等保2.0高風(fēng)險項判定匯總
前不久（7月14日）網(wǎng)上發(fā)布了《網(wǎng)絡(luò )安全等級保護測評高風(fēng)險判定指引》，并計劃于2019年10月1日起施行?？吹胶?，第一感覺(jué)，好貼心哦，還告訴你哪些是重點(diǎn)，要怎么改?？赐旰蟾杏X(jué)，這是要我們半條命么？無(wú)論怎樣，該重點(diǎn)關(guān)注的還是要去關(guān)注，做好安全工作。
引言
所謂高風(fēng)險項，就是等保測評時(shí)可以一票否決的整改項，如果不改，無(wú)論你多少分都會(huì )被定為不合格。全文共58頁(yè)，寫(xiě)得比較細了，但是想到大家基本不會(huì )有耐心去仔細看的（憑直覺(jué)）。這幾天挑里邊相對重點(diǎn)的內容列了出來(lái)，就是企業(yè)要重點(diǎn)關(guān)注的，把這些做好，上70分應該不成問(wèn)題，個(gè)人認為這就是所謂的抓重點(diǎn)了。最近要定級或者明年打算升級等保2.0的可以參考下。
說(shuō)明：文中標記（3級）的表示3級及以上系統適用，標記（4級）的表示4級系統適用，未標記的表示所有系統適用。
物理環(huán)境部分
1. 無(wú)防盜報警系統、無(wú)監控系統，可判定為高風(fēng)險。
2. 機房未配備冗余或并行電力線(xiàn)路供電來(lái)自于同一變電站，可判高風(fēng)險。
3. 系統所在的機房必須配備應急供電措施，如未配備，或應急供電措施無(wú)法使用，可判高風(fēng)險。（4級）
4. 對于涉及大量核心數據的系統，如機房或關(guān)鍵設備所在的機柜未采取電磁屏蔽措施，可判高風(fēng)險。（4級）
網(wǎng)絡(luò )通信部分
1. 對可用性要求較高的系統，網(wǎng)絡(luò )設備的業(yè)務(wù)處理能力不足，高峰時(shí)可能導致設備宕機或服務(wù)中斷，影響金融秩序或引發(fā)群體事件，若無(wú)任何技術(shù)應對措施。核心網(wǎng)絡(luò )設備性能無(wú)法滿(mǎn)足高峰期需求，存在業(yè)務(wù)中斷隱患，如業(yè)務(wù)高峰期，核心設備性能指標平均達到80%以上，可判定為高風(fēng)險。
2. 應按照不同網(wǎng)絡(luò )的功能、重要程度進(jìn)行網(wǎng)絡(luò )區域劃分，如存在重要區域與非重要網(wǎng)絡(luò )在同一子網(wǎng)或網(wǎng)段的，可判定為高風(fēng)險。
3. 互聯(lián)網(wǎng)出口無(wú)任何訪(fǎng)問(wèn)控制措施，或訪(fǎng)問(wèn)控制措施配置失效，存在較大安全隱患，可判定為高風(fēng)險。（區域邊界要求同樣適用）
4. 辦公網(wǎng)與生產(chǎn)網(wǎng)之間無(wú)訪(fǎng)問(wèn)控制措施，辦公環(huán)境任意網(wǎng)絡(luò )接入均可對核心生產(chǎn)服務(wù)器和網(wǎng)絡(luò )設備進(jìn)行管理，可判定為高風(fēng)險。
5. 對可用性要求較高的系統，若網(wǎng)絡(luò )鏈路為單鏈路，核心網(wǎng)絡(luò )節點(diǎn)、核心網(wǎng)絡(luò )設備或關(guān)鍵計算設備無(wú)冗余設計，一旦出現故障，可能導致業(yè)務(wù)中斷，可判定為高風(fēng)險。（3級）
6. 對數據傳輸完整性要求較高的系統，數據在網(wǎng)絡(luò )層傳輸無(wú)完整性保護措施，一旦數據遭到篡改，可能造成財產(chǎn)損失的，可判定為高風(fēng)險。建議采用校驗技術(shù)或密碼技術(shù)保證通信過(guò)程中數據的完整性。（3級）
7. 口令、密鑰等重要敏感信息在網(wǎng)絡(luò )中明文傳輸，可判定為高風(fēng)險。（3級）
建議相關(guān)設備開(kāi)啟 SSH 或HTTPS 協(xié)議或創(chuàng )建加密通道，通過(guò)這些加密方式傳輸敏感信息。
區域邊界部分
1. 非授權設備能夠直接接入重要網(wǎng)絡(luò )區域，如服務(wù)器區、管理網(wǎng)段等，且無(wú)任何告警、限制、阻斷等措施的，可判定為高風(fēng)險。（3級）
如接入的區域有嚴格的物理訪(fǎng)問(wèn)控制，采用靜態(tài) IP 地址分配，關(guān)閉不必要的接入端口，IP-MAC 地址綁定等措施的，可酌情降低風(fēng)險等級。
2. 核心重要服務(wù)器設備、重要核心管理終端，如無(wú)法對非授權聯(lián)到外部網(wǎng)絡(luò )的行為進(jìn)行檢查或限制，或內部人員可旁路、繞過(guò)邊界訪(fǎng)問(wèn)控制設備私自外聯(lián)互聯(lián)網(wǎng)，可判定為高風(fēng)險。（3級）
如機房、網(wǎng)絡(luò )等環(huán)境可控，非授權外聯(lián)可能較小，相關(guān)設備上的 USB 接口、無(wú)線(xiàn)網(wǎng)卡等有管控措施，對網(wǎng)絡(luò )異常進(jìn)行監控及日志審查，可酌情降低風(fēng)險等級。
3.內部核心網(wǎng)絡(luò )與無(wú)線(xiàn)網(wǎng)絡(luò )互聯(lián)，且之間無(wú)任何管控措施，一旦非授權接入無(wú)線(xiàn)網(wǎng)絡(luò )即可訪(fǎng)問(wèn)內部核心網(wǎng)絡(luò )區域，存在較大安全隱患，可判定為高風(fēng)險。（3級）
如無(wú)特殊需要，內部核心網(wǎng)絡(luò )不應與無(wú)線(xiàn)網(wǎng)絡(luò )互聯(lián)；如因業(yè)務(wù)需要，則建議加強對無(wú)線(xiàn)網(wǎng)絡(luò )設備接入的管控，并通過(guò)邊界設備對無(wú)線(xiàn)網(wǎng)絡(luò )的接入設備對內部核心網(wǎng)絡(luò )的訪(fǎng)問(wèn)進(jìn)行限制，降低攻擊者利用無(wú)線(xiàn)網(wǎng)絡(luò )入侵內部核心網(wǎng)絡(luò )。
4. 與互聯(lián)網(wǎng)互連的系統，邊界處如無(wú)專(zhuān)用的訪(fǎng)問(wèn)控制設備或配置了全通策略，可判定為高風(fēng)險。
5. 可控網(wǎng)絡(luò )環(huán)境與不可控網(wǎng)絡(luò )環(huán)境之間數據傳輸未采用通信協(xié)議轉換或通信協(xié)議隔離等方式進(jìn)行數據轉換（網(wǎng)閘或前置機），可判定為高風(fēng)險。（4級）
6. 關(guān)鍵網(wǎng)絡(luò )節點(diǎn)（如互聯(lián)網(wǎng)邊界處）未采取任何防護措施，無(wú)法檢測、阻止或限制互聯(lián)網(wǎng)發(fā)起的攻擊行為（無(wú)入侵防御設備、云防、WAF等），可判定為高風(fēng)險。（3級）
7. 關(guān)鍵網(wǎng)絡(luò )節點(diǎn)（如核心服務(wù)器區與其他內部網(wǎng)絡(luò )區域邊界處）未采取任何防護措施，無(wú)法檢測、阻止或限制從內部發(fā)起的網(wǎng)絡(luò )攻擊行為（無(wú)入侵防御、防火墻等），可判定為高風(fēng)險。（3級）
8. 主機和網(wǎng)絡(luò )層均無(wú)任何惡意代碼檢測和清除措施的，可判定為高風(fēng)險。
9. 在網(wǎng)絡(luò )邊界、重要網(wǎng)絡(luò )節點(diǎn)無(wú)任何安全審計措施，無(wú)法對重要的用戶(hù)行為和重要安全事件進(jìn)行日志審計，可判定為高風(fēng)險。
計算環(huán)境部分
1. 網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等存在空口令或弱口令帳戶(hù)（包括默認口令），并可通過(guò)該弱口令帳戶(hù)登錄，可判定為高風(fēng)險。
2. 通過(guò)不可控網(wǎng)絡(luò )環(huán)境遠程管理的網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等，鑒別信息明文傳輸，容易被監聽(tīng)，造成數據泄漏，可判定為高風(fēng)險。
3. 重要核心設備、操作系統等未采用兩種或兩種以上鑒別技術(shù)對用戶(hù)身份進(jìn)行鑒別。例如僅使用用戶(hù)名/口令方式進(jìn)行身份驗證，削弱了管理員賬戶(hù)的安全性，無(wú)法避免賬號的未授權竊取或違規使用，4級系統多種鑒別技術(shù)中未用到密碼技術(shù)或生物技術(shù)?？膳卸楦唢L(fēng)險。（3級）
4.網(wǎng)絡(luò )設備、安全設備、操作系統等存在多余系統服務(wù)/默認共享/高危端口存在，且存在可被利用的高危漏洞或重大安全隱患，可判定為高風(fēng)險。（注意不只系統和應用，還有設備也要關(guān)閉多余端口）
5. 通過(guò)不可控網(wǎng)絡(luò )環(huán)境遠程管理的網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等，未采取技術(shù)手段對管理終端進(jìn)行限制，可判定為高風(fēng)險。（3級）
6.對于一些互聯(lián)網(wǎng)直接能夠訪(fǎng)問(wèn)到的網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等，如存在外界披露的重大漏洞，未及時(shí)修補更新，無(wú)需考慮是否有 POC 攻擊代碼，可判定為高風(fēng)險。（不要說(shuō)影響業(yè)務(wù)，某大型企業(yè)HW期間N年不能打的補丁2天全搞定了）
7. 通過(guò)驗證測試或滲透測試能夠確認并利用的，可對網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等造成重大安全隱患的漏洞（包括但不限于緩沖區溢出、提權漏洞、遠程代碼執行、嚴重邏輯缺陷、敏感數據泄露等），可判定為高風(fēng)險。
8. Windows 操作系統未安裝防惡意代碼軟件，并進(jìn)行統一管理（這里覺(jué)得官方描述有問(wèn)題，并未進(jìn)行可能更準確），無(wú)法防止來(lái)自外部的惡意攻擊或系統漏洞帶來(lái)的危害，可判定為高風(fēng)險。
9. 應用系統無(wú)任何用戶(hù)口令復雜度校驗機制，校驗機制包括口令的長(cháng)度、復雜度等，可判定為高風(fēng)險。
10. 應用系統存在易被猜測的常用/弱口令帳戶(hù)，可判定為高風(fēng)險。
11.可通過(guò)互聯(lián)網(wǎng)登錄的應用系統未提供任何登錄失敗處理措施，攻擊者可進(jìn)行口令猜測，可判定為高風(fēng)險。（3級）
12.通過(guò)互聯(lián)網(wǎng)方式訪(fǎng)問(wèn)，且涉及大額資金交易、核心業(yè)務(wù)等操作的系統，在進(jìn)行重要操作前應采用兩種或兩種以上方式進(jìn)行身份鑒別，如只采用一種驗證方式進(jìn)行鑒別，可判定為高風(fēng)險。（3級）
13. 應用系統訪(fǎng)問(wèn)控制功能存在缺失，無(wú)法按照設計策略控制用戶(hù)對系統功能、數據的訪(fǎng)問(wèn)；可通過(guò)直接訪(fǎng)問(wèn) URL 等方式，在不登錄系統的情況下，非授權訪(fǎng)問(wèn)系統功能模塊，可判定為高風(fēng)險。
14. 應用系統訪(fǎng)問(wèn)控制策略存在缺陷，可越權訪(fǎng)問(wèn)系統功能模塊或查看、操作其他用戶(hù)的數據。如存在平行權限漏洞，低權限用戶(hù)越權訪(fǎng)問(wèn)高權限功能模塊等，可判定為高風(fēng)險。
15. 應用系統（包括前端系統和后臺管理系統）無(wú)任何日志審計功能，無(wú)法對用戶(hù)的重要行為進(jìn)行審計，也無(wú)法對事件進(jìn)行溯源，可判定為高風(fēng)險。（3級）
16. 由于校驗機制缺失導致的應用系統存在如 SQL 注入、跨站腳本、上傳漏洞等高風(fēng)險漏洞，可判定為高風(fēng)險。
17. 應用系統所使用的環(huán)境、框架、組件等存在可被利用的高風(fēng)險漏洞，導致敏感數據泄露、網(wǎng)頁(yè)篡改、服務(wù)器被入侵等安全事件的發(fā)生，可能造成嚴重后果的，可判定為高風(fēng)險。
18. 通過(guò)測試，發(fā)現應用系統的業(yè)務(wù)功能（如密碼找回功能等）存在高風(fēng)險安全漏洞或嚴重邏輯缺陷，可能導致修改任意用戶(hù)密碼、繞過(guò)安全驗證機制非授權訪(fǎng)問(wèn)等情況?？膳卸楦唢L(fēng)險。
19. 對傳輸完整性要求較高的系統，如未采取任何措施保障重要數據傳輸完整性，重要數據在傳輸過(guò)程中被篡改可能造成嚴重后果的，可判定為高風(fēng)險。（3級）
20. 用戶(hù)鑒別信息、公民敏感信息數據或重要業(yè)務(wù)數據等以明文方式在不可控網(wǎng)絡(luò )中傳輸，可判定為高風(fēng)險。（3級）
21. 用戶(hù)身份認證信息、個(gè)人敏感信息數據、重要業(yè)務(wù)數據、行業(yè)主管部門(mén)定義的非明文存儲類(lèi)數據等以明文方式存儲，且無(wú)其他有效保護措施，可判定為高風(fēng)險。（3級）
22. 應用系統未提供任何數據備份措施，一旦遭受數據破壞，無(wú)法進(jìn)行數據恢復的，可判定為高風(fēng)險。
23. 對系統、數據容災要求較高的系統，如金融、醫療衛生、社會(huì )保障等行業(yè)系統，如無(wú)異地數據災備措施，或異地備份機制無(wú)法滿(mǎn)足業(yè)務(wù)需要，可判定為高風(fēng)險。
24. 對數據處理可用性要求較高系統（如金融行業(yè)系統、競拍系統、大數據平臺等），應采用熱冗余技術(shù)提高系統的可用性，若核心處理節點(diǎn)（如服務(wù)器、DB 等）存在單點(diǎn)故障，可判定為高風(fēng)險。（3級）
25. 對容災、可用性要求較高的系統，如金融行業(yè)系統，如未設立異地應用級容災中心，或異地應用級容災中心無(wú)法實(shí)現業(yè)務(wù)切換，可判定為高風(fēng)險。（4級）
26. 身份鑒別信息釋放或清除機制存在缺陷，如在正常進(jìn)行釋放或清除身份鑒別信息操作后，仍可非授權訪(fǎng)問(wèn)系統資源或進(jìn)行操作（同樣適用于敏感信息），可判定為高風(fēng)險。
27. 在采集和保存用戶(hù)個(gè)人信息時(shí)，應通過(guò)正式渠道獲得用戶(hù)同意、授權，如在未授權情況下，采取、存儲用戶(hù)個(gè)人隱私信息，可判定為高風(fēng)險。
28. 未授權訪(fǎng)問(wèn)和非法使用個(gè)人信息，如在未授權情況下將用戶(hù)信息提交給第三方處理，未脫敏的情況下用于其他業(yè)務(wù)用途，未嚴格控制個(gè)人信息查詢(xún)以及導出權限，非法買(mǎi)賣(mài)、泄露用戶(hù)個(gè)人信息等，可判定為高風(fēng)險。
管理中心部分
1. 《網(wǎng)絡(luò )安全法》要求“采取監測、記錄網(wǎng)絡(luò )運行狀態(tài)、網(wǎng)絡(luò )安全事件的技術(shù)措施，并按照規定留存相關(guān)的網(wǎng)絡(luò )日志不少于六個(gè)月”；因此，如相關(guān)設備日志留存不滿(mǎn)足法律法規相關(guān)要求，可判定為高風(fēng)險。（3級）
2. 未部署相關(guān)安全設備，識別網(wǎng)絡(luò )中發(fā)生的安全事件，并對重要安全事件進(jìn)行報警的，可判定為高風(fēng)險。
管理制度部分
1. 判例內容：未建立任何與安全管理活動(dòng)相關(guān)的管理制度或相關(guān)管理制度無(wú)法適用于當前被測系統的，可判定為高風(fēng)險。
管理機構部分
1. 未成立指導和管理信息安全工作的委員會(huì )或領(lǐng)導小組，或其最高領(lǐng)導不是由單位主管領(lǐng)導委任或授權，可判定為高風(fēng)險。（3級）
建設管理部分
1. 網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品的使用違反國家有關(guān)規定，可判定為高風(fēng)險。（其實(shí)就是盡可能使用國產(chǎn)品牌）
建議依據國家有關(guān)規定，采購和使用網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品。（《網(wǎng)絡(luò )安全法》第二十三條規定網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品應當按照相關(guān)國家標準的強制性要求，由具備資格的機構安全認證合格或者安全檢測符合要求后，方可銷(xiāo)售或者提供。國家網(wǎng)信部門(mén)會(huì )同國務(wù)院有關(guān)部門(mén)制定、公布網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品目錄，并推動(dòng)安全認證和安全檢測結果互認，避免重復認證、檢測。）
2. 對于涉及金融、民生、基礎設施等重要行業(yè)的業(yè)務(wù)核心系統由外包公司開(kāi)發(fā)，上線(xiàn)前未對外包公司開(kāi)發(fā)的系統進(jìn)行源代碼審查，外包商也無(wú)法提供相關(guān)安全檢測證明，可判定為高風(fēng)險。（3級）
3. 系統上線(xiàn)前未通過(guò)安全性測試，或未對相關(guān)高風(fēng)險問(wèn)題進(jìn)行安全評估仍舊“帶病”上線(xiàn)的，可判定為高風(fēng)險。安全檢查內容可以包括但不限于掃描滲透測試、安全功能驗證、源代碼安全審核（國家逐步開(kāi)始推廣SDL的落地）。（3級）
運維管理部分
1. 未對發(fā)現的安全漏洞和隱患及時(shí)修補，會(huì )導致系統存在較大的安全隱患，黑客有可能利用安全漏洞對系統實(shí)施惡意攻擊，如果安全漏洞和隱患能夠構成高危風(fēng)險，可判定為高風(fēng)險（對應前邊漏洞管理的內容，要求相同）。（3級）
2. 未對運維過(guò)程中改變連接、安裝系統組件或調整配置參數進(jìn)行變更審批，且未進(jìn)行變更性測試，一旦安裝系統組件或調整配置參數對系統造成影響，有可能導致系統無(wú)法正常訪(fǎng)問(wèn)，出現異常，可判定為高風(fēng)險（系統變更管理上升為高危風(fēng)險點(diǎn)）。（3級）
3. 未明確變更管理流程，未對需要變更的內容進(jìn)行分析與論證，未制定詳細的變更方案，無(wú)法明確變更的需求與必要性；變更的同時(shí)也伴隨著(zhù)可能導致系統無(wú)法正常訪(fǎng)問(wèn)的風(fēng)險，可判定為高風(fēng)險（變更流程無(wú)完善，缺乏理論驗證和分析）。（3級）
4. 未對各類(lèi)運維工具（特別是未商業(yè)化的運維工具）進(jìn)行有效性檢查，未對運維工具的接入進(jìn)行嚴格的控制和審批，運維工具中可能存在漏洞或后門(mén)，一旦被黑客利用有可能造成數據泄漏，可判定為高風(fēng)險（使用盜版工具的可能會(huì )被判定為高風(fēng)險）。（3級）
5. 制度上服務(wù)器及終端與外部連接的授權和批準制度（此處原文描述可能不準確），也未定期對相關(guān)違反網(wǎng)絡(luò )安全策略的行為進(jìn)行檢查，存在違規外聯(lián)的安全隱患，一旦內網(wǎng)服務(wù)器或終端違規外聯(lián)，可能造成涉密信息（商密信息）的泄露，同時(shí)增加了感染病毒的可能性，可判定為高風(fēng)險（管理層面的違規外聯(lián)管理，要有制度還要有執行的過(guò)程）。（3級）
6. 外來(lái)計算機或存儲設備本身可能已被感染病毒或木馬，未對其接入系統前進(jìn)行惡意代碼檢查，可能導致系統感染病毒或木馬，對信息系統極大的危害，可判定為高風(fēng)險。
7. 未制定重要事件的應急預案，未明確重要事件的應急處理流程、系統恢復流程等內容，一旦出現應急事件，無(wú)法合理有序的進(jìn)行應急事件處置過(guò)程，造成應急響應時(shí)間增長(cháng)，導致系統不能在最短的事件內進(jìn)行恢復，可判定為高風(fēng)險。
8. 未定期對相關(guān)人員進(jìn)行應急預案培訓，未根據不同的應急預案進(jìn)行應急演練，無(wú)法提供應急預案培訓和演練記錄，可判定為高風(fēng)險（無(wú)應急培訓，無(wú)應急演練）。（3級）
引言
所謂高風(fēng)險項，就是等保測評時(shí)可以一票否決的整改項，如果不改，無(wú)論你多少分都會(huì )被定為不合格。全文共58頁(yè)，寫(xiě)得比較細了，但是想到大家基本不會(huì )有耐心去仔細看的（憑直覺(jué)）。這幾天挑里邊相對重點(diǎn)的內容列了出來(lái)，就是企業(yè)要重點(diǎn)關(guān)注的，把這些做好，上70分應該不成問(wèn)題，個(gè)人認為這就是所謂的抓重點(diǎn)了。最近要定級或者明年打算升級等保2.0的可以參考下。
說(shuō)明：文中標記（3級）的表示3級及以上系統適用，標記（4級）的表示4級系統適用，未標記的表示所有系統適用。
物理環(huán)境部分
1. 無(wú)防盜報警系統、無(wú)監控系統，可判定為高風(fēng)險。
2. 機房未配備冗余或并行電力線(xiàn)路供電來(lái)自于同一變電站，可判高風(fēng)險。
3. 系統所在的機房必須配備應急供電措施，如未配備，或應急供電措施無(wú)法使用，可判高風(fēng)險。（4級）
4. 對于涉及大量核心數據的系統，如機房或關(guān)鍵設備所在的機柜未采取電磁屏蔽措施，可判高風(fēng)險。（4級）
網(wǎng)絡(luò )通信部分
1. 對可用性要求較高的系統，網(wǎng)絡(luò )設備的業(yè)務(wù)處理能力不足，高峰時(shí)可能導致設備宕機或服務(wù)中斷，影響金融秩序或引發(fā)群體事件，若無(wú)任何技術(shù)應對措施。核心網(wǎng)絡(luò )設備性能無(wú)法滿(mǎn)足高峰期需求，存在業(yè)務(wù)中斷隱患，如業(yè)務(wù)高峰期，核心設備性能指標平均達到80%以上，可判定為高風(fēng)險。
2. 應按照不同網(wǎng)絡(luò )的功能、重要程度進(jìn)行網(wǎng)絡(luò )區域劃分，如存在重要區域與非重要網(wǎng)絡(luò )在同一子網(wǎng)或網(wǎng)段的，可判定為高風(fēng)險。
3. 互聯(lián)網(wǎng)出口無(wú)任何訪(fǎng)問(wèn)控制措施，或訪(fǎng)問(wèn)控制措施配置失效，存在較大安全隱患，可判定為高風(fēng)險。（區域邊界要求同樣適用）
4. 辦公網(wǎng)與生產(chǎn)網(wǎng)之間無(wú)訪(fǎng)問(wèn)控制措施，辦公環(huán)境任意網(wǎng)絡(luò )接入均可對核心生產(chǎn)服務(wù)器和網(wǎng)絡(luò )設備進(jìn)行管理，可判定為高風(fēng)險。
5. 對可用性要求較高的系統，若網(wǎng)絡(luò )鏈路為單鏈路，核心網(wǎng)絡(luò )節點(diǎn)、核心網(wǎng)絡(luò )設備或關(guān)鍵計算設備無(wú)冗余設計，一旦出現故障，可能導致業(yè)務(wù)中斷，可判定為高風(fēng)險。（3級）
6. 對數據傳輸完整性要求較高的系統，數據在網(wǎng)絡(luò )層傳輸無(wú)完整性保護措施，一旦數據遭到篡改，可能造成財產(chǎn)損失的，可判定為高風(fēng)險。建議采用校驗技術(shù)或密碼技術(shù)保證通信過(guò)程中數據的完整性。（3級）
7. 口令、密鑰等重要敏感信息在網(wǎng)絡(luò )中明文傳輸，可判定為高風(fēng)險。（3級）
建議相關(guān)設備開(kāi)啟 SSH 或HTTPS 協(xié)議或創(chuàng )建加密通道，通過(guò)這些加密方式傳輸敏感信息。
區域邊界部分
1. 非授權設備能夠直接接入重要網(wǎng)絡(luò )區域，如服務(wù)器區、管理網(wǎng)段等，且無(wú)任何告警、限制、阻斷等措施的，可判定為高風(fēng)險。（3級）
如接入的區域有嚴格的物理訪(fǎng)問(wèn)控制，采用靜態(tài) IP 地址分配，關(guān)閉不必要的接入端口，IP-MAC 地址綁定等措施的，可酌情降低風(fēng)險等級。
2. 核心重要服務(wù)器設備、重要核心管理終端，如無(wú)法對非授權聯(lián)到外部網(wǎng)絡(luò )的行為進(jìn)行檢查或限制，或內部人員可旁路、繞過(guò)邊界訪(fǎng)問(wèn)控制設備私自外聯(lián)互聯(lián)網(wǎng)，可判定為高風(fēng)險。（3級）
如機房、網(wǎng)絡(luò )等環(huán)境可控，非授權外聯(lián)可能較小，相關(guān)設備上的 USB 接口、無(wú)線(xiàn)網(wǎng)卡等有管控措施，對網(wǎng)絡(luò )異常進(jìn)行監控及日志審查，可酌情降低風(fēng)險等級。
3.內部核心網(wǎng)絡(luò )與無(wú)線(xiàn)網(wǎng)絡(luò )互聯(lián)，且之間無(wú)任何管控措施，一旦非授權接入無(wú)線(xiàn)網(wǎng)絡(luò )即可訪(fǎng)問(wèn)內部核心網(wǎng)絡(luò )區域，存在較大安全隱患，可判定為高風(fēng)險。（3級）
如無(wú)特殊需要，內部核心網(wǎng)絡(luò )不應與無(wú)線(xiàn)網(wǎng)絡(luò )互聯(lián)；如因業(yè)務(wù)需要，則建議加強對無(wú)線(xiàn)網(wǎng)絡(luò )設備接入的管控，并通過(guò)邊界設備對無(wú)線(xiàn)網(wǎng)絡(luò )的接入設備對內部核心網(wǎng)絡(luò )的訪(fǎng)問(wèn)進(jìn)行限制，降低攻擊者利用無(wú)線(xiàn)網(wǎng)絡(luò )入侵內部核心網(wǎng)絡(luò )。
4. 與互聯(lián)網(wǎng)互連的系統，邊界處如無(wú)專(zhuān)用的訪(fǎng)問(wèn)控制設備或配置了全通策略，可判定為高風(fēng)險。
5. 可控網(wǎng)絡(luò )環(huán)境與不可控網(wǎng)絡(luò )環(huán)境之間數據傳輸未采用通信協(xié)議轉換或通信協(xié)議隔離等方式進(jìn)行數據轉換（網(wǎng)閘或前置機），可判定為高風(fēng)險。（4級）
6. 關(guān)鍵網(wǎng)絡(luò )節點(diǎn)（如互聯(lián)網(wǎng)邊界處）未采取任何防護措施，無(wú)法檢測、阻止或限制互聯(lián)網(wǎng)發(fā)起的攻擊行為（無(wú)入侵防御設備、云防、WAF等），可判定為高風(fēng)險。（3級）
7. 關(guān)鍵網(wǎng)絡(luò )節點(diǎn)（如核心服務(wù)器區與其他內部網(wǎng)絡(luò )區域邊界處）未采取任何防護措施，無(wú)法檢測、阻止或限制從內部發(fā)起的網(wǎng)絡(luò )攻擊行為（無(wú)入侵防御、防火墻等），可判定為高風(fēng)險。（3級）
8. 主機和網(wǎng)絡(luò )層均無(wú)任何惡意代碼檢測和清除措施的，可判定為高風(fēng)險。
9. 在網(wǎng)絡(luò )邊界、重要網(wǎng)絡(luò )節點(diǎn)無(wú)任何安全審計措施，無(wú)法對重要的用戶(hù)行為和重要安全事件進(jìn)行日志審計，可判定為高風(fēng)險。
計算環(huán)境部分
1. 網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等存在空口令或弱口令帳戶(hù)（包括默認口令），并可通過(guò)該弱口令帳戶(hù)登錄，可判定為高風(fēng)險。
2. 通過(guò)不可控網(wǎng)絡(luò )環(huán)境遠程管理的網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等，鑒別信息明文傳輸，容易被監聽(tīng)，造成數據泄漏，可判定為高風(fēng)險。
3. 重要核心設備、操作系統等未采用兩種或兩種以上鑒別技術(shù)對用戶(hù)身份進(jìn)行鑒別。例如僅使用用戶(hù)名/口令方式進(jìn)行身份驗證，削弱了管理員賬戶(hù)的安全性，無(wú)法避免賬號的未授權竊取或違規使用，4級系統多種鑒別技術(shù)中未用到密碼技術(shù)或生物技術(shù)?？膳卸楦唢L(fēng)險。（3級）
4.網(wǎng)絡(luò )設備、安全設備、操作系統等存在多余系統服務(wù)/默認共享/高危端口存在，且存在可被利用的高危漏洞或重大安全隱患，可判定為高風(fēng)險。（注意不只系統和應用，還有設備也要關(guān)閉多余端口）
5. 通過(guò)不可控網(wǎng)絡(luò )環(huán)境遠程管理的網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等，未采取技術(shù)手段對管理終端進(jìn)行限制，可判定為高風(fēng)險。（3級）
6.對于一些互聯(lián)網(wǎng)直接能夠訪(fǎng)問(wèn)到的網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等，如存在外界披露的重大漏洞，未及時(shí)修補更新，無(wú)需考慮是否有 POC 攻擊代碼，可判定為高風(fēng)險。（不要說(shuō)影響業(yè)務(wù)，某大型企業(yè)HW期間N年不能打的補丁2天全搞定了）
7. 通過(guò)驗證測試或滲透測試能夠確認并利用的，可對網(wǎng)絡(luò )設備、安全設備、操作系統、數據庫等造成重大安全隱患的漏洞（包括但不限于緩沖區溢出、提權漏洞、遠程代碼執行、嚴重邏輯缺陷、敏感數據泄露等），可判定為高風(fēng)險。
8. Windows 操作系統未安裝防惡意代碼軟件，并進(jìn)行統一管理（這里覺(jué)得官方描述有問(wèn)題，并未進(jìn)行可能更準確），無(wú)法防止來(lái)自外部的惡意攻擊或系統漏洞帶來(lái)的危害，可判定為高風(fēng)險。
9. 應用系統無(wú)任何用戶(hù)口令復雜度校驗機制，校驗機制包括口令的長(cháng)度、復雜度等，可判定為高風(fēng)險。
10. 應用系統存在易被猜測的常用/弱口令帳戶(hù)，可判定為高風(fēng)險。
11.可通過(guò)互聯(lián)網(wǎng)登錄的應用系統未提供任何登錄失敗處理措施，攻擊者可進(jìn)行口令猜測，可判定為高風(fēng)險。（3級）
12.通過(guò)互聯(lián)網(wǎng)方式訪(fǎng)問(wèn)，且涉及大額資金交易、核心業(yè)務(wù)等操作的系統，在進(jìn)行重要操作前應采用兩種或兩種以上方式進(jìn)行身份鑒別，如只采用一種驗證方式進(jìn)行鑒別，可判定為高風(fēng)險。（3級）
13. 應用系統訪(fǎng)問(wèn)控制功能存在缺失，無(wú)法按照設計策略控制用戶(hù)對系統功能、數據的訪(fǎng)問(wèn)；可通過(guò)直接訪(fǎng)問(wèn) URL 等方式，在不登錄系統的情況下，非授權訪(fǎng)問(wèn)系統功能模塊，可判定為高風(fēng)險。
14. 應用系統訪(fǎng)問(wèn)控制策略存在缺陷，可越權訪(fǎng)問(wèn)系統功能模塊或查看、操作其他用戶(hù)的數據。如存在平行權限漏洞，低權限用戶(hù)越權訪(fǎng)問(wèn)高權限功能模塊等，可判定為高風(fēng)險。
15. 應用系統（包括前端系統和后臺管理系統）無(wú)任何日志審計功能，無(wú)法對用戶(hù)的重要行為進(jìn)行審計，也無(wú)法對事件進(jìn)行溯源，可判定為高風(fēng)險。（3級）
16. 由于校驗機制缺失導致的應用系統存在如 SQL 注入、跨站腳本、上傳漏洞等高風(fēng)險漏洞，可判定為高風(fēng)險。
17. 應用系統所使用的環(huán)境、框架、組件等存在可被利用的高風(fēng)險漏洞，導致敏感數據泄露、網(wǎng)頁(yè)篡改、服務(wù)器被入侵等安全事件的發(fā)生，可能造成嚴重后果的，可判定為高風(fēng)險。
18. 通過(guò)測試，發(fā)現應用系統的業(yè)務(wù)功能（如密碼找回功能等）存在高風(fēng)險安全漏洞或嚴重邏輯缺陷，可能導致修改任意用戶(hù)密碼、繞過(guò)安全驗證機制非授權訪(fǎng)問(wèn)等情況?？膳卸楦唢L(fēng)險。
19. 對傳輸完整性要求較高的系統，如未采取任何措施保障重要數據傳輸完整性，重要數據在傳輸過(guò)程中被篡改可能造成嚴重后果的，可判定為高風(fēng)險。（3級）
20. 用戶(hù)鑒別信息、公民敏感信息數據或重要業(yè)務(wù)數據等以明文方式在不可控網(wǎng)絡(luò )中傳輸，可判定為高風(fēng)險。（3級）
21. 用戶(hù)身份認證信息、個(gè)人敏感信息數據、重要業(yè)務(wù)數據、行業(yè)主管部門(mén)定義的非明文存儲類(lèi)數據等以明文方式存儲，且無(wú)其他有效保護措施，可判定為高風(fēng)險。（3級）
22. 應用系統未提供任何數據備份措施，一旦遭受數據破壞，無(wú)法進(jìn)行數據恢復的，可判定為高風(fēng)險。
23. 對系統、數據容災要求較高的系統，如金融、醫療衛生、社會(huì )保障等行業(yè)系統，如無(wú)異地數據災備措施，或異地備份機制無(wú)法滿(mǎn)足業(yè)務(wù)需要，可判定為高風(fēng)險。
24. 對數據處理可用性要求較高系統（如金融行業(yè)系統、競拍系統、大數據平臺等），應采用熱冗余技術(shù)提高系統的可用性，若核心處理節點(diǎn)（如服務(wù)器、DB 等）存在單點(diǎn)故障，可判定為高風(fēng)險。（3級）
25. 對容災、可用性要求較高的系統，如金融行業(yè)系統，如未設立異地應用級容災中心，或異地應用級容災中心無(wú)法實(shí)現業(yè)務(wù)切換，可判定為高風(fēng)險。（4級）
26. 身份鑒別信息釋放或清除機制存在缺陷，如在正常進(jìn)行釋放或清除身份鑒別信息操作后，仍可非授權訪(fǎng)問(wèn)系統資源或進(jìn)行操作（同樣適用于敏感信息），可判定為高風(fēng)險。
27. 在采集和保存用戶(hù)個(gè)人信息時(shí)，應通過(guò)正式渠道獲得用戶(hù)同意、授權，如在未授權情況下，采取、存儲用戶(hù)個(gè)人隱私信息，可判定為高風(fēng)險。
28. 未授權訪(fǎng)問(wèn)和非法使用個(gè)人信息，如在未授權情況下將用戶(hù)信息提交給第三方處理，未脫敏的情況下用于其他業(yè)務(wù)用途，未嚴格控制個(gè)人信息查詢(xún)以及導出權限，非法買(mǎi)賣(mài)、泄露用戶(hù)個(gè)人信息等，可判定為高風(fēng)險。
管理中心部分
1. 《網(wǎng)絡(luò )安全法》要求“采取監測、記錄網(wǎng)絡(luò )運行狀態(tài)、網(wǎng)絡(luò )安全事件的技術(shù)措施，并按照規定留存相關(guān)的網(wǎng)絡(luò )日志不少于六個(gè)月”；因此，如相關(guān)設備日志留存不滿(mǎn)足法律法規相關(guān)要求，可判定為高風(fēng)險。（3級）
2. 未部署相關(guān)安全設備，識別網(wǎng)絡(luò )中發(fā)生的安全事件，并對重要安全事件進(jìn)行報警的，可判定為高風(fēng)險。
管理制度部分
1. 判例內容：未建立任何與安全管理活動(dòng)相關(guān)的管理制度或相關(guān)管理制度無(wú)法適用于當前被測系統的，可判定為高風(fēng)險。
管理機構部分
1. 未成立指導和管理信息安全工作的委員會(huì )或領(lǐng)導小組，或其最高領(lǐng)導不是由單位主管領(lǐng)導委任或授權，可判定為高風(fēng)險。（3級）
建設管理部分
1. 網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品的使用違反國家有關(guān)規定，可判定為高風(fēng)險。（其實(shí)就是盡可能使用國產(chǎn)品牌）
建議依據國家有關(guān)規定，采購和使用網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品。（《網(wǎng)絡(luò )安全法》第二十三條規定網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品應當按照相關(guān)國家標準的強制性要求，由具備資格的機構安全認證合格或者安全檢測符合要求后，方可銷(xiāo)售或者提供。國家網(wǎng)信部門(mén)會(huì )同國務(wù)院有關(guān)部門(mén)制定、公布網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品目錄，并推動(dòng)安全認證和安全檢測結果互認，避免重復認證、檢測。）
2. 對于涉及金融、民生、基礎設施等重要行業(yè)的業(yè)務(wù)核心系統由外包公司開(kāi)發(fā)，上線(xiàn)前未對外包公司開(kāi)發(fā)的系統進(jìn)行源代碼審查，外包商也無(wú)法提供相關(guān)安全檢測證明，可判定為高風(fēng)險。（3級）
3. 系統上線(xiàn)前未通過(guò)安全性測試，或未對相關(guān)高風(fēng)險問(wèn)題進(jìn)行安全評估仍舊“帶病”上線(xiàn)的，可判定為高風(fēng)險。安全檢查內容可以包括但不限于掃描滲透測試、安全功能驗證、源代碼安全審核（國家逐步開(kāi)始推廣SDL的落地）。（3級）
運維管理部分
1. 未對發(fā)現的安全漏洞和隱患及時(shí)修補，會(huì )導致系統存在較大的安全隱患，黑客有可能利用安全漏洞對系統實(shí)施惡意攻擊，如果安全漏洞和隱患能夠構成高危風(fēng)險，可判定為高風(fēng)險（對應前邊漏洞管理的內容，要求相同）。（3級）
2. 未對運維過(guò)程中改變連接、安裝系統組件或調整配置參數進(jìn)行變更審批，且未進(jìn)行變更性測試，一旦安裝系統組件或調整配置參數對系統造成影響，有可能導致系統無(wú)法正常訪(fǎng)問(wèn)，出現異常，可判定為高風(fēng)險（系統變更管理上升為高危風(fēng)險點(diǎn)）。（3級）
3. 未明確變更管理流程，未對需要變更的內容進(jìn)行分析與論證，未制定詳細的變更方案，無(wú)法明確變更的需求與必要性；變更的同時(shí)也伴隨著(zhù)可能導致系統無(wú)法正常訪(fǎng)問(wèn)的風(fēng)險，可判定為高風(fēng)險（變更流程無(wú)完善，缺乏理論驗證和分析）。（3級）
4. 未對各類(lèi)運維工具（特別是未商業(yè)化的運維工具）進(jìn)行有效性檢查，未對運維工具的接入進(jìn)行嚴格的控制和審批，運維工具中可能存在漏洞或后門(mén)，一旦被黑客利用有可能造成數據泄漏，可判定為高風(fēng)險（使用盜版工具的可能會(huì )被判定為高風(fēng)險）。（3級）
5. 制度上服務(wù)器及終端與外部連接的授權和批準制度（此處原文描述可能不準確），也未定期對相關(guān)違反網(wǎng)絡(luò )安全策略的行為進(jìn)行檢查，存在違規外聯(lián)的安全隱患，一旦內網(wǎng)服務(wù)器或終端違規外聯(lián)，可能造成涉密信息（商密信息）的泄露，同時(shí)增加了感染病毒的可能性，可判定為高風(fēng)險（管理層面的違規外聯(lián)管理，要有制度還要有執行的過(guò)程）。（3級）
6. 外來(lái)計算機或存儲設備本身可能已被感染病毒或木馬，未對其接入系統前進(jìn)行惡意代碼檢查，可能導致系統感染病毒或木馬，對信息系統極大的危害，可判定為高風(fēng)險。
7. 未制定重要事件的應急預案，未明確重要事件的應急處理流程、系統恢復流程等內容，一旦出現應急事件，無(wú)法合理有序的進(jìn)行應急事件處置過(guò)程，造成應急響應時(shí)間增長(cháng)，導致系統不能在最短的事件內進(jìn)行恢復，可判定為高風(fēng)險。
8. 未定期對相關(guān)人員進(jìn)行應急預案培訓，未根據不同的應急預案進(jìn)行應急演練，無(wú)法提供應急預案培訓和演練記錄，可判定為高風(fēng)險（無(wú)應急培訓，無(wú)應急演練）。（3級）
