信息安全等级保护(二级).doc

信息安全等级保护(二级) 备注：其中黑色字体为信息安全等级保护第二级系统要求，蓝色字体为第三级系统等保要求。 物理安全 应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施） 应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录 应配置电子门禁系统(三级明确要求)；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录 主要设备或设备的主要部件上应设置明显的不易除去的标记 介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放 应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录； 应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录 应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测； 应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告 应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品 应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录 应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录 应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录 应具有短期备用电力供应设备（如UPS）；短期备用电力供应设备的运行记录、定期检查和维护记录 应具有冗余或并行的电力电缆线路（如双路供电方式） 应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录 安全管理制度 应具有对重要管理操作的操作规程，如系统维护手册和用户操作规程 应具有安全管理制度的制定程序： 应具有专门的部门或人员负责安全管理制度的制定（发布制度具有统一的格式，并进行版本控制） 应对制定的安全管理制度进行论证和审定，论证和审定方式如何（如召开评审会、函审、内部审核等），应具有管理制度评审记录 应具有安全管理制度的收发登记记录，收发应通过正式、有效的方式（如正式发文、领导签署和单位盖章等）----安全管理制度应注明发布范围，并对收发文进行登记。 信息安全领导小组定期对安全管理制度体系的合理性和适用性进行审定，审定周期多长。（安全管理制度体系的评审记录） 系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时应对安全管理制度进行检查，对需要改进的制度进行修订。（应具有安全管理制度修订记录） 安全管理机构 应设立信息安全管理工作的职能部门 应设立安全主管、安全管理各个方面的负责人机房管理员、系统管理员、网络管理员、安全管理员等重要岗位管理人员名单安全管理员是专职人员关键事物需要配备2人或2人以上共同管理，人员具体配备情况如何。设立指导和管理信息安全工作的委员会或领导小组最高领导是否由单位主管领导委任或授权的人员担任信息系统活动进行审批（如系统变更、重要操作、物理访问和系统接入、重要管理制度的制定和发布、人员的配备和培训、产品的采购、外部人员的访问等）部门组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录信息安全管理委员会或领导小组安全管理工作执行情况的文件或工作记录（如会议记录/纪要，信息安全工作决策文档等）与公安机关、电信公司和兄弟单位等的沟通外联单位联系列表与供应商、业界专家、专业的安全公司、安全组织等建立沟通、合作机制。聘请信息安全专家作为常年的安全顾问组织人员定期对信息系统进行安全检查检查内容是否包括系统日常运行、系统漏洞和数据备份等情况定期进行全面安全检查安全检查包含具有安全检查表格何部门/何人负责安全管理和技术人员的录用工作 应对被录用人的身份、背景、专业资格和资质进行审查对技术人员的技术技能进行考核与录用后的技术人员签署必威体育官网网址协议关键岗位，对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议。及时终止离岗人员的所有访问权限及时取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等交还身份证件和设备等的登记记录调离手续，是否要求关键岗位调离人员承诺相关必威体育官网网址义务后方可离对各个岗位人员定期进行考核对关键岗位人员的安全审查和考核与一般岗位人员有何不同，审查内容是否包括操作行为和社会关系等。对各人员进行安全教育、岗位技能和安全技术培训。针对不同岗位制定不同的培训计划，并按照计划对各个岗位人员进行安全教育和培训安全教育和培训的结果记录外部人员进入条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员进