机房等保三级要求

令狐采学创作1.1

技术要求1.1.1

物理平安

物理位置的选择（）4物理拜访控制（）4防偷盗和防破坏（）5防雷击（G3）5防火（）5防水和防潮G31.1.2

结构平安（）

拜访控制（）6鸿沟完整性检查（）7入侵防备（）7歹意代码防备（）7网络设备防护（）81.1.3

主机平安

身份鉴别（）8拜访控制（）9平安审计（）9剩余信息呵护（1.1.4

应用平安

身份鉴别（）10令狐采学创作

令狐采学创作拜访控制（）11通信完整性S3）11通信保密性S3）11抗承认（G3软件容错（）12资源控制（）121.1.5

数据平安及备份恢复

数据完整性S3）13数据保密性S3）13备份和恢复A3）

管理要求14平安管理制度

管理制度（）14制定和宣布G3）14人员配备（）15授权和审批G3）15沟通和合作G3）15审核和检查G3）161.2.3

人员平安管理

人员录用（）16人员离岗（）17人员考核（）17平安意识教育和培训（）17令狐采学创作

令狐采学创作外部人员拜访管理（）181.2.4

系统建设管理01

系统定级（）18平安计划设计（产品推销和使用（）19自行软件开发（G319外包软件开发（工程实施（）20测试验收（）21系统交付（）21系统备案（G322品级测评（）22平安办事商选择（）221.2.5

系统运维管理

环境管理（）23资产管理（）23介质管理（）24设备管理（）24监控管理和平安管理中心G3）25网络平安管理（系统平安管理（G3）2

歹意代码防备管理（）27密码管理（）27令狐采学创作

03

令狐采学创作变动管理（）28备份与恢复管理（）28平安事件处理（应急预案管理（

技术要求物理平安物理位置的选择（G3）a)内；b)

机房和办公场地应选择在有防震和雨等能力的建筑机房场地应避免设在建筑的高层或地下室用设备的下层或隔壁。

物理拜访控制（G3a)b)

机房收支口应安插专人值和记录进入的人员；需进入机房的来访人员应过申请和审批流程制和监控其活动规模；c)

应对机房划分区域进行管和域之间设置物理隔离装置，在重要区域前设置交或装置等过渡区域；d)员。

重要区域应配置电子门禁统，控制、鉴别和记录进入的人令狐采学创作

令狐采学创作防偷盗和防破坏（G3）a)b)

应将主要设备放置在机房；应将设备或主要部件进行定置显的不容易除去的标识表记标帜；c)d)e)f)

应将通信线缆铺设在隐蔽，可铺设在地下或管道中；应对介质分类标识，存储介质库或档案室中；应利用光、电等技术设置房防盗报警系统；应对机房设置监控报警系。

防雷击（）a)b)c)

机房建筑应设置避雷装置应设置防雷保安器，避免应雷；机房应设置交流电源地线

防火（G3）a)

机房应设置火灾自动消防统自检测火情报，并自动灭火；b)

机房及相关的工作房间和助房应采取具有耐火品级的建筑资料；c)开。

机房应采纳区域隔离防火法，将重要设备与其他设备隔离令狐采学创作

令狐采学创作防水和防潮（）a)b)c)

水管装置，不得穿过机衡顶和活动地板下；应采纳办法避免雨水通过房窗户、屋顶和墙壁渗透；应采纳办法避免机房内水气结露和地下积水的转移与渗透；1.1.2

结构平安（）a)

应包管主要网络设备的业处理能力具备冗余空间业高峰期需要；b)c)

应包管网络各个部分的带满足业务高峰期需要；应在业务终端与业务办事之间进行路由控制建立平安的拜访路径；d)e)

应绘制与以后运行情况相的网络拓扑结构图；应根据各部分的工作职能性所涉及信息的重要水平等因素划分不合的子网网段依照便利管理和控制的原则为各子网、网段分派地址段；f)

应避免将重要网段安排在络鸿沟处且直接连接外部信息系统，重要网段与其他网段间采纳可靠的技术隔离手段；g)

应依照对业务办事的重要第来指定带宽分派优先级别在网络产生拥堵的时候优呵护重要主机。

拜访控制（G3）a)

应在网络鸿沟安排拜访控设备，启用拜访控制功能；令狐采学创作

b)

令狐采学创作应能根据会话状态信息为据流提供明确的允许拒拜访的能力，控制粒度为端口级c)

应对进出网络的信息内容行过滤现应用层HTTP、TELNET、SMTP、据记录据进行阐发，并生成审计报表；d)等。

应对审计记录进行呵护免受到未预期的删除改笼盖

鸿沟完整性检查（S3）a)

应能够对非授权设备私自到内部网络的行为进行检查定出位置，并对其进行有阻断；b)

应能够对内部网络用户私联到外部网络的行为进行检查确定出位置，并对其进行效阻断。

入侵防备（G3）a)

应在网络鸿沟处监视以下击行为端扫描强攻击木马后门攻击、拒绝办事攻、缓冲区溢出攻击、IP碎攻和网络蠕虫攻击等；b)

当检测到攻击行为时，记攻击源IP、击类型、攻击目的、攻击时间，在产生严重入事件时应提供报警。

歹意代码防备（G3a)b)

应在网络鸿沟处对歹意代进行检测和清除；应维护歹意代码库的升级检测系统的更新。令狐采学创作

令狐采学创作网络设备防护（G3a)b)c)d)

应对登录网络设备的用户行身份鉴别；应对网络设备的管理员登地址进行限制；网络设备用户的标识应唯；主要网络设备应对同一用选择两种或两种以上组合的鉴别技术来进行身份鉴别；e)

身份鉴别信息应具有不容被冒用的特点应庞杂度要求并按期更换；f)

应具有登录失败处理功能采结束会话限制不法登录次数和当网络登录连接计.3.1

主机平安身份鉴别（S3）a)别；b)

应对登录操纵系统和数据系统的用户进行身份标识和鉴操纵系统和数据库系统管用户身份标识应具有不容易被冒用的特点，口令应有庞杂要求并按期更换；c)

应启用登录失败处理功能采结束会话限制不法登录次数和自动退出等办法；d)

当对办事器进行远程管理采纳需要办法避免鉴别信息在网络传输过程中被窃听e)

应为操纵系统和数据库系的不合用户分派不合的用户名令狐采学创作

令狐采学创作保用户名具有唯一性。f)

应采取两种或两种以上组的鉴别技术对管理用户进行身份鉴别。

拜访控制（S3）a)访；b)

应启用拜访控制功能，依平安战略控制用户对资源的拜应根据管理用户的角色分权限，实现管理用户的权限别离，仅授予管理用户所需的最权限；c)d)

应实现操纵系统和数据库统特权用户的权限别离；应严格限制默认帐户的拜权限命名系统默认帐户修改这些帐户的默认口令；e)f)g)

应及时删除过剩的、过期帐户，避免共享帐户的存在。应对重要信息资源设置敏标识表记标帜；应依据平安战略严格控制户对有敏感标识表记标帜重要信息资源的操纵；

平安审计（G3）a)

审计规模应笼盖到办事器重要客户端上的每个操纵系统用户和数据库用户；b)

审计内容应包含重要用户为资的异常使用和重要系统命令的使用等系统内重的平安相关事件；c)

审计记录应包含事件的日、时间、类型、主体标识、客体标令狐采学创作

令狐采学创作识和结果等；d)e)f)

应能够根据记录数据进行发，并生成审计报表；应呵护审计进程，避免受未预期的中断；应呵护审计记录避受未预期的删除修或笼盖等。

剩余信息呵护（S3a)录；b)c)

应通过设定终端接入方法网络地址规模等条件限制终端登应根据平安战略设置登录真个操纵超时锁定；应对重要办事器进行监视包含监视办事器的CPU、硬盘、内存、网络等资源的使用情；d)e)

应限制单个用户对系统资的最年夜或最小使用限度；应能够对系统的办事水平低到预先规定的最小值进行检测和报警。.4.1

应用平安身份鉴别（S3）a)别；b)

应提供专用的登录控制模对登录用户进行身份标识和鉴应对同一用户采取两种或种以上组合的鉴别技术实现用户身份鉴别；c)

应提供用户身份标识唯一鉴别信息庞杂度检查功能应令狐采学创作

令狐采学创作用系统中不存在重复用户份标识，身份鉴别信息不容易被冒用；d)

应提供登录失败处理功能采结束会话限制不法登录次数和自动退出等办法；e)

应启用身份鉴别户份标识唯一性检查用户身份鉴别信息庞杂度检查以及登录失处理功能据安战略配置相关参数。

拜访控制（S3）a)

应提供拜访控制功能据安战略控制用户对文件据表等客体的拜访证用户鉴信息所在的存储空间被释放或再分派给其他用户前获得完全清这些信息是寄存在硬盘上还是在内存中；b)

应包管系统内的文件和据库记录等资源所在的存储空间被释放或重新分派给其用户前获得完全清除。

通信完整性（）应采取密码技术包管通信程中数据的完整性。

通信保密性（）a)

在通信双方建立连接之前系应利用密码技术进行会话初始化验证；b)

应对通信过程中的整个报或会话过程进行加密。令狐采学创作

令狐采学创作

抗承认（）a)

应具有在请求的情况下为据原发者或接收者提供数据原发证据的功能；b)

应具有在请求的情况下为据原发者或接收者提供数据接收证据的功能。

软件容错（A3）a)

应提供数据有效性检验功通人机接口输入或通过通信接口输入的数据格式或度合适系统设定要求；b)

应提供自动呵护功能，当障产生时自动呵护以后所有状态，包管系统能够进行恢复。

资源控制（A3）a)

当应用系统的通信双方中一方在一段时间内未作任何响应，另一方应能够自动结束会b)c)d)e)

应能够对系统的最年夜并会话连接数进行限制；应能够对单个帐户的多重发会话进行限制；应能够对一个时间段内可的并发会话连接数进行限制；应能够对一个拜访帐户或个请求进程占用的资源分派最年夜限额和最小限额；f)

应能够对系统办事水平降到预先规定的最小值进行检测和报警；令狐采学创作

g)

令狐采学创作应提供办事优先级设定功装后根据平安战略设定拜访帐户或请求进程的优先，根据优先级分派系统资源。.5.1

数据平安及备份恢复数据完整性（）a)

应能够检测到系统管理数信和重要业务数据在传输过程中完整性受到破坏检测到完整性毛病时采纳需要的恢复办法；b)

应能够检测到系统管理数信和重要业务数据在存储过程中完整性受到破坏检测到完整性毛病时采纳需要的恢复办法。

数据保密性（）a)

应采取加密或其他有效办实现系统管理数据信息和重要业务数据传输保密性；b)

应采取加密或其他呵护办实现系统管理数据信和重要业务数据存储保密性。

备份和恢复（）a)

应提供本地数据备份与恢功能，完全数据备份至少每天一次，备份介质场外寄存；b)

应提供异地数据备份功能通网络将关键数据按时批量令狐采学创作

令狐采学创作传送至备用场地；c)障；d)

应采取冗余技术设计网络扑结构关节点存在单点故应提供主要网络设备、通线路和数据处理系统的硬件冗余，包管系统的高可用性。

管理要求平安管理制度管理制度（G3）a)

应制定信息平安工作的总方针和平安战略机平安工作的总体目标、规模、原和平安框架等；b)c)

应对平安管理活动中的各管理内容建立平安管理制度；应对要求管理人员或操纵员执行的日常管理操纵建立操纵规程；d)

应形成由平安战略理度纵规程等构成的全面的信息平安管理制度体系。

制定和宣布（）a)

应指定或授权专门的部分人员担任平安管理制度的制定或授权；d)

应制定文件明确平安管理构各个部分和岗位的职责和技能要求。令狐采学创作

令狐采学创作人员配备（G3）a)b)c)

应配备一定命量的系统管员管员管员等；应配备专职平安管理员，成兼任；关键事务岗位应配备多人同管理。

授权和审批（）a)

应根据各个部分和岗位的责明确授权审批事项部和批准人等；b)

应针对系统变动要纵理拜访和系统接入等事项建立审批法度依照审批法执行审批过程重要活动建立逐级审批制度；c)

应按期审查审批事项时新需授权和审批的项目批分和审批人等信息；d)

应记录审批过程并保管审文档。

沟通和合作（）a)

应加强各类管理人员之间内机构之间以及信息平安职能部额外部的合作与沟通期或不按期召开协调会议同协作处理信息平安问题；b)c)

应加强与兄弟单位、公安关、电信公司的合作与沟通；应加强与供应商业专专的平安公司平组织的合作与沟通；令狐采学创作

d)

令狐采学创作应建立外联单位联系列表包含外联单位名称合内容联系人和联系方法等信息；e)

应聘请信息平安专家作为年的平安顾问，指导信息平安建设，介入平安规划和平安审等。

审核和检查（）a)

平安管理员应担任按期进平安检查内包含系统日常运行、系统漏洞和数据备等情况；b)

应由内部人员或上级单位期进行全面平安检查内包含现有平安技术办法的有性安配置与平安战略的一致性安管理制度的执行情况等c)

应制定平安检查表格实施安检查总平安检查数据形成平安检查陈述，并对平安查结果进行通报；d)

应制定平安审核和平安检制度规范平安审核和平安检查工作，按期依照法度进行平审核和平安检查活动。.3.1

人员平安管理人员录用（G3）a)b)

应指定或授权专门的部分人员担任人员录用；应严格规范人员录用过程对被录用人的身份布专资格和资质等进行审查，对所具有的技术技能进行考核；c)

应签署保密协议；令狐采学创作

d)议。

令狐采学创作应从内部人员中选拔从事键岗位的人员署位平安协

人员离岗（G3）a)限；b)备；c)

应严格规范人员离岗过程及时终止离岗员工的所有拜访权应取回各种身份证件匙章以及机构提供的软硬件设应规画严格的调离手续岗位人员离岗须许诺调离后的保密义务后方可离开。

人员考核（G3）a)b)核；c)

应按期对各个岗位的人员行平安技能及平安认知的考核；应对关键岗位的人员进行面、严格的平安审查和技能考应对考核结果进行记录并管。

平安意识教育和培训（G3）a)

应对各类人员进行平安意教育技培训和相关平安技术培训；b)

应对平安责任和惩戒办法行书面规定并告知相关人员反违背平安战略和规定的员进行惩戒；c)应按期平安教育和训进行书面规定不岗位制定令狐采学创作

令狐采学创作不合的培训计划，对信息安基础知识、岗位操纵规程等进行培训；d)

应对平安教育和培训的情和结果进行记录并归档保管。

外部人员拜访管理（G3a)

应确保在外部人员拜访受区域前先提出版面申请后专人全程陪同或监督，并号备案；b)

对外部人员允许拜访的区系设信等外容应进行书面的规定，并依照规定行。.4.1

系统建设管理系统定级（G3）a)b)

应明确信息系统的鸿沟和安呵护品级；应以书面的形式说明确定息系统为某个平安呵护品级的办法和理由；c)

应组织相关部分和有关平技术专家对信息系统定级结果的合理性和正确性进行论证和审定；d)

应确保信息系统的定级结经过相关部分的批准。

平安计划设计（G3a)

应根据系统的平安呵护品选择基本平安办法据险阐令狐采学创作

令狐采学创作发的结果弥补和调整平安法；b)

应指定和授权专门的部分信息系统的平安建设进行总体规划，制定近期和远期的平建设工作计划；c)

应根据信息系统的品级划情况考平安包管体系的总体平安战略平技术框平管理战略总建设规划和详细设计计划，并形成配套文；d)

应组织相关部分和有关平技术专家对总体平安战略技术框架平管理战略总体建设规划详设计计划等相关配套文件的合理性和正确性进论证和审定且经过批准后干正式实施；e)

应根据品级测评评的结果按期调整和修订总体平安战略、平安技术框架、平安理战略体设规划、详细设计计划等相关配套文件。

产品推销和使用（G3）a)b)c)d)

应确保平安产品推销和使合适国家的有关规定；应确保密码产品推销和使合适国家密码主管部分的要求；应指定或授权专门的部分任产品的推销；应预先对产品进行选型测定产品的候选规模按期审定和更新候选产品名单。

自行软件开发（G3a)

应确保开发环境与实际运环境物理分隔人和测试人令狐采学创作

令狐采学创作员别离，测试数据和测试果受到控制；b)

应制定软件开发管理制度说开发过程的控制办法和人员行为准则；c)码；d)管；e)

应制定代码编写平安规范要求开发人员参照规范编写代应确保提供软件设计的相文档和使用指南专担任保应确保对法度资源库的修更宣进行授权和批准。

外包软件开发（G3a)b)c)d)门。

应根据开发需求检测软件量；应在软件装置之前检测软包中可能存在的歹意代码；应要求开发单位提供软件计的相关文档和使用指南；应要求开发单位提供软件代码查件中可能存在的后

工程实施（G3）a)b)

应指定或授权专门的部分人员担任工程实施过程的管理；应制定详细的工程实施计控制实施过程求程实施单位能正式地执行平安工程程；c)

应制定工程实施方面的管制度说实施过程的控制办法和人员行为准则。令狐采学创作

令狐采学创作测试验收（G3）a)

应委托公正的第三方测试位对系统进行平安性测试具平安性测试陈述；b)

在测试验收前应根据设计划或合同要求等制订测试验收计划测试验收过程中详细记录测试验收结果形测试验收陈述；c)定；d)

应对系统测试验收的控制法和人员行为准则进行书面规应指定或授权专门的部分任系统测试验收的管理照理规定的要求完成系统测验收工作；e)

应组织相关部分和相关人对系统测试验收陈述进行审定签字确认。

系统交付（G3）a)

应制定详细的系统交付清，并根据交付清单对所交接的设备、软件和文档等进行清；b)c)

应对担任系统运行维护的术人员进行相应的技能培训；应确保提供系统建设过程的文档和指导用户进行系统运行维护的文档；d)e)

应对系统交付的控制办法人员行为准则进行书面规定；应指定或授权专门的部分任系统交付的管理工作照理规定的要求完成系统交工作。令狐采学创作

令狐采学创作

系统备案（G3a)

应指定专门的部分或人员任管理系统定级的相关资料制这些资料的使用；b)c)

应将系统品级及相关资料系统主管部分备案；应将系统品级及其他要求备案资料报相应公安机关备案。0

品级测评（）a)

在系统运行过程中至每年对系统进行一次品级测评明不合适相应品级呵护标要求的及时整改；b)

应在系统产生变动时及时系统进行品级测评级产生变更的及时调整级别并进平安改革不合适相应品级呵护标准要求的及时整改；c)

应选择具有国家相关技术质和平安资质的测评单位进行品级测评；d)

应指定或授权专门的部分人员担任品级测评的管理。1

平安办事商选择（）a)b)

应确保平安办事商的选择适国家的有关规定；应与选定的平安办事商签与平安相关的协议约相关责任；c)

应确保选定的平安办事商供技术培训和办事许诺的其签订办事合同。令狐采学创作

.5.1

令狐采学创作系统运维管理环境管理（G3）a)

应指定专门的部分或人员期对机房供配电调湿度控制等设施进行维护管理；b)

应指定部分担任机房平安配机房平安管理人员机的收支、办事器的开机或机等工作进行管理；c)

应建立机房平安管理制度对有关机房物理拜访，物品带进、带出机房和机房环境平安方面的管理作出规定；d)

应加强对办公环境的保密管理范办公环境人员行为含工作人员调离办公室应即交还该办公室钥匙办区接待来访人员人员离座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的档文件等。

资产管理（G3）a)

应编制并保管与信息系统关的资产清单，包含资产责任部分、重要水平和所处位置外容；b)

应建立资产平安管理制度信系统资产管理的责任人员或责任部分，并规范资产理和使用的行为；c)

应根据资产的重要水平对产进行标识管理资的价值选择相应的管理办法d)

应对信息分类与标识办法出规定对信息的使用输和存储等进行规范化管理。令狐采学创作

令狐采学创作介质管理（G3）a)

应建立介质平安管理制度对介质的寄存环境使维和销毁等方面作出规定；b)

应确保介质寄存在平安的境中，对各类介质进行控制和呵护，并实行存储环境专人理；c)

应对介质在物理传输过程的人员选择包交付等情况进行控制介质归档和询等进行挂号记录根据存档介质的目录清单按期盘点；d)

应对存储介质的使用过程维以及销毁等进行严格的管理带收工作环境的储介质进行内容加密和监控管理送维修或销毁的介质应首先除介质中的敏感数据密较高的存储介质未经批准不得自销毁；e)

应根据数据备份的需要对些介质实行异地存储地环境要求和管理办法应与本相同；f)

应对重要介质中的数据和件采纳加密存储据承载数据和软件的重要水平对介进行分类和标识管理。

设备管理（G3）a)

应对信息系统相关的各种备（包含备份和冗余设备路等指定专门的部分或人员期进行维护管理；b)

应建立基于申报批专人担任的设备平安管理制度信息系统的各种软硬件设备选型销放和领用等过程进行规令狐采学创作

令狐采学创作范化管理；c)

应建立配套设施硬维护方面的管理制度对其维护进行有效的管理，包含明确维人员的责任、涉外维修和办事的审批、维修过程的监督控制等；d)

应对终端计算机工站携机系和网络等设备的操纵和使用进行规范化管理按操纵规程实现主要设（包含备份和冗余设备）的启动停止、电/电等操纵；e)址。

应确保信息处理设备必须过审批才干带离机房或办公地

监控管理和平安管理中心（）a)

应对通信线路主网设备和应用软件的运行状况网流量、用户行为等进行监和报警，形成记录并妥善保管；b)

应组织相关人员按期对监和报警记录进行阐发审明可疑行为，形成阐发陈述并采纳需要的应对办法；c)

应建立平安管理中心，对备状态、歹意代码、补丁升级、平安审计等平安相关事项进集中管理。

网络平安管理（G3a)

应指定专人对网络进行管任运行日志网络监控记录的日常维护和报警信息阐发处理工作；b)

应建立网络平安管理制度对网络平安配置、日志保管时间、平安战略、升级与打补丁口令更新周期等方面作出规定；令狐采学创作

c)

令狐采学创作应根据厂家提供的软件升版本对网络设备进行更新更新前对现有的重要文件进备份；d)

应按期对网络系统进行漏扫描明网络系统平安漏洞进行及时的修补；e)份；f)g)入；h)

应实现设备的最小办事配，并对配置文件进行按期离线备应包管所有与外部系统的接均获得授权和批准；应依据平安战略允许或者绝便携式和移动式设备的网络接应按期检查违反规定拨号网或其他违反网络平安战略的行为。系平安管理（G3）a)b)补；c)

应根据业务需求和系统平阐发确定系统的拜访控制战略；应按期进行漏洞扫描，对明的系统平安漏洞及时进行修应装置系统的最新补丁法装置系统补丁前先测试环境中测试通过对要文件进行备份后方可实施系统补丁法度的装置；d)

应建立系统平安管理制度对系统平安战略平安配置日管理和日常操纵流程等方作出具体规定；e)

应指定专人对系统进行管分系统管理员角色确各个角色的权限、责任和风险权限设定应当遵循最小授权原则；令狐采学创作

f)

令狐采学创作应依据操纵手册对系统进维护细记录操纵日志含重要的日常操纵运维记录参的设置和修改等外容严禁进行未经授权的操纵；g)为。

应按期对运行日志和审计据进行阐发及发明异常行

歹意代码防备管理（G3a)

应提高所有用户的防病毒识时告知防病毒软件版本读取移动存储设备上的数以及网络上接收文件或邮件之前行病毒检查来算或存储设备接入网络系统之前也应进行病毒检查；b)录；c)

应指定专人对网络和主机行歹意代码检测并保管检测记应对防歹意代码软件的授使用意代码库升级按期汇报等作出明确规定；d)

应按期检查信息系统内各产品的歹意代码库的升级情况并进行记录对主机防病产品防病毒网关和邮件防病毒网关上截获的危险病毒或歹意代码行及