最新等保2.0-安全检查情况汇总表
等保2.0测评表-安全管理机构和人员
序号测评对象 测评指标
控制项 a) 应成立指导和管理信息安全工 作的委员会或领导小组，其最高 领导由单位主管领导委任或授 权；
23
外部人员 访问管理
a) 应确保在外部人员物理访问受 控区域前先提出书面申请，批准 后由专人全程陪同，并登记备 案；
24
外部人员 访问管理
b) 应确保在外部人员接入受控网 络访问系统前先提出书面申请， 批准后由专人开设账户、分配权 限，并登记备案； c) 外部人员离场后应及时清除其 所有的访问权限； d) 获得系统访问授权的外部人员 应签署保密协议，不得进行非授 权操作，不得复制和泄露任何敏 感信息。
应访谈安全主管，询问是否定期审查、更新审批项目，审查周期多长。 应检查审批管理制度文档，是否明确需定期审查、更新审批的项目、审批部门、批准人和审查周期等。 应访谈安全主管，询问与组织机构内其它部门之间及内部各部门管理人员之间是否建立沟通、合作机制， 是否定期或不定期召开协调会议。 应访谈安全主管，询问是否召开过部门间协调会议，组织其它部门人员共同协助处理信息系统安全有关问 题，安全管理机构内部是否召开过安全工作会议部署安全工作的实施。 应访谈安全主管，询问信息安全领导小组或者安全管理委员会是否定期召开例会。 应检查组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，查看是否有会议内 容、会议时间、参加人员和会议结果等的描述。 应检查信息安全领导小组或者安全管理委员会定期例会会议文件或会议记录，查看是否有会议内容、会议 时间、参加人员、会议结果等的描述。 应检查是否有组织机构内部人员联系表。 应访谈安全主管，询问是否建立与外单位（供应商、业界专家、专业的安全公司、安全组织等）的沟通、 合作机制，与外单位和其他部门有哪些合作内容，沟通、合作方式有哪些。 应检查外联单位联系列表，查看外联单位是否包含公安机关、电信公司、兄弟单位、供应商、业界专家、 专业的安全公司和安全组织等，是否说明外联单位的名称、合作内容、联系人和联系方式等内容。 应访谈安全管理员，询问是否定期检查系统日常运行、系统漏洞和数据备份等情况，检查周期多长。 应访谈安全主管，询问是否组织人员定期对信息系统进行全面安全检查，检查周期多长，检查内容有哪些 。 应访谈安全管理员，询问系统全面安全检查情况，检查周期多长，检查人员有哪些，检查程序如何。 应访谈安全管理员，询问是否对检查结果进行通报，通报形式、范围如何。 应检查全面安全检查报告，查看报告日期间隔与检查周期是否一致，报告中是否有检查内容、检查人员、 检查数据汇总表、检查结果等的描述，检查内容是否包括现有安全技术措施的有效性、安全配置与安全策 略的一致性、安全管理制度的执行情况等。 应检查安全管理员定期实施安全检查的报告，查看报告日期间隔与检查周期是否一致，检查内容是否包括 系统日常运行、系统漏洞和数据备份等情况。 应检查是否具有执面安全检查时的安全检查表、安全检查记录和结果通告记录，查看安全检查记录中记录 的检查程序与文件要求是否一致。
等保2.0梳理表(含1-4级)excel表格
安全通用要求
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
四级 四级 四级 四级
四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级
四级 四级 四级 四级 四级
环境管理 环境管理 环境管理
资产管理 资产管理 资产管理 介质管理
四级 安全通用要求 四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
四级 四级
安全通用要求 安全通用要求
四级 安全通用要求
安全运维管理 安全运维管理 安全运维管理
安全运维管理 安全运维管理 安全运维管理 安全运维管理
自行软件开发 自行软件开发 外包软件开发 外包软件开发 外包软件开发 测试验收 测试验收 系统交付 系统交付 系统交付 等级测评 等级测评 等级测评 服务供应商选择 服务供应商选择 服务供应商选择 环境管理
制定和发布 评审和修订
岗位设置
岗位设置
岗位设置 人员配备 人员配备 人员配备 授权和审批 授权和审批 授权和审批 沟通和合作 沟通和合作 沟通和合作 审核和检查 审核和检查
审核和检查 人员录用 人员录用 人员录用 人员录用 人员离岗 人员离岗
四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
安全计算环境 安全计算环境 安全计算环境 安全计算环境 安全计算环境
等保2.0高风险项判定汇总
引言所谓高风险项，就是等保测评时可以一票否决的整改项，如果不改，无论你多少分都会被定为不合格。
全文共58页，写得比较细了，但是想到大家基本不会有耐心去仔细看的（凭直觉）。
这几天挑里边相对重点的内容列了出来，就是企业要重点关注的，把这些做好，上70分应该不成问题，个人认为这就是所谓的抓重点了。
最近要定级或者明年打算升级等保2.0的可以参考下。
说明：文中标记（3级）的表示3级及以上系统适用，标记（4级）的表示4级系统适用，为标记的表示所有系统适用。
物理环境部分1. 无防盗报警系统、无监控系统，可判定为高风险。
2. 机房未配备冗余或并行电力线路供电来自于同一变电站，可判高风险。
3. 系统所在的机房必须配备应急供电措施，如未配备，或应急供电措施无法使用，可判高风险。
（4级）4. 对于涉及大量核心数据的系统，如机房或关键设备所在的机柜未采取电磁屏蔽措施，可判高风险。
（4级）网络通信部分1. 对可用性要求较高的系统，网络设备的业务处理能力不足，高峰时可能导致设备宕机或服务中断，影响金融秩序或引发群体事件，若无任何技术应对措施。
核心网络设备性能无法满足高峰期需求，存在业务中断隐患，如业务高峰期，核心设备性能指标平均达到80%以上，可判定为高风险。
2. 应按照不同网络的功能、重要程度进行网络区域划分，如存在重要区域与非重要网络在同一子网或网段的，可判定为高风险。
3. 互联网出口无任何访问控制措施，或访问控制措施配置失效，存在较大安全隐患，可判定为高风险。
（区域边界要求同样适用）4. 办公网与生产网之间无访问控制措施，办公环境任意网络接入均可对核心生产服务器和网络设备进行管理，可判定为高风险。
5. 对可用性要求较高的系统，若网络链路为单链路，核心网络节点、核心网络设备或关键计算设备无冗余设计，一旦出现故障，可能导致业务中断，可判定为高风险。
（3级）6. 对数据传输完整性要求较高的系统，数据在网络层传输无完整性保护措施，一旦数据遭到篡改，可能造成财产损失的，可判定为高风险。
windows server信息安全等级保护等保2.0安全配置核查
5.7
Routing and Remote Access – 禁止
5.8
Simple Mail Trasfer Protocol(SMTP) – 禁止
自动启动 启动
序号 类别
检查项
5.9 5.10 5.11
不必 要的
Simple Simple
服务 Telnet
Network Management Network Management – 禁止
密码策略：密码最长使用期限（90天）
2.4
密码策略：密码最短使用期限（1天）
2.5
密码策略：强制密码历史（24）
2.6
密码策略：用可还原的加密来储存密码（禁用）
2.7
帐户锁定策略：复位帐户锁定计数器（15分钟之后）
2.8
帐户锁定策略：帐户锁定时间（15分钟）
2.9 2.10 2.11 2.12
审计 和帐 号策 略
3.17
关闭系统: 只有Administrators组
3.18
通过终端服务拒绝登陆：加入Guests、User组
3.19
通过终端服务允许登陆：只加入Administrators组
3.20
从网络访问此计算机中删除PowerUsers和BackupOperators
4.1
禁止自动登录: HKLM\Software\Microsoft\Windows NT\ 注册 CurrentVersion\Winlogon\AutoAdminLogon (REG_DWORD) 0
3.12
网络访问：不允许SAM帐户和共享的匿名枚举（启用）
3.13
网络访问：不允许为网络身份验证储存凭证或 .NET passports(启用）
等保2.0测评高危项自查表(等保三级系统)
器和网络设备进行管理，可判定为高风险
对可用性要求较高的系统，若网络链路为单链路，核心网络节点、核心网络设备或
关键计算设备无冗余设计，一旦出现故障，可能导致业务中断，可判定为高风险。
对数据传输完整性要求较高的系统，数据在网络层传输无完整性保护措施，一旦数
据遭到篡改，可能造成财产损失的，可判定为高风险。建议采用校验技术或密码技
21 计算环境部分 22 计算环境部分
23 计算环境部分
24 计算环境部分
25 计算环境部分
26 计算环境部分 27 计算环境部分
28 计算环境部分
29 计算环境部分 30 计算环境部分 31 计算环境部分 32 计算环境部分 33 计算环境部分 34 计算环境部分 35 计算环境部分 36 计算环境部分 37 计算环境部分 38 计算环境部分 39 计算环境部分
判定为高风险。（包括1如相关漏洞暴露在可控的网络环境，可酌情降低风险等 级；2如某网络设备的WEB管理界面存在高风险漏洞，而该WEB管理界面只能通过
特定的IP或特定可控环境下才可访问，可酌情降低风险等级） 通过验证测试或渗透测试能够确认并利用的，可对网络设备、安全设备、操作系统 、数据库等造成重大安全隐患的漏洞（包括但不限于缓冲区溢出、提权漏洞、远程
置不当；2非授权接入无线网络将对内部核心网络带来较大安全隐患）
与互联网互连的系统，边界处如无专用的访问控制设备或配置了全通策略，可判定
为高风险。（包括1互联网出口无任何访问控制措施；2互联网出口访问控制措施配
置不当，存在较大安全隐患；互联网出口访问控制措施配置失效，启用透明模式，
无法起到相关控制功能）
的，可判定为高风险。 判例内容：未建立任何与安全管理活动相关的管理制度或相关管理制度无法适用于
(完整版)等保2.0测评表-设备和计算安全-网络设备
删除、修改或覆盖等；
15
d) 应确保审计记录的留存时 间符合法律法规要求；
16
e) 应对审计进程进行保护， 防止未经授权的中断。
a) 应采用免受恶意代码攻击
的技术措施或可信验证机制对
17
恶意代码防范
系统程序、应用程序和重要配 置文件/参数进行可信执行验
证，并在检测到其完整性受到
破坏时采取恢
符合情况 备注
网络设备
a) 应启用安全审计功能，审
12
安全审计
计覆盖到每个用户，对重要的 用户行为和重要安全事件进行
审计； b) 审计记录应包括事件的日
13
期和时间、用户、事件类型、 事件是否成功及其他与审计相
关的信息； c) 应对审计记录进行保护，
14
安全审计
定期备份，避免受到未预期的
a) 应限制单个用户或进程对 系统资源的最大使用限度；
19
b) 应提供重要节点设备的硬 件冗余，保证系统的可用性；
资源控制
c) 应对重要节点进行监视，
20
包括监视CPU、硬盘、内存等
资源的使用情况；
d) 应能够对重要节点的服务
21
水平降低到预先规定的最小值
进行检测和报警。
确认人: 确认时间:
序号 1
测评对象
测评指标
2 身份鉴别
3
4
5
访问控制
6
7
8 访问控制
9
10
11
网络设备
控制项
结果记录
a) 应对登录的用户进行身份
标识和鉴别，身份标识具有唯
一性，身份鉴别信息具有复杂
度要求并定期更换；
b) 应具有登录失败处理功 能，应配置并启用结束会话、 限制非法登录次数和当登录连 接超时自动退出等相关措施；
等保2.0自查表
28
安全通信网络
通信传输
a)应采用校验技术或加解密技术保证通信过程中数据的完整性；
VPN、加密机、SSH、SSL、MD5、防篡改等
1.要求业务应用和运维管理的通信过程都采用非对称加密、哈希校验等密码技术，保障数据传输过程安全可靠。
2.检查所选设备是否具有国家相关部门加解密认证证书及其证书有效性，如国密算法、商密算法等。
3.测试设备是否满足业务高峰期需求。
4.按照业务系统服务的重要次序定义带宽分配的优先级，在网络拥堵时优先保障重要主机；
24
安全通信网络
网络架构
b)应保证网络各个部分的带宽满足业务高峰期需要；
关键网络节点双机冗余、网管软件、QoS监控、CDN网络加速
1.要求网络进出口和核心网络的流量满足高峰期需求；
2.尽量采用不同运营商网络通信线路，保障网络业务的连续性
防盗报警系统、视频监控系统、机房动力环境监控系统
要求部署防盗报警系统或视频监控系统，对于监控信息需保存6个月以上
机房专人值守，定期复查视频记录等，并进行记录告
7
安全物理环境
防雷击
a)应将各类机柜、设施和设备等通过接地系统安全接地；
建设接地网、机房动力环境监控系统
管理制度中规定范围内的设备必须接地
定期检查接地电阻，并进行记录
复合岩棉彩钢板、铯钾防火玻璃等
1.要求对机房中重要信息或者关键业务系统需要和常规信息系统和设备进行隔离；
2.要求隔断防火设备需采用复合岩棉彩钢板、铯钾防火玻璃等;
1.检查存储重要信息和关键信息系统是否有与普通信息系统进行隔离，隔离方式是否满足要求，并出具分析报告；
信息系统安全等级保护等级测评报告模板【等保2.0】
报告编号：XXXXXXXXXXX-XXXXX-XX-XXXXXX-XX网络安全等级保护[被测对象名称]等级测评报告等保2.0委托单位：测评单位：报告时间：年月网络安全等级测评基本信息表声明【填写说明：声明是测评机构对测评报告的有效性前提、测评结论的适用范围以及使用方式等有关事项的陈述。
针对特殊情况下的测评工作，测评机构可在以下建议内容的基础上增加特殊声明。
】本报告是[被测对象名称]的等级测评报告。
本报告是对[被测对象名称]的整体安全性进行检测分析，针对等级测评过程中发现的安全问题，结合风险分析，提出合理化建议。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测对象当时的安全状态有效。
当测评工作完成后，由于被测对象发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对被测对象内部部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
单位名称（加盖单位公章）年月日等级测评结论【填写说明：此表描述等级保护对象及等级测评活动中的一般属性。
包括被测对象名称、安全保护等级、被测对象描述、测评工作描述、等级测评结论及综合得分。
如被测对象为云计算（包括平台/系统）或大数据（包括平台/应用/资源），则需要增加云计算安全扩展表或大数据安全扩展表。
】等级测评结论扩展表（云计算安全）【填写说明：此表描述与云计算（包括平台/系统）相关的扩展信息。
云计算形态用于明确被测对象为云计算平台还是云服务客户业务应用系统，此处为单选。
运维所在地用于明确云计算服务的后台技术管理者所在位置，方便公安机关监管。
云服务模式用于明确被测对象所采用的服务模式，此处为单选。
注意，一个云计算平台可能有多种服务模式，每种服务模式单独构成一个定级系统，对应一份定级报告及一份等级测评报告。