《2022年信息系统安全等级保护基本要求.doc》由会员分享，可在线阅读，更多相关《2022年信息系统安全等级保护基本要求.doc（87页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、信息平安技术 信息系统平安等级保护根本要求 Information security technology Baseline for classified protection of information system ICS35.040 L80 GB/T 222392008 中华人民共和国国家标准 GB/T 222392008 I 目 次 前 言 . III 引 言 . IV 信息系统平安等级保护根本要求 . 1 1 范围 . 1 2 标准性援用文件 . 1 3 术语和定义 . 1 3.1 . 1 4 信息系统平安等级保护概述 . 1 4.1 信息系统平安保护等级 . 1 4.2 不同等级
2、的平安保护才能 . 1 4.3 根本技术要求和根本治理要求 . 2 4.4 根本技术要求的三品种型 . 2 5 第一级根本要求 . 2 5.1 技术要求 . 2 5.1.1 物理平安 . 2 5.1.2 网络平安 . 3 5.1.3 主机平安 . 3 5.1.4 应用平安 . 4 5.1.5 数据平安及备份恢复 . 4 5.2 治理要求 . 4 5.2.1 平安治理制度 . 4 5.2.2 平安治理机构 . 4 5.2.3 人员平安治理 . 5 5.2.4 系统建立治理 . 5 5.2.5 系统运维治理 . 6 6 第二级根本要求 . 7 6.1 技术要求 . 7 6.1.1 物理平安 . 7
3、 6.1.2 网络平安 . 8 6.1.3 主机平安 . 9 6.1.4 应用平安 . 10 6.1.5 数据平安及备份恢复 . 11 6.2 治理要求 . 11 6.2.1 平安治理制度 . 11 6.2.2 平安治理机构 . 11 6.2.3 人员平安治理 . 12 6.2.4 系统建立治理 . 12 6.2.5 系统运维治理 . 14 7 第三级根本要求 . 16 7.1 技术要求 . 16 7.1.1 物理平安 . 16 7.1.2 网络平安 . 17GB/T 222392008 II GB/T2223920087.1.3主机平安.197.1.4应用平安.207.1.5数据平安及备份恢
4、复.227.2治理要求.227.2.1平安治理制度.227.2.2平安治理机构.237.2.3人员平安治理.247.2.4系统建立治理.257.2.5系统运维治理.278第四级根本要求.308.1技术要求.308.1.1物理平安.308.1.2网络平安.328.1.3主机平安.338.1.4应用平安.358.1.5数据平安及备份恢复.378.2治理要求.378.2.1平安治理制度.378.2.2平安治理机构.388.2.3人员平安治理.398.2.4系统建立治理.408.2.5系统运维治理.429第五级根本要求.46附录A.47关于信息系统整体平安保护才能的要求.47附录B.49根本平安要求的
5、选择和使用.49参考文献.51GB/T 222392008 III 前言 （略）GB/T 222392008 IV 引言 依照国家信息平安等级保护治理规定制定本标准。本标准是信息平安等级保护相关系列标准之一。 与本标准相关的系列标准包括： GB/T 222402008信息平安技术 信息系统平安等级保护定级指南； 国家标准信息平安技术 信息系统平安等级保护施行指南。 本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标准共同构成了信息系统平安等级保护的相关配套标准。其中GB17859-1999是根底性标准，本标
6、准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999根底上的进一步细化和扩展。 本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的根底上，依照现有技术的开展水平，提出和规定了不同平安保护等级信息系统的最低保护要求，即根本平安要求，根本平安要求包括根本技术要求和根本治理要求，本标准适用于指导不同平安保护等级信息系统的平安建立和监视治理。在本标准文本中，黑体字表示较低等级中没有出现或加强的要求。 GB/T 222392008 1 信息平安技术信
7、息系统平安等级保护根本要求1 范围 本标准规定了不同平安保护等级信息系统的根本保护要求，包括根本技术要求和根本治理要求，适用于指导分等级的信息系统的平安建立和监视治理。2 标准性援用文件以下文件中的条款通过在本标准的援用而成为本标准的条款。但凡注日期的援用文件，其随后所有的修正单（不包括订正的内容）或修订版均不适用于本标准，然而，鼓舞依照本标准达成协议的各方研究是否使用这些文件的最新版本。但凡不注明日期的援用文件，其最新版本适用于本标准。GB/T 5271.8 信息技术词汇 第8部分：平安GB17859 计算机信息系统平安保护等级划分准则GB/T 222402008 信息平安技术信息系统平安等
8、级保护定级指南3 术语和定义GB/T 5271.8和GB 17859-1999确立的以及以下术语和定义适用于本标准。3.1 平安保护才能 security protection ability 系统能够抵御威胁、发觉平安事件以及在系统遭到损害后能够恢复先前状态等的程度。4 信息系统平安等级保护概述4.1 信息系统平安保护等级 信息系统依照其在国家平安、经济建立、社会生活中的重要程度，遭到破坏后对国家平安、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高划分为五级，五级定义见GB/T 222402008。4.2 不同等级的平安保护才能 不同等级的信息系统应具备的根本平安
9、保护才能如下： 第一级平安保护才能：应能够防护系统免受来自个人的、拥有非常少资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害，在系统遭到损害后，能够恢复部分功能。第二级平安保护才能：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发觉重要的平安破绽和平安事件，在系统遭到损害后，能够在一段时间内恢复部分功能。第三级平安保护才能：应能够在统一平安策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严峻的自然灾难、以及其他相当危害程度
10、的威胁所造成的主要资源损害，能够发觉平安破绽和平安事件，在系统遭到损害后，能够较快恢复绝大部分功能。第四级平安保护才能：应能够在统一平安策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严峻的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，GB/T 222392008 2 能够发觉平安破绽和平安事件，在系统遭到损害后，能够迅速恢复所有功能。第五级平安保护才能：（略）。 4.3 根本技术要求和根本治理要求 信息系统平安等级保护应依照信息系统的平安保护等级情况保证它们具有相应等级的根本平安保护才能，不同平安保护等级的信息系统要求具有不同的平安保护才能。根本平安
11、要求是针对不同平安保护等级信息系统应该具有的根本平安保护才能提出的平安要求，依照实现方式的不同，根本平安要求分为根本技术要求和根本治理要求两大类。技术类平安要求与信息系统提供的技术平安机制有关，主要通过在信息系统中部署软硬件并正确的配置其平安功能来实现；治理类平安要求与信息系统中各种角色参与的活动有关，主要通过操纵各种角色的活动，从政策、制度、标准、流程以及记录等方面做出规定来实现。根本技术要求从物理平安、网络平安、主机平安、应用平安和数据平安几个层面提出；根本治理要求从平安治理制度、平安治理机构、人员平安治理、系统建立治理和系统运维治理几个方面提出，根本技术要求和根本治理要求是确保信息系统平
12、安不可分割的两个部分。根本平安要求从各个层面或方面提出了系统的每个组件应该满足的平安要求，信息系统具有的整体平安保护才能通过不同组件实现根本平安要求来保证。除了保证系统的每个组件满足根本平安要求外，还要考虑组件之间的互相关系，来保证信息系统的整体平安保护才能。关于信息系统整体平安保护才能的说明见附录A。关于涉及国家机密的信息系统，应按照国家保密工作部门的相关规定和标准进展保护。关于涉及密码的使用和治理，应按照国家密码治理的相关规定和标准施行。4.4 根本技术要求的三品种型 依照保护侧重点的不同，技术类平安要求进一步细分为：保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未受权的修正的信息平
13、安类要求（简记为S）；保护系统连续正常的运转，免受对系统的未受权修正、破坏而导致系统不可用的效劳保证类要求（简记为A）；通用平安保护类要求（简记为G）。本标准中对根本平安要求使用了标记，其中的字母表示平安要求的类型，数字表示适用的平安保护等级。关于各类平安要求的选择和使用见附录B。 5 第一级根本要求5.1 技术要求 5.1.1 物理平安5.1.1.1 物理访咨询操纵（G1） 机房出入应安排专人负责，操纵、鉴别和记录进入的人员。 5.1.1.2 防盗窃和防破坏（G1） 本项要求包括： a) 应将主要设备放置在机房内； b) 应将设备或主要部件进展固定，并设置明显的不易除去的标记。 5.1.1.
14、3 防雷击（G1） 机房建筑应设置避雷装置。 GB/T 222392008 3 5.1.1.4 防火（G1） 机房应设置灭火设备。 5.1.1.5 防水和防潮（G1） 本项要求包括： a) 应对穿过机房墙壁和楼板的水管增加必要的保护措施； b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁浸透。 5.1.1.6 温湿度操纵（G1） 机房应设置必要的温、湿度操纵设备，使机房温、湿度的变化在设备运转所同意的范围之内。 5.1.1.7 电力供给（A1） 应在机房供电线路上配置稳压器和过电压防护设备。 5.1.2 网络平安5.1.2.1 构造平安（G1） 本项要求包括： a) 应保证关键网络设备的业务处
15、理才能满足根本业务需要； b) 应保证接入网络和核心网络的带宽满足根本业务需要； c) 应绘制与当前运转情况相符的网络拓扑构造图。 5.1.2.2 访咨询操纵（G1） 本项要求包括： a) 应在网络边界部署访咨询操纵设备，启用访咨询操纵功能； b) 应依照访咨询操纵列表对源地址、目的地址、源端口、目的端口和协议等进展检查，以同意/回绝数据包出入； c) 应通过访咨询操纵列表对系统资源实现同意或回绝用户访咨询，操纵粒度至少为用户组。 5.1.2.3 网络设备防护（G1） 本项要求包括： a) 应对登录网络设备的用户进展身份鉴别； b) 应具有登录失败处理功能，可采取完毕会话、限制非法登录次数和当
16、网络登录连接超时自动退出等措施； c) 当对网络设备进展远程治理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。 5.1.3 主机平安5.1.3.1 身份鉴别（S1） 应对登录操作系统和数据库系统的用户进展身份标识和鉴别。 5.1.3.2 访咨询操纵（S1） 本项要求包括： a) 应启用访咨询操纵功能，依照平安策略操纵用户对资源的访咨询； b) 应限制默认帐户的访咨询权限，重命名系统默认帐户，修正这些帐户的默认口令； c) 应及时删除多余的、过期的帐户，防止共享帐户的存在。 5.1.3.3 入侵防备（G1） 操作系统应遵照最小安装的原则，仅安装需要的组件和应用程序，并保持系统补丁及时得到
17、更新。 GB/T 222392008 4 5.1.3.4 恶意代码防备（G1） 应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。 5.1.4 应用平安5.1.4.1 身份鉴别（S1） 本项要求包括： a) 应提供专用的登录操纵模块对登录用户进展身份标识和鉴别； b) 应提供登录失败处理功能，可采取完毕会话、限制非法登录次数和自动退出等措施； c) 应启用身份鉴别和登录失败处理功能，并依照平安策略配置相关参数。 5.1.4.2 访咨询操纵（S1） 本项要求包括： a) 应提供访咨询操纵功能操纵用户组/用户对系统功能和用户数据的访咨询； b) 应由受权主体配置访咨询操纵策略，并严格
18、限制默认用户的访咨询权限。 5.1.4.3 通讯完好性（S1） 应采纳商定通讯会话方式的方法保证通讯过程中数据的完好性。 5.1.4.4 软件容错（A1） 应提供数据有效性检验功能，保证通过人机接口输入或通过通讯接口输入的数据格式或长度符合系统设定要求。 5.1.5 数据平安及备份恢复5.1.5.1 数据完好性（S1） 应能够检测到重要用户数据在传输过程中完好性遭到破坏。 5.1.5.2 备份和恢复（A1） 应能够对重要信息进展备份和恢复。 5.2 治理要求 5.2.1 平安治理制度5.2.1.1 治理制度（G1） 应建立日常治理活动中常用的平安治理制度。 5.2.1.2 制定和发布（G1）
19、本项要求包括： a) 应指定或受权专门的人员负责平安治理制度的制定； b) 应将平安治理制度以某种方式发布到相关人员手中。 5.2.2 平安治理机构5.2.2.1 岗位设置（G1） 应设立系统治理员、网络治理员、平安治理员等岗位，并定义各个工作岗位的职责。 5.2.2.2 人员装备（G1） 应装备一定数量的系统治理员、网络治理员、平安治理员等。 5.2.2.3 受权和审批（G1） 应依照各个部门和岗位的职责明确受权审批部门及批准人，对系统投入运转、网络系统接入和重要资源的访咨询等关键活动进展审批。 GB/T 222392008 5 5.2.2.4 沟通和合作（G1） 应加强与兄弟单位、公安机关
20、、电信公司的合作与沟通。 5.2.3 人员平安治理5.2.3.1 人员录用（G1） 本项要求包括： a) 应指定或受权专门的部门或人员负责人员录用； b) 应对被录用人员的身份和专业资历等进展审查，并确保其具有根本的专业技术水平和平安治理知识。 5.2.3.2 人员离岗（G1） 本项要求包括： a) 应立即终止由于各种缘故离岗员工的所有访咨询权限； b) 应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。 5.2.3.3 平安认识教育和培训（G1） 本项要求包括： a) 应对各类人员进展平安认识教育和岗位技能培训； b) 应告知人员相关的平安责任和惩戒措施。 5.2.3.4 外部人员访
21、咨询治理（G1） 应确保在外部人员访咨询受控区域前得到受权或审批。 5.2.4 系统建立治理5.2.4.1 系统定级（G1） 本项要求包括： a) 应明确信息系统的边界和平安保护等级； b) 应以书面的方式说明信息系统确定为某个平安保护等级的方法和理由； c) 应确保信息系统的定级结果通过相关部门的批准。 5.2.4.2 平安方案设计（G1） 本项要求包括： a) 应依照系统的平安保护等级选择根本平安措施，依照风险分析的结果补充和调整平安措施； b) 应以书面的方式描绘对系统的平安保护要求和策略、平安措施等内容，构成系统的平安方案； c) 应对平安方案进展细化，构成能指导平安系统建立、平安产品
22、采购和使用的详细设计方案。 5.2.4.3 产品采购和使用（G1） 应确保平安产品采购和使用符合国家的有关规定。 5.2.4.4 自行软件开发（G1） 本项要求包括： a) 应确保开发环境与实际运转环境物理分开； b) 应确保软件设计相关文档由专人负责保管。 5.2.4.5 外包软件开发（G1） 本项要求包括： a) 应依照开发要求检测软件质量； GB/T 222392008 6 b) 应在软件安装之前检测软件包中可能存在的恶意代码； c) 应确保提供软件设计的相关文档和使用指南。 5.2.4.6 工程施行（G1） 应指定或受权专门的部门或人员负责工程施行过程的治理。 5.2.4.7 测试验收
23、（G1） 本项要求包括： a) 应对系统进展平安性测试验收； b) 在测试验收前应依照设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并构成测试验收报告。 5.2.4.8 系统交付（G1） 本项要求包括： a) 应制定系统交付清单，并依照交付清单对所交接的设备、软件和文档等进展清点； b) 应对负责系统运转维护的技术人员进展相应的技能培训； c) 应确保提供系统建立过程中的文档和指导用户进展系统运转维护的文档。 5.2.4.9 平安效劳商选择（G1） 本项要求包括： a) 应确保平安效劳商的选择符合国家的有关规定； b) 应与选定的平安效劳商签订与平安相关的协议，
24、明确商定相关责任。 5.2.5 系统运维治理 5.2.5.1 环境治理（G1） 本项要求包括： a) 应指定专门的部门或人员定期对机房供配电、空调、温湿度操纵等设备进展维护治理； b) 应对机房的出入、效劳器的开机或关机等工作进展治理； c) 应建立机房平安治理制度，对有关机房物理访咨询，物品带进、带出机房和机房环境平安等方面的治理作出规定。 5.2.5.2 资产治理（G1） 应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。 5.2.5.3 介质治理（G1） 本项要求包括： a) 应确保介质存放在平安的环境中，对各类介质进展操纵和保护； b) 应对介质归档和查询等过
25、程进展记录，并依照存档介质的目录清单定期盘点。 5.2.5.4 设备治理（G1） 本项要求包括： a) 应对信息系统相关的各种设备、线路等指定专门的部门或人员定期进展维护治理； b) 应建立基于申报、审批和专人负责的设备平安治理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进展标准化治理。 5.2.5.5 网络平安治理（G1） 本项要求包括： GB/T 222392008 7 a) 应指定人员对网络进展治理，负责运转日志、网络监控记录的日常维护和报警信息分析和处理工作； b) 应定期进展网络系统破绽，对发觉的网络系统平安破绽进展及时的修补。 5.2.5.6 系统平安治理（G1）
26、 本项要求包括： a) 应依照业务需求和系统平安分析确定系统的访咨询操纵策略； b) 应定期进展破绽，对发觉的系统平安破绽进展及时的修补； c) 应安装系统的最新补丁程序，并在安装系统补丁前对现有的重要文件进展备份。 5.2.5.7 恶意代码防备治理（G1） 应提高所有用户的防病毒认识，告知及时晋级防病毒软件，在读取挪动存储设备上的数据以及网络上接收文件或邮件之前，先进展病毒检查，对外来计算机或存储设备接入网络系统之前也应进展病毒检查。 5.2.5.8 备份与恢复治理（G1） 本项要求包括： a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等； b) 应规定备份信息的备份方式、备份频
27、度、存储介质、保存期等。 5.2.5.9 平安事件处置（G1） 本项要求包括： a) 应报告所发觉的平安弱点和可疑事件，但任何情况下用户均不应尝试验证弱点； b) 应制定平安事件报告和处置治理制度，规定平安事件的现场处理、事件报告和后期恢复的治理职责。 6 第二级根本要求6.1 技术要求 6.1.1 物理平安6.1.1.1 物理位置的选择（G2） 机房和办公场地应选择在具有防震、防风和防雨等才能的建筑内。 6.1.1.2 物理访咨询操纵（G2） 本项要求包括： a) 机房出入口应安排专人值守，操纵、鉴别和记录进入的人员； b) 需进入机房的来访人员应通过申请和审批流程，并限制和监控其活动范围。
28、 6.1.1.3 防盗窃和防破坏（G2） 本项要求包括： a) 应将主要设备放置在机房内； b) 应将设备或主要部件进展固定，并设置明显的不易除去的标记； c) 应将通讯线缆铺设在隐蔽处，可铺设在地下或管道中； d) 应对介质分类标识，存储在介质库或档案室中； e) 主机房应安装必要的防盗报警设备。 GB/T 222392008 8 6.1.1.4 防雷击（G2） 本项要求包括： a) 机房建筑应设置避雷装置； b) 机房应设置交流电源地线。 6.1.1.5 防火（G2） 机房应设置灭火设备和火灾自动报警系统。 6.1.1.6 防水和防潮（G2） 本项要求包括： a) 水管安装，不得穿过机房屋
29、顶和活动地板下； b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁浸透； c) 应采取措施防止机房内水蒸气结露和地下积水的转移与浸透。 6.1.1.7 防静电（G2） 关键设备应采纳必要的接地防静电措施。 6.1.1.8 温湿度操纵（G2） 机房应设置温、湿度自动调理设备，使机房温、湿度的变化在设备运转所同意的范围之内。 6.1.1.9 电力供给（A2） 本项要求包括： a) 应在机房供电线路上配置稳压器和过电压防护设备； b) 应提供短期的备用电力供给，至少满足关键设备在断电情况下的正常运转要求。 6.1.1.10 电磁防护（S2） 电源线和通讯线缆应隔离铺设，防止互相关扰。 6.1.2 网
30、络平安6.1.2.1 构造平安（G2） 本项要求包括： a) 应保证关键网络设备的业务处理才能具备冗余空间，满足业务顶峰期需要； b) 应保证接入网络和核心网络的带宽满足业务顶峰期需要； c) 应绘制与当前运转情况相符的网络拓扑构造图； d) 应依照各部门的工作职能、重要性和所涉及信息的重要程度等要素，划分不同的子网或网段，并按照方便治理和操纵的原则为各子网、网段分配地址段。 6.1.2.2 访咨询操纵（G2） 本项要求包括： a) 应在网络边界部署访咨询操纵设备，启用访咨询操纵功能； b) 应能依照会话状态信息为数据流提供明确的同意/回绝访咨询的才能，操纵粒度为网段级。 c) 应按用户和系统
31、之间的同意访咨询规则，决定同意或回绝用户对受控系统进展资源访咨询，操纵粒度为单个用户； d) 应限制具有拨号访咨询权限的用户数量。 6.1.2.3 平安审计（G2） 本项要求包括： GB/T 222392008 9 a) 应对网络系统中的网络设备运转情况、网络流量、用户行为等进展日志记录； b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。6.1.2.4 边界完好性检查（S2） 应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进展检查。6.1.2.5 入侵防备（G2） 应在网络边界处监视以下攻击行为：端口、强力攻击、木马后门攻击、回绝效劳攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。6.1.2.6 网络设备防护（G2） 本项要求包括： a) 应对登录网络设备的用户进展身份鉴别； b) 应对网络设备的治理员登录地址进展限制； c) 网络设备用户的标识应唯一； d) 身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； e) 应具有登录失败处理功能，可采