信息系统安全等级保护基本要求
信息安全等级保护基本要求
信息安全等级保护基本要求信息安全等级保护基本要求是指为了确保信息系统的安全性，制定的一系列规范和要求。
本文将从信息安全等级保护的背景、基本要求、实施方法等方面进行阐述。
一、背景介绍随着信息技术的快速发展，信息系统在各个领域的应用日益广泛，信息安全问题也日益突出。
为了保护重要信息和数据的安全，减少信息泄露和损失，国家制定了信息安全等级保护基本要求，以规范和引导各类信息系统的安全建设。
二、基本要求1. 安全等级划分：按照信息系统的重要性和风险程度，将信息系统划分为不同的安全等级。
根据不同等级的安全需求，确定相应的安全措施和要求。
2. 安全管理机构：建立专门的安全管理机构，负责信息安全管理和监督，制定相关的安全制度和管理规范。
3. 安全策略和方案：制定信息安全策略和方案，明确信息系统的安全目标和措施，保证信息系统的可用性、保密性和完整性。
4. 安全技术措施：采用多种安全技术手段，包括身份认证、访问控制、加密等，确保信息系统的安全性。
5. 安全培训与教育：加强对信息安全意识的培训和教育，提高用户的安全意识和技能，降低人为因素对信息安全的影响。
6. 安全审计与监控：建立完善的安全审计和监控机制，对信息系统的运行状态和安全事件进行监测和分析，及时发现和处理安全漏洞和威胁。
7. 安全应急响应：建立健全的安全应急响应机制，对安全事件进行及时响应和处理，减少安全事故的影响和损失。
8. 安全评估和测试：定期进行安全评估和测试，发现和解决潜在的安全问题，保证信息系统的安全性和稳定性。
9. 安全管理和维护：建立信息系统的安全管理和维护制度，包括安全备份、漏洞修复、系统更新等，保证信息系统的正常运行和安全可靠。
10. 安全保密和法律法规：严格遵守保密规定和相关法律法规，保护用户的隐私和合法权益，防止信息泄露和滥用。
三、实施方法1. 制定安全管理制度：建立完善的信息安全管理制度，明确安全管理的责任和权限，确保安全管理的规范和有效性。
信息安全技术信息系统安全等级保护基本要求
信息安全技术信息系统安全等级保护基本要求
信息安全技术信息系统安全等级保护基本要求（GB/T 19790-2005）是根据《信息安
全技术基本要求》（GB/T 7983-2001）以及《信息系统信息安全保护要求》（GB/T
15259-1994）等条件细化到系统安全等级保护的基本要求。
其主要内容有：
一、系统安全等级的确定：根据用户的实际需要，确定系统的安全等级，以及安全等
级保护要求，组成系统安全评估目标；
二、系统安全等级评估方法：根据所要求的安全等级，将其映射到适当的符合安全性
要求的评估方法中进行评估；
三、系统安全等级评估的步骤：步骤包括安全等级的确定，安全等级评估的范围定义，安全等级要求的确定，安全性评估，安全等级评估的证据收集和形成，与用户的安全等级
的协商；
四、系统安全等级评估报告：根据系统安全评估的情况，写出安全等级评估报告，对
安全性要求是否符合指定的安全等级进行确认，最终形成系统安全等级报告；
五、系统安全验证：根据验证计划，对系统安全性实施定期计划性验证，以评估安全
性控制措施是否发挥期望的作用，确保系统安全。
以上是信息安全技术信息系统安全等级保护基本要求（GB/T 19790-2005）的主要内容，这些要求是用于评估和验证系统的安全性，确保系统的安全性。
《信息系统安全等级保护基本要求》
《信息系统安全等级保护基本要求》信息系统安全等级保护基本要求是国家对信息系统安全等级保护的最低要求。
它是根据信息系统的功能、存储的信息及其价值以及威胁等级等因素来确定。
下面我们来详细了解一下《信息系统安全等级保护基本要求》的内容。
信息系统安全等级保护基本要求主要包括以下几点：1.信息系统的访问控制。
要求确保信息系统的访问只限于合法用户，并且对不同权限的用户设置相应的权限控制。
这样可以有效防止非授权用户对信息系统进行访问和操作，从而保护信息系统的安全。
2.用户身份认证与鉴别。
要求在用户访问信息系统时，必须进行身份认证和鉴别，确保用户是合法的，并且只允许合法用户访问和使用信息系统。
常见的身份认证方式包括密码、指纹、虹膜等。
3.信息传输保护。
要求在信息的传输过程中，对信息进行加密，防止信息在传输过程中被非法获取或篡改。
同时，对传输通道进行保护，确保信息传输的完整性和可靠性。
4.安全审计与日志记录。
要求对信息系统的使用情况进行记录和审计，确保信息系统的安全使用。
同时还要求对日志进行保护，防止日志被篡改或删除。
5.数据备份与恢复。
要求对重要数据进行定期备份，并确保备份数据的完整性和可用性。
同时还要求能够对备份数据进行快速恢复，以确保数据的安全性和连续性。
6.应急响应与漏洞管理。
要求建立健全的安全事件应急响应机制，能够及时响应和处理安全事件。
同时还要求定期对系统进行漏洞扫描和管理，及时修补系统的漏洞，防止黑客利用漏洞进行攻击。
7.物理安全控制。
要求对信息系统的物理环境进行安全控制，防止非授权人员进入系统机房。
同时还要求对物理设备进行保护，避免遭受破坏或盗窃。
8.安全管理与培训。
要求建立健全的安全管理制度，明确安全责任和安全控制措施。
同时还要求对系统使用人员进行安全培训，提高用户对信息安全的意识和能力。
《信息系统安全等级保护基本要求》的实施是为了保护国家的信息系统安全。
只有确保信息系统的安全性，才能保证国家的信息安全。
信息系统安全等级保护基本要求(三级要求)
信息系统安全等级保护基本要求1 三级基本要求 (3)1.1 技术要求 (3)1.1.1 物理安全 (3)1.1.1.1 物理位置的选择（G3） (3)1.1.1.2 物理访问控制（G3） (3)1.1.1.3 防盗窃和防破坏（G3） (3)1.1.1.4 防雷击（G3） (3)1.1.1.5 防火（G3） (3)1.1.1.6 防水和防潮（G3） (4)1.1.1.7 防静电（G3） (4)1.1.1.8 温湿度控制（G3） (4)1.1.1.9 电力供应（A3） (4)1.1.1.10 电磁防护（S3） (4)1.1.2 网络安全 (4)1.1.2.1 结构安全（G3） (4)1.1.2.2 访问控制（G3） (4)1.1.2.3 安全审计（G3） (5)1.1.2.4 边界完整性检查（S3） (5)1.1.2.5 入侵防范（G3） (5)1.1.2.6 恶意代码防范（G3） (5)1.1.2.7 网络设备防护（G3） (5)1.1.3 主机安全 (6)1.1.3.1 身份鉴别（S3） (6)1.1.3.2 访问控制（S3） (6)1.1.3.3 安全审计（G3） (6)1.1.3.4 剩余信息保护（S3） (7)1.1.3.5 入侵防范（G3） (7)1.1.3.6 恶意代码防范（G3） (7)1.1.3.7 资源控制（A3） (7)1.1.4 应用安全 (7)1.1.4.1 身份鉴别（S3） (7)1.1.4.2 访问控制（S3） (8)1.1.4.3 安全审计（G3） (8)1.1.4.4 剩余信息保护（S3） (8)1.1.4.5 通信完整性（S3） (8)1.1.4.6 通信保密性（S3） (8)1.1.4.7 抗抵赖（G3） (8)1.1.4.8 软件容错（A3） (8)1.1.4.9 资源控制（A3） (8)1.1.5 数据安全及备份恢复 (9)1.1.5.1 数据完整性（S3） (9)1.1.5.2 数据保密性（S3） (9)1.1.5.3 备份和恢复（A3） (9)1.2 管理要求 (9)1.2.1 安全管理制度 (9)1.2.1.1 管理制度（G3） (9)1.2.1.2 制定和发布（G3） (10)1.2.1.3 评审和修订（G3） (10)1.2.2 安全管理机构 (10)1.2.2.1 岗位设置（G3） (10)1.2.2.2 人员配备（G3） (10)1.2.2.3 授权和审批（G3） (10)1.2.2.4 沟通和合作（G3） (10)1.2.2.5 审核和检查（G3） (11)1.2.3 人员安全管理 (11)1.2.3.1 人员录用（G3） (11)1.2.3.2 人员离岗（G3） (11)1.2.3.3 人员考核（G3） (11)1.2.3.4 安全意识教育和培训（G3） (11)1.2.3.5 外部人员访问管理（G3） (12)1.2.4 系统建设管理 (12)1.2.4.1 系统定级（G3） (12)1.2.4.2 安全方案设计（G3） (12)1.2.4.3 产品采购和使用（G3） (12)1.2.4.4 自行软件开发（G3） (13)1.2.4.5 外包软件开发（G3） (13)1.2.4.6 工程实施（G3） (13)1.2.4.7 测试验收（G3） (13)1.2.4.8 系统交付（G3） (13)1.2.4.9 系统备案（G3） (14)1.2.4.10 等级测评（G3） (14)1.2.4.11 安全服务商选择（G3） (14)1.2.5 系统运维管理 (14)1.2.5.1 环境管理（G3） (14)1.2.5.2 资产管理（G3） (14)1.2.5.3 介质管理（G3） (15)1.2.5.4 设备管理（G3） (15)1.2.5.5 监控管理和安全管理中心（G3） (15)1.2.5.6 网络安全管理（G3） (15)1.2.5.7 系统安全管理（G3） (16)1.2.5.8 恶意代码防范管理（G3） (16)1.2.5.9 密码管理（G3） (16)1.2.5.10 变更管理（G3） (16)1.2.5.11 备份与恢复管理（G3） (17)1.2.5.12 安全事件处置（G3） (17)1.2.5.13 应急预案管理（G3） (17)第三级安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。
信息安全技术—信息系统安全等级保护基本要求
信息安全技术—信息系统安全等级保护基本要求下载提示：该文档是本店铺精心编制而成的，希望大家下载后，能够帮助大家解决实际问题。
文档下载后可定制修改，请根据实际需要进行调整和使用，谢谢！本店铺为大家提供各种类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，想了解不同资料格式和写法，敬请关注！Download tips: This document is carefully compiled by this editor. I hope that after you download it, it can help you solve practical problems. The document can be customized and modified after downloading, please adjust and use it according to actual needs, thank you! In addition, this shop provides you with various types of practical materials, such as educational essays, diary appreciation, sentence excerpts, ancient poems, classic articles, topic composition, work summary, word parsing, copy excerpts, other materials and so on, want to know different data formats and writing methods, please pay attention!一、引言信息系统的安全等级保护是保障信息系统安全、维护国家安全和社会稳定的重要举措。
信息系统安全等级保护基本要求
信息系统安全等级保护基本要求信息系统安全等级保护的基本要求包括以下几个方面：1. 完整性保护要求：信息系统应当具备完整性保护能力，能够有效地防范未经授权的修改、删除和篡改操作，确保信息的完整性和可靠性。
2. 机密性保护要求：信息系统应当具备机密性保护能力，能够有效地防范未经授权的访问和泄露操作，确保敏感信息的保密性和隐私性。
3. 可用性保护要求：信息系统应当具备可用性保护能力，能够有效地防范各类网络攻击和服务中断，确保系统正常运行和服务持续可用。
4. 安全审计要求：信息系统应当具备安全审计能力，能够对系统的各项操作和访问进行全面记录和审计，确保系统的合规性和安全性。
5. 风险管理要求：信息系统应当具备风险管理能力，能够对系统的各类安全风险进行有效的评估和管理，制定相应的安全策略和应急预案。
6. 安全培训要求：信息系统应当具备安全培训能力，能够对系统管理员和用户进行有效的安全培训，提升其安全意识和应对能力。
以上是信息系统安全等级保护的基本要求，不同等级的信息系统可能还存在其他特定的安全保护要求，需要根据具体情况进行相应的定制和实施。
信息系统安全等级保护工作是一项长期的系统工程，需要各方的共同努力和不断创新，才能有效地保护信息系统的安全和稳定运行。
信息系统安全等级保护是一项复杂而又重要的工作，其基本要求不仅在于技术层面的保护，还包括管理、人员培训和持续改进。
在进行信息系统安全等级保护时，需要系统地对系统进行评估和分类，并根据不同等级的保护需求，采取相应的安全措施。
评估和分类是信息系统安全等级保护的基础工作。
根据国家或行业标准的要求，对信息系统进行综合的安全评估，包括系统架构、数据传输、访问控制、身份验证、安全审计等多个方面的安全性指标。
通过对系统的评估，根据涉密信息的重要性和敏感程度，将信息系统划分为不同的保护等级，如秘密级、机密级、绝密级等，以便在后续的安全管理中对系统实施相应的安全保护措施。
针对不同等级的信息系统，需要采取不同的安全保护措施。
信息系统安全等级保护基本要求
蓝色部分是操作系统安全等级划分，红色部分是四级操作系统关于网络部分的要求:）《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南；——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。
信息系统安全等级保护基本要求1 范围本标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适用于指导分等级的信息系统的安全建设和监督管理。
信息系统安全等级保护基本要求
信息系统安全等级保护基本要求1. 引言信息系统在当今社会中扮演着重要的角色，人们依赖着信息系统来进行各种各样的工作、交流和娱乐活动。
随着信息系统的发展和普及，系统的安全性也变得越来越重要。
为了确保信息系统的安全性，信息系统安全等级保护基本要求被制定出来，以指导开发人员、系统管理员和用户对信息系统进行安全保护。
2. 安全等级分类根据信息系统的安全需求和对安全性的要求，信息系统可以分为不同的安全等级。
通常情况下，信息系统可以被分为以下几个等级：2.1. 一级安全等级一级安全等级是指最低等级的信息系统，一般用于非重要的信息处理和存储。
对于一级安全等级的信息系统，主要的安全要求包括防止未经授权的访问、防止信息泄露和防止数据意外损坏或丢失等。
2.2. 二级安全等级二级安全等级是指次低等级的信息系统，通常用于一般的商业和行政应用。
对于二级安全等级的信息系统，除了满足一级安全等级的要求外，还需要提供更强大的安全性保护，例如安全审计、用户身份认证和访问控制等。
2.3. 三级安全等级三级安全等级是指中等等级的信息系统，通常用于对机密信息进行处理和存储。
对于三级安全等级的信息系统，除了满足一级和二级安全等级的要求外，还需要提供加密通信和数据完整性验证等更高级别的安全保护。
2.4. 四级安全等级四级安全等级是指最高等级的信息系统，通常用于对绝密信息进行处理和存储。
对于四级安全等级的信息系统，除了满足前面三个等级的要求外，还需要提供更严格的访问控制、密钥管理和身份认证等安全保护。
3. 信息系统安全等级保护基本要求为了对不同等级的信息系统进行安全保护，以下是信息系统安全等级保护的基本要求：3.1. 风险评估在开发或部署信息系统时，应对系统进行全面的风险评估，确定系统可能面临的安全威胁和风险，并采取相应的措施来降低风险。
3.2. 访问控制对于所有等级的信息系统，都应实施严格的访问控制措施，确保只有经授权的用户可以访问系统和数据，并且用户访问的权限应该与其职责和需要相符合。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ICS 35.040L80信息安全技术信息系统安全等级保护基本要求Information security technology-Baseline for classified protection of information system（报批稿）全国信息安全标准化技术委员会GB/T XXXX –XXXXII 目次前言 (X)引言 (XI)1 范围 (1)2规范性引用文件 (1)3术语和定义 (1)4信息系统安全等级保护概述 (1)4.1 信息系统安全保护等级 (1)4.2 不同等级的安全保护能力 (1)4.3 基本技术要求和基本管理要求 (2)4.4 基本技术要求的三种类型 (2)5第一级基本要求 (2)5.1 技术要求 (2)5.1.1物理安全 (2)5.1.1.1 物理访问控制（G1） (2)5.1.1.2 防盗窃和防破坏（G1） (2)5.1.1.3 防雷击（G1） (3)5.1.1.4 防火（G1） (3)5.1.1.5 防水和防潮（G1） (3)5.1.1.6 温湿度控制（G1） (3)5.1.1.7 电力供应（A1） (3)5.1.2网络安全 (3)5.1.2.1 结构安全（G1） (3)5.1.2.2 访问控制（G1） (3)5.1.2.3 网络设备防护（G1） (3)5.1.3主机安全 (3)5.1.3.1 身份鉴别（S1） (3)5.1.3.2 访问控制（S1） (3)5.1.3.3 入侵防范（G1） (4)5.1.3.4 恶意代码防范（G1） (4)5.1.4应用安全 (4)5.1.4.1 身份鉴别（S1） (4)5.1.4.2 访问控制（S1） (4)5.1.4.3 通信完整性（S1） (4)5.1.4.4 软件容错（A1） (4)5.1.5数据安全及备份恢复 (4)5.1.5.1 数据完整性（S1） (4)5.1.5.2 备份和恢复（A1） (4)5.2 管理要求 (4)5.2.1安全管理制度 (4)5.2.1.1 管理制度（G1） (4)5.2.1.2 制定和发布（G1） (4)5.2.2安全管理机构 (4)GB/T XXXX –XXXX5.2.2.1 岗位设置（G1） (4)5.2.2.2 人员配备（G1） (4)5.2.2.3 授权和审批（G1） (4)5.2.2.4 沟通和合作（G1） (5)5.2.3人员安全管理 (5)5.2.3.1 人员录用（G1） (5)5.2.3.2 人员离岗（G1） (5)5.2.3.3 安全意识教育和培训（G1） (5)5.2.3.4 外部人员访问管理（G1） (5)5.2.4系统建设管理 (5)5.2.4.1 系统定级（G1） (5)5.2.4.2 安全方案设计（G1） (5)5.2.4.3 产品采购和使用（G1） (5)5.2.4.4 自行软件开发（G1） (5)5.2.4.5 外包软件开发（G1） (5)5.2.4.6 工程实施（G1） (6)5.2.4.7 测试验收（G1） (6)5.2.4.8 系统交付（G1） (6)5.2.4.9 安全服务商选择（G1） (6)5.2.5系统运维管理 (6)5.2.5.1 环境管理（G1） (6)5.2.5.2 资产管理（G1） (6)5.2.5.3 介质管理（G1） (6)5.2.5.4 设备管理（G1） (6)5.2.5.5 网络安全管理（G1） (7)5.2.5.6 系统安全管理（G1） (7)5.2.5.7 恶意代码防范管理（G1） (7)5.2.5.8 备份与恢复管理（G1） (7)5.2.5.9 安全事件处置（G1） (7)6第二级基本要求 (7)6.1 技术要求 (7)6.1.1物理安全 (7)6.1.1.1 物理位置的选择（G2） (7)6.1.1.2 物理访问控制（G2） (7)6.1.1.3 防盗窃和防破坏（G2） (7)6.1.1.4 防雷击（G2） (8)6.1.1.5 防火（G2） (8)6.1.1.6 防水和防潮（G2） (8)6.1.1.7 防静电（G2） (8)6.1.1.8 温湿度控制（G2） (8)6.1.1.9 电力供应（A2） (8)6.1.1.10 电磁防护（S2） (8)6.1.2网络安全 (8)6.1.2.1 结构安全（G2） (8)IIIGB/T XXXX –XXXX 6.1.2.2 访问控制（G2） (8)6.1.2.3 安全审计（G2） (9)6.1.2.4 边界完整性检查（S2） (9)6.1.2.5 入侵防范（G2） (9)6.1.2.6 网络设备防护（G2） (9)6.1.3主机安全 (9)6.1.3.1 身份鉴别（S2） (9)6.1.3.2 访问控制（S2） (9)6.1.3.3 安全审计（G2） (9)6.1.3.4 入侵防范（G2） (10)6.1.3.5 恶意代码防范（G2） (10)6.1.3.6 资源控制（A2） (10)6.1.4应用安全 (10)6.1.4.1 身份鉴别（S2） (10)6.1.4.2 访问控制（S2） (10)6.1.4.3 安全审计（G2） (10)6.1.4.4 通信完整性（S2） (10)6.1.4.5 通信保密性（S2） (10)6.1.4.6 软件容错（A2） (11)6.1.4.7 资源控制（A2） (11)6.1.5数据安全及备份恢复 (11)6.1.5.1 数据完整性（S2） (11)6.1.5.2 数据保密性（S2） (11)6.1.5.3 备份和恢复（A2） (11)6.2 管理要求 (11)6.2.1安全管理制度 (11)6.2.1.1 管理制度（G2） (11)6.2.1.2 制定和发布（G2） (11)6.2.1.3 评审和修订（G2） (11)6.2.2安全管理机构 (11)6.2.2.1 岗位设置（G2） (11)6.2.2.2 人员配备（G2） (12)6.2.2.3 授权和审批（G2） (12)6.2.2.4 沟通和合作（G2） (12)6.2.2.5 审核和检查（G2） (12)6.2.3人员安全管理 (12)6.2.3.1 人员录用（G2） (12)6.2.3.2 人员离岗（G2） (12)6.2.3.3 人员考核（G2） (12)6.2.3.4 安全意识教育和培训（G2） (12)6.2.3.5 外部人员访问管理（G2） (12)6.2.4系统建设管理 (13)6.2.4.1 系统定级（G2） (13)6.2.4.2 安全方案设计（G2） (13)IVGB/T XXXX –XXXX6.2.4.3 产品采购和使用（G2） (13)6.2.4.4 自行软件开发（G2） (13)6.2.4.5 外包软件开发（G2） (13)6.2.4.6 工程实施（G2） (13)6.2.4.7 测试验收（G2） (13)6.2.4.8 系统交付（G2） (14)6.2.4.9 安全服务商选择（G2） (14)6.2.5系统运维管理 (14)6.2.5.1 环境管理（G2） (14)6.2.5.2 资产管理（G2） (14)6.2.5.3 介质管理（G2） (14)6.2.5.4 设备管理（G2） (14)6.2.5.5 网络安全管理（G2） (15)6.2.5.6 系统安全管理（G2） (15)6.2.5.7 恶意代码防范管理（G2） (15)6.2.5.8 密码管理（G2） (15)6.2.5.9 变更管理（G2） (15)6.2.5.10 备份与恢复管理（G2） (16)6.2.5.11 安全事件处置（G2） (16)6.2.5.12 应急预案管理（G2） (16)7第三级基本要求 (16)7.1 技术要求 (16)7.1.1物理安全 (16)7.1.1.1 物理位置的选择（G3） (16)7.1.1.2 物理访问控制（G3） (16)7.1.1.3 防盗窃和防破坏（G3） (16)7.1.1.4 防雷击（G3） (17)7.1.1.5 防火（G3） (17)7.1.1.6 防水和防潮（G3） (17)7.1.1.7 防静电（G3） (17)7.1.1.8 温湿度控制（G3） (17)7.1.1.9 电力供应（A3） (17)7.1.1.10 电磁防护（S3） (17)7.1.2网络安全 (18)7.1.2.1 结构安全（G3） (18)7.1.2.2 访问控制（G3） (18)7.1.2.3 安全审计（G3） (18)7.1.2.4 边界完整性检查（S3） (18)7.1.2.5 入侵防范（G3） (19)7.1.2.6 恶意代码防范（G3） (19)7.1.2.7 网络设备防护（G3） (19)7.1.3主机安全 (19)7.1.3.1 身份鉴别（S3） (19)7.1.3.2 访问控制（S3） (19)VGB/T XXXX –XXXX 7.1.3.3 安全审计（G3） (20)7.1.3.4 剩余信息保护（S3） (20)7.1.3.5 入侵防范（G3） (20)7.1.3.6 恶意代码防范（G3） (20)7.1.3.7 资源控制（A3） (20)7.1.4应用安全 (20)7.1.4.1 身份鉴别（S3） (21)7.1.4.2 访问控制（S3） (21)7.1.4.3 安全审计（G3） (21)7.1.4.4 剩余信息保护（S3） (21)7.1.4.5 通信完整性（S3） (21)7.1.4.6 通信保密性（S3） (21)7.1.4.7 抗抵赖（G3） (21)7.1.4.8 软件容错（A3） (22)7.1.4.9 资源控制（A3） (22)7.1.5数据安全及备份恢复 (22)7.1.5.1 数据完整性（S3） (22)7.1.5.2 数据保密性（S3） (22)7.1.5.3 备份和恢复（A3） (22)7.2 管理要求 (22)7.2.1安全管理制度 (22)7.2.1.1 管理制度（G3） (22)7.2.1.2 制定和发布（G3） (23)7.2.1.3 评审和修订（G3） (23)7.2.2安全管理机构 (23)7.2.2.1 岗位设置（G3） (23)7.2.2.2 人员配备（G3） (23)7.2.2.3 授权和审批（G3） (23)7.2.2.4 沟通和合作（G3） (24)7.2.2.5 审核和检查（G3） (24)7.2.3人员安全管理 (24)7.2.3.1 人员录用（G3） (24)7.2.3.2 人员离岗（G3） (24)7.2.3.3 人员考核（G3） (24)7.2.3.4 安全意识教育和培训（G3） (24)7.2.3.5 外部人员访问管理（G3） (25)7.2.4系统建设管理 (25)7.2.4.1 系统定级（G3） (25)7.2.4.2 安全方案设计（G3） (25)7.2.4.3 产品采购和使用（G3） (25)7.2.4.4 自行软件开发（G3） (25)7.2.4.5 外包软件开发（G3） (26)7.2.4.6 工程实施（G3） (26)7.2.4.7 测试验收（G3） (26)VIGB/T XXXX –XXXX7.2.4.8 系统交付（G3） (26)7.2.4.9 系统备案（G3） (26)7.2.4.10 等级测评（G3） (27)7.2.4.11 安全服务商选择（G3） (27)7.2.5系统运维管理 (27)7.2.5.1 环境管理（G3） (27)7.2.5.2 资产管理（G3） (27)7.2.5.3 介质管理（G3） (27)7.2.5.4 设备管理（G3） (28)7.2.5.5 监控管理和安全管理中心（G3） (28)7.2.5.6 网络安全管理（G3） (28)7.2.5.7 系统安全管理（G3） (29)7.2.5.8 恶意代码防范管理（G3） (29)7.2.5.9 密码管理（G3） (29)7.2.5.10 变更管理（G3） (29)7.2.5.11 备份与恢复管理（G3） (29)7.2.5.12 安全事件处置（G3） (30)7.2.5.13 应急预案管理（G3） (30)8第四级基本要求 (30)8.1 技术要求 (30)8.1.1物理安全 (30)8.1.1.1 物理位置的选择（G4） (30)8.1.1.2 物理访问控制（G4） (30)8.1.1.3 防盗窃和防破坏（G4） (31)8.1.1.4 防雷击（G4） (31)8.1.1.5 防火（G4） (31)8.1.1.6 防水和防潮（G4） (31)8.1.1.7 防静电（G4） (31)8.1.1.8 温湿度控制（G4） (31)8.1.1.9 电力供应（A4） (31)8.1.1.10 电磁防护（S4） (32)8.1.2网络安全 (32)8.1.2.1 结构安全（G4） (32)8.1.2.2 访问控制（G4） (32)8.1.2.3 安全审计（G4） (32)8.1.2.4 边界完整性检查（S4） (33)8.1.2.5 入侵防范（G4） (33)8.1.2.6 恶意代码防范（G4） (33)8.1.2.7 网络设备防护（G4） (33)8.1.3主机安全 (33)8.1.3.1 身份鉴别（S4） (33)8.1.3.2 安全标记（S4） (34)8.1.3.3 访问控制（S4） (34)8.1.3.4 可信路径（S4） (34)VIIGB/T XXXX –XXXX 8.1.3.5 安全审计（G4） (34)8.1.3.6 剩余信息保护（S4） (34)8.1.3.7 入侵防范（G4） (34)8.1.3.8 恶意代码防范（G4） (35)8.1.3.9 资源控制（A4） (35)8.1.4应用安全 (35)8.1.4.1 身份鉴别（S4） (35)8.1.4.2 安全标记（S4） (35)8.1.4.3 访问控制（S4） (35)8.1.4.4 可信路径（S4） (35)8.1.4.5 安全审计（G4） (36)8.1.4.6 剩余信息保护（S4） (36)8.1.4.7 通信完整性（S4） (36)8.1.4.8 通信保密性（S4） (36)8.1.4.9 抗抵赖（G4） (36)8.1.4.10 软件容错（A4） (36)8.1.4.11 资源控制（A4） (36)8.1.5数据安全及备份恢复 (37)8.1.5.1 数据完整性（S4） (37)8.1.5.2 数据保密性（S4） (37)8.1.5.3 备份和恢复（A4） (37)8.2 管理要求 (37)8.2.1安全管理制度 (37)8.2.1.1 管理制度（G4） (37)8.2.1.2 制定和发布（G4） (37)8.2.1.3 评审和修订（G4） (38)8.2.2安全管理机构 (38)8.2.2.1 岗位设置（G4） (38)8.2.2.2 人员配备（G4） (38)8.2.2.3 授权和审批（G4） (38)8.2.2.4 沟通和合作（G4） (38)8.2.2.5 审核和检查（G4） (39)8.2.3人员安全管理 (39)8.2.3.1 人员录用（G4） (39)8.2.3.2 人员离岗（G4） (39)8.2.3.3 人员考核（G4） (39)8.2.3.4 安全意识教育和培训（G4） (39)8.2.3.5 外部人员访问管理（G4） (40)8.2.4系统建设管理 (40)8.2.4.1 系统定级（G4） (40)8.2.4.2 安全方案设计（G4） (40)8.2.4.3 产品采购和使用（G4） (40)8.2.4.4 自行软件开发（G4） (40)8.2.4.5 外包软件开发（G4） (41)VIIIGB/T XXXX –XXXX8.2.4.6 工程实施（G4） (41)8.2.4.7 测试验收（G4） (41)8.2.4.8 系统交付（G4） (41)8.2.4.9 系统备案（G4） (41)8.2.4.10 等级测评（G4） (42)8.2.4.11 安全服务商选择（G4） (42)8.2.5系统运维管理 (42)8.2.5.1 环境管理（G4） (42)8.2.5.2 资产管理（G4） (42)8.2.5.3 介质管理（G4） (42)8.2.5.4 设备管理（G4） (43)8.2.5.5 监控管理和安全管理中心（G4） (43)8.2.5.6 网络安全管理（G4） (43)8.2.5.7 系统安全管理（G4） (44)8.2.5.8 恶意代码防范管理（G4） (44)8.2.5.9 密码管理（G4） (44)8.2.5.10 变更管理（G4） (44)8.2.5.11 备份与恢复管理（G4） (45)8.2.5.12 安全事件处置（G4） (45)8.2.5.13 应急预案管理（G4） (45)9第五级基本要求 (46)附录A（规范性附录）关于信息系统整体安全保护能力的要求................ 错误！未定义书签。