。 |
1、應核查是否遵循最小安裝原則； 2、應核查是否未安裝非必要的組件和應用程序。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| b) 應關(guān)閉不需要的系統服務(wù)、默認共享和高危端口； |
1、應核查是否關(guān)閉了非必要的系統服務(wù)和默認共享； 2、應核查是否不存在非必要的高危端口。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| c) 應通過(guò)設定終端接入方式或網(wǎng)絡(luò )地址范圍對通過(guò)網(wǎng)絡(luò )進(jìn)行管理的管理終端進(jìn)行限制； | 應核查配置文件或參數是否對終端接入范圍進(jìn)行限制。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| d）應提供數據有效性檢驗功能，保證通過(guò)人機接口輸入或通過(guò)通信接口輸入的內容符合系統設定要求； |
1、應核查系統設計文檔的內容是否包括數據有效性檢驗功能的內容或模塊； 2、應測試驗證是否對人機接口或通信接口輸入的內容進(jìn)行有效性檢驗。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| e) 應能發(fā)現可能存在的已知漏洞，并在經(jīng)過(guò)充分測試評估后，及時(shí)修補漏洞； |
1、應通過(guò)漏洞掃描、滲透測試等方式核查是否不存在高風(fēng)險漏洞； 2、應核查是否在經(jīng)過(guò)充分測試評估后及時(shí)修補漏洞。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| f) 應能夠檢測到對重要節點(diǎn)進(jìn)行入侵的行為，并在發(fā)生嚴重入侵事件時(shí)提供報警。 |
1、應訪(fǎng)談并核查是否有入侵檢測的措施； 2、應核查在發(fā)生嚴重入侵事件時(shí)是否提供報警。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
|
惡意代碼防范 |
應采用免受惡意代碼攻擊的技術(shù)措施或主動(dòng)免疫可信機制及時(shí)識別入侵和病毒行為，并將其有效阻斷； | 終端和服務(wù)器等設備中的操作系統（包括宿主機和虛擬機操作系統）、移動(dòng)終端、移動(dòng)終端管系統、移動(dòng)終端管理客戶(hù)端和控制設備等 |
1、應核查是否安裝了防惡意代碼軟件或相應功能的軟件，定期進(jìn)行升級和更新防惡意代碼庫； 2、應核查是否采用主動(dòng)免疫可信驗證技術(shù)及時(shí)識別入侵和病毒行為； 3、應核查當識別入侵和病毒行為時(shí)是否將其有效阻斷。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| 可信驗證 | 可基于可信根對計算設備的系統引導程序、系統程序、重要配置參數和應用程序等進(jìn)行可信驗證，并在應用程序的關(guān)鍵執行環(huán)節進(jìn)行動(dòng)態(tài)可信驗證，在檢測到其可信性受到破壞后進(jìn)行報警，并將驗證結果形成審計記錄送至安全管理中心。 | 提供可信驗證的設備或組價(jià)、提供集中審計功能的系統 |
1、應核查是否基于可信根對計算設備的系統引導程序、系統程序、重要配置參數和應用程序等進(jìn)行可信驗證； 2、應核查是否在應用程序的關(guān)鍵執行環(huán)節進(jìn)行動(dòng)態(tài)可信驗證； 3、應測試驗證當檢測到計算設備的可信性受到破壞后是否進(jìn)行報警； 4、應測試驗證結果是否以審計記錄的形式送至安全管理中心。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
|
數據完整性 |
a) 應采用校驗碼技術(shù)或密碼技術(shù)保證重要數據在傳輸過(guò)程中的完整性，包括但不限于鑒別數據、重要業(yè)務(wù)數據、重要審計數據、重要配置數據、重要視頻數據和重要個(gè)人信息等； | 業(yè)務(wù)應用系統、數據庫管理系統、中間件、系統管理軟件及系統設計文檔、數據安全保護系統、終端和服務(wù)器等設備中的操作系統及網(wǎng)絡(luò )設備和安全設備等 |
1、應核查系統設計文檔，鑒別數據、重要業(yè)務(wù)數據、重要審計數據、重要配置數據、重要視頻數據和重要個(gè)人信息等在傳輸過(guò)程中是否采用了校驗技術(shù)和密碼技術(shù)保證完整性； 2、應測試驗證在傳輸過(guò)程中對鑒別數據、重要業(yè)務(wù)數據、重要審計數據、重要配置數據、重要視頻數據和重要個(gè)人信息等進(jìn)行篡改、是否能否檢測到數據在傳輸過(guò)程中的完整性收到破壞并能夠及時(shí)恢復。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應采用校驗技術(shù)或密碼技術(shù)保證重要數據在存儲過(guò)程中的完整性，包括但不限于鑒別數據、重要業(yè)務(wù)數據、重要審計數據、重要配置數據、重要視頻數據和重要個(gè)人信息等。 |
1、應核查系統設計文檔，鑒別數據、重要業(yè)務(wù)數據、重要審計數據、重要配置數據、重要視頻數據和重要個(gè)人信息等在存儲過(guò)程中是否采用了校驗技術(shù)和密碼技術(shù)保證完整性； 2、應核查是否采用技術(shù)措施（如數據安全保護系統等）保證鑒別數據、重要業(yè)務(wù)數據、重要審計數據、重要配置數據、重要視頻數據和重要個(gè)人信息等在存儲過(guò)程中的完整性 3、應測試驗證在傳輸過(guò)程中對鑒別數據、重要業(yè)務(wù)數據、重要審計數據、重要配置數據、重要視頻數據和重要個(gè)人信息等進(jìn)行篡改、是否能否檢測到數據在傳輸過(guò)程中的完整性收到破壞并能夠及時(shí)恢復。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||||
| 數據保密性 | a) 應采用密碼技術(shù)保證重要數據在傳輸過(guò)程中的保密性，包括但不限于鑒別數據、重要業(yè)務(wù)數據和重要個(gè)人信息等； | 業(yè)務(wù)應用系統、數據庫管理系統、中間件、系統管理軟件及系統設計文檔等 |
1、應核查系統設計文檔，鑒別數據、重要業(yè)務(wù)數據和重要個(gè)人信息等在傳輸過(guò)程中是否采用密碼技術(shù)保證保密性； 2、應通過(guò)嗅探等方式抓取傳輸過(guò)程中的數據包，鑒別數據、重要業(yè)務(wù)數據和重要個(gè)人信息等在傳輸過(guò)程中是否進(jìn)行了加密處理。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應采用密碼技術(shù)保證重要數據在存儲過(guò)程中的保密性，包括但不限于鑒別數據、重要業(yè)務(wù)數據和重要個(gè)人信息等。 | 業(yè)務(wù)應用系統、數據庫管理系統、中間件、系統管理軟件及系統設計文檔、數據安全保護系統、終端和服務(wù)器等設備中的操作系統及網(wǎng)絡(luò )設備和安全設備中的重要配置數據。 |
1、應核查是否采用密碼技術(shù)保證鑒別數據、重要業(yè)務(wù)數據和重要個(gè)人信息等在存儲過(guò)程中的保密性； 2、應核查是否采用技術(shù)措施（如數據安全保護系統等）保證鑒別數據、重要業(yè)務(wù)數據和重要個(gè)人信息等在存儲過(guò)程中的保密性； 3、應測試驗證是否對制定的數據進(jìn)行加密處理。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 數據備份恢復 | a) 應提供重要數據的本地數據備份與恢復功能； | 配置數據和業(yè)務(wù)數據 |
1、應核查是否按照備份策略進(jìn)行本地備份； 2、應核查備份策略設置是否合理、配置是否正確； 3、應核查備份結果是否與備份策略一致； 4、應核查近期恢復測試記錄是否能夠進(jìn)行正常的數據恢復。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應提供異地實(shí)時(shí)備份功能，利用通信網(wǎng)絡(luò )將重要數據實(shí)時(shí)備份至備份場(chǎng)地； | 配置數據和業(yè)務(wù)數據 | 應核查是否提供異地實(shí)時(shí)備份功能，并通過(guò)網(wǎng)絡(luò )將重要配置數據、重要業(yè)務(wù)數據實(shí)時(shí)備份至備份場(chǎng)地。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應提供重要數據處理系統的熱冗余，保證系統的高可用性。 | 重要數據處理系統 | 應核查重要數據處理系統（包括邊界路由器、邊界防火墻、核心交換機、應用服務(wù)器和數據庫服務(wù)器等）是否采用熱冗余方式部署。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 剩余信息保護 | a) 應保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除； | 終端和服務(wù)器等設備中的操作系統、業(yè)務(wù)應用系統、數據庫管理系統、中間件和系統管理軟件及系統設計文檔等 | 應核查相關(guān)配置信息或系統設計文檔，用戶(hù)的鑒別信息所在的存儲空間被釋放或重新分配前是否得到完全清除。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應保證存有敏感數據的存儲空間被釋放或重新分配前得到完全清除。 | 終端和服務(wù)器等設備中的操作系統、業(yè)務(wù)應用系統、數據庫管理系統、中間件和系統管理軟件及系統設計文檔等 | 應核查相關(guān)配置信息或系統設計文檔，敏感數據所在的存儲空間被釋放或重新分配給其他用戶(hù)前是否得到完全清除。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 個(gè)人信息保護 | a) 應僅采集和保存業(yè)務(wù)必需的用戶(hù)個(gè)人信息； | 業(yè)務(wù)應用系統和數據庫管理系統等 |
1、應核查采集的用戶(hù)個(gè)人信息是否是業(yè)務(wù)應用必須的； 2、應核查是否制定了相關(guān)用戶(hù)個(gè)人信息保護的管理制度和流程。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應禁止未授權訪(fǎng)問(wèn)和非法使用用戶(hù)個(gè)人信息。 | 業(yè)務(wù)應用系統和數據庫管理系統等 |
1、應核查是否采用技術(shù)措施限制對用戶(hù)個(gè)人信息的訪(fǎng)問(wèn)和使用； 2、應核查是否制定了有關(guān)用戶(hù)個(gè)人信息保護的管理制度和流程。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 |
5.安全管理中心
| 分類(lèi) | 項目 | 內容 | 測評對象 | 要求項說(shuō)明 | 現狀分析 | 檢查結果 | 條目來(lái)源 | 備注 |
| 符合/不符合/部分符合/不適用 | ||||||||
| 安全管理中心 |
系統管理 |
a) 應對系統管理員進(jìn)行身份鑒別，只允許其通過(guò)特定的命令或操作界面進(jìn)行系統管理操作，并對這些操作進(jìn)行審計； | 提供集中系統管理功能的系統 |
1、應核查是否對系統管理員進(jìn)行身份鑒別； 2、應核查是否只允許系統管理員通過(guò)特定的命令或操作界面進(jìn)行系統管理操作； 3、應核查是否對系統管理的操作進(jìn)行審計。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||
| b)應通過(guò)系統管理員對系統的資源和運行進(jìn)行配置、控制和管理，包括用戶(hù)身份、系統資源配置、系統加載和啟動(dòng)、系統運行的異常處理、數據和設備的備份與恢復等。 | 提供集中系統管理功能的系統 | 應核查是否通過(guò)系統管理員對系統的資源和運行進(jìn)行配置、控制和管理，包括用戶(hù)身份、資源配置、系統加載和啟動(dòng)、系統運行的異常處理、數據和設備的備份與恢復等。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
|
審計管理 |
a) 應對審計管理員進(jìn)行身份鑒別，只允許其通過(guò)特定的命令或操作界面進(jìn)行安全審計操作，并對這些操作進(jìn)行審計； | 綜合安全審計系統、數據庫審計系統等提供集中審計功能的系統 |
1、應核查是否對審計管理員進(jìn)行身份鑒別； 2、應核查是否只允許審計管理員通過(guò)特定的命令或操作界面進(jìn)行安全審計操作； 3、應核查是否安全審計操作進(jìn)行審計。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應通過(guò)審計管理員對審計記錄應進(jìn)行分析，并根據分析結果進(jìn)行處理，包括根據安全審計策略對審計記錄進(jìn)行存儲、管理和查詢(xún)等。 | 綜合安全審計系統、數據庫審計系統等提供集中審計功能的系統 | 應核查是否通過(guò)審計管理員對審計記錄進(jìn)行分析，并根據分析結果進(jìn)行處理，包括根據安全審計策略對審計記錄進(jìn)行存儲、管理和查詢(xún)等。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 安全管理 | a) 應對安全管理員進(jìn)行身份鑒別，只允許其通過(guò)特定的命令或操作界面進(jìn)行安全管理操作，并對這些操作進(jìn)行審計； | 提供集中安全管理功能的系統 |
1、應核查是否對安全管理員進(jìn)行身份鑒別； 2、應核查是否只允許安全管理員通過(guò)特定的命令或操作界面進(jìn)行安全審計操作； 3、應核查是否對安全管理操作進(jìn)行審計。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應通過(guò)安全管理員對系統中的安全策略進(jìn)行配置，包括安全參數的設置，主體、客體進(jìn)行統一安全標記，對主體進(jìn)行授權，配置可信驗證策略等。 | 提供集中安全管理功能的系統 | 應核查是否通過(guò)安全管理員對系統中的安全策略進(jìn)行配置，包括安全參數的設置，主體、客體進(jìn)行統一安全標記，對主體進(jìn)行授權，配置可信驗證策略等。 | GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| 集中管控 | a) 應劃分出特定的管理區域，對分布在網(wǎng)絡(luò )中的安全設備或安全組件進(jìn)行管控； | 網(wǎng)絡(luò )拓撲 |
1、應核查是否劃分出單獨的網(wǎng)絡(luò )區域用于部署安全設備或安全組件； 2、應核查各個(gè)安全設備或安全組件是否集中部署在單獨的網(wǎng)絡(luò )區域內。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | ||||
| b) 應能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò )中的安全設備或安全組件進(jìn)行管理； | 路由器、交換機和防火墻等設備或相關(guān)組件 |
1、應核查是否采用安全方式（如SSH、HTTPS、IPSec VPN等）對安全設備或安全組件進(jìn)行管理； 2、應核查是否使用獨立的帶外管理網(wǎng)絡(luò )對安全設備或安全組件進(jìn)行管理。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| c) 應對網(wǎng)絡(luò )鏈路、安全設備、網(wǎng)絡(luò )設備和服務(wù)器等的運行狀況進(jìn)行集中監測； | 綜合網(wǎng)管理系統等提供運行狀態(tài)監測功能的系統 |
1、應核查是否部署了具備運行狀態(tài)監測功能的系統或設備，能夠對網(wǎng)絡(luò )鏈路、安全設備、網(wǎng)絡(luò )設備和服務(wù)器等的運行狀態(tài)進(jìn)行集中監測； 2、應測試驗證運行狀態(tài)監測系統是否根據網(wǎng)絡(luò )鏈路、安全設備、網(wǎng)絡(luò )設備和服務(wù)器等的工作狀態(tài)、依據設定的閥值（或默認閥值）實(shí)時(shí)報警。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| d) 應對分散在各個(gè)設備上的審計數據進(jìn)行收集匯總和集中分析，并保證審計記錄的留存時(shí)間符合法律法規要求； | 綜合安全審計系統、數據庫審計系統等提供集中審計功能的系統 |
1、應核查各個(gè)設備是否配置啟用了相關(guān)策略，將審計數據發(fā)送到獨立于設備自身的外部集中安全審計系統中； 2、應核查是否部署統一的集中安全審計系統，統一收集和存儲各設備日志，并根據需要進(jìn)行集中審計分析； 3、應核查審計記錄的留存時(shí)間是否至少為6個(gè)月。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| e) 應對安全策略、惡意代碼、補丁升級等安全相關(guān)事項進(jìn)行集中管理； | 提供集中安全管控功能的系統 |
1、應核查是否能夠對安全策略（如防火墻訪(fǎng)問(wèn)控制策略、入侵保護系統防護策略、WAF安全防護策略等）進(jìn)行集中管理； 2、應核查是否實(shí)現對操作系統防惡意代碼系統及網(wǎng)絡(luò )惡意代碼防護設備的集中管理，實(shí)現對防惡意代碼病毒規則庫的升級進(jìn)行集中管理； 3、應核查是否實(shí)現對各個(gè)系統或設備的補丁升級進(jìn)行集中管理。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 | |||||
| f) 應能對網(wǎng)絡(luò )中發(fā)生的各類(lèi)安全事件進(jìn)行識別、報警和分析。 | 提供集中安全管控功能的系統 |
1、應核查是否部署了相關(guān)系統平臺能夠對各類(lèi)安全事件進(jìn)行分析并通過(guò)聲光等方式實(shí)時(shí)報警； 2、應核查檢測范圍是否能夠覆蓋網(wǎng)絡(luò )所有關(guān)鍵路徑。 |
GBT22239-2019-信息安全技術(shù)_網(wǎng)絡(luò )安全等級保護基本要求 |
| 1.系統信息 | |||||||
| 系統名稱(chēng)： | |||||||
| 系統等級： | |||||||
| 2.測評結果-技術(shù)類(lèi) | |||||||
| 針對本系統依照信息安全等級保護三級信息系統安全技術(shù)類(lèi)要求總共進(jìn)行了XXX項安全檢查，具體測評結果如下： | |||||||
| 類(lèi)別\符合情況 | 總檢查項 | 符合 | 不符合 | 部分符合 | 不適用 | ||
| 安全物理環(huán)境 | 23 | 23 | |||||
| 安全通信網(wǎng)絡(luò ) | 8 | 8 | |||||
| 安全區域邊界 | 20 | 20 | |||||
| 安全計算環(huán)境 | 34 | 34 | |||||
| 安全管理中心 | 12 | 12 | |||||
