等保2.0管理部分測評高風(fēng)險匯總
適用范圍
《網(wǎng)絡(luò )安全等級保護測評高風(fēng)險判定指引》是依據GB/T 22239-2019《信息安全技術(shù)網(wǎng)絡(luò )安全等級保護基本要求》有關(guān)條款，對測評過(guò)程中所發(fā)現的安全性問(wèn)題進(jìn)行風(fēng)險判斷的指引性文件。指引內容包括對應要求、判例內容、適用范圍、補償措施、整改建議等要素。
9安全管理制度
9.1管理制度
9.1.1管理制度建設：
對應要求：應對安全管理活動(dòng)中的各類(lèi)管理內容建立安全管理制度。
判例內容：未建立任何與安全管理活動(dòng)相關(guān)的管理制度或相關(guān)管理制度無(wú)法適用于當前被測系統的，可判定為高風(fēng)險。
適用范圍：所有系統。
滿(mǎn)足條件（任意條件）：
1、未建立任何與安全管理活動(dòng)相關(guān)的管理制度。
2、相關(guān)管理制度無(wú)法適用于當前被測系統。
補償措施：無(wú)。
整改建議：建議按照等級保護的相關(guān)要求，建立包括總體方針、安全策略在內的各類(lèi)與安全管理活動(dòng)相關(guān)的管理制度。
10.1崗位設置
10.1.1網(wǎng)絡(luò )安全領(lǐng)導小組建立：
11.1產(chǎn)品采購和使用
11.1.1網(wǎng)絡(luò )安全產(chǎn)品采購和使用：
11.1.2密碼產(chǎn)品與服務(wù)采購和使用：
11.2外包軟件開(kāi)發(fā)
11.2.1外包開(kāi)發(fā)代碼審計：
11.3測試驗收
11.3.1上線(xiàn)前安全測試：
12.1漏洞和風(fēng)險管理
12.1.1安全漏洞和隱患的識別與修補：
12.2網(wǎng)絡(luò )和系統安全管理
12.2.1重要運維操作變更管理：
12.2.2運維工具的管控：
12.2.3運維外聯(lián)的管控：
12.3惡意代碼防范管理
12.3.1外來(lái)接入設備惡意代碼檢查：
12.4變更管理
12.4.1需求變更管理：
12.5備份與恢復管理
12.5.1數據備份策略：
對應要求：應根據數據的重要性和數據對系統運行的影響，制定數據的備份策略和恢復策略、備份程序和恢復程序等。
判例內容：未明確數據備份策略和數據恢復策略，以及備份程序和恢復程序，無(wú)法實(shí)現重要數據的定期備份與恢復性測試，一旦系統出現故障，需要恢復數據，存在無(wú)數據可恢復的情況，或者備份的數據未經(jīng)過(guò)恢復性測試，無(wú)法確保備份的數據可用，可判定為高危風(fēng)險。此外，如有相關(guān)制度，但未實(shí)施，視為制度內容未落實(shí)，可判定為高風(fēng)險。
適用范圍：3級及以上系統。
滿(mǎn)足條件（同時(shí)）：
1、3級及以上系統；
2、無(wú)備份與恢復等相關(guān)的安全管理制度，或未按照相關(guān)策略落實(shí)數據備份。
補償措施：
1、未建立相關(guān)數據備份制度，但若已實(shí)施數據備份措施，且備份機制符合業(yè)務(wù)需要，可酌情降低風(fēng)險等級。
2、如系統還未正式上線(xiàn)，則可檢查是否制定了相關(guān)的管理制度，目前的技術(shù)措施（如環(huán)境、存儲等）是否可以滿(mǎn)足制度中規定的備份恢復策略要求，可根據實(shí)際情況判斷風(fēng)險等級。
整改建議：建議制定備份與恢復相關(guān)的制度，明確數據備份策略和數據恢復策略，以及備份程序和恢復程序，實(shí)現重要數據的定期備份與恢復性測試，保證備份數據的高可用性與可恢復性。
12.6應急預案管理
12.6.1應急預案制定：
對應要求：應制定重要事件的應急預案，包括應急處理流程、系統恢復流程等內容。
判例內容：未制定重要事件的應急預案，未明確重要事件的應急處理流程、系統恢復流程等內容，一旦出現應急事件，無(wú)法合理有序的進(jìn)行應急事件處置過(guò)程，造成應急響應時(shí)間增長(cháng)，導致系統不能在最短的事件內進(jìn)行恢復，可判定為高風(fēng)險。
適用范圍：所有系統。
滿(mǎn)足條件：未制定重要事件的應急預案。
補償措施：如制定了應急預演，但內容不全，可根據實(shí)際情況，酌情降低風(fēng)險等級。
整改建議：建議制定重要事件的應急預案，明確重要事件的應急處理流程、系統恢復流程等內容，并對應急預案進(jìn)行演練。
12.6.2應急預案培訓演練：
