《信息系统安全等级保护基本要求》二级、三级等级保护要求比较

《信息系统安全等级保护基本要求》二级、三级等级保护要求比较一、技术要求

二、管理要求

深信服等级保护(三级)建设方案

朔州市交警队等级保护（三级）建设方案深信服科技（深圳）有限公司 2017年8月

目录 1项目概述 (1) 2等级保护建设流程 (2) 3方案参照标准 (4) 4信息系统定级备案 (5) 4.1信息系统定级 (5) 4.2信息系统备案 (7) 5系统安全需求分析 (8) 6安全风险与差距分析 (12) 6.1物理安全风险与差距分析 (12) 6.2计算环境安全风险与差距分析 (12) 6.3区域边界安全风险与差距分析 (14) 6.4通信网络安全风险与差距分析 (15) 7技术体系方案设计 (17) 7.1方案设计目标 (17) 7.2方案设计框架 (17) 7.3安全域的划分 (18) 7.3.1安全域划分的依据 (18) 7.3.2安全域划分与说明 (19)

7.4安全技术体系设计 (19) 7.4.1机房与配套设备安全设计 (19) 7.4.2计算环境安全设计 (21) 7.4.3区域边界安全设计 (28) 7.4.4通信网络安全设计 (30) 7.4.5安全管理中心设计 (33) 8安全管理体系设计 (37) 9系统集成设计 (39) 9.1软硬件产品部署图 (39) 9.2安全产品部署说明 (42) 9.3产品选型 (45) 9.2.1选型建议 (45) 9.2.2选型要求 (45)

1项目概述随着信息化的发展，朔州市交警队的业务开展也越来越依托于网络平台，但纵观当前的安全形势，各种安全事件层出不穷，而朔州市交警队目前的网络中，安全设备较少，以前买的安全设备由于网络带宽升级，使用耗损等，其性能也渐渐不能满足朔州市交警队目前的网络安全需求，严重制约了朔州市交警队的信息化脚步。因此朔州市交警队希望加快信息化建设，以实现电子办公，执法信息网络公开化等。通过对朔州市交警队信息化现状调研、分析，结合等级保护在物理安全、网络安全、主机安全、应用安全、数据安全、安全管理制度、安全管理机构、人员安全、系统建设、系统运维十个方面的要求，逐步完善信息安全组织、落实安全责任制，开展管理制度建设、技术措施建设，落实等级保护制度的各项要求，使得单位信息系统安全管理水平明显提高，安全保护能力明显增强，安全隐患和安全事故明显减少，有效保障信息化健康发展。

机房等级保护第二级基本要求

1 第二级基本要求 1.1 技术要求 1.1.1 物理安全 1.1.1.1 物理位置的选择（G2）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。 1.1.1.2 物理访问控制（G2）本项要求包括： a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员； b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。 1.1.1.3 防盗窃和防破坏（G2）本项要求包括： a)应将主要设备放置在机房内； b)应将设备或主要部件进行固定，并设置明显的不易除去的标记； c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d)应对介质分类标识，存储在介质库或档案室中； e)主机房应安装必要的防盗报警设施。 1.1.1.4 防雷击（G2）本项要求包括： a)机房建筑应设置避雷装置； b)机房应设置交流电源地线。 1.1.1.5 防火（G2）机房应设置灭火设备和火灾自动报警系统。 1.1.1.6 防水和防潮（G2）本项要求包括： a)水管安装，不得穿过机房屋顶和活动地板下； b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。 1.1.1.7 防静电（G2）关键设备应采用必要的接地防静电措施。 1.1.1.8 温湿度控制（G2）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。 1.1.1.9 电力供应（A2）本项要求包括： a)应在机房供电线路上配置稳压器和过电压防护设备； b)应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。 1.1.1.10 电磁防护（S2）

等级保护三级信息系统规章制度应用清单

信息系统信息安全等级保护-管理部分2015年12月14日

注：以下所提供的材料包括制度、文档和记录清单。

目录 1 安全管理制度 (5) 1.1 安全管理 (5) 1.2 制定和发布 (5) 1.3 评审和修订 (6) 2 安全管理机构 (7) 2.1 岗位职责文件 (7) 2.2 人员配备 (7) 2.3 授权和审批 (8) 2.4 沟通和合作 (9) 2.5 安全检查 (9) 3 人员安全管理 ............................................................................................................................. 11 11 3.1 人员录用 ......................................................................................................................... 12 3.2 人员离岗 ......................................................................................................................... 12 3.3 人员考核 ......................................................................................................................... 3.4 安全意识教育和培训 (13) 3.5 外部人员访问管理 (13) 14 4 系统建设管理 ............................................................................................................................. 4.1 系统定级 ......................................................................................................................... 14 15 4.2 安全方案设计................................................................................................................. 4.3 产品采购和使用 (16)

国家信息安全等级保护制度第三级要求

国家信息安全等级保护制度第三级要求 1 第三级基本要求 1.1技术要求 1.1.1 物理安全 1.1.1.1 物理位置的选择(G3) 本项要求包括: a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内; b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制(G3) 本项要求包括: a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员; b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围; c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过渡区域; d) 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。

1.1.1.3 防盗窃和防破坏(G3) 本项要求包括: a) 应将主要设备放置在机房内; b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记; c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中; d) 应对介质分类标识,存储在介质库或档案室中; e) 应利用光、电等技术设置机房防盗报警系统; f) 应对机房设置监控报警系统。 1.1.1.4 防雷击(G3) 本项要求包括: a) 机房建筑应设置避雷装置; b) 应设置防雷保安器,防止感应雷; c) 机房应设置交流电源地线。 7.1.1.5 防火(G3) 本项要求包括: a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火; b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;

c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮(G3) 本项要求包括: a) 水管安装,不得穿过机房屋顶和活动地板下; b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透; c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透; d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。 1.1.1.7 防静电(G3) 本项要求包括: a) 主要设备应采用必要的接地防静电措施; b) 机房应采用防静电地板。 1.1.1.8 温湿度控制(G3) 机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。 1.1.1.9 电力供应(A3) 本项要求包括: a) 应在机房供电线路上配置稳压器和过电压防护设备; b) 应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运

三级系统等级保护技术项目建议书

华为三级等级保护建设技术建议书目录 1概述 (4) 2等级保护实施概述 (5) 2.1 参照标准 (5) 2.2 基本原则 (5) 2.3 角色和职责 (7) 2.4 实施的基本流程 (9) 3信息系统安全定级 (10) 3.1 参照标准 (10) 3.2 定级原理 (10) 3.2.1 信息系统安全保护级别 (10) 3.2.2 信息系统安全保护等级的定级要素 (10) 3.3 信息系统定级阶段的工作流程 (12) 4信息系统详细设计方案 (14) 4.1 安全建设需求分析 (14) 4.1.1 网络结构安全 (14) 4.1.2 边界安全风险与需求分析 (14) 4.1.3 运维风险需求分析 (15) 4.1.4 关键服务器管理风险分析 (15) 4.1.5 关键服务器用户操作管理风险分析 (18)

4.1.6 数据库敏感数据运维风险分析 (19) 4.1.7 “人机”运维操作行为风险综合分析 (20) 4.2 安全管理需求分析 (21) 4.3 整改建议 (22) 4.4 安全保障体系总体建设 (24) 4.5 安全技术体系建设 (27) 4.5.1 建设方案设计原则 (27) 4.5.2 外网安全设计 (29) 4.5.3 内网安全设计 (31) 4.5.4 主机安全体系建设 (35) 4.5.5 应用通信安全体系 (35) 4.5.6 应用数据安全 (36) 5整改建议（依据项目增加内容） (37) 5.1.1 整改后拓扑 (37) 5.1.2 软硬件新增设备清单 (37) 5.1.3 软硬件产品介绍 (37) 6三级等级保护基本要求点对点应答 (37) 6.1 技术要求 (37) 6.1.1 物理安全 (37) 6.1.2 网络安全 (41) 6.1.3 主机安全 (44)

xx项目等级保护(三级)建设方案

××项目等级保护（三级）建设方案深信服科技（深圳）有限公司 2019年12月

目录 1项目概述 (5) 2等级保护建设流程 (5) 3方案参照标准 (7) 4信息系统定级 (7) 4.1.1定级流程 (7) 4.1.2定级结果 (9) 5系统现状分析 (10) 5.1机房及配套设备现状分析 (10) 5.2计算环境现状分析 (10) 5.3区域边界现状分析 (10) 5.4通信网络现状分析............................................................................................................................................... 错误！未定义书签。 5.5安全管理中心现状分析 (10) 6安全风险与差距分析 (10) 6.1物理安全风险与差距分析 (10) 6.2计算环境安全风险与差距分析 (11) 6.3区域边界安全风险与差距分析 (13) 6.4通信网络安全风险与差距分析 (14) 6.5安全管理中心差距分析 (15) 7技术体系方案设计 (16) 7.1方案设计目标 (16) 7.2方案设计框架 (16) 7.3安全域的划分 (17) 7.3.1安全域划分的依据 (17) 7.3.2安全域划分与说明 (18)

7.4安全技术体系设计 (19) 7.4.1机房与配套设备安全设计 (19) 7.4.2计算环境安全设计 (20) 7.4.2.1身份鉴别 (20) 7.4.2.2访问控制 (21) 7.4.2.3系统安全审计 (21) 7.4.2.4入侵防范 (22) 7.4.2.5主机恶意代码防范 (23) 7.4.2.6软件容错 (23) 7.4.2.7数据完整性与保密性 (23) 7.4.2.8备份与恢复 (25) 7.4.2.9资源控制 (26) 7.4.2.10客体安全重用 (27) 7.4.2.11抗抵赖 (27) 7.4.2.12不同等级业务系统的隔离与互通 (27) 7.4.3区域边界安全设计 (28) 7.4.3.1边界访问控制入侵防范恶意代码防范与应用层防攻击 (28) 7.4.3.2流量控制 (29) 7.4.3.3边界完整性检查 (31) 7.4.3.4边界安全审计 (31) 7.4.4通信网络安全设计 (33) 7.4.4.1网络结构安全 (33) 7.4.4.2网络安全审计 (34) 7.4.4.3网络设备防护 (35) 7.4.4.4通信完整性与保密性 (35) 7.4.4.5网络可信接入 (36) 7.4.5安全管理中心设计 (37) 7.4.5.1系统管理 (37)

信息系统安全等级保护基本要求(三级要求)

信息系统安全等级保护基本要求 1 三级基本要求 (3) 1.1 技术要求 (3) 1.1.1 物理安全 (3) 1.1.1.1 物理位置的选择（G3） (3) 1.1.1.2 物理访问控制（G3） (3) 1.1.1.3 防盗窃和防破坏（G3） (3) 1.1.1.4 防雷击（G3） (3) 1.1.1.5 防火（G3） (3) 1.1.1.6 防水和防潮（G3） (4) 1.1.1.7 防静电（G3） (4) 1.1.1.8 温湿度控制（G3） (4) 1.1.1.9 电力供应（A3） (4) 1.1.1.10 电磁防护（S3） (4) 1.1.2 网络安全 (4) 1.1.2.1 结构安全（G3） (4) 1.1.2.2 访问控制（G3） (4) 1.1.2.3 安全审计（G3） (5) 1.1.2.4 边界完整性检查（S3） (5) 1.1.2.5 入侵防范（G3） (5) 1.1.2.6 恶意代码防范（G3） (5) 1.1.2.7 网络设备防护（G3） (5) 1.1.3 主机安全 (6) 1.1.3.1 身份鉴别（S3） (6) 1.1.3.2 访问控制（S3） (6) 1.1.3.3 安全审计（G3） (6) 1.1.3.4 剩余信息保护（S3） (7) 1.1.3.5 入侵防范（G3） (7) 1.1.3.6 恶意代码防范（G3） (7) 1.1.3.7 资源控制（A3） (7) 1.1.4 应用安全 (7) 1.1.4.1 身份鉴别（S3） (7) 1.1.4.2 访问控制（S3） (8) 1.1.4.3 安全审计（G3） (8) 1.1.4.4 剩余信息保护（S3） (8) 1.1.4.5 通信完整性（S3） (8) 1.1.4.6 通信保密性（S3） (8) 1.1.4.7 抗抵赖（G3） (8) 1.1.4.8 软件容错（A3） (8) 1.1.4.9 资源控制（A3） (8) 1.1.5 数据安全及备份恢复 (9) 1.1.5.1 数据完整性（S3） (9) 1.1.5.2 数据保密性（S3） (9)

信息安全等级保护(三级)建设方案

信息安全等级保护（三级）建设方案

目录 1. 前言 (3) 1.1 概述 (3) 1.2 相关政策及标准 (3) 2. 现状及需求分析 (5) 2.1. 现状分析 (5) 2.2. 需求分析 (5) 3. 等保三级建设总体规划 (6) 3.1. 网络边界安全建设 (6) 3.2. 日志集中审计建设 (6) 3.3. 安全运维建设 (6) 3.4. 等保及安全合规性自查建设 (6) 3.5. 建设方案优势总结 (7) 4. 等保三级建设相关产品介绍 (9) 4.1. 网络边界安全防护 (9) 4.1.1 标准要求 (9) 4.1.2 明御下一代防火墙 (10) 4.1.3 明御入侵防御系统（IPS） (13) 4.2. 日志及数据库安全审计 (15) 4.2.1 标准要求 (15) 4.2.2 明御综合日志审计平台 (17) 4.2.3 明御数据库审计与风险控制系统 (19) 4.3. 安全运维审计 (22) 4.3.1 标准要求 (22) 4.3.2 明御运维审计和风险控制系统 (23) 4.4. 核心WEB应用安全防护 (26) 4.3.1 标准要求 (26) 4.3.2 明御WEB应用防火墙 (27) 4.3.3 明御网站卫士 (30) 4.5. 等保及安全合规检查 (31) 4.5.1 标准要求 (31) 4.5.2 明鉴WEB应用弱点扫描器 (32) 4.5.3 明鉴数据库弱点扫描器 (34) 4.5.4 明鉴远程安全评估系统 (37) 4.5.5 明鉴信息安全等级保护检查工具箱 (38) 4.6. 等保建设咨询服务 (40) 4.6.1 服务概述 (40) 4.6.2 安全服务遵循标准 (41) 4.6.3 服务内容及客户收益 (41) 5. 等保三级建设配置建议 (42)

等级保护测评项目测评方案-2级和3级标准

信息安全等级保护测评项目测评方案广州华南信息安全测评中心二〇一六年

目录第一章概述 (3) 第二章测评基本原则 (4) 一、客观性和公正性原则 (4) 二、经济性和可重用性原则 (4) 三、可重复性和可再现性原则 (4) 四、结果完善性原则 (4) 第三章测评安全目标（2级） (5) 一、技术目标 (5) 二、管理目标 (6) 第四章测评内容 (9) 一、资料审查 (10) 二、核查测试 (10) 三、综合评估 (10) 第五章项目实施 (12) 一、实施流程 (12) 二、测评工具 (13) 2.1 调查问卷 (13) 2.2 系统安全性技术检查工具 (13) 2.3 测评工具使用原则 (13) 三、测评方法 (14) 第六章项目管理 (15) 一、项目组织计划 (15) 二、项目成员组成与职责划分 (15) 三、项目沟通 (16) 3.1 日常沟通，记录和备忘录 (16) 3.2 报告 (16) 3.3 正式会议 (16) 第七章附录：等级保护评测准则 (19) 一、信息系统安全等级保护 2 级测评准则 (19) 1.1 基本要求 (19) 1.2 评估测评准则 (31) 二、信息系统安全等级保护 3 级测评准则 (88) 基本要求 (88) 评估测评准则 (108)

第一章概述 2003 年中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）以及 2004 年 9 月四部委局联合签发的《关于信息安全等级保护工作的实施意见》等信息安全等级保护的文件明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南。” 2009 年 4 月广东省公安厅、省保密局、密码管理局和省信息化工作领导小组联合发文《广东省深化信息安全等级保护工作方案》(粤公通字[2009]45 号)中又再次指出，“通过深化信息安全等级保护，全面推动重要信息系统安全整改和测评工作，增强信息系统安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，提高信息安全保障能力，维护国家安全、社会稳定和公共利益，保障和促进信息化建设”。由此可见，等级保护测评和等级保护安全整改工作已经迫在眉睫。

安全等级保护2级和3级等保要求

二级、三级等级保护要求比较一、技术要求技术要求项二级等保三级等保物理位置的选择1）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。 1）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内； 2）机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁； 3）机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生火灾、水灾、易遭受雷击的地区。物理访问控制1）机房出入口应有专人值守，鉴别进入的人员身份并登记在案； 2）应批准进入机房的来访人员，限制和监控其活动范围。 1）机房出入口应有专人值守，鉴别进入的人员身份并登记在案； 2）应批准进入机房的来访人员，限制和监控其活动范围； 3）应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过度区域； 4）应对重要区域配置电子门禁系统，鉴别和记录进入的人员身份并监控其活动。物理安全防盗窃和防破坏1）应将主要设备放置在物理受限的范围内； 2）应对设备或主要部件进行固定，并设置明显的不易除去的标记； 3）应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等； 4）应对介质分类标识，存储在介质库或档案室中； 5）应安装必要的防盗报警设施，以防进入机房的盗窃和破坏行为。 1）应将主要设备放置在物理受限的范围内； 2）应对设备或主要部件进行固定，并设置明显的无法除去的标记； 3）应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等； 4）应对介质分类标识，存储在介质库或档案室中； 5）设备或存储介质携带出工作环境时，应受到监控和内容加密； 6）应利用光、电等技术设置机房的防盗报警系统，以防进入机房的盗窃和破坏行为； 7）应对机房设置监控报警系统。

信息系统安全等级保护基本要求三级要求

信息系统安全等级保护基本要求第三级安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。 1 三级基本要求 1.1技术要求 1.1.1物理安全 1.1.1.1物理位置的选择（G3）本项要求包括： a）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内； b）机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 1.1.1.2物理访问控制（G3）本项要求包括： a）机房出入口应安排专人值守，控制、鉴别和记录进入的人员； b）需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围； c）应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域； d）重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。 1.1.1.3防盗窃和防破坏（G3）本项要求包括: a）应将主要设备放置在机房内；

b）应将设备或主要部件进行固定，并设置明显的不易除去的标记； c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d）应对介质分类标识，存储在介质库或档案室中； e）应利用光、电等技术设置机房防盗报警系统； f）应对机房设置监控报警系统。 1.1.1.4防雷击（G3）本项要求包括： a）机房建筑应设置避雷装置； b）应设置防雷保安器，防止感应雷； c）机房应设置交流电源地线。 1.1.1.5防火（G3）本项要求包括： a）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；b）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料； c）机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。 1.1.1.6防水和防潮（G3）本项要求包括： a）水管安装，不得穿过机房屋顶和活动地板下； b）应米取措施防止雨水通过机房窗户、屋顶和墙壁渗透； c）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透； d）应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。

某单位信息安全等级保护建设方案

xxxxxx 信息安全等级保护（三级）建设项目设计方案二〇一八年二月

文档控制文档名称： xxxxxx 信息安全等保保护建设（三级）设计方案版本信息本文档版权归xxxxxx股份有限公司所有，未经xxxx有限公司允许，本文档里的任何内容都不得被用来宣传和传播。未经xxxx有限公司书面批准，文档或任何类似的资讯都不允许被发布。

目录第一章项目概述 (5) 项目概述 (5) 项目建设背景 (5) 1.2.1法律要求 (6) 1.2.2政策要求 (7) 项目建设目标及内容 (8) 1.3.1项目建设目标 (8) 1.3.2建设内容 (8) 第二章现状与差距分析 (9) 现状概述 (9) 2.1.1信息系统现状 (9) 现状与差距分析 (11) 2.2.1物理安全现状与差距分析 (11) 2.2.2网络安全现状与差距分析 (17) 2.2.3主机安全现状与差距分析 (26) 2.2.4应用安全现状与差距分析 (34) 2.2.5数据安全现状与差距分析 (41) 2.2.6安全管理现状与差距分析 (44) 综合整改建议 (49)

2.3.1技术措施综合整改建议 (49) 2.3.2安全管理综合整改建议 (58) 第三章安全建设目标 (60) 第四章安全整体规划 (62) 建设指导 (62) 4.1.1指导原则 (62) 4.1.2安全防护体系设计整体架构 (63) 安全技术规划 (65) 4.2.1安全建设规划拓朴图 (65) 4.2.2安全设备功能 (66) 建设目标规划 (71) 第五章工程建设 (73) 工程一期建设 (73) 5.1.1区域划分 (73) 5.1.2网络环境改造 (73) 5.1.3网络边界安全加固 (74) 5.1.4网络及安全设备部署 (75) 5.1.5安全管理体系建设服务 (104) 5.1.6安全加固服务 (120) 5.1.7应急预案和应急演练 (127) 5.1.8安全等保认证协助服务 (128)

网络安全等级保护第三级基本要求

1 第三级基本要求（共290小项）1.1 技术要求（共136小项） 1.1.1 物理安全（共32小项） 1.1.1.1 物理位置的选择（G3）本项要求包括： a) b)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制（G3）本项要求包括： a) b) c) d)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。 1.1.1.3 防盗窃和防破坏（G3）本项要求包括： a) b) c) d) e) f)应将主要设备放置在机房内；应将设备或主要部件进行固定，并设置明显的不易除去的标记；应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；应对介质分类标识，存储在介质库或档案室中；应利用光、电等技术设置机房防盗报警系统；应对机房设置监控报警系统。 1.1.1.4 防雷击（G3）本项要求包括： a) b) c)机房建筑应设置避雷装置；应设置防雷保安器，防止感应雷；机房应设置交流电源地线。 1.1.1.5 防火（G3）本项要求包括： a) b) c)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮（G3）本项要求包括： a) b) c)水管安装，不得穿过机房屋顶和活动地板下；应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；

(完整word版)安全等级保护建设方案

Xx 信息安全等级保护（三级）建设方案

业务内网等级保护三级整改建设案例1背景

业务内网等级保护三级整改建设案例 1背景某政府机关单位为保证其核心业务应用的持续、稳定运行，实现各核心业务应用之间信息的安全共享，该单位按照《信息安全等级保护管理办法》（公通字[2007]43号）文件精神，结合自身核心业务系统特点开展信息安全等级保护建设整改工作。在项目推进的前期准备阶段，该单位信息中心对自身业务系统的安全状况，邀请了专业的第三方等级保护咨询服务商进行了深入的调研和评估，梳理和整理了当前运行的所有业务系统，并依据《信息系统等级保护定级指南》对自身核心业务系统的保护进行了定级备案、差距分析与风险评估、安全规划等一系列准备工作。上级单位通过了该单位等级保护整改建设方案的评审，该单位等级保护工作正式进入整改建设阶段。 2安全需求该单位定级了若干重要信息系统如XXX规划信息管理系统、XXX监测预警系统、XXX 培训管理系统、XXX办公自动化系统、XXX收费管理系统等诸多信息系统。所有信息系统全部是内网互联，不与互联网直接连接。内网有办公人员、运维人员及第三方开发人员。根据等级保护建设前期调研、评估过程，依据《GB17859-1999信息安全技术信息系统安全保护等级定级指南》和第三方等级保护咨询机构的建议，最终确定本次等级保护建设需求如下： 1.业务内网现有网络架构都是单节点部署同时没有划分安全域，需要优化设计。 2.各个网络区域边界没有访问控制措施。 3.提高安全维护人员对入侵行为的检测能力。 4.建立符合等级保护要求的内部审计机制。 5.构建基于用户身份的网络准入控制体系。 6.从业务角度出发，强化应用安全、保护隐私数据。

7.建立并保持一个文件化的信息安全管理体系，明确管理职责、规范操作行为。 3方案设计通过对现状资产梳理，差距分析后，先将整体网络架构重新设计，如下图：安全技术层面：物理安全：机房要满足等保三级基础要求；网络安全：网络结构进行优化，所有核心节点全冗余部署，同时还要有网络优先级控制；所有安全区域边界位置部署NGAF，开启FW、IDS、WAF、AV模块；核心区域部署AC，实现网络行为审计功能。主机安全：服务器及用户终端统一安装网络杀毒软件；服务器及用户终端统一安装必要的终端安全管理系统；进行人工干预的安全加固工作。应用安全：使用统一认证系统进行身份管理和认证管理；重要业务访问建立安全加密连接，通过部署AD实现ssl卸载；业务服务器前端部署AD实现通信可用性保障；建立CA系统保证抗抵赖机制；实行代码审计工作防御应用级安全漏洞。

计算机信息系统安全等级保护三级

计算机信息系统安全等级保护三级申请条件：（一）综合条件 1. 企业是在中华人民共和国境内注册的企业法人，变革发展历程清晰、产权关系明确，取得信息系统集成四级资质的时间不少于一年，或从事系统集成业务的时间不少于两年。 2. 企业主业是系统集成，近三年的系统集成收入总额占营业收入总额的比例不低于50％。 3. 企业注册资本和实收资本均不少于200万元, 或所有者权益合计不少于200万元。（二）财务状况 1. 企业近三年的系统集成收入总额不少于5000万元，或不少于4000万元且近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于70％，财务数据真实可信，须经在中华人民共和国境内登记的会计师事务所审计。 2. 企业财务状况良好。（三）信誉 1. 企业有良好的资信，近三年无触犯国家法律法规的行为。 2. 企业有良好的知识产权保护意识，近三年完成的系统集成项目中无销售或提供非正版软件的行为。 3. 企业有良好的履约能力，近三年没有因企业原因造成验收未通过的项目或应由企业承担责任的用户重大投诉。 4. 企业近三年无不正当竞争行为。 5. 企业遵守信息系统集成资质管理相关规定，在资质申报和资质证书使用过程中诚实守信，近三年无不良行为。（四）业绩 1. 近三年完成的系统集成项目总额不少于5000万元，或不少于4000万元且近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于70％。这些项目已通过验收。 2. 近三年至少完成1个合同额不少于300万元的系统集成项目，或所完成合同额不少于100万元的系统集成项目总额不少于300万元，或所完成合同额不少于50万元的纯软件和信息技术服务项目总额不少于150万元。 3. 近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于30％，或软件和信息技术服务费总额不少于1500万元，或软件开发费总额不少于800万元。（五）管理能力 1. 已建立质量管理体系，通过国家认可的第三方认证机构认证，并能有效运行。 2. 已建立完备的客户服务体系，能及时、有效地为客户提供服务。 3. 企业的主要负责人从事信息技术领域企业管理的经历不少于3年，主要技术负责人应具有计算机信息系统集成项目管理人员资质或电子信息类专业硕士及以上学位或电子信息类中级及以上技术职称、且从事系统集成技术工作的经历不少于3年，财务负责人应具有财务系列初级及以上职称。（六）技术实力 1. 在主要业务领域具有较强的技术实力。 2. 经过第三方评测鉴定或用户使用认可的自主开发的软件产品不少于3个，且部分软件产品在近三年已完成的项目中得到了应用。 3. 有专门从事软件或系统集成技术开发的研发人员，已建立基本的软件开发与测试体系，

医院信息安全等级保护三级建设思路

医院信息安全等级保护三级建设思路摘要随着医院信息化发展的不断深化，医院的信息安全工作显得越为重要，近期卫生部要求深化落实国家信息安全等级保护制度，要求原则上医院核心信息系统定级不低于第三级。为此本文按照系统的定级、备案、整改、测评、自查与配合监察五个流程详细的介绍了医院进行信息安全等级保护三级建设的思路。关键词等级保护；安全；定级；测评 1 背景随着医院信息化的迅猛发展，医院信息系统已经深入到医疗工作的各个环节之中，信息系统的安全一旦受到威胁将会严重影响到医疗活动的顺利开展，因此该工作受到了医院越来越高的重视。信息安全等级保护是国家出台的针对信息安全分级保护的制度，其最终目的就是保护重要的信息系统的安全，提高信息系统的防护能力和应急水平。为了信息安全等级保护制度能够更好的在各医院得到有效的落实，国家有关部门针对医疗行业的实际现状印发了《卫生行业信息安全等级保护工作的指导意见》的通知卫办发[2011] 85 号，此文件在信息安全保护和医疗行业信息安全管理之间起到承接桥梁的作用。根据文件精神，医院的核心业务信息系统安全保护等级原则上不低于第三级。 2 医院信息安全等级保护建设流程 2.1 信息系统定级信息系统定级主要考虑两个方面，一是业务信息受到破坏时的客观对象是谁，二是对于客观对象的损坏程度如何。两方面结合根据表1来制定本单位的具体哪个信息系统应该定位第几级。针对医院，一般门诊量都比较大，当在早晨挂号、就诊等高峰的时候就会有大量的患者排队，如果一旦发生系统瘫痪就会造成大面积患者排队，很容易引发群体事件。因此，定义为对“社会秩序、公共利益”造成“严重损害”，即信息安全等级保护定级为第三级。涉及的信息系统即与挂号、就诊等门诊患者密切相关的系统。 2.2 信息系统评审与备案按照等级保护管理办法和定级指南要求，在完成对本单位信息系统的自主定级后需要将业务系统自主定级结果提交卫生部审批。在定级审批过程中，卫生部

信息系统安全等级保护第二级要求技术要求物理安全物理位置选择说课材料

信息系统安全等级保护第二级要求技术要求物理安全物理位置选择（G2）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。物理访问控制（G2） a.机房出入口应安排专人值守，控制、鉴别和记录进入的人员 b.需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围防盗窃和防破坏 a.应将主要设备放置在机房内 b.应将设备或主要部件进行固定，并设置明显的不易除去的标记 c.应将通信线缆铺设在隐藏处，可铺设在地下或管道中 d.应对介质分类标识，存储在介质库或档案室中 e.主机房应安装必要的防盗报警设施防雷击 a.机房建筑应设置避雷装置 b.机房应设置交流电源地线防火机房应设置灭火设置和火灾自动报警系统防水和防潮 a.水管安装，不得穿过机房屋顶和活动地板下 b.采取措施防止雨水通过机房窗户、屋顶和墙壁渗透 c.采取措施防止机房内水蒸气结露和地下积水的转移与渗透防静电关键设备应采用必要的接地防静电措施温湿度控制机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内电力供应（A2） a.在机房供电线路上配置稳压器和过电压防护设备 b.提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求电磁防护（S2）电源线和通信线缆应隔离铺设，避免互相干扰网络安全结构安全（G2） a.保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要 b.保证接入网络和核心网络的带宽满足业务高峰期需要 c.绘制与当前运行情况相符的网络拓扑结构图 d.根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照

信息系统安全等级保护三级基本要求

目次前言............................................................................... IX 引言................................................................................ X 1 范围.. (1) 2规范性引用文件 (1) 3术语和定义.......................................................... 错误！未定义书签。4信息系统安全等级保护概述 (1) 4.1 信息系统安全保护等级 (1) 4.2 不同等级的安全保护能力 (1) 4.3 基本技术要求和基本管理要求 (1) 4.4 基本技术要求的三种类型 (2) 5第一级基本要求...................................................... 错误！未定义书签。 5.1 技术要求.......................................................... 错误！未定义书签。 5.1.1物理安全........................................................ 错误！未定义书签。 5.1.1.1 物理访问控制（G1）............................................ 错误！未定义书签。 5.1.1.2 防盗窃和防破坏（G1）.......................................... 错误！未定义书签。 5.1.1.3 防雷击（G1）.................................................. 错误！未定义书签。 5.1.1.4 防火（G1）.................................................... 错误！未定义书签。 5.1.1.5 防水和防潮（G1）.............................................. 错误！未定义书签。 5.1.1.6 温湿度控制（G1）.............................................. 错误！未定义书签。 5.1.1.7 电力供应（A1）................................................ 错误！未定义书签。 5.1.2网络安全........................................................ 错误！未定义书签。 5.1.2.1 结构安全（G1）................................................ 错误！未定义书签。 5.1.2.2 访问控制（G1）................................................ 错误！未定义书签。 5.1.2.3 网络设备防护（G1）............................................ 错误！未定义书签。 5.1.3主机安全........................................................ 错误！未定义书签。 5.1.3.1 身份鉴别（S1）................................................ 错误！未定义书签。 5.1.3.2 访问控制（S1）................................................ 错误！未定义书签。 5.1.3.3 入侵防范（G1）................................................ 错误！未定义书签。 5.1.3.4 恶意代码防范（G1）............................................ 错误！未定义书签。 5.1.4应用安全........................................................ 错误！未定义书签。 5.1.4.1 身份鉴别（S1）................................................ 错误！未定义书签。 5.1.4.2 访问控制（S1）................................................ 错误！未定义书签。 5.1.4.3 通信完整性（S1）.............................................. 错误！未定义书签。 5.1.4.4 软件容错（A1）................................................ 错误！未定义书签。 5.1.5数据安全及备份恢复.............................................. 错误！未定义书签。 5.1.5.1 数据完整性（S1）.............................................. 错误！未定义书签。 5.1.5.2 备份和恢复（A1）.............................................. 错误！未定义书签。 5.2 管理要求.......................................................... 错误！未定义书签。 5.2.1安全管理制度.................................................... 错误！未定义书签。 5.2.1.1 管理制度（G1）................................................ 错误！未定义书签。 5.2.1.2 制定和发布（G1）.............................................. 错误！未定义书签。 5.2.2安全管理机构.................................................... 错误！未定义书签。 I