安全等级保护2级和3级等保要求-蓝色为区别

二级、三级等级保护要求比较一、技术要求

二、管理要求

安全等级保护2级和3级等保要求-蓝色为区别2.

二级、三级等级保护要求比较一、技术要求技术要求项二级等保三级等保物理安全物理位置的选择1）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。 1）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内； 2）机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁； 3）机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生火灾、水灾、易遭受雷击的地区。物理访问控制1）机房出入口应有专人值守，鉴别进入的人员身份并登记在案； 2）应批准进入机房的来访人员，限制和监控其活动范围。 1）机房出入口应有专人值守，鉴别进入的人员身份并登记在案； 2）应批准进入机房的来访人员，限制和监控其活动范围； 3）应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过度区域； 4）应对重要区域配置电子门禁系统，鉴别和记录进入的人员身份并监控其活动。防盗窃和防破坏1）应将主要设备放置在物理受限的范围内； 2）应对设备或主要部件进行固定，并设置明显的不易除去的标记； 3）应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等； 4）应对介质分类标识，存储在介质库或档案室中； 5）应安装必要的防盗报警设施，以防进入机房的盗窃和破坏行为。 1）应将主要设备放置在物理受限的范围内； 2）应对设备或主要部件进行固定，并设置明显的无法除去的标记； 3）应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等； 4）应对介质分类标识，存储在介质库或档案室中； 5）设备或存储介质携带出工作环境时，应受到监控和内容加密； 6）应利用光、电等技术设置机房的防盗报警系统，以防进入机房的盗窃和破坏行为；

机房等级保护第二级基本要求

1 第二级基本要求 1.1 技术要求 1.1.1 物理安全 1.1.1.1 物理位置的选择（G2）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。 1.1.1.2 物理访问控制（G2）本项要求包括： a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员； b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。 1.1.1.3 防盗窃和防破坏（G2）本项要求包括： a)应将主要设备放置在机房内； b)应将设备或主要部件进行固定，并设置明显的不易除去的标记； c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d)应对介质分类标识，存储在介质库或档案室中； e)主机房应安装必要的防盗报警设施。 1.1.1.4 防雷击（G2）本项要求包括： a)机房建筑应设置避雷装置； b)机房应设置交流电源地线。 1.1.1.5 防火（G2）机房应设置灭火设备和火灾自动报警系统。 1.1.1.6 防水和防潮（G2）本项要求包括： a)水管安装，不得穿过机房屋顶和活动地板下； b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。 1.1.1.7 防静电（G2）关键设备应采用必要的接地防静电措施。 1.1.1.8 温湿度控制（G2）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。 1.1.1.9 电力供应（A2）本项要求包括： a)应在机房供电线路上配置稳压器和过电压防护设备； b)应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。 1.1.1.10 电磁防护（S2）

国家信息安全等级保护制度第三级要求

国家信息安全等级保护制度第三级要求 1 第三级基本要求 1.1技术要求 1.1.1 物理安全 1.1.1.1 物理位置的选择(G3) 本项要求包括: a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内; b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制(G3) 本项要求包括: a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员; b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围; c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过渡区域; d) 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。

1.1.1.3 防盗窃和防破坏(G3) 本项要求包括: a) 应将主要设备放置在机房内; b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记; c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中; d) 应对介质分类标识,存储在介质库或档案室中; e) 应利用光、电等技术设置机房防盗报警系统; f) 应对机房设置监控报警系统。 1.1.1.4 防雷击(G3) 本项要求包括: a) 机房建筑应设置避雷装置; b) 应设置防雷保安器,防止感应雷; c) 机房应设置交流电源地线。 7.1.1.5 防火(G3) 本项要求包括: a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火; b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;

c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮(G3) 本项要求包括: a) 水管安装,不得穿过机房屋顶和活动地板下; b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透; c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透; d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。 1.1.1.7 防静电(G3) 本项要求包括: a) 主要设备应采用必要的接地防静电措施; b) 机房应采用防静电地板。 1.1.1.8 温湿度控制(G3) 机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。 1.1.1.9 电力供应(A3) 本项要求包括: a) 应在机房供电线路上配置稳压器和过电压防护设备; b) 应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运

信息系统等级保护测评指标(二级与三级)

实用标准文档 1.信息系统等级保护测评指标等级保护的测评技术指标至少覆盖各系统等保二级、等级保三级的全部指标 1.1.等级保护二级测评基本指标分类子类基本要求物理位置的选择机房和办公场地应选择在具有防震、防风和防雨等能力的建（G2）筑内物理访问控制机房出入口应安排专人值守，控制、鉴别和记录进入的人员需进入机房的来访人员应经过申请和审批流程，并限制和监（G2）控其活动范围应将主要设备放置在机房内应将设备或主要部件进行固定，并设置明显的不易除去的标防盗窃和防破坏记（G2）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中应对介质分类标识，存储在介质库或档案室中主机房应安装必要的防盗报警设施防雷击（G2）机房建筑应设置避雷装置机房应设置交流电源地线物理安全防火（G2）机房应设置灭火设备和火灾自动报警系统。水管安装，不得穿过机房屋顶和活动地板下防水和防潮（G2）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透应采取措施防止机房内水蒸气结露和地下积水的转移与渗透防静电（G2）关键设备应采用必要的接地防静电措施温湿度控制（G2）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内应在机房供电线路上配置稳压器和过电压防护设备电力供应（A2）应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求电磁防护（S2）电源线和通信线缆应隔离铺设，避免互相干扰应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要应保证接入网络和核心网络的带宽满足业务高峰期需要结构安全（G2）应绘制与当前运行情况相符的网络拓扑结构图网络安全应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段应在网络边界部署访问控制设备，启用访问控制功能访问控制（G2）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级

等级保护二级与三级差别

等级保护二级系统与三级系统比较分析报告 2012年4月24号

目录 1.二级系统与三级系统的界定 (3) 2.二级系统与三级系统要求的防护能力差别 (3) 3.二级系统与三级系统的测评力度差别 (4) 4.二级系统与三级系统的强制测评周期区别 (4) 5.二级系统与三级系统的测评模型差别 (5) 6.二级系统与三级系统的测评指标的差别及问题解决方案（技术为例） (7) 7.二级系统与三级系统定级出现偏差的风险分析 (11)

1.二级系统与三级系统的界定《信息系统安全等级保护定级指南》中规定：第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 2.二级系统与三级系统要求的防护能力差别第二级系统应达到的安全保护能力：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段事件内恢复部分功能。第三级系统应达到的安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。

4.二级系统与三级系统的强制测评周期区别《信息安全等级保护管理办法》中第十四条规定：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评。二级系统不强制要求测评，但是要求定期找测评机构测评或进行系统自测。

等级保护测评项目测评方案-2级和3级标准

信息安全等级保护测评项目测评方案广州华南信息安全测评中心二〇一六年

目录第一章概述 (3) 第二章测评基本原则 (4) 一、客观性和公正性原则 (4) 二、经济性和可重用性原则 (4) 三、可重复性和可再现性原则 (4) 四、结果完善性原则 (4) 第三章测评安全目标（2级） (5) 一、技术目标 (5) 二、管理目标 (6) 第四章测评内容 (9) 一、资料审查 (10) 二、核查测试 (10) 三、综合评估 (10) 第五章项目实施 (12) 一、实施流程 (12) 二、测评工具 (13) 2.1 调查问卷 (13) 2.2 系统安全性技术检查工具 (13) 2.3 测评工具使用原则 (13) 三、测评方法 (14) 第六章项目管理 (15) 一、项目组织计划 (15) 二、项目成员组成与职责划分 (15) 三、项目沟通 (16) 3.1 日常沟通，记录和备忘录 (16) 3.2 报告 (16) 3.3 正式会议 (16) 第七章附录：等级保护评测准则 (19) 一、信息系统安全等级保护 2 级测评准则 (19) 1.1 基本要求 (19) 1.2 评估测评准则 (31) 二、信息系统安全等级保护 3 级测评准则 (88) 基本要求 (88) 评估测评准则 (108)

第一章概述 2003 年中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）以及 2004 年 9 月四部委局联合签发的《关于信息安全等级保护工作的实施意见》等信息安全等级保护的文件明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南。” 2009 年 4 月广东省公安厅、省保密局、密码管理局和省信息化工作领导小组联合发文《广东省深化信息安全等级保护工作方案》(粤公通字[2009]45 号)中又再次指出，“通过深化信息安全等级保护，全面推动重要信息系统安全整改和测评工作，增强信息系统安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，提高信息安全保障能力，维护国家安全、社会稳定和公共利益，保障和促进信息化建设”。由此可见，等级保护测评和等级保护安全整改工作已经迫在眉睫。

网络安全等级保护第三级基本要求

1 第三级基本要求（共290小项） 1.1 技术要求（共136小项） 1.1.1 物理安全（共32小项） 1.1.1.1 物理位置的选择（G3）本项要求包括： a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内； b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制（G3）本项要求包括： a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员； b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围； c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域； d)重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。 1.1.1.3 防盗窃和防破坏（G3）本项要求包括： a)应将主要设备放置在机房内； b)应将设备或主要部件进行固定，并设置明显的不易除去的标记； c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d)应对介质分类标识，存储在介质库或档案室中； e)应利用光、电等技术设置机房防盗报警系统； f)应对机房设置监控报警系统。 1.1.1.4 防雷击（G3）本项要求包括： a)机房建筑应设置避雷装置； b)应设置防雷保安器，防止感应雷； c)机房应设置交流电源地线。 1.1.1.5 防火（G3）本项要求包括： a)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火； b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料； c)机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮（G3）本项要求包括： a)水管安装，不得穿过机房屋顶和活动地板下； b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；

(完整word版)安全等级保护建设方案

Xx 信息安全等级保护（三级）建设方案

目录 1. 前言 (3) 1.1 概述 (3) 1.2 相关政策及标准 (3) 2. 现状及需求分析 (5) 2.1. 现状分析 (5) 2.2. 需求分析 (5) 3. 等保三级建设总体规划 (6) 3.1. 网络边界安全建设 (6) 3.2. 日志集中审计建设 (6) 3.3. 安全运维建设 (6) 3.4. 等保及安全合规性自查建设 (6) 3.5. 建设方案优势总结 (7) 4. 等保三级建设相关产品介绍 (9) 4.1. 网络边界安全防护 (9) 4.1.1 标准要求 (9) 4.1.2 明御下一代防火墙 (10) 4.1.3 明御入侵防御系统（IPS） (13) 4.2. 日志及数据库安全审计 (15) 4.2.1 标准要求 (15) 4.2.2 明御综合日志审计平台 (17) 4.2.3 明御数据库审计与风险控制系统 (19) 4.3. 安全运维审计 (22) 4.3.1 标准要求 (22) 4.3.2 明御运维审计和风险控制系统 (23) 4.4. 核心WEB应用安全防护 (26) 4.3.1 标准要求 (26) 4.3.2 明御WEB应用防火墙 (27) 4.3.3 明御网站卫士 (30) 4.5. 等保及安全合规检查 (31) 4.5.1 标准要求 (31) 4.5.2 明鉴WEB应用弱点扫描器 (32) 4.5.3 明鉴数据库弱点扫描器 (34) 4.5.4 明鉴远程安全评估系统 (37) 4.5.5 明鉴信息安全等级保护检查工具箱 (38) 4.6. 等保建设咨询服务 (40) 4.6.1 服务概述 (40) 4.6.2 安全服务遵循标准 (41) 4.6.3 服务内容及客户收益 (41) 5. 等保三级建设配置建议 (42)

信息系统安全等级保护基本要求-二级

等保第二级要求：技术要求物理安全物理位置选择（G2）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。物理访问控制（G2） a.机房出入口应安排专人值守，控制、鉴别和记录进入的人员 b.需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围防盗窃和防破坏 a.应将主要设备放置在机房内 b.应将设备或主要部件进行固定，并设置明显的不易除去的标记 c.应将通信线缆铺设在隐藏处，可铺设在地下或管道中 d.应对介质分类标识，存储在介质库或档案室中 e.主机房应安装必要的防盗报警设施防雷击 a.机房建筑应设置避雷装置 b.机房应设置交流电源地线防火机房应设置灭火设置和火灾自动报警系统防水和防潮 a.水管安装，不得穿过机房屋顶和活动地板下 b.采取措施防止雨水通过机房窗户、屋顶和墙壁渗透 c.采取措施防止机房内水蒸气结露和地下积水的转移与渗透防静电关键设备应采用必要的接地防静电措施温湿度控制机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内电力供应（A2） a.在机房供电线路上配置稳压器和过电压防护设备 b.提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求电磁防护（S2）电源线和通信线缆应隔离铺设，避免互相干扰网络安全结构安全（G2） a.保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要

b.保证接入网络和核心网络的带宽满足业务高峰期需要 c.绘制与当前运行情况相符的网络拓扑结构图 d.根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。访问控制 a.在网络边界部署访问控制设备，启用访问控制功能 b.根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级。 c.应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户。 d.应限制具有拨号访问权限的用户数量安全审计 a.对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录 b.审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息边界完整性检查（S2）能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查。入侵防范应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。网络设备防护 a.对登录网络设备的用户进行身份鉴别 b.对网络设备的管理员登录地址进行限制 c.网络设备用户的标识应唯一 d.身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换 e.具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施 f.当对网络设备进行远程管理时，采取必要措施防止鉴别信息在传输过程中被窃听主机安全身份鉴别（S2） a.对登录操作系统和数据库系统的用户进行身份标识和鉴别 b.操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换 c.应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施 d.当对服务器进行远程管理时，采取必要措施，防止鉴别信息在传输过程中被窃听 e.为操作系统和数据库系统的不同用户，分配不同用户名，确保用户名唯一性访问控制（S2） a.启用访问控制功能，依据安全策略控制用户对资源的访问 b.应实现操作系统和数据库系统特权用户的权限分离 c.限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令 d.及时删除多余的、过期的账户，避免共享账户的存在

计算机信息系统安全等级保护三级

计算机信息系统安全等级保护三级申请条件：（一）综合条件 1. 企业是在中华人民共和国境内注册的企业法人，变革发展历程清晰、产权关系明确，取得信息系统集成四级资质的时间不少于一年，或从事系统集成业务的时间不少于两年。 2. 企业主业是系统集成，近三年的系统集成收入总额占营业收入总额的比例不低于50％。 3. 企业注册资本和实收资本均不少于200万元, 或所有者权益合计不少于200万元。（二）财务状况 1. 企业近三年的系统集成收入总额不少于5000万元，或不少于4000万元且近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于70％，财务数据真实可信，须经在中华人民共和国境内登记的会计师事务所审计。 2. 企业财务状况良好。（三）信誉 1. 企业有良好的资信，近三年无触犯国家法律法规的行为。 2. 企业有良好的知识产权保护意识，近三年完成的系统集成项目中无销售或提供非正版软件的行为。 3. 企业有良好的履约能力，近三年没有因企业原因造成验收未通过的项目或应由企业承担责任的用户重大投诉。 4. 企业近三年无不正当竞争行为。 5. 企业遵守信息系统集成资质管理相关规定，在资质申报和资质证书使用过程中诚实守信，近三年无不良行为。（四）业绩 1. 近三年完成的系统集成项目总额不少于5000万元，或不少于4000万元且近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于70％。这些项目已通过验收。 2. 近三年至少完成1个合同额不少于300万元的系统集成项目，或所完成合同额不少于100万元的系统集成项目总额不少于300万元，或所完成合同额不少于50万元的纯软件和信息技术服务项目总额不少于150万元。 3. 近三年完成的系统集成项目总额中软件和信息技术服务费总额所占比例不低于30％，或软件和信息技术服务费总额不少于1500万元，或软件开发费总额不少于800万元。（五）管理能力 1. 已建立质量管理体系，通过国家认可的第三方认证机构认证，并能有效运行。 2. 已建立完备的客户服务体系，能及时、有效地为客户提供服务。 3. 企业的主要负责人从事信息技术领域企业管理的经历不少于3年，主要技术负责人应具有计算机信息系统集成项目管理人员资质或电子信息类专业硕士及以上学位或电子信息类中级及以上技术职称、且从事系统集成技术工作的经历不少于3年，财务负责人应具有财务系列初级及以上职称。（六）技术实力 1. 在主要业务领域具有较强的技术实力。 2. 经过第三方评测鉴定或用户使用认可的自主开发的软件产品不少于3个，且部分软件产品在近三年已完成的项目中得到了应用。 3. 有专门从事软件或系统集成技术开发的研发人员，已建立基本的软件开发与测试体系，

XXX信息系统网络安全等级保护建设方案(二级)

XXX信息系统网络安全等级保护建设方案 2020年7月

1、技术方案 1.1建设背景面对我国信息安全的严峻形势，自2006年以来，以公安部、工信部、国家保密局等单位牵头，在全国范围内陆续发布了等级保护、分级保护等信息安全政策和执行标准。2014年2月27日，中央网络安全与信息化领导小组成立，该领导小组着眼国家安全和长远发展，统筹协调涉及经济、政治、文化、社会及军事等各个领域的网络安全和信息化重大问题，研究制定网络安全和信息化发展战略、宏观规划和重大政策，推动国家网络安全和信息化法治建设，不断增强安全保障能力。 2017年《中华人民共和国网络安全法》颁布实施，该法案明确规定国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改；对网络运营者不履行规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。 2019年5月13日，公安部正式发布了网络安全等级保护制度2.0标准，并于2019年12月1日开始按照2.0标准实施，该标准是在网络安全领域又一规范性条例，在操作性、指导性和强制性力度更强。 XXXX目前的主要业务系统是XX系统、XX系统等系统，系统涉及到参保结算人员的各方面信息，按照《网络安全法》和等保2.0标准对被定义成国家关键信息基础设施的网络、业务系统需要按照等级保护标准建设，XXXX需要结合实际情况，对照国家及相关监管单位要求，理清安全现状，并对现有的信息系统按照等保2.0标准二级安全要求建设。

信息系统安全等级保护第二级要求技术要求物理安全物理位置选择说课材料

信息系统安全等级保护第二级要求技术要求物理安全物理位置选择（G2）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。物理访问控制（G2） a.机房出入口应安排专人值守，控制、鉴别和记录进入的人员 b.需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围防盗窃和防破坏 a.应将主要设备放置在机房内 b.应将设备或主要部件进行固定，并设置明显的不易除去的标记 c.应将通信线缆铺设在隐藏处，可铺设在地下或管道中 d.应对介质分类标识，存储在介质库或档案室中 e.主机房应安装必要的防盗报警设施防雷击 a.机房建筑应设置避雷装置 b.机房应设置交流电源地线防火机房应设置灭火设置和火灾自动报警系统防水和防潮 a.水管安装，不得穿过机房屋顶和活动地板下 b.采取措施防止雨水通过机房窗户、屋顶和墙壁渗透 c.采取措施防止机房内水蒸气结露和地下积水的转移与渗透防静电关键设备应采用必要的接地防静电措施温湿度控制机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内电力供应（A2） a.在机房供电线路上配置稳压器和过电压防护设备 b.提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求电磁防护（S2）电源线和通信线缆应隔离铺设，避免互相干扰网络安全结构安全（G2） a.保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要 b.保证接入网络和核心网络的带宽满足业务高峰期需要 c.绘制与当前运行情况相符的网络拓扑结构图 d.根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照

信息系统安全等级保护三级基本要求

目次前言............................................................................... IX 引言................................................................................ X 1 范围.. (1) 2规范性引用文件 (1) 3术语和定义.......................................................... 错误！未定义书签。4信息系统安全等级保护概述 (1) 4.1 信息系统安全保护等级 (1) 4.2 不同等级的安全保护能力 (1) 4.3 基本技术要求和基本管理要求 (1) 4.4 基本技术要求的三种类型 (2) 5第一级基本要求...................................................... 错误！未定义书签。 5.1 技术要求.......................................................... 错误！未定义书签。 5.1.1物理安全........................................................ 错误！未定义书签。 5.1.1.1 物理访问控制（G1）............................................ 错误！未定义书签。 5.1.1.2 防盗窃和防破坏（G1）.......................................... 错误！未定义书签。 5.1.1.3 防雷击（G1）.................................................. 错误！未定义书签。 5.1.1.4 防火（G1）.................................................... 错误！未定义书签。 5.1.1.5 防水和防潮（G1）.............................................. 错误！未定义书签。 5.1.1.6 温湿度控制（G1）.............................................. 错误！未定义书签。 5.1.1.7 电力供应（A1）................................................ 错误！未定义书签。 5.1.2网络安全........................................................ 错误！未定义书签。 5.1.2.1 结构安全（G1）................................................ 错误！未定义书签。 5.1.2.2 访问控制（G1）................................................ 错误！未定义书签。 5.1.2.3 网络设备防护（G1）............................................ 错误！未定义书签。 5.1.3主机安全........................................................ 错误！未定义书签。 5.1.3.1 身份鉴别（S1）................................................ 错误！未定义书签。 5.1.3.2 访问控制（S1）................................................ 错误！未定义书签。 5.1.3.3 入侵防范（G1）................................................ 错误！未定义书签。 5.1.3.4 恶意代码防范（G1）............................................ 错误！未定义书签。 5.1.4应用安全........................................................ 错误！未定义书签。 5.1.4.1 身份鉴别（S1）................................................ 错误！未定义书签。 5.1.4.2 访问控制（S1）................................................ 错误！未定义书签。 5.1.4.3 通信完整性（S1）.............................................. 错误！未定义书签。 5.1.4.4 软件容错（A1）................................................ 错误！未定义书签。 5.1.5数据安全及备份恢复.............................................. 错误！未定义书签。 5.1.5.1 数据完整性（S1）.............................................. 错误！未定义书签。 5.1.5.2 备份和恢复（A1）.............................................. 错误！未定义书签。 5.2 管理要求.......................................................... 错误！未定义书签。 5.2.1安全管理制度.................................................... 错误！未定义书签。 5.2.1.1 管理制度（G1）................................................ 错误！未定义书签。 5.2.1.2 制定和发布（G1）.............................................. 错误！未定义书签。 5.2.2安全管理机构.................................................... 错误！未定义书签。 I

(完整版)网络安全等级保护2.0-通用要求-表格版

网络安全等级保护基本要求第1 部分：安全通用要求一、技术要求: 基本要求第一级第二级第三级第四级 a) 机房场地应选择在具有防a) ; a) ; b) ; b) ; 震、防风和防雨等能力的建筑内；物理位置的选择/ b) 机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施 a) a) 机房出入口应配置电子门禁 a) 机房出入口应安排专人值 a) ; 物理访问控制守或配置电子门禁系统，控制、鉴别和记录进入的人员系统，控制、鉴别和记录进入的人员 b) 重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员物理和环境安全防盗窃和防破坏 a) 应将机房设备或主要部件进行固定，并设置明显的不易除去的标记 a) ； b) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。 a) ； b) ； c) 应设置机房防盗报警系统或设置有专人值守的视频监控系统 a) ; b) ; c) ; a) a) ； a) 应将各类机柜、设施和设 a) ; b) ; 备等通过接地系统安全接地b) 应采取措施防止感应雷，防雷击例如设置防雷保安器或过压保护装置等 a) 机房应设置灭火设备a) 机房应设置火灾自动消防a) ；a) ; b) ; 系统，能够自动检测火情、自b) ； c) ; 动报警，并自动灭火；c) 应对机房划分区域进行管防火 b) 机房及相关的工作房间和理，区域和区域之间设置隔离

辅助房应采用具有耐火等级的防火措施。建筑材料

a) ; a) 应采取措施防止雨水通过a) ；a) ；防水和防潮机房窗户、屋顶和墙壁渗透b) 应采取措施防止机房内水蒸气结露和地下积水的转移与 b) ； c) 应安装对水敏感的检测仪 b) ; c) ; 渗透表或元件，对机房进行防水检测和报警。 a) 应安装防静电地板并采用a) ；a) ; 防静电/ 必要的接地防静电措施b) 应采用措施防止静电的产生，例如采用静电消除器、佩 b) ; 戴防静电手环等。 a) ; a) ; a) 机房应设置必要的温、湿a) 机房应设置温湿度自动调节温湿度控制度控制设施，使机房温、湿度的变化在设备运行所允许的范围之内设施，使机房温湿度的变化在设备运行所允许的范围之内 a) 应在机房供电线路上配置a) ；a) ；a) ；电力供应稳压器和过电压防护设备b) 应提供短期的备用电力供应，至少满足设备在断电情况 b) ； c) 应设置冗余或并行的电力 b) ； c) ；下的正常运行要求电缆线路为计算机系统供电。d) 应提供应急供电设施。 a) 电源线和通信线缆应隔离a) ；a) ；电磁防护/ 铺设，避免互相干扰b) 应对关键设备实施电磁屏b) 应对关键设备或关键区域蔽。实施电磁屏蔽。 a) 应保证网络设备的业务处a) 应保证网络设备的业务处a) ；a) ；理能力满足基本业务需要；理能力满足业务高峰期需要；b) 应保证网络各个部分的带c) ； b) 应保证接入网络和核心网b) 应保证接入网络和核心网d) ；宽满足业务高峰期需要；络的带宽满足基本业务需要。络的带宽满足业务高峰期需c) ；e) ；要；d) ；f) 应可按照业务服务的重要网络和通网络架构c) 应划分不同的网络区域，e) 应提供通信线路、关键网程度分配带宽，优先保障重要并按照方便管理和控制的原则络设备的硬件冗余，保证系统业务。信安全为各网络区域分配地址；的可用性。 d) 应避免将重要网络区域部署在网络边界处且没有边界防护措施。通信传输a) 应采用校验码技术保证通信a) a) 应采用校验码技术或加解a) ；

信息安全等级保护二级

信息安全等级保护(二级) 备注：其中黑色字体为信息安全等级保护第二级系统要求，蓝色字体为第三级系统等保要求。一、物理安全 1、应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施） 2、应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录 3、应配置电子门禁系统(三级明确要求)；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录 4、主要设备或设备的主要部件上应设置明显的不易除去的标记 5、介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放 6、应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录； 7、应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录 8、应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测； 9、应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告 10、应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品 11、应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录 12、应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录 13、应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录 14、应具有短期备用电力供应设备（如UPS）；短期备用电力供应设备的运行记录、定期检查和维护记录 15、应具有冗余或并行的电力电缆线路（如双路供电方式） 16、应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录

网络安全等级保护2.0-通用要求-表格版.doc

网络安全等级保护基本要求第 1 部分：安全通用要求一、技术要求: 基本要求第一级物理位置的选择/ a) 机房出入口应安排专人值物理访问控制守或配置电子门禁系统，控制、鉴别和记录进入的人员第二级 a)机房场地应选择在具有防震、防风和防雨等能力的建筑内； b)机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施 a) 第三级 a); b); a)机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员第四级 a); b); a); b)重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员物理和环境安全 a)应将机房设备或主要部件进行固定，并设置明显的不易防盗窃和防破坏除去的标记 a)应将各类机柜、设施和设备等通过接地系统安全接地防雷击 a)机房应设置灭火设备防火 a) ；a) ； b) 应将通信线缆铺设在隐蔽b) ；处，可铺设在地下或管道中。c) 应设置机房防盗报警系统或设置有专人值守的视频监控系统 a) a) ； b) 应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等 a) 机房应设置火灾自动消防a) ；系统，能够自动检测火情、自b) ；动报警，并自动灭火；c) 应对机房划分区域进行管 b) 机房及相关的工作房间和理，区域和区域之间设置隔离辅助房应采用具有耐火等级的防火措施。建筑材料 a); b); c); a); b); a); b); c);

a) 应采取措施防止雨水通过a) ；机房窗户、屋顶和墙壁渗透b) 应采取措施防止机房内水防水和防潮蒸气结露和地下积水的转移与渗透 a) 应安装防静电地板并采用防静电/ 必要的接地防静电措施 a) 机房应设置必要的温、湿a) 机房应设置温湿度自动调节温湿度控制度控制设施，使机房温、湿度设施，使机房温湿度的变化在的变化在设备运行所允许的范设备运行所允许的范围之内围之内 a) 应在机房供电线路上配置a) ；电力供应稳压器和过电压防护设备b) 应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求 / a) 电源线和通信线缆应隔离电磁防护铺设，避免互相干扰 a) 应保证网络设备的业务处a) 应保证网络设备的业务处理能力满足基本业务需要；理能力满足业务高峰期需要； b) 应保证接入网络和核心网b) 应保证接入网络和核心网络的带宽满足基本业务需要。络的带宽满足业务高峰期需网络要；和通网络架构c) 应划分不同的网络区域，信安并按照方便管理和控制的原则全为各网络区域分配地址； d) 应避免将重要网络区域部署在网络边界处且没有边界防护措施。通信传输a) 应采用校验码技术保证通信a) a)； b)； c)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。 a)； b)应采用措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等。 a) ; a)； b)； c)应设置冗余或并行的电力电缆线路为计算机系统供电。 a)； b)应对关键设备实施电磁屏蔽。 a)； b)应保证网络各个部分的带宽满足业务高峰期需要； c)； d)； e)应提供通信线路、关键网络设备的硬件冗余，保证系统的可用性。 a)应采用校验码技术或加解 a); b); c); a); b); a) ; a)； b)； c)； d)应提供应急供电设施。 a)； b)应对关键设备或关键区域实施电磁屏蔽。 a)； c)； d)； e)； f)应可按照业务服务的重要程度分配带宽，优先保障重要业务。 a)；

等级保护与分级保护

等级保护与分级保护一、信息系统等级保护 1999年国家发布并于2001年1月1日开始实施GB17859《计算机信息系统安全保护等级划分准则》。2003年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发〔2003〕27号)，提出实行信息安全等级保护，建立国家信息安全保障体系的明确要求。2004年9月17日，公安部、国家保密局、国家密码管理委员会办公室、国务院信息办下发了《关于信息安全等级保护工作的实施意见》，明确了信息安全等级保护的重要意义、原则、基本内容、工作职责分工、要求和实施计划。2006年1月17日，四部门又下发了《信息安全等级保护管理办法（试行）》，进一步确定职责分工，明确了公安机关负责全面工作、国家保密工作部门负责涉密信息系统、国家密码管理部门负责密码工作、国务院信息办负责的管理职责和要求。涉及国家秘密的信息系统应当依据国家信息安全等级保护的基本要求，按照国家保密工作部门涉密信息系统分级保护的管理规定和技术标准，结合系统实际情况进行保护。由于信息系统结构是应社会发展、社会生活和工作的需要而设计、建立的，是社会构成、行政组织体系的反映，因而这种系统结构是分层次和级别的，而其中的各种信息系统具有重要的社会和经济价值，不同的系统具有不同的价值。系统基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统重要程度的区别等就是级别的客观体现。信息安全保护必须符合客观存在和发展规律，其分级、分区域、分类和分阶段是做好国家信息安全保护的前提。信息系统安全等级保护将安全保护的监管级别划分为五个级别：第一级：用户自主保护级完全由用户自己来决定如何对资源进行保护，以及采用何种方式进行保护。第二级：系统审计保护级本级的安全保护机制受到信息系统等级保护的指导，支持用户具有更强的自主保护能力，特别是具有访问审计能力。即能创建、维护受保护对象的访问审计跟踪记录，记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息，所有和安全相关的操作都能够被记录下来，以便当系统