2024三级信息安全等级保护信息安全脆弱性核查表.docx

信息安全脆弱性检查表

2024

PAGE

PAGE19

安全脆弱性核查表

安全技术脆弱性核查表

C.1物理安全核查表

机房名称

地址

序号

核查项

核查结果

1

机房场地应选择在具有防震、防风和防雨等能力的建筑内；

2

机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施；

3

应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；

4

应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；

5

*应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警；

6

应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内；

7

应采用防静电地板或地面并采用必要的接地防静电措施；

8

*应采取措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等；

9

▲是否在机房配备了环境动力监控系统；

10

机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；

11

机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；

12

*应对机房划分区域进行管理，区域和区域之间设置隔离防火措施；

13

机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员；

14

应将各类机柜、设施和设备等通过接地系统安全接地；

15

应将设备或主要部件进行固定，并设置明显的不易除去的标识；

16

设备资产是否进行了标识和统计管理；

17

▲是否设立一个人工值守的接待区域；

18

*应设置机房防盗报警系统或设置有专人值守的视频监控系统;

19

▲物理出入控制是否监控访问者；

20

▲物理出入控制是否采用发放/佩戴身份识别标志；

21

▲物理出入控制是否采用限制敏感区域访问；

22

应将通信线缆铺设在隐蔽安全处；

23

▲是否采用保护电力和通讯电缆不受侦听或者破坏；

24

应在机房供电线路上配置稳压器和过电压防护设备；

25

应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求；

26

*应设置冗余或并行的电力电缆线路为计算机系统供电；

27

*应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等；

28

在放置有信息处理设备的区域内，是否做了如下的考虑，不准饮食/吸烟/饮酒；

29

▲是否采用应急设备和备份介质的存储位置与主安全区域保持一个安全距离；

30

电源线和通信线缆应隔离铺设，避免互相干扰；

31

*应对关键设备实施电磁屏蔽。

注释：*为三级安全等级保护要求、▲为信息安全风险评估实施指南要求

C.2网络安全脆弱性核查表

设备名称

IP地址

序号

核查项

核查结果

1

当前系统版本是否需要升级；

2

▲系统版本信息；

3

应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要

求并定期更换；

4

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时

自动退出等相关措施；

5

当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

6

*应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，

且其中一种鉴别技术至少应使用密码技术来实现；

7

应对登录的用户分配账户和权限；

8

应重命名或删除默认账户，修改默认账户的默认口令；

9

应及时删除或停用多余的、过期的账户，避免共享账户的存在；

10

应授予管理用户所需的最小权限，实现管理用户的权限分离；

11

*应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；

12

*访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；

13

*应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问；

14

*应保证网络设备的业务处理能力满足业务高峰期需要；

15

*应保证网络各个部分的带宽满足业务高峰期需要；

16

*应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；

17

*应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技

术隔离手段；

18

*应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性；

19

应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、

重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；

20

应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、

重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；

21

*应采用密码技术保证重要数据在传输过程中的必威体育官网网址性，包括但不限于鉴别数据、重要业务

数据和重要个人信息等；

22

*应采用密码技术保证重要数据在存储过程中的必威体育官网网址性，包括但不限于鉴别数据、重要业务

数据和重要个人信息等；

23

应保证跨越边界的访