信息安全体系蓝图打造稳固的安全防线

信息安全体系建设方案设计

1.1需求分析

1.1.1采购范围与基本规定

建立XX高新区开发区智慧园区的信息安全规划体系、信息安全组织体系、信息

安全技术体系、安全服务管理体系，编写安全方案和管理制度，建设信息安全保护

系统(包括路由器、防火墙、VPN)等。规定XX高新区开发区智慧园区n勺信息系统安

全保护等级到达第三级(见GB/T22239-2023)<,

1.1.2建设内容规定

(1)编写安全方案和管理制度

信息安全体系的建设，需要符合国家有关电子政务信息系统的原则规定，覆盖

口勺电子政务信息系统安全保障体系，安全建设满足物理安全、操作系统安全、网络

安全、传播安全、数据库安全、应用系统安全和管理安全体系，保证智慧园区项目

系统日勺安全保密。

安全管理需求：自主访问控制、轻质访问控制、标识、身份鉴别、审计、数据

完整性。

安全体系设计规定：根据安全体系规划，整个系统的安全体系建设内容包括物

理安全、操作系统安全、网络安全、传播安全、数据安全、应用系统安全、终端安

全和管理安全等方面。

(2)信息安全保护系统：满足信息系统安全等级三级规定的连接云计算平台的信

息安全保护系统，其设备为:

设备名称技术指标规定单位数量

支持基于TCP、UDP、ICMP的应用；支持主流操作系统、浏览器；支持

专业VPN设备主流商业加密算法与国密算法；产品具有老式IPSEC/SSLVPN认证、加台1

密、接入基本功能：中国制造

可及时发现APT、窃取数据等隐蔽性极强的安全事件，并通过云安全服

WEB防火墙务提供7*24小时安全分析、问题定位、迅速响应的技术服务，运用工台1

具化手段进行威胁处理和情报传递；中国制造

吞吐量不不大于10G,并发连接数不不大于200万,配置不少于4个干

防火墙兆电接口，不少于4个千兆SFP插槽，不少于4个万兆SFP+插槽：中台2

国制造

吞吐量1G,最大并发连接数12W,最大顾客数800人，千兆电口6个，

支持BYPASS功能，单电源，原则1U设备：支持布署在IPv6环境中，

其所有功能（认证、应用控制、内容审计、报表等）都支持IPv6；支

持多种认证方式，包括顾客名密码、IP、VAC认证、短信认证、认

证、二维码认证，并支持以USB-Key方式实现双原因身份认证：支持

顾客密码强度管理，可设置顾客密码不能等于顾客名、新密码不能与

旧密码相似，可设置密码最小长度、密码必须包括数字或字母或特殊

字符；支持识别终端系统后台运行的进程信息，防止间谍软件的运行；

支持识别终端操作系统版本、系统补丁安装状况，支持在旁路模式布

署下准入生效，严禁不满足终端检查规定的顾客访问互联网；支持根据

上网行为管理网页搜索关键字过滤访问的网站，并发送告警邮件：支持对移动应用套1

的细分权限控制，：网页版、传文献、朋友圈、游戏。

移动：传文献、视频语音等：支持Web访问质量检测，针对

内网顾客I内web访问质量进行检测，对整体网络提供清晰II勺整体网络

质量评级；支持内置数据中心和独立数据中心；支持对数据中心分权

限查看，具有数据中心key功能：支持自定义报表、查看历史报表、

支持H志的导出、报表的定期发送到邮箱：支持基于“流量”、“流

速”、“时长”设置配额，当配额耗尽后，将顾客加入到指定的流控

黑名单惩罚通道中；支持动态流量管理，在设置流量方略后，能根据

整体线路或者某流量通道内的空闲和繁忙状况，目动启用和停止使用

流量控制方略，以提高带宽的高使用率，空闲值可自定义；中国制造

终端杀毒软件

满足所有办公区办公人员的网络杀毒需求：中国制造套1

网络版

1颗InielXeonE3-1220v5(至强Xeon3.0G8M1150P4C0RE)处理

网络防病毒服

器,DDR416003G*216G内存，1块1TB企业级硬盘，支持CentosLinux台1

务器端

和Windows操作系统；中国制造

1.2设计方案

智慧园区信息安全管理体系是全方位的，需要各方的积极配合以及各职能部门

日勺互相协调。有必要建立或健全安全管理体系和组织体系，完善安全运行管理机制，

明确各职能部门日勺职责和分工，从技术、管理和法律等多方面保证智慧都市日勺正常

运行。

1.2.1安全体系建设根据

根据公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定H勺

《信息安全等级保护管理措施》、《信息系统安全等级保护定级指南》等原则，“平台”

日勺信息系统安全保护等级定到达第三级（见GB/T22239-2023）,根据《信息系统安全

等级保护基本规定》、《信息系统安全等级保护实行指南》日勺信息安全产品，包括：

防专业VPN设备、WEB防火墙、防火墙、上网行为管理、终端杀毒软件网络版、网络

防病毒服务器端等。

1.2.2安全体系编制原则

为实现本项目的总体日的，结合XX高新区智慧园区建设基础项目既有网络与应

用系统和未来发展需求，总体应贯彻如下项目原则。

・保密原则：

保证各委办局的信息在存储、使用、传播过程中不会泄漏给非授权顾客或实体。

项目组组员在为XX高新区科慧园区建设基础项目实行FJ过程中，将严格遵照保

密原则，服务过程中波及到的任何顾客信息均属保密信息，不得泄露给第三方单位

或个人，不得运用这些信息损害顾客利益。

完整性原则：保证信息在存储、使用、传播过程中不会被非授权顾客篡改，同

步还要防止授权顾客对系统及信息进行不恰当日勺篡改，保持信息内、外部表达日勺一

本规定，从规划准备、选择云服务商及布署、运行监管、退出服务等四个阶段简要

描述了客户采购和使用云计算服务日勺生命周期安全管理。

(3)安全运维体系

安全运维一般包括两层含义：

a)是指在运维过程中对网络或系统发生病毒或黑客袭击等安全事件进行定位、

防护、排除等运维动作，保障系统不受内、外界侵害。

b)对运维过程中发生时基础环境、网络、安全、主机、中间件、数据库乃至关

键应用系统发生口勺影响其正常运行的事件(包括关联事件)通称为安全事件，而围

绕安全事件、运维人员和信息资产，根据详细流程而展开监控、告警、响应、评估

等运行维护活动，称为安全运维服务。

1.2,4安全体系架构

平台的系统安全体系架构包括如下几方面：

(1)集中顾客管理

系统顾客在不一样的业务系统有不一样日勺角色定义，对应不一样的功能权限，

需构建对应的顾客集中管理模式，实现顾客统一身份和标识管理、统一认证及单点

登录。

(2)顾客命名统一

实现顾客命名统一，为顾客集中管理及信息共享提供支撑。

(3)身份认证

系统对不一样囱位人员实行分级授权，对顾客的访问权限实行有效的管理。

(4)访问控制

设置防火墙和网段划分，实既有效的安全隔离和访问控制；同步，在系统权限

方面，对每一种不一样的角色，根据最小授权原则，分派完毕其任务的最小权限，

并使用基于角色的访问控制机制来控制顾客对信息的访问和操作；

(5)入侵检测

设置入侵监测系统，防止非法入侵，及时做出应对措施。

(6)漏洞扫描

采用专'业漏洞扫描工具，定期对网络系统及计算机系统进行漏洞扫描，及时发

现潜在安全隐患，加以防备处理。

(7)病毒防备

在服务器安装防病毒系统，以提供对病毒的检测、清除、免疫和对抗能力；在

网络内安装网络版防病毒系统，客户端可以在内网升级病毒库，做到整体防御。

(8)数据安全互换

在系统安全、网络安全的基础上，实现内网和外网、内网和专网间H勺数据安全

互换。

(9)系统操作日志

通过操作日志功能，定义和辨别操作级别，根据操作级别进行记录，为日志分

析功能提供数据，发现并处理安全问题隐患，增强系统防护性能。

此外，系统还可以根据需要提供日志记录功能，对诸如访问量、并发访问数等

系统性能参数进行比对，以便系统管理员及时调整和优化系统性能。

(10)安全防护体系

建立完善日勺安全防护系统，从安全规章制度建设、安全管理手段建设等方面保

障系统的安全可靠、稳定运行。

1.2.5信息安全体系设计工作方案

(1)完善信息安全组织体系

成立以政府职能部门为主的“智慧园区”安全管理机构，强化和明确其职责；

在健全信息安全组织体系口勺基础上，切实贯彻安全管理责任制。明确各级、各部门

作为信息安全保障工作的负责人；技术部门主管或项目负责人作为信息安全保障工

作直接负责人，强化对网络管理人员和操作人员的管理。

(2)加强信息安全配套建设

消除信息安全风险隐患，把好涉密计算机和存储介质、内部网络对外接入、设

备采购和服务外包三个重要的管理关口。对政府信息系统和波及重大民生及都市公

共服务重要系统，建立与之配套向数据灾备中心。

(3)加强对涉密信息的监督管理

对有关单位将涉密信息存储在联网计算机上并违反规定上互联网，将涉密信息

暴露在互联网上日勺要及时纠正，并对有关人员进行教育和处理。对网上公布口勺信息

进行监控，及时发现泄密事件，将危害控制在最小的范围内，使保密制度得到有效

H勺执行和贯彻。

(4)建立健全信息安全制度

针对园区信息安全管理制定对应管理制度和规范；规定基础网络和重要信息系

统运行、使用单位根据自身状况，制定包括安全责任制度、定期检查制度、评估改

善制度、安全外包制度、事故汇报制度等在内日勺平常信息安全规章制度。

1.2.6信息安全体系设计预期成果

预期成果完毕编写安全方案和管理制度，信息安全体系的建设，符合国家有关

电子政务信息系统日勺原则规定，覆盖日勺电子政务信息系统安全保障体系，安全建设

满足物理安全、操作系统安全、网络安全、传播安全、数据库安全、应用系统安全

和管理安全体系，保证智慧园区项目系统日勺安全保密。

＞安全信息化系统管理制度

（1）为规范本单位安全信息化系统日勺管理，保障系统安全、稳定、可靠运行，

充足发挥安全信息化系统日勺作用，特制定本细则。

（2）各部门办公计算机应明确使用人，设置安全保护密码，未经本人许可或

领导同意，任何人不应私自启动和使用他人的办公计算机。

（3）维护职责

1）办公室为安全信息化系统运行维护的管理部门，负责安全信息化系统运行维

护工作日勺协调、指导和管理工作。有关人员负责系统数据平常录入、维护和数据记

录分析。

2）办公室负责安全信息化系统的平常维护和管理工作。组织协调技术合作单位

对安全信息化系统所波及H勺软硬件开展故障处理、巡回检查、系统性能调优、系统

升级实行、应用接口、系统拓展应用、应用技术培训等工作。

（4）维护范围及内容

1）安全信息化系统维护工作日勺范围：安全信息化系统所波及的所有硬件设备、

操作系统、数据库系统、中间件、应用软件、数据接口以及顾客访问权限等。

2）安全信息化系统的重要维护内容包括：系统设备运行状态H勺平常监测、定期

保养、故障诊断与排除；操作系统、数据库系统、中间件及应用软件的故障诊断与

排除；系统平常H勺巡回检查；数据互换与传播；配置变更管理；数据问题管理；系

统性能调优；系统升级和拓展应用等。

（5）平常维护与故障管理

1）技术支持与服务途径：

a）技术合作单位派驻现场技术服务组开展平常技术支持服务，提供包括系统、

配置、安装、调试以及使用中碰到的各类技术问题和使用问题的征询，并协助排查

和处理各类系统故障。

b）技术合作单位定期整顿汇编常见问题和处理措施，并以技术文档日勺形式按季

度提供应办公室。

2）计算机管理员每季度组织对安全信息化系统的运行状况进行巡检。巡检内容

包括：检查系统运行状况并排除故障隐患；搜集系统最新运行信息；根据系统运行

状况和顾客业务需求提出合理化提议；查看系统运行信息，分析错误记录。

3）计算机管理员每季度对安全信息化系统数据进行备份；每年至少进行一次对

办公计算机内部存储信息口勺清理工作，删除无用信息；

4）系统管理员及各技术服务合作单位应严格按照本文所列附件中的有关规定，

每天检查系统的运行状况并认真做好系统运行日志，定期做好各类维护记录，详细

包括：日维护记录、周维护记录、月维护记录。

5）当系统运行出现故障时，应及时向服务单位报修故障状况并协调技术合作单

位共同处理。排除故障的方式可分为三种类型：

a）当地处理故障：可以自行处理或在技术服务合作单位日勺远程指导下可以处理

H勺故障，自行处理故障。

b）远程处理故障：由技术服务合作单位通过远程方式在计算机管理员的配合下

进行处理.、处理的故障。

c）现场处理故障：由技术服务合作单位派技术人员到现场进行处理的故障。

对需要现场处理的故隙，办公室按照故障导致的“影响程度”和“紧急程度”

组合决定日勺严重等级进行分级处理。

5）当故障属于硬件系统自身的问题时，由技术服务合作单位

整顿形成问题分析汇报和处理方案，经市局办公室审核同意后，技术服务合作

单位协调配合保修单位对硬件系统进行更换,更新和优化。

（6）系统配置管理

1）系统配置管理内容及范围涵盖安全信息化系统中所波及的所有软硬件。

2）未经信息系统管理人员同意，不得私自进行系统格式化或重新安装操作系统,

不应私自变更软硬件配置，严禁安装上网设备、运行代理软件、服务器软件,如因

实际状况确需变更配置（包括增长新设备、扩充设备能力、变化设备的布署、停用

设备、设备的切换以及变化系统软件等）时，要及时报办公室审核立案。

（7）权限管理

1）安全信息化系统日勺顾客以及权限分派由办公室集中统一维护和管理，并建立

对应顾客清单。

2）安全信息化系统中所波及的操作系统、数据库系统等系统软件H勺使用权限由

信息中心集中统一维护和管理。

（8）升级、完善与拓展管理

1）系统软件和应用软件的升级、完善由信息中心统一管理。

2）系统运行过程中口勺缺陷，由技术服务合作单位协助或承担升级完善口勺技术工

作，经信息中心核准后进行对系统进行升级。

3）信息中心应根据系统使用部门状况反馈，结合系统的运行状态和功能范围，

适时统一组织对系统功能日勺升级。

4）信息中心负责对安全信息化系统日勺运行维护工作进行检查，并把检查成果通

报给各技术服务合作单位。

＞安全管理

自主访问控制、轻质访问控制、标识、身份鉴别、审计、数据完整性。

在技术上

（1）通过安装防火墙，实现下列的安全日日勺：

1）运用防火墙将Internet外部网络、DMZ服务区、安全监控与备份中心进行有

效隔离，防止与外部网络直接通信；

2）运用防火墙建立网络各终端和服务器的安全保护措施，保证系统安全；

3）运用防火墙对来自外网的服务祈求进行控制，使非法访问在抵达主机前被拒

绝;

4）运用防火墙使用IP与MAC地址绑定功能，加强终端顾客的访问认证，同步在

不影响顾客正常访问H勺基础上将顾客H勺访问权限控制在最低程度内；

5）运用防火墙全面监视对服务器日勺访问，及时发现和制止非法操作；

6）运用防火墙及服务器上的审计记录，形成一种完善的审计体系，建立第二条

防线；

7）根据需要设置流量控制规则，实现网络流量控制，并设置基于时间段的访问

控制。

（2）网络内的权限控制

通过目录服务等操作系统存在日勺服务队对主机内日勺资源进行权限访问日勺控制，

可将详细日勺安全控制到文献级。通过对网络作安全的划分控制、如通过设置"vlan〃

等，对整个网络进行权限控制。

（3）入侵检测系统技术

通过使用入侵检测系统，我们可以做到：

1）对网络边界点日勺数据进行检测，防止黑客的入侵；

2）对服务器的数据流量进行检测，防止入侵者的蓄意破坏和篡改；

3）监视内部顾客和系统的运行状况，查找非法顾客和合法顾客的越权操作；

4）对顾客的非正常活动进行记录分析，发现入侵行为的规律；

5）实时对检测到的入侵行为进行报警、阻断，可以与防火墙/系统联动；

6）对关键正常事件及异常行为记录日志，进行审计跟踪管理。

通过使用入侵检测系统可以轻易的完毕对如下日勺袭击识别：网络信息搜集、网

络服务缺陷袭击、Dos&Ddos袭击、缓冲区溢出袭击、Web袭击、后门袭击等。

(4)网络防病毒

为了使整个机关网络免受病毒侵害，保证网络系统中信息日勺可用性，构建从主

机到服务器的完善H勺防病毒体系。以服务器作为网络H勺关键，通过派发的形:。对整

个网络布署杀毒，同步要对LotusDomino内进行查杀毒。

(5)网络内向信息流动的监控对网络内流动的信息进行监控，防止非法访问信

息的传播和记录控制非法信息的传播、对〃涉密信息〃进行安全防护。

(6)无线接入安全管理目前无线网络使用越来越普遍，对无线网络的接入，同

样需要进行安全控制，可以根据IP和MAC绑定欧I方式保证无线接入的安全性，对未

经容许日勺无线设备、笔记本电脑则无法接入无线网络。有效防止外部的病毒或黑客

程序被带进内网。

(7)操作系统以及应用系统日勺安全设置

操作系统以及应用系统都提供有强大日勺安全设置，为保证系统的安全性，我们

要在合理配置好操作系统以及应用系统的安全设置，在这个层面上要在保证安全和

使用以便两者之间的关系获得一定的平衡。

例如操作系统密码口令复杂度、有效时间、应用开放的端口控制、数据库与否

容许远程管理、顾客账号权限控制等等。并且制定对黑客入侵口勺防备方略。

(8)安全审计、日志审核机制

网络安全，不光是要防备杜绝，还要建立〃档案〃。合理的配置安全审计，某些

重要的安全信息、系统、设备的登入登出，都可以完整记录下来。而口志审核也可

以对于故障排杳、安全检查有很好日勺协助。

(9)内部网络安全机制

根据部门以及功能的需求，在局域网通过vlan的划分，既可以制止大规模的广

播风暴影响整体网络H勺畅通，保障网络的稳定。并且通过互换机的ACL的控制，根

据网络应用以及各部门内部信息保密日勺需求，对不一样日勺网段之间的访问进行访问

口勺控制。同步某些互换机具有流量控制、源路由限制等功能，根据企业实际状况设

置也可加强企业内部网络口勺安全，减少因病毒、网络袭击导致口勺网络威胁。

＞在管理上

以上所有日勺网络安全管理是基于技术方面，为了使网络可以安全高效有序的运

转这些系统，更需要配合一套完整日勺网络安全管理制度。

•建立网络安全管理制度，明确网络安全管理日勺职责

•完善网络安全设置各方面的技术文档，按照技术文档进行设定安全方略以及

安全方案。在波及网络安全的变更管理、事件管理、配置管理中都必须有文

档记录

•确定网络安全管理的详细负责人。

•加强培训，提高人们的网络安全意识和防备意识。

＞安全体系设计

根据安全体系规划，整个系统的安全体系建设内容包括物理安全、操作系统安

全、网络安全、传播安全、数据安全、应用系统安全、终端安全和管理安全等方面。

安全系统设计原则

安全防备体系在整体设计过程中应遵照如下12项原则：

•木桶原则

木桶原则是指对信息均衡、全面的进行保护。木桶的最大容积取决于最短的一

块木板。

•整体性原则

规定在网络发生被袭击、破坏事件的状况下，必须尽量地迅速恢复网络信息中

心口勺服务，减少损失。因此，信息安全系统应当包括安全防护机制、安全检测机制

和安全恢复机制。

•有效性与实用性原则

不能影响系统时正常运行和合法顾客的操作活动。网络中的信息安全和信息共

享存在一种矛盾：首先，为健全和弥补系统缺陷或漏洞，会采用多种技术手段和管

理措施；另首先，势必给系统的运行和顾客日勺使用导致承担和麻烦，尤其在网络环

境下，实时性规定很高日勺业务不能容忍安全连接和安全处理导致H勺时延和数据扩张。

怎样在保证安全性日勺基础上，把安全处理的运算量减小或分摊，减少顾客记忆、存

储工作和安全服务器的存储最、计算量，应当是一种信息安全设计者重要处理的问

题。

•安全性评价与平衡原则

对任何网络，绝对安全难以到达，也不一定是必要的，因此需要建立合理的实

用安全性与顾客需求评价与平衡体系。安全体系设计要对的处理需求、风险与代价

日勺关系，做到安全性与可用性相容，做到组织上可执行。评价信息与否安全，没有

绝对的评判原则和衡量指标，只能决定于系统日勺顾客需求和详细日勺应用环境，详细

取决于系统的规模和范围，系统的性质和信息H勺重要程度。

•原则化与一致性原则

系统是一种庞大的系统工程，其安全体系的设计必须遵照一系列H勺原则，这样

才能保证各个分系统H勺一致性，使整个系统安全地互联互通、信息共享。

•技术与管理相结合原则

安全体系是一种复杂的系统工程，波及人、技术、操作等要素，单靠技术或单

靠管理都不也许实现。因此，必须将多种安全技术与运行管理机制、人员思想教育

与技术培训、安全规章制度建设相结合。

•统筹规划，分步实行原则

由于政策规定、服务需求日勺不明朗，环境、条件、时间日勺变化，袭击手段日勺进

步，安全防护不也许一步到位，可在一种比较全面的安全规划下，根据网络日勺实际

需要，先建立基本H勺安全体系，保证基本的、必须的安全性。伴随此后伴随网络规

模的扩大及应用H勺增长，网络应用和复杂程度口勺变化，网络脆弱性也会不停增长，

调整或增强安全防护力度，保证整个网络最主线的安全需求。

•等级性原则

等级性原则是指安全层次和安全级别。良好的信息安全系统必然是分为不一样

等级H勺，包括对信息保密程度分级，对顾客操作权限分级，对网络安全程度分级（安

全子网和安全区域），对系统实现构造日勺分级（应用层、网络层、链路层等），从而

针对不一样级别日勺安全对象，提供全面、可选日勺安全算法和安全体制，以满足网络

中不一样层次日勺多种实际需求。

•动态发展原则

要根据网络安全的变化不停调整安全措施，适应新的网络环境，满足新的网络

安全需求。

•易操作性原则

首先，安全措施需要人为去完毕，假如措施过于复杂，对人的规定过高，自身

就减少了安全性。另一方面，措施的采用不能影响系统的正常运行。

•自主和可控性原则

网络安全与保密问题关系着i种国家日勺主权和安全，因此网络安全产品不也许

依赖于从国外进口，必须处理网络安全产品日勺自主权和自控权问题，建立我们自主

日勺网络安全产品和产业。同步为了防止安全技术被不合法日勺顾客使用，必须采用对

应的措施对其进行控制，例如密钥托管技术等。

•权限分割、互相制约、最小化原则

在诸多系统中均有一种系统超级顾客或系统管理员，拥有对系统所有资源的存

取和分派权，因此它的安全至关重要，假如不加以限制，有也许由于超级顾客的恶

意行为、口令泄密、偶尔破坏等对系统导致不可估计的损失和破坏。因此有必要对

系统超级顾客的权限加以限制，实现权限最小化原则。管理权限交叉，有几种管理

顾客来动态地控制系统的管理，实现互相制约。对于一般顾客，则实现权限最小原

则，不容许其进行非授权以外日勺操作。

1.2.7信息安全保护系统

满足信息系统安全等级三级规定的连接云计算平台的信息安全保护系统。

＞第三级安全保护能力规定

可以在统一安全方略下防护系统免受来自外部有组织的团体、拥有较为丰富资

源日勺威胁源发起日勺恶意袭击、较为严重的J自然劫难、以及其他相称危害程度日勺威胁

所导致H勺重要资源损害，可以发现安全漏洞和安全事件，在系统遭到损害后，可以

较快恢复绝大部分功能。

第三级基本规定如下：

＞技术规定

（1）物理安全

1）物理位置的选挎（G3）

本项规定包括：

a）机房和办公场地应选择在具有防震、防风利防雨等能力的建筑内；

b）机房场地应防止设在建筑物日勺高层或地下室，以及用水设备的下层或隔壁。

2）物理访问控制（G3）

本项规定包括：

a）机房出入口应安排专人值守，控制、鉴别和记录进入的人员；

b）需进入机房的来访人员应通过申请和审批流程，并限制和监控其活动范围;

c）应对机房划分区域进行管理.，区域和区域之间设置物理隔离装置，在重要区

域前设置交付或安装等过渡区域;

d）重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。

3）防盗窃和防破坏（G3）

本项规定包括：

a）应将重要设备放置在机房内；

b）应将设备或重要部件进行固定，并设置明显H勺不易除去的标识；

c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；

d）应对介质分类标识，存储在介质库或档案室中；

e）应运用光、电等技术设置机房防盗报警系统；

f）应对机房设置监控报警系统。

4）防雷击（G3）

本项规定包括：

a）机房建筑应设置避雷装置；

b）应设置防雷保安器，防止感应雷；

c）机房应设置交流电源地线。

5）防火（G3）

本项规定包括：

a）机房应设置火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火;

b）机房及有关口勺工作房间和辅助房应采用品有耐火等级的建筑材料；

c）机房应采用区域隔离防火措施，将重要设备与其他设备隔离开。

6）防水和防潮（G3）

本项规定包括：

a)水管安装，不得穿过机房屋顶和活动地板下；

b)应采用措施防止雨水通过机房窗户、屋顶和墙壁渗透；

c)应采用措施防止机房内水蒸气结露和地下积水的转移与渗透；

d)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。

7)防静电(G3)

本项规定包括：

a)重要设备应采用必要的接地防静电措施；

b)机房应采用防静电地板。

8)温湿度控制(G3)

机房应设置温、湿度自动调整设施，使机房温、湿度的变化在设备运行所容许

日勺范围之内。

9)电力供应(A3)

本项规定包括：

a)应在机房供电线路上配置稳压器和过电压防护设备；

b)应提供短期的备用电力供应，至少满足重要设备在断电状况下的正常运行

规定；

c)应设置冗余或并行的电力电缆线路为计算机系统供电；

d)应建立备用供电系统。

10)电磁防护(S3)

本项规定包括：

a)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；

b)电源线和通信线缆应隔离铺设，防止互相干扰；

c)应对关键设备和磁介质实行电磁屏蔽。

(2)网络安全

1)构造安全(G3)

本项规定包括：

a)应保证重要网络设备口勺业务处理能力具有冗余空间，满足业务高峰期需要;

b)应保证网络各个部分附带宽满足业务高峰期需要；

c)应在业务终端与业务服务器之间进行路由控制建立安全的访问途径；

d)应绘制与目前运行状况相符的网络拓扑构造图；

e)应根据各部门的工作职能、重要性和所波及信息的重要程度等原因，划分

不一样的子网或网段，并按照以便管理和控制日勺原则为各子网、网段分派地址段；

f)应防止将重要网段布署在网络边界处且直接连接外部信息系统，重要网段

与其他网段之间采用可靠日勺技术隔离手段；

g)应按照对业务服务的重要次序来指定带宽分派优先级别，保证在网络发生

搦堵口勺时候优先保护重要主机。

2)访问控制(G3)

本项规定包括：

a)应在网络边界布署访问控制设备，启用访问控制功能;

b)应能根据会话状态信息为数据流提供明确日勺容许/拒绝访问日勺能力，控制

粒度为端口级；

C)应对进出网络的信息内容进行过滤，实现对应用层、FTP、TELNET、SMTP、

POP3等协议命令级H勺控制；

d)应在会话处在非活跃一定期间或会话结束后终止网络连接；

e)应限制网络最大流量数及网络连接数；

f)重要网段应采用技术手段防止地址欺骗；

g)应按顾客和系统之间口勺容许访问规则，决定容许或拒绝顾客对受控系统进

行资源访问，控制粒度为单个顾客；

h)应限制具有拨号访问权限日勺顾客数量。

3)安全审计(G3)

本项规定包括：

a)应对网络系统中的网络设备运行状况、网络流量、顾客行为等进行日志记

录；

b)审计记录应包括：事件日勺日期和时间、顾客、事件类型、事件与否成功及

其他与审计有关的信息；

c)应可以根据记录数据进行分析，并生成审计报表；

d)应对审计记录进行保护，防止受到未预期口勺删除、修改或覆盖等。

4)边界完整性检查(S3)

本项规定包括:

a)应可以对非授权设备私自联到内部网络的行为进行检查，精确定出位置，

并对其进行有效阻断；

b)应可以对内部网络顾客私自联到外部网络日勺行为进行检查，精确定出位置,

并对其进行有效阻断。

5)入侵防备(G3)

本项规定包括：

a)应在网络边界处监视如下袭击行为：端口扫描、强力袭击、木马后门袭击、

拒绝服务袭击、缓冲区溢出袭击、IP碎片袭击和网络蠕虫袭击等；

b)当检测到袭击行为时，记录袭击源IP、袭击类型、袭击目的、袭击时间，

在发生严重入侵事件时应提供报警。

6)恶意代码防备(G3)

本项规定包括：

a)应在网络边界处对恶意代码进行检测和清除；

b)应维护恶意代码库的升级和检测系统H勺更新。

7)网络设备防护(G3)

本项规定包括：

a)应对登录网络设备的顾客进行身份鉴别；

b)应对网络设备的管理员登录地址进行限制；

c)网络设备顾客的标识应唯一；

d)重要网络设备应对同一顾客选择两种或两种以上组合欧I鉴别技术来进行

身份鉴别；

e)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度规定并定期更换;

f)应具有登录失败处理功能，可采用结束会话、限制非法登录次数和当网络

登录连接超时自动退出等措施；

g)当对网络设备进行远程管理时，应采用必要措施防止鉴别信息在网络传播

过程中被窃听；

h)应实现设备特权顾客口勺权限分离。

(3)主机安全

1)身份鉴别(S3)

本项规定包括：

a)应对登录操作系统和数据库系统欧J顾客进行身份标识和鉴别；

b)操作系统和数据库系统管理顾客身份标识应具有不易被冒用的特点，口令

应有复杂度规定并定期更换；

c)应启用登录失败处理功能，可采用结束会话、限制非法登录次数和自动退

出等措施；

d)当对服务器进行远程管理时，应采用必要措施，防止鉴别信息在网络传播

过程中被窃听；

e)应为操作系统和数据库系统的不一样顾客分派不一样的顾客名，保证顾客

名具有唯一性。

f)应采用两种或两种以上组合的鉴别技术对管理顾客进行身份鉴别。

2)访问控制(S3)

本项规定包括：

a)应启用访问控制功能，根据安全方略控制顾客对资源的访问；

b)应根据管理顾客的角色分派权限，实现管理顾客的权限分离，仅授予管理

顾客所需H勺最小权限；

c)应实现操作系统和数据库系统特权顾客的权限分离；

d)应严格限制默认帐户口勺访问权限，重命名系统默认帐户，修改这些帐户的

默认口令；

c)应及时删除多出时、过期的帐户，防止共享帐户的存在。

f)应对重要信息资源设置敏感标识；

g)应根据安全方略严格控制顾客对有敏感标识重要信息资源日勺操作；

3)安全审计(G3)

本项规定包括：

a)审计范围应覆盖到服务器和重要客户端上的每个操作系统顾客和数据库

顾客；

b)审计内容应包括重要顾客行为、系统资源的异常使用和重要系统命令的使

用等系统内重要的安全有关事件；

c)审计记录应包括事件口勺日期、时间、类型、主体标识、客体标识和成果等；

d)应可以根据记录数据进行分析，并生成审计报表；

e)应保护审计进程，防止受到未预期的中断;

f)应保护审计记录，防止受到未预期的删缺、修改或覆盖等。

4)剩余信息保护(S3)

本项规定包括：

a)应保证操作系统和数据库系统顾客的鉴别信息所在的存储空间，被释放或

再分派给其他顾客前得到完全清除，无论这些信息是寄存在硬盘上还是在内存中；

b)应保证系统内的文献、目录和数据库记录等资源所在的存储空间，被释放

或重新分派给其他顾客前得到完全清除。

5)入侵防备(G3)

本项规定包括：

a)应可以检测到对重要服务器进行入侵日勺行为，可以记录入侵日勺源IP、袭击

日勺类型、袭击日勺目的、袭击的时间，并在发生严重入侵事件时提供报警；

b)应可以对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有

恢复日勺措施；

c)操作系统应遵照最小安装H勺原则，仅安装需要H勺组件和应用程序，并通过

设置升级服务器等方式保持系统补丁及时得到更新。

6)恶意代码防备(G3)

本项规定包括：

a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库；

b)主机防恶意代码产品应具有与网络防恶意代码产品不一样的恶意代码库；

c)应支持防恶意代码的统一管理。

7)资源控制(A3)

本项规定包括：

a)应通过设定终端接入方式、网络地址范围等条件限制终端登录；

b)应根据安全方略设置登录终端H勺操作超时锁定；

c)应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等

资源日勺使用状况；

d)应限制单个顾客对系统资源的最大或最小使用程度；

e)应可以对系统的服务水平减少到预先规定口勺最小值进行检测和报警。

(4)应用安全

1)身份鉴别(S3)

本项规定包括：

a)应提供专用的登录控制模块对登录顾客进行身份标识和鉴别；

b)应对同一顾客采用两种或两种以上组合的鉴别技术实现顾客身份鉴别；

c)应提供顾客身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不

存在反复顾客身份标识，身份鉴别信息不易被冒用；

d)应提供登录失败处理功能，可采用结束会话、限制非法登录次数和自动退

出等措施；

e)应启用身份鉴别、顾客身份标识唯一性检查、顾客身份鉴别信息复杂度检

查以及登录失败处理功能，并根据安全方略配置有关参数。

2)访问控制(S3)

本项规定包括：

a)应提供访问控制功能，根据安全方略控制顾客对文献、数据库表等客体的

访问；

b)访问控制H勺覆盖范围应包括与资源访问有关的主体、客体及它们之间的操

作；

c)应由授权主体配置访问控制方略，并严格限制默认帐户的访问权限；

d)应授予不一样帐户为完毕各自承担任务所需的最小权限，并在它们之间形

成互相制约的关系。

0)应具有对重要信息资源设置敏感标识的功能；

f)应根据安全方略严格控制顾客对有敏感标识重要信息资源日勺操作；

3)安全审计(G3)

本项规定包括：

a)应提供覆盖到每个顾客的安全审计功能，对应用系统重要安全事件进行审

计；

b)应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

c)审计记录日勺内容至少应包括事件的日期、时间、发起者信息、类型、描述

和成果等；

d)应提供对审计记录数据进行记录、查询、分析及生成审计报表的功能。

4)剩余信息保护(S3)

本项规定包括:

a)应保证顾客鉴别信息所在日勺存储空间被释放或再分派给其他顾客前得到

完全清除，无论这些信息是寄存在硬盘上还是在内存中；

b)应保证系统内的文献、目录和数据库记录等资源所在的存储空间被释放或

重新分派给其他顾客前得到完全清除。

5)通信完整性(S3)

应采用密码技术保证通信过程中数据日勺完整性。

6)通信保密性(S3)

本项规定包括：

a)在通信双方建立连接之前，应用系统应运用密码技术进行会话初始化验证;

b)应对通信过程中日勺整个报文或会话过程进行加密。

7)抗抵赖(G3)

本项规定包括：

a)应具有在祈求的状况下为数据原发者或接受者提供数据原发证据日勺功能；

b)应具有在祈求的状况下为数据原发者或接受者提供数据接受证据H勺功能。

8)软件容错(A3)

本项规定包括：

a)应提供数据有效性检查功能，保证通过人机接口输入或通过通信接口输入

口勺数据格式或长度符合系统设定规定；

b)应提供自动保护功能，当故障发生时自动保护目前所有状态，保证系统可

以进行恢复。

9)资源控制(A3)

本项规定包括：

a)当应用系统的I通信双方中日勺一方在一段时间内未作任何响应，另一方应可

以自动结束会话；

b)应可以对系统的最大并发会话连接数进行限制；

c)应可以对单个帐户的多重并发会话进行限制；

d)应可以对一种时间段内也许的并发会话连接数进行限制；

e)应可以对一种访问帐户或一种祈求进程占用的资源分派最大限额和最小

限额；

f)应可以对系统服务水平减少到预先规定的最小值进行检测和报警；

g)应提供服务优先级设定功能，并在安装后根据安全方略设定访问帐户或祈

求进程的优先级，根据优先级分派系统资源。

(5)数据安全及备份恢复

1)数据完整性(S3)

本项规定包括：

a)应可以检测到系统管理数据、鉴别信息和重要业务数据在传播过程中完整

性受到破坏，并在检测到完整性错误时采用必要的恢复措施；

b)应可以检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整

性受到破坏，并在检测到完整性错误时采用必要的恢复措施。

2)数据保密性(S3)

本项规定包括：

a)应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据

传播保密性；

b)应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据

存储保密性。

3)备份和恢复(A3)

本项规定包括：

a)应提供当地数据备份与恢复功能，完全数据备份至少每天一次，备份介质

场外寄存；

b)应提供异地数据备份功能，运用通信网络将关键数据定期批量传送至备用

场地；

c)应采用冗余技术设计网络拓扑构造，防止关键节点存在单点故障；

d)应提供重要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的

高可用性。

＞管理规定

(1)安全管理制度

1)管理制度(G3)

本项规定包括：

a)应制定信息安全工作的总体方针和安全方略，阐明机构安全工作的总体目

日勺、范围、原则和安全框架等;

b)应对安全管理活动中日勺各类管理内容建立安全管理制度；

c)应对规定管理人员或操作人员执行的平常管理操作建立操作规程；

d)应形成由安全方略、管理制度、操作规程等构成的全面的信息安全管理制

度体系。

2)制定和公布(G3)

本项规定包括：

a)应指定或授权专门的部门或人员负责安全管理制度的制定；

b)安全管理制度应具有统一口勺格式，并进行版本控制；

c)应组织有关人员对制定的安全管理制度进行论证和审定；

d)安全管理制度应通过正式、有效的方式公布；

e)安全管理制度应注明公布范围，并对收发文进行登记。

3)评审和修订(G3)

本项规定包括：

a)信息安全领导小组应负责定期组织有关部门和有关人员对安全管理制度

体系日勺合理性和合用性进行审定；

b)应定期或不定期对安全管理制度进行检查和审定，对存在局限性或需要改

善的安全管理制度进行修订。

(2)安全管理机构

1)岗位设置(G3)

本项规定包括:

a)应设置信息安全管理工作日勺职能部门，设置安全主管、安全管理各个方面

日勺负责人岗位，并定义各负责人的I职责；

b)应设置系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗

位的职责；

c)应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位

主管领导委任或授权；

d)应制定文献明确安全管理机构各个部门和岗位口勺职责、分工和技能规定。

2)人员配置(G3)

本项规定包括：

a)应配置一定数量的系统管理员、网络管理员、安全管理员等；

b)应配置专职安全管理员，不可兼任；

c)关键事务岗位应配置多人共同管理。

3)授权和审批(G3)

本项规定包括：

a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和同意人等;

b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，

按照审批程序执行审批过程，对重要活动建立逐层审批制度；

c)应定期审查审批事项，及时更新需授权和审批H勺项目、审批部门和审批人

等信息；

d)应记录审批过程并保留审批文档。

4)沟通和合作(G3)

本项规定包括：

a)应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部

日勺合作与沟通，定期或不定期召开协调会议，共同协作处理信息安全问题；

b)应加强与兄弟单位、公安机关、电信企业H勺合作与沟通；

c)应加强与供应商、业界专家、专业的安全企业、安全组织日勺合作与沟通;

d)应建立外联单位联络列表，包括外联单位名称、合作内容、联络人和联络

方式等信息；

e)应聘任信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全

规划和安全评审等。

5)审核和检查(G3)

本项规定包括：

a)安全管理员应负责定期进行安全检查，检查内容包括系统平常运行、系统

漏洞和数据备份等状况；

b)应由内部人员或上级单位定期进行全面安全检查，检查内容包括既有安全

技术措施日勺有效性、安全配置与安全方略日勺一致性、安全管理制度H勺执行状况等；

c)应制定安全检查表格实行安全检查，汇总安全检查数据，形成安全检查汇

报，并对安全检查成果进行通报；

d)应制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照

程序进行安全审核和安全检查活动。

(3)人员安全管理

1)人员录取(G3)

本项规定包括：

a)应指定或授权专门的部门或人员负责人员录取；

b)应严格规范人员录取过程，对被录取人的身份、背景、专业资格和资质等

进行审查，对其所具有的技术技能进行考核；

c)应签订保密协议；

d)应从内部人员中选拔从事关键岗位的人员，并签订岗位安全协议。

2)人员离岗(G3)

本项规定包括：

a)应严格规范人员离岗过程，及时终止离岗员工日勺所有访问权限；

b)应取回多种身份证件、钥匙、徽章等以及机构提供日勺软硬件设备；

c)应办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密义务后方

可离开。

3)人员考核(G3)

本项规定包括：

a)应定期对各个岗位的人员进行安全技能及安全认知的考核；

b)应对关键岗位的人员进行全面、严格n勺安全审查和技能考核；

c)应对考核成果进行记录并保留。

4)安全意识教育和培训(G3)

本项规定包括：

a)应对各类人员进行安全意识教育、岗位技能培训和有关安全技术培训；

b)应对安全责任和惩戒措施进行书面规定尹告知有关人员，对违反违反安全

方略和规定的人员进行惩戒；

c)应对定期安全教育和培训进行书面规定，针对不一样岗位制定不一样的培

训计划，对信息安全基础知识、岗位操作规程等进行培训；

d)应对安全教育和培训口勺状况和成果进行记录并归档保留。

5)外部人员访问管理(G3)

本项规定包括：

a)应保证在外部人员访问受控区域前先提出书面申请，同意后由专人全程陪

伴或监督，并登记立案；

b)对外部人员容许访问日勺区域、系统、设备、信息等内容应进行书面日勺规定，

并按照规定执行。

(4)系统建设管理

1)系统定级(G3)

本项规定包括：

a)应明确信息系统的边界和安全保护等级；

b)应以书面的形式阐明确定信息系统为某个安全保护等级的措施和理由；

c)应组织有关部门和有关安全技术专家对信息系统定级成果的合理性和对

日勺性进行论证和审定;

d)应保证信息系统日勺定级成果通过有关部门日勺同意。

2)安全方案设计(G3)

本项规定包括：

a)应根据系统的安全保护等级选择基本安全措施，并根据风险分析H勺成果补

充和调整安全措施；

b)应指定和授权专门的部门对信息系统日勺安全建设进行总体规划，制定近期

和远期的安全建设工作计划；

c)应根据信息系统的等级划分状况，统一考虑安全保障体系的总体安全方略、

安全技术框架、安全管理方略、总体建设规划和详细设计方案，并形成配套文献；

d)应组织有关部门和有关安全技术专家对总体安全方略、安全技术框架、安

全管理方略、总体建设规划、详细设计方案等有关配套文献日勺合理性和对欧I性进行

论证和审定，并且通过同意后，才能正式实行；

e)应根据等级测评、安全评估的成果定期调整和修订总体安全方略、安全技

术框架、安全管理方略、总体建设规划、详细设计方案等有关配套文献。

3)产品采购和使用(G3)

本项规定包括：

a)应保证安全产品采购和使用符合国家口勺有关规定；

b)应保证密码产品采购和使用符合国家密码主管部门的规定；

c)应指定或授权专门的部门负责产品的采购；

d)应预先对产品进行选型测试，确定产品日勺候选范围，并定期审定和更新候

选产品名单。

4)自行软件开发(G3)

本项规定包括：

a)应保证开发环境与实际运行环境物理分开，开发人员和测试人员分离，测

试数据和测试成果受到控制；

b)应制定软件开发管理制度，明确阐明开发过程的控制措施和人员行为准则;

c)应制定代码编写安全规范，规定开发人员参照规范编写代码；

d)应保证提供软件设计口勺有关文档和使用指南，并由专人负责保管；

0)应保证对程序资源库的修改、更新、公布进行授权和同意。

5)外包软件开发(G3)

本项规定包括：

a)应根据开发需求检测软件质量；

b)应在软件安装之前检测软件包中也许存在日勺恶意代码；

c)应规定开发单位提供软件设计H勺有关文档和使用指南；

d)应规定开发单位提供软件源代码，并审查软件中也许存在日勺后门。

6)工程实行(G3)

本项规定包括：

a)应指定或授权专门的部门或人员负责工程实行过程的管理；

b)应制定详细的工程实行方案控制实行过程，并规定工程实行单位能正式地

执行安全工程过程;

C)应制定工程实行方面日勺管理制度，明确阐明实行过程的控制措施和人员行

为准则。

7)测试验收(G3)

本项规定包括：

a)应委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试

汇报；

b)在测试验收前应根据设计方案或协议规定等制定测试验收方案，在测试验

收过程中应详细记录测试验收成果，并形成测试验收汇报；

c)应对系统测试脸收的J控制措施和人员行为准则进行巾面规定；

d)应指定或授权专门的部门负责系统测试验收的I管理，并按照管理规定的规

定完毕系统测试验收工作；

e)应组织有关部门和有关人员对系统测试验收汇报进行审定，并签字确认。

8)系统交付(G3)

本项规定包括：

a)应制定详细的系统交付清单，并根据交付清单对所交接H勺设备、软件和文

档等进行清点；

b)应对负责系统运行维护的技术人员进行对应的技能培训；

c)应保证提供系统建设过程中的文档和指导顾客进行系统运行维护的文档；

d)应对系统交付的控制措施和人员行为准则进行书面规定；

e)应指定或授权专门的部门负责系统交付的管理工作，并按照管理规定的规

定完毕系统交付工作。

9)系统立案(G3)

本项规定包括：

a)应指定专门H勺部门或人员负责管理系统定级H勺有关材料，并控制这些材料的

使用；

b)应将系统等级及有关材料报系统主管部门立案；

c)应将系统等级及其他规定的立案材料报对应公安机关立案。

10)等级测评(G3)

本项规定包括：

a)在系统运行过程中，应至少每年对系统进行一次等级测评，发现不符合对

应等级保护原则规定日勺及时整改；

b)应在系统发生变更时及时对系统进行等级测评，发现级别发生变化的及时

调整级别并进行安全改造，发现不符合对应等级保护原则规定日勺及时整改；

c)应选择具有国家有关技术资质和安全资质H勺测评单位进行等级测评；

d)应指定或授权专门的部门或人员负责等级测评的管理。

11)安全服务商选择(G3)

本项规定包括：

a)应保证安全服务商的选择符合国家的有关规定；

b)应与选定H勺安全服务商签订与安全有关的协议，明确约定有关责任；

c)应保证选定欧I安全服务商提供技术培训和服务承诺，必要时与其签订服务

协议。

(5)系统运维管理

1)环境管理(G3)

本项规定包括：

a)应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进

行维护管理；

b)应指定部门负责机房安全，并配置机房安全管理人员，对机房的出入、服

务器口勺开机或关机等工作进行管理；

c)应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和

机房环境安全等方面日勺管理作出规定；

d)应加强对办公环境的保密性管理，规范办公环境人员行为，包括工作人员

调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座

位应保证终端计算机退出登录状态和桌面上没有包括敏感信息日勺纸档文献等。

2)资产管理(G3)

本项规定包括：

a)应编制并保留与信息系统有关的资产清单，包括资产责任部门、重要程度

和所处位置等内容；

b)应建立资产安全管理制度，规定信息系统资产管理的负责人员或责任部门,

并规范资产管理和使用的行为；

c)应根据资产欧I重要程度对资产进行标识管理，根据资产日勺价值选择对应日勺

管理措施；

d)应对信息分类与标识措施作出规定，并对信息日勺使用、传播和存储等进行

规范化管理。

3)介质管理(G3)

本项规定包括：

a)应建立介质安全管理制度，对介质的寄存环境、使用、维护和销毁等方面

作出规定；

b)应保证介质寄存在安全的环境中，对各类介质进行控制和保护，并实行存

储环境专人管理；

c)应对介质在物理传播过程中的人员选择、打包、交付等状况进行控制，对

介质归档和查询等进行登记记录，并根据存档介质日勺目录清单定期盘点；

d)应对存储介质的使用过程、送出维修以及销毁等进行严格的管理，对带出

工作环境的存储介质进行内容加密和监控管理，对送出维修或销毁欧J介质应首先清

除介质中H勺敏感数据，对保密性较高H勺存储介质未经同意不得自行销毁；

e)应根据数据备份的需要对某些介质实行异地存储，存储地的环境规定和管

理措施应与当地相似；

f)应对重要介质中的数据和软件采用加密存储，并根据所承载数据和软件口勺

重要程度对介质进行分类和标识管理。

4)设备管理(G3)

本项规定包括:

a)应对信息系统有关的多种设备(包括备份和冗余设备)、线路等指定专门

日勺部门或人员定期进行维护管理；

b)应建立基于申报、审批和专人负责日勺设备安全管理制度，对信息系统日勺多

种软硬件设备H勺选型、采购、发放和领用等过程进行规范化管理；

c)应建立配套设施、软硬件维护方面H勺管理制度，对其维护进行有效H勺管理,

包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等；

d)应对终端计算机、工作站、便