等保2.0的各级别的高风险项的归纳总结.docx

等保2.0的各级别的高风险项的归纳总结，以及对应满足条件说明

序号

层面

控制点

控制项

对应案例

适用范围

满足条件

1

安全物理环境

物理访问控制

机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员

机房出入口访问控制措施缺失

二级及以上系统

机房出入口无任何访问控制措施，例如未安装电子或机械门锁（包括机房大门处于未上锁状态）、无专人值守等。

2

防盗窃和防破坏

应设置机房防盗报警系统或设置有专人值守的视频监控系统

机房防盗措施缺失

三级及以上系统

判例场景（所有）：

1）机房或机房所在区域无防盗报警系统，无法对盗窃事件进行告警、追溯；

2）未设置有专人值守的视频监控系统。

3

防火

机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火

机房防火措施缺失

二级及以上系统

判例场景（任意）：

1）机房无任何有效消防措施，例如无检测火情、感应报警设施，手提式灭火器等灭火设施，消防设备未进行年检或已失效无法正常使用等情况；

2）机房所采取的灭火系统或设备不符合国家的相关规定。

4

电力供应

应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求

机房短期备用电力供应措施缺失

二级及以上系统

判例场景（任意）：

1）机房无短期备用电力供应设备，例如UPS、柴油发电机、应急供电车等；

2）机房现有备用电力供应无法满足定级对象短期正常运行。

5

应提供应急供电设施

机房应急供电措施缺失

高可用性的四级系统

判例场景（任意）：

1）机房未配备应急供电设施，例如柴油发电机、应急供电车等；

2）应急供电措施不可用或无法满足定级对象正常运行需求。

6

基础设施位置

应保证云计算基础设施位于中国境内

云计算基础设施物理位置不当

二级及以上云计算平台

云计算基础设施，例如云计算服务器、存储设备、网络设备、云管理平台、信息系统等运行业务和承载数据的软硬件等不在中国境内。

7

安全通信网络

网络架构

应保证网络设备的业务处理能力满足业务高峰期需要

网络设备业务处理能力不足

高可用性的三级及以上系统

核心交换机、核心路由器、边界防火墙等网络链路上的关键设备性能无法满足高峰期需求，可能导致服务质量严重下降或中断，例如性能指标平均达到80%以上

8

应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址

网络区域划分不当

二级及以上系统

重要网络区域与非重要网络在同一子网或网段，例如承载业务系统的生产网络与员工日常办公网络，面向互联网提供服务的服务器区域与内部网络区域在同一子网或网段等。

9

应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段

网络边界访问控制设备不可控

二级及以上系统

判例场景（所有）：

1）网络边界访问控制设备无管理权限；

2）未采取其他任何有效的访问控制措施，例如服务器自带防火墙未配置访问控制策略等；

3）无法根据业务需要或所发生的安全事件及时调整访问控制策略。

10

重要网络区域边界访问控制措施缺失

二级及以上系统

在网络架构上，重要网络区域与其他网络区域之间（包括内部区域边界和外部区域边界）无访问控制设备实施访问控制措施，例如重要网络区域与互联网等外部非安全可控网络边界处、生产网络与员工日常办公网络之间、生产网络与无线网络接入区之间未部署访问控制设备实施访问控制措施等。

11

应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性

关键线路和设备冗余措施缺失

高可用性的三级及以上系统

核心通信线路、关键网络设备和关键计算设备无冗余设计，一旦出现线路或设备故障，就可能导致服务中断。

12

应保证云计算平台不承载高于其安全保护等级的业务应用系统

云计算平台等级低于承载业务系统等级

二级及以上系统

判例场景（任意）：

1）云计算平台承载高于其安全保护等级（SxAxGx）的业务应用系统；

2）业务应用系统部署在低于其安全保护等级（SxAxGx）的云计算平台上；

3）业务应用系统部署在未进行等级保护测评、测评报告超出有效期或者等级保护测评结论为差的云计算平台上。

13

通信传输

应采用校验技术或密码技术保证通信过程中数据的完整性

重要数据传输完整性保护措施缺失

三级及以上系统

网络层或应用层无任何重要数据（如交易类数据、操作指令数据等）传输完整性保护措施，一旦数据遭到篡改，将对系统或个人造成重大影响。

14

应采用密码技术保证通信过程中数据的必威体育官网网址性

重要数据明文传输

三级及以上系统

鉴别信息、个人敏感信息或重要业务敏感信息等以明文方式在不可控网络环境中传输。

15

安全区域边界

边界防护

应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络

无线网络管控措施缺失

三级及以上系统

内部重要网络与无线网络互联，且不通过任何受控的边界设