等保三级系统整改示例

《等保三级系统整改示例》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、三级系统整改示例世博前后的等保目标杜绝由信息安全造成的群体事件关键信息系统不能中断防止办公系统信息泄露等负面事件世博前后的等保对策常态化的信息安全保障，提高自身免疫能力规定动作结合自选动作，全面进行整改加固和应急演练技术要在服务上深化，管理要在细节上落实建立全市层面的专家团队及技术保障队伍等级保护－－世博信息安全保障Before2005《中华人民共和国计算机信息系统安全保护条例》（1994年国务院147号令）《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）《关于信息安全等级保护工作的实施意见》

2、（公通字[2004]66号）2007《信息安全等级保护管理办法》（公通字[2007]43号）《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）－－－上海市：沪公发[2007]319号《上海市迎世博信息安全保障两年行动计划》2009《2009年信息安全等级保护工作内容及具体要求》（公信安[2009]232号）《关于组织开展2009年度本市重要信息系统等级保护工作的通知》（沪公发[2009]187号）－－－沪公发[2009]173号、沪密局[2009]39号、。。。等级保护－－政策推进过程基础类

3、《计算机信息系统安全保护等级划分准则》GB17859-1999《信息系统安全等级保护实施指南》GB/TCCCC-CCCC报批稿应用类定级：《信息系统安全保护等级定级指南》GB/T22240-2008建设：《信息系统安全等级保护基本要求》GB/T22239-2008《信息系统通用安全技术要求》GB/T20271-2006《信息系统等级保护安全设计技术要求》测评：《信息系统安全等级保护测评要求》GB/TDDDD-DDDD报批稿《信息系统安全等级保护测评过程指南》管理：《信息系统安全管理要求》GB/T20269-2006《信息系统

4、安全工程管理要求》GB/T20282-2006等级保护－－十大核心标准等级保护－－完全实施过程信息系统定级安全总体规划安全设计与实施安全运行维护信息系统终止安全等级测评信息系统备案安全整改设计等级符合性检查应急预案及演练安全要求整改安全等级整改局部调整等级变更能力、措施和要求安全保护能力基本安全要求等保3级的信息系统基本技术措施基本管理措施具备包含包含满足满足实现等级保护基本安全要求某级系统物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理三级系统的控

5、制类及控制项指标类技术/管理层面类数量项数量S类(3级)A类(3级)G类(3级)小计小计安全技术物理安全1181032网络安全106733主机安全313732应用安全522931数据安全21038安全管理安全管理制度N/A311安全管理机构520人员安全管理516系统建设管理1145系统运维管理1360合计73（类）290（项）三级系统安全保护要求—物理安全物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。物理安全具体包括：10个控制点物理位置的选择（G）、物理访问控制（G）、防盗窃和

6、防破坏（G）、防雷击（G)、防火（G）、防水和防潮（G）、防静电（G）、温湿度控制（G）、电力供应（A）、电磁防护（S）物理位置的选择基本防护能力高层、地下室物理访问控制基本出入控制分区域管理在机房中的活动电子门禁防盗窃和防破坏存放位置、标记标识监控报警系统防雷击建筑防雷、机房接地设备防雷防火灭火设备、自动报警自动消防系统区域隔离措施防静电关键设备主要设备防静电地板电力供应稳定电压、短期供应主要设备冗余/并行线路备用供电系统电磁防护线缆隔离接地防干扰电磁屏蔽防水和防潮温湿度控制物理安全的整改要点物理位置选择物理访问控制防盗窃

7、和防破坏防雷击、防火、防水和防潮、防静电、温湿度控制电力供应电磁防护不做硬性要求三级系统安全保护要求—网络安全网络安全主要关注的方面包括：网络结构、网络边界以及网络设备自身安全等。网络安全具体包括：7个控制点结构安全(G)、访问控制(G)、安全审计(G)、边界完整性检查(A)、入侵防范(G)、恶意代码防范(G)、网络设备防护(G)结构安全关键设备冗余空间主要设备冗余空间访问控制访问控制设备（用户、网段）应用层协议过滤拨号访问限制会话终止安全审计日志记录审计报表边界完整性检查内部的非法联出非授权设备私自外联网络安全的整改要点子

8、网/网段控制核心网络带宽整体网络带宽重要网段部署路由控制带宽分配优先级端口控制最大流量数及最大连接数防止地址欺骗审计记录的保护定位及阻断入侵防范检测常见攻击记录、报警恶意代码防范网络边界处防范网络设备防护基本的登录鉴别组合鉴别技术特权用户的权限分离结构安全访问控制安全审计增加违规外联检测阻