信息系统安全等级保护基本要求-一级.pdfVIP

信息系统安全等级保护基本要求-一级--第1页

精品

基本要求规定的范围：

对象：不同安全保护等级信息系统

内容：基本技术要求管理要求

作用：指导分等级信息系统安全建设监督管理

引用：

保护等级：

依重要程度、危害程度、由低到高分5级见：GB/T22240-2008

不同等级的安全保护能力：

共5级

基本技术要求和管理要求：

信统安全等保应让系统有它们相应等级的基本安全保护能力。

基本安全要求，依实现方式，分基本技术要求、基本管理要求。

技术要求：立基于技术安全机制，通过在信统中部署软硬件，正确配置其安全功能。

管理要求：聚焦于信统中各种角色和角色参与的活动。控制角色活动、从政策、制度、规范、流程以及记录等

方面做出规定来实现。

基本技术要求：从物理、网络、主机、应用和数据安全，4个层面提出要求。

基本管理要求：从安全管理制度、机构、人员、系统建设、运维几方面提要求。

基本安全要求从各个层面方面，提出系统的每个组件应该满足的安全要求。

整体的安全保护能力依赖于其内部各不同组件的安全实现来满足。

基本技术要求的三种类型：

技术类安全要求进一步细分为：保护数据在存储、传输、处理过程中不被泄漏、破坏、和免受未授权的修改的

要求（S要求）

保护系统正常运行、免受对系统未授权修改、破坏而导致系统不可用的服务保护类要求（S要求）

通用安全保护类要求（G要求）

第一级基本要求：

可修改编辑

信息系统安全等级保护基本要求-一级--第1页

信息系统安全等级保护基本要求-一级--第2页

技术要求：精品

物理安全：

访问控制：

防盗窃、破坏：

防雷击：

防火：

防水和防潮：

温湿度控制：

电力控制：

网络安全：

结构安全：

a.保证关键网络设备的业务处理能力满足基本业务需要

b.保证接入网络和核心网络的带宽满足基本业务需要

c.绘制与当前运行情况相符的网络拓扑结构图

访问控制：（G1）

a.在网络边界部署访问控制设备，启用访问控制功能

b.根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查，允许/拒绝数据包

出入

c.通过访问控制列表对系统资源实现允许或拒绝用户访问，控制粒度至少为用户组。

网络设备防护：

a.应对登录网络设备的用户进行身份鉴别

b.有登录失败处理功能，采取结束会话、限制非法登录次数、和当网络登录连接超时自动退出等措施

c.对网络设备进行远程管理时，采措施防止信息传输中被窃听

主机安全：

身份鉴别：（S1）

对登录操作系统和数据库系统的用户进行身份标识和鉴别。

访问控制：

a.启用访问控制功能，依安全策略控制用户对资源的访问

b.限制默认帐户的访问权限，重命名系统默认账户，修改这些账户的默认口令

c.及时删除多余的、过期的的账户、避免共享账户的存在

入侵防范（G1）

操作系统遵循最小安装原则，仅安装需要组件和应用程序，保持系统补丁及时更新。

恶意代码防范（G1）

安装防恶意代码软件，及时更新防恶意代码软件版本和代码库

应用安全：

身份鉴别（S1）

a.提供专用的登录控制模块对登录用户进行身份标识和鉴别

b.提供登录失败处理功能

可修改编辑

信息系统安全等级保护基本要求-一级--第2页