GB/T 22239-2008信息安全技术信息系统安全等级保护基本要求

犐犆犛３５．０４０

犔８０

中华人民共和国国家标准

犌犅／犜２２２３９—２００８

信息安全技术

信息系统安全等级保护基本要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犅犪狊犲犾犻狀犲犳狅狉犮犾犪狊狊犻犳犻犲犱狆狉狅狋犲犮狋犻狅狀狅犳犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊犲犮狌狉犻狋狔

２００８０６１９发布２００８１１０１实施

中华人民共和国国家质量监督检验检疫总局

发布

中国国家标准化管理委员会

书

犌犅／犜２２２３９—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范围!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２规范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３术语和定义!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息系统安全等级保护概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．１信息系统安全保护等级!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．２不同等级的安全保护能力!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．３基本技术要求和基本管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．４基本技术要求的三种类型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５第一级基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１技术要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．２网络安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．３主机安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．４应用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．５数据安全及备份恢复!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．２安全管理机构!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．３人员安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．４系统建设管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．５系统运维管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６第二级基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１技术要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．２网络安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．３主机安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１．４应用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．５数据安全及备份恢复!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．２安全管理机构!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．３人员安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２．４系统建设管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２．５系统运维管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７第三级基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．１技术要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

Ⅰ

书

犌犅／犜２２２３９—２００８

７．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．１．２网络安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７．１．３主机安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．１．４应用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．１．５数据安全及备份恢复!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２．２安全管理机构!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７．２．３人员安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．２．４系统建设管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．２．５系统运维管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８第四级基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１技术要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１．２网络安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

８．１．３主机安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

８．１．４应用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

８．１．５数据安全及备份恢复!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２．２安全管理机构!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

８．２．３人员安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

８．２．４系统建设管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

８．２．５系统运维管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

９第五级基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

附录Ａ（规范性附录）关于信息系统整体安全保护能力的要求!!!!!!!!!!!!!!!４２

附录Ｂ（规范性附录）基本安全要求的选择和使用!!!!!!!!!!!!!!!!!!!!４３

参考文献!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

Ⅱ

犌犅／犜２２２３９—２００８

前言

本标准的附录Ａ和附录Ｂ是规范性附录。

本标准由公安部和全国信息安全标准化技术委员会提出。

本标准由全国信息安全标准化技术委员会归口。

本标准起草单位：公安部信息安全等级保护评估中心。

本标准主要起草人：马力、任卫红、李明、袁静、谢朝海、曲洁、李升、陈雪秀、朱建平、黄洪、刘静、

罗峥、毕马宁。

Ⅲ

犌犅／犜２２２３９—２００８

引言

依据国家信息安全等级保护管理规定制定本标准。

本标准是信息安全等级保护相关系列标准之一。

与本标准相关的系列标准包括：

———ＧＢ／Ｔ２２２４０—２００８《信息安全技术信息系统安全等级保护定级指南》；

———国家标准《信息安全技术信息系统安全等级保护实施指南》。

本标准与ＧＢ１７８５９—１９９９、ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等标准

共同构成了信息系统安全等级保护的相关配套标准。其中ＧＢ１７８５９—１９９９是基础性标准，本标准、

ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等是在ＧＢ１７８５９—１９９９基础上的进一步

细化和扩展。

本标准在ＧＢ１７８５９—１９９９、ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等技术

类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要

求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保

护等级信息系统的安全建设和监督管理。

在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。

Ⅳ

犌犅／犜２２２３９—２００８

信息安全技术

信息系统安全等级保护基本要求

１范围

本标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适

用于指导分等级