信息系统安全等级保护基本要求培训课件-2024鲜版

信息系统安全等级保护基本要求培训课件12024/3/27信息系统安全等级保护概述物理安全基本要求网络安全基本要求主机安全基本要求应用安全基本要求数据安全及备份恢复基本要求管理制度及人员培训要求contents目录22024/3/27信息系统安全等级保护概述01CATALOGUE32024/3/27信息系统安全等级保护是对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。定义随着信息化的发展，信息系统已成为国家和社会发展重要的基础设施，信息安全问题也日益突出。为了加强信息安全保障工作，国家制定了信息系统安全等级保护制度。背景定义与背景42024/3/27等级划分根据信息系统的重要程度和遭到破坏后的危害程度，将信息系统划分为五个安全保护等级，分别为第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）和第五级（专控保护级）。标准每个安全保护等级都有相应的安全保护能力要求，包括物理安全、网络安全、数据安全、应用安全和管理安全等方面的要求。同时，针对不同等级的信息系统，还有相应的测评标准和测评方法。等级划分及标准52024/3/27保障信息安全通过实施信息系统安全等级保护制度，可以加强对重要信息系统的安全保护，提高信息系统的安全防护能力和水平，有效防范和应对各种信息安全风险。促进信息化发展实施信息系统安全等级保护制度可以规范信息化建设和管理行为，提高信息化建设和管理的科学性和规范性，推动信息化健康有序发展。维护国家安全和社会稳定重要信息系统是国家关键基础设施的重要组成部分，其安全直接关系到国家安全和社会稳定。实施信息系统安全等级保护制度可以加强对重要信息系统的安全监管和保护，维护国家安全和社会稳定。重要意义和作用62024/3/27物理安全基本要求02CATALOGUE72024/3/27信息系统所在场所应选择在具有防震、防风和防雨等能力的建筑内。场地选择物理访问控制物理安全监测物理场所应有严格的访问控制措施，如门禁系统、监控摄像头等。应建立物理安全监测机制，对物理环境进行实时监测和记录，以便及时发现和处置安全问题。030201物理环境安全82024/3/27建立严格的人员进出管理制度，对进出人员进行身份核实和登记。人员进出管理对设备的进出应进行详细记录，确保设备的安全和可追溯性。设备进出管理根据人员职责和需要，分配不同的物理访问权限，实现最小权限原则。访问权限管理物理访问控制92024/3/27实时监测物理环境中的温度、湿度、烟雾等参数，确保环境安全。环境监测对重要设备和系统进行实时监测，及时发现和处理异常情况。设备监测对物理访问日志进行定期审计和分析，以便发现和处置潜在的安全问题。日志审计物理安全监测102024/3/27网络安全基本要求03CATALOGUE112024/3/27保证主要网络设备的业务处理能力满足基本业务需要，实现主要网络设备双机备份。局域网内所有用户需实施严格的接入控制，保证网络边界安全。定期进行漏洞扫描，对发现的网络安全漏洞及时进行修补。网络结构安全122024/3/27访问控制策略应明确允许或拒绝网络访问的规则和条件，包括用户、地址、端口、协议等要素。应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级。应按用户和系统之间的访问控制规则，决定允许或拒绝用户对受控系统资源的访问，控制粒度为单个用户。网络访问控制132024/3/27应能对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。对于每一个网络设备，应能够审计网络设备的日志记录，包括网络设备运行状况、网络流量等。审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。对于每一个业务应用，应能够审计业务应用的用户行为日志记录，包括用户登录、操作记录等。网络安全审计142024/3/27主机安全基本要求04CATALOGUE152024/3/27应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；身份鉴别与访问控制应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；应对登录的用户分配账户和权限，并授权相关的操作权限。162024/3/27应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；应能够对远程访问进行监控和记录，记录内容包括远程访问用户的登录、操作和退出等信息。01020304安全审计与监控172024/3/27应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。剩余信息保护182024/3/27应用安全基本要求05CATALOGUE192024/3/27身份鉴别与访问控制01应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。02应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。03当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。04应按照安全策略控制用户对资源的访问，包括访问主体、客体及它们之间的操作。202024/3/27应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。应能够对远程访问的用户行为、系统资源的异常使用和重要系统命令的使用等进行监测。安全审计与监控212024/3/27

通信保密和完整性保护应采用密码技术保证通信过程中数据的保密性和完整性。在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证。应对通信过程中的整个报文或会话过程进行加密。222024/3/27数据安全及备份恢复基本要求06CATALOGUE232024/3/27定期对重要数据进行完整性校验，发现数据损坏或丢失及时进行恢复。建立数据完整性管理制度，明确数据完整性管理责任和要求。采用校验技术或密码技术确保重要数据在传输过程中的完整性，防止数据在传输过程中被篡改。数据完整性保护242024/3/27对重要数据和敏感信息进行加密存储，确保即使数据被盗或丢失，攻击者也无法轻易解密和使用。在数据传输过程中使用加密技术，确保数据在传输过程中的保密性和完整性。采用符合国家密码管理规定的密码算法和密钥管理方案。数据加密存储和传252024/3/2701定期测试备份数据的可恢复性，确保在发生数据损坏或丢失时能够及时恢复。建立完善的灾难恢复计划，明确灾难恢复流程、恢复时间目标、恢复点目标等，确保在发生严重故障时能够迅速恢复正常运行。对备份数据进行安全管理，防止备份数据被盗或滥用。制定详细的备份策略，包括备份频率、备份内容、备份方式等，确保数据能够及时、完整地进行备份。020304备份和恢复策略制定及实施262024/3/27管理制度及人员培训要求07CATALOGUE272024/3/27设立专门的信息安全管理部门或专职管理人员，明确其职责和权限。对各个岗位的人员进行明确的职责划分，确保信息安全工作的顺利开展。建立完善的权限管理制度，对各个系统和应用的权限进行严格控制和管理。明确岗位职责和权限划分282024/3/27制定信息安全总体方针、安全策略、管理制度和操作规程等文件。加强制度和规程的宣传和培训，确保相关人员熟知并遵守各项规定。对管理制度和操作规程进行定期评审和修订，确保其适应业务发展和安全需求的变化