信息系统安全等级保护(三级)基本要求

信信息息系系统统安安全全等等级级保保护护（三三级级）基基本本要要求求序序号号 要要求求类类别别 要要求求项项目目子子项项描描述述1技术要求 物理安全 物理位置的选择（G3）a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b)机机房房场场地地应应避避免免设设在在建建筑筑物物的的高高层层或或地地下下室室，以以及及用用水水设设备备的的下下层层或或隔隔壁壁。2物理访问控制（G3）a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；c)应应对对机机房房划划分分区区域域进进行行管管理理，区区域域和和区区域域之之间间设设置置物物理理隔隔离离装装置置，在在重重要要区区域域前前设设置置交交付付或或安安装装等等过过渡渡区区域域；d)重重要要区区域域应应配配置置电电子子门门禁禁系系统统，控控制制、鉴鉴别别和和记记录录进进入入的的人人员员。3防盗窃和防破坏（G3）a)应将主要设备放置在机房内；b)应将设备或主要部件进行固定，并设置明显的不易除去的标记；c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；d)应对介质分类标识，存储在介质库或档案室中；e)应应利利用用光光、电电等等技技术术设设置置机机房房防防盗盗报报警警系系统统；f)应应对对机机房房设设置置监监控控报报警警系系统统。4防雷击（G3）a)机房建筑应设置避雷装置；b)应应设设置置防防雷雷保保安安器器，防防止止感感应应雷雷；c)机房应设置交流电源地线。5防火（G3）a)机机房房应应设设置置火火灾灾自自动动消消防防系系统统，能能够够自自动动检检测测火火情情、自自动动报报警警，并并自自动动灭灭火火；b)机机房房及及相相关关的的工工作作房房间间和和辅辅助助房房应应采采用用具具有有耐耐火火等等级级的的建建筑筑材材料料；c)机机房房应应采采取取区区域域隔隔离离防防火火措措施施，将将重重要要设设备备与与其其他他设设备备隔隔离离开开。6防水和防潮（G3）a)水管安装，不得穿过机房屋顶和活动地板下；b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；d)应应安安装装对对水水敏敏感感的的检检测测仪仪表表或或元元件件，对对机机房房进进行行防防水水检检测测和和报报警警。7防静电（G3）a)主主要要设设备备应采用必要的接地防静电措施；b)机机房房应应采采用用防防静静电电地地板板。8温湿度控制（G3）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。9电力供应（A3）a)应在机房供电线路上配置稳压器和过电压防护设备；b)应提供短期的备用电力供应，至少满足主主要要设设备备在断电情况下的正常运行要求；c)应应设设置置冗冗余余或或并并行行的的电电力力电电缆缆线线路路为为计计算算机机系系统统供供电电；d)应应建建立立备备用用供供电电系系统统。10电磁防护（S3）a)应应采采用用接接地地方方式式防防止止外外界界电电磁磁干干扰扰和和设设备备寄寄生生耦耦合合干干扰扰；b)电源线和通信线缆应隔离铺设，避免互相干扰；c)应应对对关关键键设设备备和和磁磁介介质质实实施施电电磁磁屏屏蔽蔽。11网络安全 结构安全（G3）a)应保证主主要要网网络络设设备备的业务处理能力具备冗余空间，满足业务高峰期需要；b)应保证网网络络各各个个部部分分的的带带宽宽满足业务高峰期需要；c)应应在在业业务务终终端端与与业业务务服服务务器器之之间间进进行行路路由由控控制制建建立立安安全全的的访访问问路路径径；d)应绘制与当前运行情况相符的网络拓扑结构图；e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；f)应应避避免免将将重重要要网网段段部部署署在在网网络络边边界界处处且且直直接接连连接接外外部部信信息息系系统统，重重要要网网段段与与其其他他网网段段之之间间采采取取可可靠靠的的技技术术隔隔离离手手段段；g)应应按按照照对对业业务务服服务务的的重重要要次次序序来来指指定定带带宽宽分分配配优优先先级级别别，保保证证在在网网络络发发生生拥拥堵堵的的时时候候优优先先保保护护重重要要主主机机。12访问控制（G3）a)应在网络边界部署访问控制设备，启用访问控制功能；b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控控制制粒粒度度为为端端口口级级；c)应应对对进进出出网网络络的的信信息息内内容容进进行行过过滤滤，实实现现对对应应用用层层HTTPHTTP、FTPFTP、TELNETTELNET、SMTPSMTP、POP3POP3等等协协议议命命令令级级的的控控制制；d)应应在在会会话话处处于于非非活活跃跃一一定定时时间间或或会会话话结结束束后后终终止止网网络络连连接接；e)应应限限制制网网络络最最大大流流量量数数及及网网络络连连接接数数；f)重重要要网网段段应应采采取取技技术术手手段段防防止止地地址址欺欺骗骗；g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；h)应限制具有拨号访问权限的用户数量。13安全审计（G3）a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录；b)审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c)应应能能够够根根据据记记录录数数据据进进行行分分析析，并并生生成成审审计计报报表表；d)应应对对审审计计记记录录进进行行保保护护，避避免免受受到到未未预预期期的的删删除除、修修改改或或覆覆盖盖等等。14边界完整性检查（S3）a)应应能能够够对对非非授授权权设设备备私私自自联联到到内内部部网网络络的的行行为为进进行行检检查查，准准确确定定出出位位置置，并并对对其其进进行行有有效效阻阻断断；b)应能够对内部网络用户私自联到外部网络的行为进行检查，准准确确定定出出位位置置，并并对对其其进进行行有有效效阻阻断断。15入侵防范（G3）a)应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；b)当当检检测测到到攻攻击击行行为为时时，记记录录攻攻击击源源IPIP、攻攻击击类类型型、攻攻击击目目的的、攻攻击击时时间间，在在发发生生严严重重入入侵侵事事件件时时应应提提供供报报警警。16恶意代码防范（G3）a)应应在在网网络络边边界界处处对对恶恶意意代代码码进进行行检检测测和和清清除除；b)应应维维护护恶恶意意代代码码库库的的升升级级和和检检测测系系统统的的更更新新。17网络设备防护（G3）a)应对登录网络设备的用户进行身份鉴别；b)应对网络设备的管理员登录地址进行限制；c)网络设备用户的标识应唯一；d)主主要要网网络络设设备备应应对对同同一一用用户户选选择择两两种种或或两两种种以以上上组组合合的的鉴鉴别别技技术术来来进进行行身身份份鉴鉴别别；e)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；f)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；g)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；h)应应实实现现设设备备特特权权用用户户的的权权限限分分离离。18主机安全 身份鉴别（S3）a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。f)应应采采用用两两种种或或两两种种以以上上组组合合的的鉴鉴别别技技术术对对管管理理用用户户进进行行身身份份鉴鉴别别。19访问控制（S3）a)应启用访问控制功能，依据安全策略控制用户对资源的访问；b)应应根根据据管管理理用用户户的的角角色色分分配配权权限限，实实现现管管理理用用户户的的权权限限分分离离，仅仅授授予予管管理理用用户户所所需需的的最最小小权权限限；c)应实现操作系统和数据库系统特权用户的权限分离；d)应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；e)应及时删除多余的、过期的帐户，避免共享帐户的存在。f)应应对对重重要要信信息息资资源源设设置置敏敏感感标标记记；g)应应依依据据安安全全策策略略严严格格控控制制用用户户对对有有敏敏感感标标记记重重要要信信息息资资源源的的操操作作；20安全审计（G3）a)审计范围应覆盖到服务器和重重要要客客户户端端上上的每个操作系统用户和数据库用户；b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；d)应应能能够够根根据据记记录录数数据据进进行行分分析析，并并生生成成审审计计报报表表；e)应应保保护护审审计计进进程程，避避免免受受到到未未预预期期的的中中断断；f)应保护审计记录，避免受到未预期的删除、修改或覆盖等。21剩余信息保护（S3）a)应应保保证证操操作作系系统统和和数数据据库库系系统统用用户户的的鉴鉴别别信信息息所所在在的的存存储储空空间间，被被释释放放或或再再分分配配给给其其他他用用户户前前得得到到完完全全清清除除，无无论论这这些些信信息息是是存存放放在在硬硬盘盘上上还还是是在在内内存存中中；b)应应确确保保系系统统内内的的文文件件、目目录录和和数数据据库库记记录录等等资资源源所所在在的的存存储储空空间间，被被释释放放或或重重新新分分配配给给其其他他用用户户前前得得到到完完全全清清除除。22入侵防范（G3）a)应应能能够够检检测测到到对对重重要要服服务务器器进进行行入入侵侵的的行行为为，能能够够记记录录入入侵侵的的源源IPIP、攻攻击击的的类类型型、攻攻击击的的目目的的、攻攻击击的的时时间间，并并在在发发生生严严重重入入侵侵事事件件时时提提供供报报警警；b)应应能能够够对对重重要要程程序序的的完完整整性性进进行行检检测测，并并在在检检测测到到完完整整性性受受到到破破坏坏后后具具有有恢恢复复的的措措施施；c)操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。23恶意代码防范（G3）a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；b)主主机机防防恶恶意意代代码码产产品品应应具具有有与与网网络络防防恶恶意意代代码码产产品品不不同同的的恶恶意意代代码码库库；c)应支持防恶意代码的统一管理。24资源控制（A3）a)应通过设定终端接入方式、网络地址范围等条件限制终端登录；b)应根据安全策略设置登录终端的操作超时锁定；c)应应对对重重要要服服务务器器进进行行监监视视，包包括括监监视视服服务务器器的的CPUCPU、硬硬盘盘、内内存存、网网络络等等资资源源的的使使用用情情况况；d)应限制单个用户对系统资源的最大或最小使用限度；e)应应能能够够对对系系统统的的服服务务水水平平降降低低到到预预先先规规定定的的最最小小值值进进行行检检测测和和报报警警。25应用安全 身份鉴别（S3）a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；b)应应对对同同一一用用户户采采用用两两种种或或两两种种以以上上组组合合的的鉴鉴别别技技术术实实现现用用户户身身份份鉴鉴别别；c)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；d)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。26访问控制（S3）a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；d)应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。e)应应具具有有对对重重要要信信息息资资源源设设置置敏敏感感标标记记的的功功能能；f)应应依依据据安安全全策策略略严严格格控控制制用用户户对对有有敏敏感感标标记记重重要要信信息息资资源源的的操操作作；27安全审计（G3）a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；b)应应保保证证无无法法单单独独中中断断审审计计进进程程，无法删除、修改或覆盖审计记录；c)审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；d)应应提提供供对对审审计计记记录录数数据据进进行行统统计计、查查询询、分分析析及及生生成成审审计计报报表表的的功功能能。28剩余信息保护（S3）a)应应保保证证用用户户鉴鉴别别信信息息所所在在的的存存储储空空间间被被释释放放或或再再分分配配给给其其他他用用户户前前得得到到完完全全清清除除，无无论论这这些些信信息息是是存存放放在在硬硬盘盘上上还还是是在在内内存存中中；b)应应保保证证系系统统内内的的文文件件、目目录录和和数数据据库库记记录录等等资资源源所所在在的的存存储储空空间间被被释释放放或或重重新新分分配配给给其其他他用用户户前前得得到到完完全全清清除除。29通信完整性（S3）应采用密密码码技技术术保证通信过程中数据的完整性。30通信保密性（S3）a)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；b)应对通信过程中的整整个个报报文文或或会会话话过过程程进行加密。31抗抵赖（G3）a)应应具具有有在在请请求求的的情情况况下下为为数数据据原原发发者者或或接接收收者者提提供供数数据据原原发发证证据据的的功功能能；b)应应具具有有在在请请求求的的情情况况下下为为数数据据原原发发者者或或接接收收者者提提供供数数据据接接收收证证据据的的功功能能。32软件容错（A3）a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；b)应应提提供供自自动动保保护护功功能能，当当故故障障发发生生时时自自动动保保护护当当前前所所有有状状态态，保保证证系系统统能能够够进进行行恢恢复复。33资源控制（A3）a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；b)应能够对系统的最大并发会话连接数进行限制；c)应能够对单个帐户的多重并发会话进行限制；d)应应能能够够对对一一个个时时间间段段内内可可能能的的并并发发会会话话连连接接数数进进行行限限制制；e)应应能能够够对对一一个个访访问问帐帐户户或或一一个个请请求求进进程程占占用用的的资资源源分分配配最最大大限限额额和和最最小小限限额额；f)应应能能够够对对系系统统服服务务水水平平降降低低到到预预先先规规定定的的最最小小值值进进行行检检测测和和报报警警；g)应应提提供供服服务务优优先先级级设设定定功功能能，并并在在安安装装后后根根据据安安全全策策略略设设定定访访问问帐帐户户或或请请求求进进程程的的优优先先级级，根根据据优优先先级级分分配配系系统统资资源源。34数据安全及备份恢复数据完整性（S3）a)应能够检测到系系统统管管理理数数据据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并并在在检检测测到到完完整整性性错错误误时时采采取取必必要要的的恢恢复复措措施施；b)应应能能够够检检测测到到系系统统管管理理数数据据、鉴鉴别别信信息息和和重重要要业业务务数数据据在在存存储储过过程程中中完完整整性性受受到到破破坏坏，并并在在检检测测到到完完整整性性错错误误时时采采取取必必要要的的恢恢复复措措施施。35数据保密性（S3）a)应应采采用用加加密密或或其其他他有有效效措措施施实实现现系系统统管管理理数数据据、鉴鉴别别信信息息和和重重要要业业务务数数据据传传输输保保密密性性；b)应采用加密或其他保护措施实现系系统统管管理理数数据据、鉴别信息和重重要要业业务务数数据据存储保密性。36备份和恢复（A3）a)应应提提供供本本地地数数据据备备份份与与恢恢复复功功能能，完完全全数数据据备备份份至至少少每每天天一一次次，备备份份介介质质场场外外存存放放；b)应应提提供供异异地地数数据据备备份份功功能能，利利用用通通信信网网络络将将关关键键数数据据定定时时批批量量传传送送至至备备用用场场地地；c)应应采采用用冗冗余余技技术术设设计计网网络络拓拓扑扑结结构构，避避免免关关键键节节点点存存在在单单点点故故障障；d)应应提提供供主主要要网网络络设设备备、通通信信线线路路和和数数据据处处理理系系统统的的硬硬件件冗冗余余，保保证证系系统统的的高高可可用用性性。37管理要求 安全管理制度管理制度（G3）a)应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；b)应对对安安全全管管理理活活动动中中的的各各类类管管理理内内容容建立安全管理制度；c)应对要求管理人员或操作人员执行的日常管理操作建立操作规程；d)应应形形成成由由安安全全策策略略、管管理理制制度度、操操作作规规程程等等构构成成的的全全面面的的信信息息安安全全管管理理制制度度体体系系。38制定和发布（G3）a)应指定或授权专门的部门或人员负责安全管理制度的制定；b)安安全全管管理理制制度度应应具具有有统统一一的的格格式式，并并进进行行版版本本控控制制；c)应组织相关人员对制定的安全管理制度进行论证和审定；d)安安全全管管理理制制度度应应通通过过正正式式、有有效效的的方方式式发发布布；e)安安全全管管理理制制度度应应注注明明发发布布范范围围，并并对对收收发发文文进进行行登登记记。39评审和修订（G3）a)信信息息安安全全领领导导小小组组应应负负责责定定期期组组织织相相关关部部门门和和相相关关人人员员对对安安全全管管理理制制度度体体系系的的合合理理性性和和适适用用性性进进行行审审定定；b)应应定定期期或或不不定定期期对对安安全全管管理理制制度度进进行行检检查查和和审审定定，对存在不足或需要改进的安全管理制度进行修订。40安全管理机构岗位设置（G3）a)应设设立立信信息息安安全全管管理理工工作作的的职职能能部部门门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；b)应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责；c)应应成成立立指指导导和和管管理理信信息息安安全全工工作作的的委委员员会会或或领领导导小小组组，其其最最高高领领导导由由单单位位主主管管领领导导委委任任或或授授权权；d)应应制制定定文文件件明明确确安安全全管管理理机机构构各各个个部部门门和和岗岗位位的的职职责责、分分工工和和技技能能要要求求。41人员配备（G3）a)应配备一定数量的系统管理员、网络管理员、安全管理员等；b)应应配配备备专专职职安安全全管管理理员员，不不可可兼兼任任；c)关关键键事事务务岗岗位位应应配配备备多多人人共共同同管管理理。42授权和审批（G3）a)应根据各个部门和岗位的职责明确授授权权审审批批事事项项、审批部门和批准人等；b)应应针针对对系系统统变变更更、重重要要操操作作、物物理理访访问问和和系系统统接接入入等等事事项项建建立立审审批批程程序序，按按照照审审批批程程序序执执行行审审批批过过程程，对对重重要要活活动动建建立立逐逐级级审审批批制制度度；c)应应定定期期审审查查审审批批事事项项，及及时时更更新新需需授授权权和和审审批批的的项项目目、审审批批部部门门和和审审批批人人等等信信息息；d)应应记记录录审审批批过过程程并并保保存存审审批批文文档档。43沟通和合作（G3）a)应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通，定定期期或或不不定定期期召召开开协协调调会会议议，共共同同协协作作处处理理信信息息安安全全问问题题；b)应加强与兄弟单位、公安机关、电信公司的合作与沟通；c)应应加加强强与与供供应应商商、业业界界专专家家、专专业业的的安安全全公公司司、安安全全组组织织的的合合作作与与沟沟通通；d)应应建建立立外外联联单单位位联联系系列列表表，包包括括外外联联单单位位名名称称、合合作作内内容容、联联系系人人和和联联系系方方式式等等信信息息；e)应应聘聘请请信信息息安安全全专专家家作作为为常常年年的的安安全全顾顾问问，指指导导信信息息安安全全建建设设，参参与与安安全全规规划划和和安安全全评评审审等等。44审核和检查（G3）a)安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；b)应应由由内内部部人人员员或或上上级级单单位位定定期期进进行行全全面面安安全全检检查查，检检查查内内容容包包括括现现有有安安全全技技术术措措施施的的有有效效性性、安安全全配配置置与与安安全全策策略略的的一一致致性性、安安全全管管理理制制度度的的执执行行情情况况等等；c)应应制制定定安安全全检检查查表表格格实实施施安安全全检检查查，汇汇总总安安全全检检查查数数据据，形形成成安安全全检检查查报报告告，并并对对安安全全检检查查结结果果进进行行通通报报；d)应应制制定定安安全全审审核核和和安安全全检检查查制制度度规规范范安安全全审审核核和和安安全全检检查查工工作作，定定期期按按照照程程序序进进行行安安全全审审核核和和安安全全检检查查活活动动。45人员安全管理人员录用（G3）a)应指定或授权专门的部门或人员负责人员录用；b)应严严格格规范人员录用过程，对被录用人的身份、背景、专业资格和资资质质等进行审查，对其所具有的技术技能进行考核；c)应应签签署署保保密密协协议议；d)应应从从内内部部人人员员中中选选拔拔从从事事关关键键岗岗位位的的人人员员，并并签签署署岗岗位位安安全全协协议议。46人员离岗（G3）a)应严严格格规范人员离岗过程，及时终止离岗员工的所有访问权限；b)应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备；c)应办理严格的调离手续，关关键键岗岗位位人人员员离离岗岗须须承承诺诺调调离离后后的的保保密密义义务务后后方方可可离离开开。47人员考核（G3）a)应定期对各个岗位的人员进行安全技能及安全认知的考核；b)应应对对关关键键岗岗位位的的人人员员进进行行全全面面、严严格格的的安安全全审审查查和和技技能能考考核核；c)应应对对考考核核结结果果进进行行记记录录并并保保存存。48安全意识教育和培训（G3）a)应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训；b)应应对对安安全全责责任任和和惩惩戒戒措措施施进进行行书书面面规规定定并告知相关人员，对违反违背安全策略和规定的人员进行惩戒；c)应应对对定定期期安安全全教教育育和和培培训训进进行行书书面面规规定定，针针对对不不同同岗岗位位制制定定不不同同的的培培训训计计划划，对信息安全基础知识、岗位操作规程等进行培训；d)应对安全教育和培训的情况和结果进行记录并归档保存。49外部人员访问管理（G3）a)应确保在外部人员访问受控区域前先提提出出书书面面申申请请，批准后由专人全程陪同或监督，并登记备案；b)对对外外部部人人员员允允许许访访问问的的区区域域、系系统统、设设备备、信信息息等等内内容容应应进进行行书书面面的的规规定定，并并按按照照规规定定执执行行。50系统建设管理系统定级（G3）a)应明确信息系统的边界和安全保护等级；b)应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由；c)应应组组织织相相关关部部门门和和有有关关安安全全技技术术专专家家对对信信息息系系统统定定级级结结果果的的合合理理性性和和正正确确性性进进行行论论证证和和审审定定；d)应确保信息系统的定级结果经过相关部门的批准。51安全方案设计（G3）a)应根据系统的安全保护等级选择基本安全措施，并依据风险分析的结果补充和调整安全措施；b)应应指指定定和和授授权权专专门门的的部部门门对对信信息息系系统统的的安安全全建建设设进进行行总总体体规规划划，制制定定近近期期和和远远期期的的安安全全建建设设工工作作计计划划；c)应应根根据据信信息息系系统统的的等等级级划划分分情情况况，统统一一考考虑虑安安全全保保障障体体系系的的总总体体安安全全策策略略、安安全全技技术术框框架架、安安全全管管理理策策略略、总总体体建建设设规规划划和和详详细细设设计计方方案案，并并形形成成配配套套文文件件；d)应组织相关部门和有关安全技术专家对总总体体安安全全策策略略、安安全全技技术术框框架架、安安全全管管理理策策略略、总总体体建建设设规规划划、详详细细设设计计方方案案等等相相关关配配套套文文件件的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施；e)应应根根据据等等级级测测评评、安安全全评评估估的的结结果果定定期期调调整整和和修修订订总总体体安安全全策策略略、安安全全技技术术框框架架、安安全全管管理理策策略略、总总体体建建设设规规划划、详详细细设设计计方方案案等等相相关关配配套套文文件件。52产品采购和使用（G3）a)应确保安全产品采购和使用符合国家的有关规定；b)应确保密码产品采购和使用符合国家密码主管部门的要求；c)应指定或授权专门的部门负责产品的采购；d)应应预预先先对对产产品品进进行行选选型型测测试试，确确定定产产品品的的候候选选范范围围，并并定定期期审审定定和和更更新新候候选选产产品品名名单单。53自行软件开发（G3）a)应确保开发环境与实际运行环境物理分开，开开发发人人员员和和测测试试人人员员分分离离，测测试试数数据据和和测测试试结结果果受受到到控控制制；b)应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；c)应应制制定定代代码码编编写写安安全全规规范范，要要求求开开发发人人员员参参照照规规范范编编写写代代码码；d)应确保提供软件设计的相关文档和使用指南，并由专人负责保管；e)应应确确保保对对程程序序资资源源库库的的修修改改、更更新新、发发布布进进行行授授权权和和批批准准。54外包软件开发（G3）a)应根据开发需求检测软件质量；b)应在软件安装之前检测软件包中可能存在的恶意代码；c)应要求开发单位提供软件设计的相关文档和使用指南；d)应要求开发单位提供软件源代码，并审查软件中可能存在的后门。55工程实施（G3）a)应指定或授权专门的部门或人员负责工程实施过程的管理；b)应制定详细的工程实施方案控制实施过程，并并要要求求工工程程实实施施单单位位能能正正式式地地执执行行安安全全工工程程过过程程；c)应应制制定定工工程程实实施施方方面面的的管管理理制制度度，明明确确说说明明实实施施过过程程的的控控制制方方法法和和人人员员行行为为准准则则。56测试验收（G3）a)应委委托托公公正正的的第第三三方方测测试试单单位位对系统进行安全性测试，并并出出具具安安全全性性测测试试报报告告；b)在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；c)应应对对系系统统测测试试验验收收的的控控制制方方法法和和人人员员行行为为准准则则进进行行书书面面规规定定；d)应应指指定定或或授授权权专专门门的的部部门门负负责责系系统统测测试试验验收收的的管管理理，并并按按照照管管理理规规定定的的要要求求完完成成系系统统测测试试验验收收工工作作；e)应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。57系统交付（G3）a)应制定详详细细的的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；b)应对负责系统运行维护的技术人员进行相应的技能培训；c)应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档；d)应应对对系系统统交交付付的的控控制制方方法法和和人人员员行行为为准准则则进进行行书书面面规规定定；e)应应指指定定或或授授权权专专门门的的部部门门负负责责系系统统交交付付的的管管理理工工作作，并并按按照照管管理理规规定定的的要要求求完完成成系系统统交交付付工工作作。58系统备案（G3）a)应应指指定定专专门门的的部部门门或或人人员员负负责责管管理理系系统统定定级级的的相相关关材材料料，并并控控制制这这些些材材料料的的使使用用；b)应应将将系系统统等等级级及及相相关关材材料料报报系系统统主主管管部部门门备备案案；c)应应将将系系统统等等级级及及其其他他要要求求的的备备案案材材料料报报相相应应公公安安机机关关备备案案。59等级测评（G3）a)在在系系统统运运行行过过程程中中，应应至至少少每每年年对对系系统统进进行行一一次次等等级级测测评评，发发现现不不符符合合相相应应等等级级保保护护标标准准要要求求的的及及时时整整改改；b)应应在在系系统统发发生生变变更更时时及及时时对对系系统统进进行行等等级级测测评评，发发现现级级别别发发生生变变化化的的及及时时调调整整级级别别并并进进行行安安全全改改造造，发发现现不不符符合合相相应应等等级级保保护护标标准准要要求求的的及及时时整整改改；c)应应选选择择具具有有国国家家相相关关技技术术资资质质和和安安全全资资质质的的测测评评单单位位进进行行等等级级测测评评；d)应应指指定定或或授授权权专专门门的的部部门门或或人人员员负负责责等等级级测测评评的的管管理理。60安全服务商选择（G3）a)应确保安全服务商的选择符合国家的有关规定；b)应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；c)应确保选定的安全服务商提供技术培训和服务承诺，必要的与其签订服务合同。61系统运维管理环境管理（G3）a)应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理；b)应应指指定定部部门门负负责责机机房房安安全全，并配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理；c)应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定；d)应加强对办公环境的保密性管理，规范办公环境人员行为，包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工工作作人人员员离离开开座座位位应应确确保保终终端端计计算算机机退退出出登登录录状状态态和和桌桌面面上上没没有有包包含含敏敏感感信信息息的的纸纸档档文文件件等等。62资产管理（G3）a)应编制并保存与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；b)应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为；c)应应根根据据资资产产的的重重要要程程度度对对资资产产进进行行标标识识管管理理，根根据据资资产产的的价价值值选选择择相相应应的的管管理理措措施施；d)应应对对信信息息分分类类与与标标识识方方法法作作出出规规定定，并并对对信信息息的的使使用用、传传输输和和存存储储等等进进行行规规范范化化管管理理。63介质管理（G3）a)应应建建立立介介质质安安全全管管理理制制度度，对对介介质质的的存存放放环环境境、使使用用、维维护护和和销销毁毁等等方方面面作作出出规规定定；b)应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理；c)应对对介介质质在在物物理理传传输输过过程程中中的的人人员员选选择择、打打包包、交交付付等等情情况况进进行行控控制制，对介质归档和查询等进行登记记录，并根据存档介质的目录清单定期盘点；d)应对存储介质的的使使用用过过程程、送出维修以及销毁等进行严格的管理，对对带带出出工工作作环环境境的的存存储储介介质质进进行行内内容容加加密密和和监监控控管管理理，对送出维修或销毁的介质应首先清除介质中的敏感数据，对对保保密密性性较较高高的的存存储储介介质质未未经经批批准准不不得得自自行行销销毁毁；e)应应根根据据数数据据备备份份的的需需要要对对某某些些介介质质实实行行异异地地存存储储，存存储储地地的的环环境境要要求求和和管管理理方方法法应应与与本本地地相相同同；f)应应对对重重要要介介质质中中的的数数据据和和软软件件采采取取加加密密存存储储，并根据所承载数据和软件的重要程度对介质进行分类和标识管理。64设备管理（G3）a)应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；b)应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理；c)应应建建立立配配套套设设施施、软软硬硬件件维维护护方方面面的的管管理理制制度度，对对其其维维护护进进行行有有效效的的管管理理，包包括括明明确确维维护护人人员员的的责责任任、涉涉外外维维修修和和服服务务的的审审批批、维维修修过过程程的的监监督督控控制制等等；d)应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现主要设备（包括备份和冗余设备）的启动/停止、加电/断电等操作；e)应确保信息处理设备必须经过审批才能带离机房或办公地点。65监控管理和安全管理中心（G3）a)应应对对通通信信线线路路、主主机机、网网络络设设备备和和应应用用软软件件的的运运行行状状况况、网网络络流流量量、用用户户行行为为等等进进行行监监测测和和报报警警，形形成成记记录录并并妥妥善善保保存存；b)应应组组织织相相关关人人员员定定期期对对监监测测和和报报警警记记录录进进行行分分析析、评评审审，发发现现可可疑疑行行为为，形形成成分分析析报报告告，并并采采取取必必要要的的应应对对措措施施；c)应应建建立立安安全全管管理理中中心心，对对设设备备状状态态、恶恶意意代代码码、补补丁丁升升级级、安安全全审审计计等等安安全全相相关关事事项项进进行行集集中中管管理理。66网络安全管理（G3）a)应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；b)应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定；c)应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份；d)应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补；e)应应实实现现设设备备的的最最小小服服务务配配置置，并对配置文件进行定期离离线线备份；f)应保证所有与外部系统的连接均得到授权和批准；g)应应依依据据安安全全策策略略允允许许或或者者拒拒绝绝便便携携式式和和移移动动式式设设备备的的网网络络接接入入；h)应应定定期期检检查查违违反反规规定定拨拨号号上上网网或或其其他他违违反反网网络络安安全全策策略略的的行行为为。67系统安全管理（G3）a)应根据业务需求和系统安全分析确定系统的访问控制策略；b)应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补；c)应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装；d)应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定；e)应应指指定定专专人人对对系系统统进进行行管管理理，划划分分系系统统管管理理员员角角色色，明明确确各各个个角角色色的的权权限限、责责任任和和风风险险，权权限限设设定定应应当当遵遵循循最最小小授授权权原原则则；f)应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作；g)应定期对运行日志和审计数据进行分析，以便及时发现异常行为。68恶意代码防范管理（G3）a)应提高所有用户的防病毒意识，及时告知防病毒软件版本，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查；b)应指定专人对网络和主机进行恶意代码检测并保存检测记录；c)应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定；d)应应定定期期检检查查信信息息系系统统内内各各种种产产品品的的恶恶意意代代码码库库的的升升级级情情况况并并进进行行记记录录，对对主主机机防防病病毒毒产产品品、防防病病毒毒网网关关和和邮邮件件防防病病毒毒网网关关上上截截获获的的危危险险病病毒毒或或恶恶意意代代码码进进行行及及时时分分析析处处理理，并并形形成成书书面面的的报报表表和和总总结结汇汇报报。69密码管理（G3）应应建建立立密密码码使使用用管管理理制制度度，使用符合国家密码管理规定的密码技术和产品。70变更管理（G3）a)应确认系统中要发生的变更，并制定变更方案；b)应应建建立立变变更更管管理理制制度度，系统发生变更前，向主管领导申请，变更和变更方案经过评审、审批后方可实施变更，并在实施后将变更情况向相关人员通告；c)应应建建立立变变更更控控制制的的申申报报和和审审批批文文件件化化程程序序，对对变变更更影影响响进进行行分分析析并并文文档档化化，记记录录变变更更实实施施过过程程，并并妥妥善善保保存存所所有有文文档档和和记记录录；d)应应建建立立中中止止变变更更并并从从失失败败变变更更中中恢恢复复的的文文件件化化程程序序，明明确确过过程程控控制制方方法法和和人人员员职职责责，必必要要时时对对恢恢复复过过程程进进行行演演练练。71备份与恢复管理（G3）a)应识别需要定期备份的重要业务信息、系统数据及软件系统等；b)应应建建立立备备份份与与恢恢复复管管理理相相关关的的安安全全管管理理制制度度，对备份信息的备份方式、备份频度、存储介质和保存期等进行规范；c)应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略，备份策略须指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法；d)应应建建立立控控制制数数据据备备份份和和恢恢复复过过程程的的程程序序，对对备备份份过过程程进进行行记记录录，所所有有文文件件和和记记录录应应妥妥善善保保存存；e)应应定定期期执执行行恢恢复复程程序序，检检查查和和测测试试备备份份介介质质的的有有效效性性，确确保保可可以以在在恢恢复复程程序序规规定定的的时时间间内内完完成成备备份份的的恢恢复复。72安全事件处置（G3）a)应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点；b)应制定安全事件报告和处置管理制度，明确安全事件的类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责；c)应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对本系统计算机安全事件进行等级划分；d)应应制制定定安安全全事事件件报报告告和和响响应应处处理理程程序序，确确定定事事件件的的报报告告流流程程，响响应应和和处处置置的的范范围围、程程度度，以以及及处处理理方方法法等等；e)应应在在安安全全事事件件报报告告和和响响应应处处理理过过程程中中，分分析析和和鉴鉴定定事事件件产产生生的的原原因因，收收集集证证据据，记记录录处处理理过过程程，总总结结经经验验教教训训，制制定定防防止止再再次次发发生生的的补补救救措措施施，过过程程形形成成的的所所有有文文件件和和记记录录均均应应妥妥善善保保存存；f)对对造造成成系系统统中中断断和和造造成成信信息息泄泄密密的的安安全全事事件件应应采采用用不不同同的的处处理理程程序序和和报报告告程程序序。73应急预案管理（G3）a)应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容；b)应应从从人人力力、设设备备、技技术术和和财财务务等等方方面面确确保保应应急急预预案案的的执执行行有有足足够够的的资资源源保保障障；c)应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次；d)应应定定期期对对应应急急预预案案进进行行演演练练，根根据据不不同同的的应应急急恢恢复复内内容容，确确定定演演练练的的周周期期；e)应应规规定定应应急急预预案案需需要要定定期期审审查查和和根根据据实实际际情情况况更更新新的的内内容容，并并按按照照执执行行。备备注注