等保20测评详细指标及工控扩展指标.docx

《等保20测评详细指标及工控扩展指标.docx》由会员分享，可在线阅读，更多相关《等保20测评详细指标及工控扩展指标.docx（57页珍藏版）》请在第一文库网上搜索。

1、等保2.0测评详细指标（1-3级）PS： 一级指标没有整理成表格,二三级整理成表格,看的会清晰一点。一级测评要求指标-.技术安全大类L安全的物理环境物理访问控制：机房出入口应安排专人值守或配置电子门禁系统，控制，鉴别和记录进 入的人员。防盗窃和破坏：应将设备或主要部件进行固定，并设置明显的不易除去的标识。防雷击：应将各类机柜，设施和设备等通过基地系统安全接地。防火：机房应该设置灭火设备。防水和防潮：应采取措施防止雨水通过机房窗户，屋顶和墙壁渗透。温湿度控制：应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许 的范围之内。电力供应：应在机房供电线路上配置稳压器和过电压防护设备。2 .

2、安全的通信网络通信传输：应采用检验技术保证通信过程中数据的完整性。可信验证：可给予可信根对通信设备的系统引导程序，系统程序等进行可信验证, 并在检测到其可信性受到破坏后进行报警。3 .安全的计算环境身份鉴别：1 .应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份辨 别信息具有复杂度要求并定期更换。2 .应具有登陆失败处理功能，应配置并启用结束会话，限制非法登录次数和挡登录连接超时自动退出等相关措施。访问控制：1,应对登录的用户分配账户和权限3 .应重命名或删除默认账户，修改默认账户的默认口令。4 .应及时删除或停用多余的，过期的账户，避免共享账户的存在。入侵防范：L应遵循最小安装的原

3、则，仅安装需要的组件和应用程序。5 .应关闭不需要的系统服务，默认共享和高危端口。恶意代码防范：应安装放恶意代码软件或配置具有相应功能的软件，并定期进行升级和 更新防恶意代码库。可信验证：可基于可信根对计算机设备的系统引导程序，系统程序等进行可信验证, 并在检测到其可信性受到破坏后进行报警。数据完整性:应采用检验技术保证重要数据在传输过程中的完整性。数据备份恢复：应提供重要数据的本地数据备份与恢复功能。4 .安全的区域边界边界防护：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通 信。访问控制：1.应在网络边界根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有

4、通信。2 .应删除多余或无效的访问控制规则，优化访问控制列表，并保 证控制规则数量最小化。3 .应对源地址，目的地址，源端口，目的端口和协议等进行检查，以允许/拒绝数据包进出。可信验证：可基于可信根对边界设备的系统引导程序，系统程序等进行可信验证, 并在检测到其可信性受到破坏后进行报警。5.安全管理中心无二.管理安全大类L安全管理制度管理制度：应建立日常管理活动中常用的安全管理制度。2 .安全管理机构岗位设置：应设立系统管理员等岗位，并定义各个工作岗位的职责。人员配备：应配备一定数量的系统管理员。授权和审批：应根据各个部门和岗位的职责明确授权审批事项，审批部门和批准 人等。3 .安全管理人员人

5、员录用：应指定或授权专门的部门或人员负责人员录用。人员离岗：应及时终止离岗人员的所有访问权限，取回各种身份证件，钥匙，徽章等以 及机构提供的软硬件设备。安全意识教育和培训：应对各类人员进行安全意识教育和岗位技能培训I,并告知相关的安全责任和 惩戒措施。外部人员访问管理：应保证在外部人员访问受控区域前得到授权或审批。4 .安全建设管理定级和备案：应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由。安全方案设计：应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安 全措施。产品采购和使用：应确保网络安全产品和使用符合国家的有关规定。工程实施：应指定或授权专门的部门或人员负

6、责工程实施过程的管理。测试验收：应进行安全性测试验收。系统交付：1 .应制定交付清单，并根据交付清单对所交接的设备，软件和文档等进行清 点O2,应对应负责运维维护的技术人员进行相应的技能培训。服务供应商管理：1 .应确保服务供应商的选择符合国家的有关规定。2 .应与选型的服务供应商签订与安全相关的协议，明确约定相关责任。5.安全运维管理环境管理：L应指定专门的部门或者人员负责机房安全，对机房进出人进行管理，定期 对机房供配电，空调，温湿度控制，消防等设施进行维护管理。2 .应对机房的安全管理做出规定，包括物理访问，物品进出和环境安全等方 面。介质管理：应将介质存放在安全的环境中，对各类介质进行

7、控制和保护，实行存储介质 专人管理，并根据存档介质的目录清单定期盘点。设备维护管理：应对各种设备（包括备份和冗余设备），线路等指定专门的部门的部门或人 员定期进行维护管理。漏洞和风险管理：应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行 修补或评估可能的影响后进行修补。网络和系统安全管理：3 .应划分不同的管理员角色进行网络和系统运维管理，明确各个角色的责任 和权限。4 .应指定专门的部门或人员进行账户管理，对申请账户，建立账户，删除账 户等进行控制。恶意代码防范管理：1 .应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前 进行恶意代码检查等。2 .应对恶意代

8、码防范要求做出规定，包括恶意代码软件的授权使用，恶意代 码库升级，恶意代码的定期查杀等。备份与恢复管理：3 .应识别需要定期备份的重要业务信息，系统数据及软件系统等。4 .应规定备份信息的备份方式，备份频度，存储介质，保存期等。安全事件处置：1 .应及时向安全管理部门报告所发现的安全弱点和可疑事件。2 .应明确安全事件的报告和处置流程，规定安全事件的现场处理，实践报告 和后期恢复的管理制度。二级测评要求指标一技术安全大类L安全的物理环境物理位置选择a）机房场地应选择在具有防震、防风和防雨等能力的建筑内；b）机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。物理访问控制a）机房出

9、入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员。防盗窃和防破坏a）应将设备或主要部件进行固定，并设置明显的不易除去的标识；b）应将通信线缆铺设在隐蔽安全处。防雷击a）应将各类机柜、设施和设备等通过接地系统安全接地。防火a）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；b）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。防水和防潮a）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；b）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。防静电a）应采用防静电地板或地面并采用必要的接地防静电措施。温湿度控制a）应设置温湿度自动调节设施，使机房温湿

10、度的变化在设备运行所允许的范围之内。电力供应a）应在机房供电线路上配置稳压器和过电压防护设备；b）应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。电磁防护a）电源线和通信线缆应隔离铺设，避免互相干扰。2 .安全的通信网络网络架构a）应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；b）应避免将重要网络区域部署在边界处，重要 网络区域与其他网络区域之间应采取可靠的技 术隔离手段。通信传输a）应采用校验技术保证通信过程中数据的完整性。可信验证a）可基于可信根对通信设备的系统引导程序、 系统程序、重要配置参数和通信应用程序等进 行可信验证，并在检测到其可信性受到

11、破坏后 进行报警，并将验证结果形成审计记录送至安 全管理中心。3 .安全的计算环境身份鉴别a）应对登录的用户进行身份标识和鉴别，身份 标识具有唯一性，身份鉴别信息具有复杂度要 求并定期更换；b）应具有登录失败处理功能，应配置并启用结 束会话、限制非法登录次数和当登录连接超时 自动退出等相关措施；c）当进行远程管理时，应采取必要措施防止鉴 别信息在网络传输过程中被窃听。访问控制a）应对登录的用户分配账户和权限；b）应重命名或删除默认账户，修改默认账户的 默认口令；c）应及时删除或停用多余的、过期的账户，避 免共享账户的存在；d）应授予管理用户所需的最小权限，实现管理 用户的权限分离。安全审计a）

12、应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；b）审计记录应包括事件的日期和时间、用户、 事件类型、事件是否成功及其他与审计相关的 信息；c）应对审计记录进行保护，定期备份，避免受 到未预期的删除、修改或覆盖等。入侵防范a）应遵循最小安装的原则，仅安装需要的组件 和应用程序；b）应关闭不需要的系统服务、默认共享和高危 端口；c）应通过设定终端接入方式或网络地址范围对 通过网络进行管理的管理终端进行限制；d）应提供数据有效性检验功能，保证通过人机 接口输入或通过通信接口输入的内容符合系统设定要求；e）应能发现可能存在的已知漏洞，并在经过充 分测试评估后，及时修补

13、漏洞。恶意代码防范a）应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。可信验证a）可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可 信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。数据完整性a）应采用校验技术保证重要数据在传输过程中的完整性。数据备份恢复a）应提供重要数据的本地数据备份与恢复功能；b）应提供异地数据备份功能，利用通信网络将重要数据定时批量传送至备用场地。剩余信息保护a）应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除。个人信息保护a）应仅采集和保存业务必须的用户个人信

14、息。b）应禁止或未授权访问和非法使用用户个人信息。4 .安全的区域边界边界防护a）应保证跨越边界的访问和数据流通过边界设 备提供的受控接口进行通信。访问控制a）应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；b）应删除多余或无效的访问控制规则，优化访 问控制列表，并保证访问控制规则数量最小 化；c）应对源地址、目的地址、源端口、目的端口 和协议等进行检查，以允许/拒绝数据包进出； d）应能根据会话状态信息为进出数据流提供明 确的允许/拒绝访问的能力。入侵防范a）应在关键网络节点处监视网络攻击行为。恶意代码和垃圾邮件防范a）应在关健网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新。安全审计a）应在网络边界、重要网络节点进行安全审 计，审计覆盖到每个用户，对重要的用户行为 和重要安全事件进行审计；b）审计记录应包括事件的日期和时间、用户、 事件类型、事件是否成功及其他与审计相关的 信息；c）应对审计记录进行保护，定期备份，避免受 到未预期的删除、修改或覆盖等。可信验证a）可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。5.安全管理中心系统管理a）应对系统管理员进行身份