1、 中华人民共和国国家标准 GB/T 222392008 ICS35.040 L80 信息安全 技术 信息系统 安全等级 保护基本 要求 Information security technology Baseline for classified protection of information system 2008-06-19 发布 2008-11-01 实施 中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会发布 GB/T 222392008 I 目 次 前 言 III 引 言 . IV 信息系 统安 全等 级保 护基 本要求 1 1 范围 1 2 规范 性引 用文 件 1
2、 3 术语 和定 义 1 3.1 . 1 4 信息 系统 安全 等级 保护 概述 1 4.1 信息系 统安 全保 护等 级 1 4.2 不同等 级的 安全 保护 能力 1 4.3 基本技 术要 求和 基本 管理要 求 2 4.4 基本技 术要 求的 三种 类型 2 5 第一 级基 本要 求 2 5.1 技术要 求 2 5.1.1 物理 安全 2 5.1.2 网络 安全 3 5.1.3 主机 安全 3 5.1.4 应用 安全 4 5.1.5 数据 安全 及备 份恢 复 4 5.2 管理要 求 4 5.2.1 安全 管理 制度 4 5.2.2 安全 管理 机构 4 5.2.3 人员 安全 管理 5
3、 5.2.4 系统 建设 管理 5 5.2.5 系统 运维 管理 6 6 第二 级基 本要 求 7 6.1 技术要 求 7 6.1.1 物理 安全 7 6.1.2 网络 安全 8 6.1.3 主机 安全 9 6.1.4 应用 安全 . 10 6.1.5 数据 安全 及备 份恢 复 . 11 6.2 管理要 求 . 11 6.2.1 安全 管理 制度 . 11 6.2.2 安全 管理 机构 . 11 6.2.3 人员 安全 管理 . 12 6.2.4 系统 建设 管理 . 12 6.2.5 系统 运维 管理 . 14 7 第三 级基 本要 求 . 16 7.1 技术要 求 . 16 7.1.1
4、物理 安全 . 16 7.1.2 网络 安全 . 17 GB/T 222392008 II 7.1.3 主机 安全 . 19 7.1.4 应用 安全 . 20 7.1.5 数据 安全 及备 份恢 复 . 22 7.2 管理要 求 . 22 7.2.1 安全 管理 制度 . 22 7.2.2 安全 管理 机构 . 23 7.2.3 人员 安全 管理 . 24 7.2.4 系统 建设 管理 . 25 7.2.5 系统 运维 管理 . 27 8 第四 级基 本要 求 . 30 8.1 技术要 求 . 30 8.1.1 物理 安全 . 30 8.1.2 网络 安全 . 32 8.1.3 主机 安全 .
5、 33 8.1.4 应用 安全 . 35 8.1.5 数据 安全 及备 份恢 复 . 37 8.2 管理要 求 . 37 8.2.1 安全 管理 制度 . 37 8.2.2 安全 管理 机构 . 38 8.2.3 人员 安全 管理 . 39 8.2.4 系统 建设 管理 . 40 8.2.5 系统 运维 管理 . 42 9 第五 级基 本要 求 . 46 附录A 47 关于信 息系 统整 体安 全保 护能力 的要 求 . 47 附录B 49 基本安 全要 求的 选择 和使 用 . 49 参考文 献 . 51 GB/T 222392008 III 前 言 （略） GB/T 222392008 I
6、V 引 言 依据国 家信 息安 全等 级保 护管理 规定 制定 本标 准。 本标准 是信 息安 全等 级保 护相关 系列 标准 之一 。 与本标 准相 关的 系列 标准 包括： GB/T 222402008 信息安 全技 术 信息 系统 安 全等级 保护 定级 指南 ； 国家标 准 信息 安全 技术 信息 系统 安全 等级 保 护实施 指南 。 本标准与 GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标 准共同 构 成 了 信息系统安全等级保护的相关配套标准。其中 GB17859-1999 是 基础性标准，本标准
7、、 GB/T20269-2006 、 GB/T20270-2006 、 GB/T20271-2006 等是 在 GB17859-1999 基础上的 进一步 细化 和扩 展 。 本标准 在 GB17859-1999、GB/T20269-2006 、GB/T20270-2006、GB/T20271-2006 等技 术类 标准 的基 础上 ， 根据现 有技 术的 发展水平 ， 提出 和 规定了 不同 安全 保护 等级 信息 系统 的 最低 保护 要求 ， 即 基本安 全要求 ， 基本安 全要 求 包 括基本 技术 要求 和基 本管 理要求 ， 本标准 适用 于指 导不同 安全 保护 等级 信息系 统
8、的安 全建 设和 监督 管理 。 在本标 准文 本中 ，黑 体字 表示较 低等级中 没有 出现 或增强 的要 求。 GB/T 222392008 1 信 息安全 技术 信 息系统 安全等级 保护基 本要求 1 范围 本标准 规定 了不同 安 全保 护等级 信息 系统 的基 本保 护要求 ， 包括 基 本技 术要 求和基 本管 理要 求， 适 用于指 导分 等级 的信 息系 统的安 全建 设和 监督 管理 。 2 规范性 引用 文件 下列文 件中 的条 款通 过在 本标准 的引 用而 成为 本标 准的条 款。 凡是 注日 期的 引用文 件， 其随后所 有 的修改 单 （ 不包 括勘 误的 内容）
9、 或修 订版 均不 适用 于本标准 ， 然而 ， 鼓励根 据本 标准 达成协 议的 各方研 究是否 使用 这些 文件 的最 新版本 。凡 是不 注明 日期 的引用 文件 ，其 最新 版本 适用于 本标准 。 GB/T 5271.8 信息技 术 词汇 第8部分： 安全 GB17859 计算 机 信 息系 统安全 保护 等级 划分 准则 GB/T 222402008 信 息安 全技术 信息系 统安 全等 级保护 定级指 南 3 术语和 定义 GB/T 5271.8 和GB 17859-1999确立的 以及 下列 术语 和定义适 用于 本标 准。 3.1 安全保 护能 力 security prot
10、ection ability 系统能 够抵 御威 胁、 发现 安全事 件以 及在 系统 遭到 损害后能够 恢复 先前状态 等的程 度。 4 信息系 统安 全等 级保 护概 述 4.1 信息系 统安全保 护等 级 信息系 统根 据其 在国 家安 全、 经 济建 设、 社会 生活 中的重 要程 度， 遭到 破坏 后对国 家安 全、 社会 秩 序、 公 共利 益以 及公 民、 法人和 其他 组织 的合 法权 益的危 害程 度等 ， 由 低到 高划分 为五 级， 五级 定义见 GB/T 222402008 。 4.2 不同等级 的安全 保护 能力 不同等级 的 信息 系统 应具 备的基 本安 全保 护
11、能 力如 下： 第一级 安全 保护 能力 ：应 能够防 护系 统免 受来 自个 人的、 拥有 很少 资源 的威 胁源发起的 恶意 攻击 、 一般的 自然 灾难 、 以及 其 他相当 危害 程度 的威 胁所 造成的 关键 资源 损害，在 系统遭 到损害 后， 能够 恢复 部分功 能。 第二级 安全 保护 能力 ： 应能够防 护系 统免 受来 自 外部 小型 组织 的、 拥有 少量 资源的 威胁 源发 起的 恶 意攻击 、 一般 的自 然灾 难、 以及其 他相 当危 害程 度的威胁 所造 成的 重要 资源 损害 ， 能够 发现重 要的 安全 漏洞和 安全 事件 ，在 系统 遭到损害 后， 能够在
12、一段 时间内 恢复 部分 功能 。 第三级 安全 保护 能力 ： 应 能够在 统一 安全 策略 下防 护系统 免受 来自 外部 有组 织的团 体、 拥有 较为 丰 富资源 的威 胁源 发起 的恶 意攻击 、 较为严 重的 自然 灾难 、 以及 其他 相当 危害 程度的 威胁 所造 成的 主要资 源损害 ，能够 发现安 全漏 洞和安 全事 件 ，在 系统遭 到 损害 后， 能够 较快 恢复 绝大部 分功 能。 第四级 安全 保护 能力 ： 应 能够在 统一 安全 策略 下防 护系统 免受 来自 国家 级别 的、 敌对 组织 的、 拥有 丰富资 源的 威胁 源发 起的 恶意攻 击、 严重 的自 然
13、灾 难、 以及 其他 相当 危害 程度 的威胁所 造成 的资 源 损害 ，GB/T 222392008 2 能够发现安 全漏 洞和 安全 事件 ，在 系统遭 到 损害 后，能够 迅速 恢复 所有 功能 。 第五级 安全 保护 能力 ： （ 略）。 4.3 基本技术要 求和 基本 管理 要求 信息系统安 全等级 保护 应依据信息系 统的 安全保护等 级情况保 证它们 具有相应 等级的基 本安全 保 护能力 ，不 同安全 保护等 级 的信 息系 统要 求具 有不 同的安 全保 护能 力。 基本安 全要 求是 针对 不同 安全保 护等 级信 息系 统应 该具有 的基 本安 全保 护能 力提出 的安
14、全要 求， 根 据实现 方式 的不 同， 基本 安全要 求分 为基 本技术 要求 和基本 管理 要求 两 大类。技术 类安 全要 求与 信息系 统提供 的技 术安 全机 制有 关， 主 要通过 在信息 系统 中 部署 软硬 件 并正确 的配 置其安 全功 能 来实现 ； 管理 类安全 要求 与信息系 统中 各种 角色 参与 的活动 有关 ， 主要 通过 控制 各种 角色 的活动 ， 从政策 、 制度、 规 范、流 程以 及记 录等 方面 做出规 定来实现 。 基本技 术要求 从物理 安全 、 网络 安全 、 主机安 全、 应用安全 和数 据安 全几 个层 面提出 ； 基 本管 理要 求从安全管
15、 理制 度、 安全 管理机 构、 人员 安全 管理 、 系统 建设 管理 和系 统运 维管理 几个 方面 提出，基 本 技术要求和 基本 管理 要求 是确保 信息 系统 安全 不可 分割的 两个 部分。 基本安 全要 求从 各个 层面 或方面 提出 了系 统的 每个 组件应 该满 足的 安全 要求 ， 信息系 统具 有的 整体 安全保 护能 力通 过不 同组 件实现 基本 安全 要求 来保 证。除 了保 证系 统的 每个 组件满 足基 本安 全要 求外 ， 还要考 虑组 件之 间的 相互 关系， 来保证信 息系 统的 整体安 全保 护能 力 。 关于 信息系 统整 体安 全保 护能力 的说明
16、见附 录 A 。 对于涉 及国 家秘 密 的 信息 系统， 应按 照国 家保 密工 作部门 的相 关规 定和标准 进行保 护。 对于 涉及 密 码的使 用和 管理 ，应按照 国家 密码管 理 的相关 规定 和标准 实施 。 4.4 基本技术要 求的 三种 类型 根据保 护侧 重点 的不 同 ， 技术类 安全 要求 进一 步细 分为： 保护 数据 在存 储、 传输、 处理 过程 中不 被 泄漏、 破坏 和免受 未授权 的 修改 的信息安 全类 要求 （简记 为 S ） ； 保护 系统 连 续正常 的运 行， 免受 对系 统的未授权 修改 、破 坏而 导致系 统不 可用 的服务保 证类 要求 （
17、简记为 A ） ； 通用安全 保护 类 要求 （简记 为 G）。 本标准 中对基本 安全 要求 使用了 标记 ， 其中的 字母 表示 安全要 求的 类型 ， 数字表示 适用 的 安全保 护 等级。 关于 各类 安全 要求 的选择 和使 用见 附录B。 5 第一级 基本 要求 5.1 技术要 求 5.1.1 物理安 全 5.1.1.1 物理访 问控 制（G1） 机房出 入应安排 专人 负责 ， 控制 、鉴 别和 记录 进入 的人员 。 5.1.1.2 防盗窃 和防 破坏 （G1 ） 本项要 求包 括： a) 应将主 要设 备放 置在 机房 内； b) 应将设 备或 主要 部件 进行 固定， 并设
18、 置明 显的 不易 除去的 标记 。 5.1.1.3 防雷击 （G1 ） 机房建 筑应 设置 避雷 装置 。 GB/T 222392008 3 5.1.1.4 防火（G1） 机房应 设置 灭火 设备 。 5.1.1.5 防水和 防潮 （G1 ） 本项要 求包 括： a) 应对穿 过 机房 墙 壁和 楼板 的水管 增加 必要 的保 护措 施； b) 应采取 措施 防止 雨水 通过 机房窗 户、 屋顶 和墙 壁渗 透。 5.1.1.6 温湿度 控制 （G1 ） 机房应 设置 必要 的温 、湿 度控制 设施 ，使 机房 温、 湿度的 变化 在设 备运 行所 允许的 范围 之内 。 5.1.1.7 电
19、力供 应（A1） 应在机 房供 电线 路上 配置 稳压器 和过 电压 防护 设备 。 5.1.2 网络安 全 5.1.2.1 结构安 全（G1） 本项要 求包 括： a) 应保证 关键 网络 设备 的业 务处理 能力 满足 基本 业务 需要； b) 应保证 接入 网络 和核心网 络的带 宽 满足 基本业 务 需要 ； c) 应绘制 与当 前运 行情 况相 符的网 络拓 扑结 构图 。 5.1.2.2 访问控 制（G1） 本项要 求包 括： a) 应在网 络边 界部 署访 问控 制设备 ，启 用访 问控 制功 能； b) 应根据 访问控 制列表 对源 地址、 目的地 址、 源端口 、目的 端口和
20、 协议 等进行 检查， 以允许/ 拒 绝数据 包出 入； c) 应通过 访问 控制 列表 对系 统资源 实现 允许 或拒 绝用 户访问 ，控 制粒 度至少 为用户组 。 5.1.2.3 网络设 备防 护（G1） 本项要 求包 括： a) 应对登 录网 络设 备的 用户 进行身 份鉴 别； b) 应具有 登录 失败 处理 功能 ， 可采 取 结 束会 话、 限制 非 法登录 次数 和当 网络 登录 连接超 时自 动退 出等措 施； c) 当对网 络设 备进 行远 程管 理时， 应采 取必 要措 施防 止鉴别 信息 在网 络传 输过 程中被 窃听 。 5.1.3 主机安 全 5.1.3.1 身份鉴
21、 别（S1） 应对登 录操 作系 统和 数据 库系统 的用 户进 行身 份标 识和鉴 别。 5.1.3.2 访问控 制（S1） 本项要 求包 括： a) 应启用 访问 控制 功能 ， 依 据安全 策略 控制 用户 对资源 的访 问； b) 应限制 默认 帐户 的访 问权 限，重 命名 系统 默认 帐户 ，修改 这些 帐户 的默 认口 令； c) 应及时 删除 多余 的、 过期 的帐户 ，避 免共 享帐 户的 存在。 5.1.3.3 入侵防 范（G1） 操作系 统应 遵循 最小 安装 的原则 ，仅 安装 需要 的组 件和应 用程 序， 并保 持系 统补丁 及时 得到 更 新 。 GB/T 222
22、392008 4 5.1.3.4 恶意代 码防 范（G1） 应安装 防 恶意代 码 软件， 并及时 更新 防 恶意代 码 软件版本 和 恶意代 码 库。 5.1.4 应用安 全 5.1.4.1 身份鉴 别（S1） 本项要 求包 括： a) 应提供 专用 的登 录控 制模 块对登 录用 户进 行身 份标 识和鉴 别； b) 应提供 登录 失败 处理 功能 ，可采 取结 束会 话、 限制 非法登 录次 数和 自动 退出 等措施 ； c) 应启用 身份 鉴别 和登 录失 败处理 功能 ，并 根据 安全 策略配 置相 关参 数 。 5.1.4.2 访问控 制（S1） 本项要 求包 括： a) 应提供
23、访问 控制 功能 控制 用户组/用户 对 系统 功能 和用户数 据的 访问 ； b) 应由授 权主 体 配 置访 问控 制策略 ，并 严格 限制 默认 用户的 访问 权限 。 5.1.4.3 通信完 整性 （S1 ） 应采用 约定 通信 会话 方式 的方法 保证 通信 过程 中数 据的完 整性 。 5.1.4.4 软件容 错（A1） 应提供 数据 有效 性检 验功 能， 保证 通过人 机接 口输 入或通过 通信 接口 输入 的数 据 格式 或长 度符 合系 统设定 要求 。 5.1.5 数据安 全及备份 恢复 5.1.5.1 数据完 整性 （S1 ） 应能够 检 测 到重 要用 户数 据在传
24、输过 程中 完整 性受 到破坏 。 5.1.5.2 备份和 恢复 （A1 ） 应能够 对重要信 息 进行 备 份和恢 复。 5.2 管理要 求 5.2.1 安全管 理制 度 5.2.1.1 管理制 度（G1） 应建立 日常 管理 活动 中常 用的安 全管 理制 度。 5.2.1.2 制定和 发布 （G1 ） 本项要 求包 括： a) 应指定 或授 权专 门的 人员 负责安 全管 理制 度的 制定 ； b) 应将安全管 理制 度以 某种 方式发 布到 相关 人员 手中 。 5.2.2 安全管理机 构 5.2.2.1 岗位设 置（G1） 应设立 系统 管理 员、 网络 管理员 、安全管 理员 等
25、岗位， 并 定义 各个 工作 岗位 的职责 。 5.2.2.2 人员配 备（G1） 应配备 一定 数量 的系 统管 理员、 网络 管理 员、 安全 管理员 等。 5.2.2.3 授权和 审批 （G1 ） 应根据 各个 部门 和岗 位的 职责明 确授权审 批部 门及 批准人 ， 对系统 投入 运行 、 网络系 统接 入和 重要 资源的 访问 等关 键活 动进 行审批 。 GB/T 222392008 5 5.2.2.4 沟通和 合作 （G1 ） 应加强 与兄 弟单 位、 公安 机关、 电信 公司 的合 作与 沟通。 5.2.3 人员安全 管理 5.2.3.1 人员录 用（G1） 本项要 求包 括
26、： a) 应指定 或授 权专 门的 部门 或 人员 负责 人员 录用 ； b) 应对被 录用 人 员 的身 份 和专业资 格 等进行 审查 ， 并 确 保其具 有基 本的 专业 技术 水平和 安全 管理 知识。 5.2.3.2 人员离 岗（G1） 本项要 求包 括： a) 应立即 终止 由于 各种 原因 离岗员 工的 所有 访问 权限 ； b) 应取回 各种 身份 证件 、钥 匙、徽 章等 以及 机构 提供 的软硬 件设 备。 5.2.3.3 安全意 识教 育和 培训 （G1 ） 本项要 求包 括： a) 应对各 类人 员进 行安 全意 识教育 和岗 位技 能培 训 ； b) 应告知 人员 相
27、关 的安 全责 任和惩 戒措 施。 5.2.3.4 外部人 员访 问管 理（G1） 应确保 在外 部人 员访 问受控 区域 前得 到授 权或 审批 。 5.2.4 系统建 设管 理 5.2.4.1 系统定 级（G1） 本项要 求包 括： a) 应明确 信息 系统 的边 界和 安全保 护等 级； b) 应以书 面的 形式 说明 信息 系统确 定为 某个 安全 保护 等级的方法 和理 由 ； c) 应确保 信息 系统 的定 级结 果经过 相关 部门 的批 准。 5.2.4.2 安全方 案设 计（G1） 本项要 求包 括： a) 应根据 系统 的 安全保 护等 级 选择 基本 安全 措施 ，依 据
28、风险 分析 的结 果补 充和 调整安 全措 施； b) 应以书 面的 形式 描述 对系 统的安 全保 护要 求和 策略 、安全 措施 等内 容， 形成 系统的 安全 方 案 ； c) 应对安 全方 案进 行细 化， 形成能 指导 安全 系统 建设 、安全 产品 采购 和使 用 的 详细设 计方 案。 5.2.4.3 产品采 购和 使用 （G1 ） 应确保 安全 产品 采购 和使 用 符合 国家 的有 关规 定。 5.2.4.4 自行软 件开 发（G1） 本项要 求包 括： a) 应确保 开发 环境 与实 际运 行环境 物理 分开 ； b) 应确保 软件 设计 相关 文档 由专人 负责 保管 。
29、 5.2.4.5 外包软 件开 发（G1） 本项要 求包 括： a) 应根据 开发 要求 检测 软件 质量； GB/T 222392008 6 b) 应在软 件安 装之 前检 测软 件包中 可能 存在 的恶 意代 码； c) 应确保 提供 软件 设计 的相 关文档 和使 用指 南。 5.2.4.6 工程实 施（G1） 应指定 或授 权专 门的 部门 或人员 负责 工程 实施 过程 的管理 。 5.2.4.7 测试验 收（G1） 本项要 求包 括： a) 应对系 统进 行安 全性 测试 验收； b) 在测试 验收 前应 根据 设计 方案或 合同 要求 等制 订测 试验收 方案 ， 在测试 验收
30、过程中应 详细 记录 测试验 收结 果， 并形 成测 试验收 报告 。 5.2.4.8 系统交 付（G1） 本项要 求包 括： a) 应制定 系统 交付 清单 ，并 根据交 付清 单对 所交 接的 设备、 软件 和文 档等 进行 清点； b) 应对负 责系 统运 行维 护的 技术人 员进行相 应的 技能 培训； c) 应确保 提供 系统 建设 过程 中的文 档和 指导 用户 进行 系统运 行维 护的 文档 。 5.2.4.9 安全服 务商 选择 （G1 ） 本项要 求包 括： a) 应确保 安全 服务 商的 选择 符合国 家的 有关 规定 ； b) 应与选 定的 安全 服务 商 签 订与安 全
31、相 关的 协议 ，明 确约定 相关 责任 。 5.2.5 系统运 维管 理 5.2.5.1 环境管 理（G1） 本项要 求包 括： a) 应指定 专门 的部 门或 人员 定期对 机房 供配 电、 空调 、温湿 度控 制等 设施 进行 维护管 理； b) 应对机 房的 出入 、服 务器 的开机 或关 机等 工作 进行 管理； c) 应建立 机房 安全 管理 制度 ， 对有关 机房 物理 访问 ， 物品带 进、 带出机 房和 机房环境 安全 等方面 的管理 作出 规定 。 5.2.5.2 资产管 理（G1） 应编制 与信 息系 统相 关的 资产清单， 包括 资产 责任 部门、 重要 程度 和所 处
32、位 置等内容。 5.2.5.3 介质管 理（G1） 本项要 求包 括： a) 应确保 介质 存放 在安 全的 环境中 ，对 各类 介质 进行 控制和 保护 ； b) 应对介 质归 档和 查询 等过 程进行 记录 ， 并根据 存档 介质的 目录 清单 定期 盘点 。 5.2.5.4 设备管 理（G1） 本项要 求包 括： a) 应对信 息系 统相 关的 各种 设备、 线路 等指 定专 门的 部门或 人员 定期 进行 维护 管理； b) 应建立 基于 申报 、 审 批和 专 人负责 的设 备安 全管 理制 度， 对信息 系统 的各 种软 硬件设备 的选 型、 采购、 发放 和领 用等 过程 进行规
33、 范化 管理 。 5.2.5.5 网络安 全管 理（G1） 本项要 求包 括： GB/T 222392008 7 a) 应指定 人员 对网 络进 行管 理， 负 责运 行日 志、 网络 监 控记录 的日 常维 护和 报警 信息分 析和 处理 工作； b) 应定期 进行 网络 系统 漏洞 扫描， 对发 现的 网络 系统 安全漏 洞进 行及 时的 修补 。 5.2.5.6 系统安 全管 理（G1） 本项要 求包 括： a) 应根据 业务 需求 和系 统安 全分析 确定 系统 的访 问控 制策略 ； b) 应定期 进行 漏洞 扫描 ， 对 发现的 系统 安全 漏洞 进行 及时的 修补 ； c) 应安
34、装 系统 的最 新补 丁程 序，并 在安 装系 统补 丁前 对现有 的重 要文 件进 行备 份。 5.2.5.7 恶意代 码防 范管 理（G1） 应提高 所有 用户 的防 病毒 意识， 告知 及时 升级 防病 毒软件 ， 在读取 移动 存储 设备上 的数 据以 及网 络 上接收 文件 或邮 件之 前， 先进行 病毒 检查 ， 对 外来 计算机 或存 储设 备接 入网 络系统 之前 也应 进行 病毒检 查。 5.2.5.8 备份与 恢复 管理 （G1 ） 本项要 求包 括： a) 应识别 需要 定期 备份 的重 要业务 信息 、系 统数 据及 软件系 统等 ； b) 应规定 备份 信息 的备 份
35、方 式、备 份频 度、 存储 介质 、保存 期等 。 5.2.5.9 安全事 件处 置（G1） 本项要 求包 括： a) 应报告 所发 现的 安全 弱点 和可疑 事件 ，但 任何 情况 下用户 均不 应尝试验 证弱 点； b) 应制定 安全 事件 报告 和处 置管理 制度 ， 规 定安 全事 件的现 场处 理、 事件 报告 和后期 恢复 的管理 职责。 6 第二级 基本 要求 6.1 技术要 求 6.1.1 物理安 全 6.1.1.1 物理位 置的 选择 （G2 ） 机房和 办公场 地应 选择在 具有防 震、防 风和 防雨等 能力的 建筑内 。 6.1.1.2 物理访 问控 制（G2） 本项要
36、 求包 括： a) 机房出 入口 应安 排专 人值 守，控 制、 鉴别 和记 录进 入的人 员； b) 需进入 机房的 来访 人员应 经过申 请和审 批流 程， 并 限制和 监控其 活动 范围。 6.1.1.3 防盗窃 和防 破坏 （G2 ） 本项要 求包 括： a) 应将主 要设 备放 置在 机房 内； b) 应将设 备或 主要 部件 进行 固定， 并设 置明 显的 不易 除去的 标记 ； c) 应将通 信线缆 铺设 在隐蔽 处， 可 铺设在 地下 或管道 中； d) 应对介 质分类 标识 ，存储 在介质 库或档 案室 中； e) 主机房 应 安装 必要 的防盗 报警设 施。 GB/T 22
37、2392008 8 6.1.1.4 防雷击 （G2 ） 本项要 求包 括： a) 机房建 筑应 设置 避雷 装置 ； b) 机房应 设置交 流电 源地线 。 6.1.1.5 防火（G2） 机房应 设置 灭火 设备 和 火灾自动 报警系 统 。 6.1.1.6 防水和 防潮 （G2 ） 本项要 求包 括： a) 水管安 装，不 得 穿 过机房 屋顶和 活动地 板下 ； b) 应采取 措施 防止 雨 水通过 机房窗 户、 屋顶 和墙 壁渗 透； c) 应采取 措施防 止机 房内水 蒸气结 露和地 下积 水的转 移与渗 透。 6.1.1.7 防静电 （G2 ） 关键设 备 应 采 用必 要的接 地防
38、静 电措施 。 6.1.1.8 温湿度 控制 （G2 ） 机房应 设置 温、 湿度自 动 调节设 施 ， 使机 房温 、湿 度的变 化在 设备 运行 所允 许的范 围之 内。 6.1.1.9 电力供 应（A2） 本项要 求包 括： a) 应在机 房供 电线 路上 配置 稳压器 和过 电压 防护 设备 ； b) 应提供 短期的 备用 电力供 应，至 少满足 关键 设备在 断电情 况下的 正常 运行要 求。 6.1.1.10 电磁防 护（S2） 电源线 和通信 线缆 应隔离 铺设， 避免互 相干 扰。 6.1.2 网络安 全 6.1.2.1 结构安 全（G2） 本项要 求包 括： a) 应保证 关
39、键 网络 设备 的业 务处理 能力 具备 冗余空 间 ，满足 业务高 峰期 需要； b) 应保证 接入 网络 和核 心网 络的带宽 满足业 务高峰 期 需要 ； c) 应绘制 与当 前运 行情 况相 符的网 络拓 扑结 构图 ； d) 应根据 各部门 的工 作职能 、重要 性 和所 涉及 信息的 重要程 度等因 素， 划分不 同的子 网或网 段， 并按照 方便管 理和 控制的 原则为 各子网 、网 段分配 地址段 。 6.1.2.2 访问控 制（G2） 本项要 求包 括： a) 应在网 络边 界部 署访 问控 制设备 ，启 用访 问控 制功 能； b) 应能根 据会话 状态 信息为 数据流 提
40、供明 确的 允许/ 拒 绝访问 的能力 ，控 制粒度 为网段 级。 c) 应按用 户和 系统 之间 的允 许访问 规则 ， 决 定允 许或 拒绝用 户对 受控 系统 进行 资源访 问， 控制 粒 度为 单个用 户 ； d) 应限制 具有拨 号访 问权限 的用户 数量 。 6.1.2.3 安全审 计（G2） 本项要 求包 括： GB/T 222392008 9 a) 应对网 络系统 中的 网络设 备运行 状况、 网络 流量、 用户行 为等进 行日 志记录 ； b) 审计记 录应包 括事 件的日 期和时 间、 用 户、 事件类 型 、 事件 是否成 功及 其他与 审 计相关 的信息 。 6.1.2
41、.4 边界完 整性 检查 （S2 ） 应能够 对内部 网络 中出现 的内部 用户未 通过 准许私 自联到 外部网 络的 行为进 行检查 。 6.1.2.5 入侵防 范（G2） 应 在网 络边界 处监 视以下 攻击行 为： 端 口扫描、 强 力攻击、 木马 后门攻 击、 拒绝服 务攻击 、 缓冲 区 溢出攻 击、IP 碎片攻击 和 网络蠕 虫攻击 等。 6.1.2.6 网络设 备防 护（G2） 本项要 求包 括： a) 应对登 录网 络设 备的 用户 进行身 份鉴 别； b) 应对网 络设备 的管 理员登 录地址 进行限 制； c) 网络设 备用户 的标 识 应唯一； d) 身份鉴 别信息 应具
42、 有不易 被冒用 的特点 ，口 令 应有 复杂度 要求并 定期 更换； e) 应具有 登录 失败 处理 功能 ， 可采 取 结 束会 话、 限制 非 法登录 次数 和当 网络 登录 连接超 时自 动退 出等措 施； f) 当对网 络设 备进 行远 程管 理时， 应采 取必 要措 施防 止鉴别 信息 在网 络传 输过 程中被 窃听 。 6.1.3 主机安 全 6.1.3.1 身份鉴 别（S2） 本项要 求包 括： a) 应对登 录操 作系 统和 数据 库系统 的用 户进 行身 份标 识和鉴 别； b) 操作系 统和数 据库 系统 管 理用户 身份标 识应 具有不 易被冒 用的特 点， 口令 应有
43、 复杂度 要求并 定 期更换 ； c) 应 启用 登录失 败处 理功能 ，可采 取结束 会话 、限制 非法登 录次数 和自 动退出 等措施 ； d) 当对服 务器进 行远 程管理 时， 应 采取必 要措 施，防 止鉴别 信息在 网络 传输过 程中被 窃听； e) 应 为操 作系统 和数 据库系统 的不 同用户 分配 不同的 用户名 ，确保 用户 名具有 唯一性 。 6.1.3.2 访问控 制（S2） 本项要 求包 括： a) 应启用 访问 控制 功能 ，依 据安全 策略 控制 用户 对资 源的访 问； b) 应实现 操作系 统和 数据库 系统特 权用户 的权 限分离 ； c) 应限制 默认 帐
44、户 的访 问权 限，重 命名 系统 默认 帐户 ，修改 这些 帐户 的默 认口 令； d) 应及时 删除 多余 的、 过期 的帐户 ，避 免共 享帐 户的 存在。 6.1.3.3 安全审 计（G2） 本项要 求包 括： a) 审计范 围 应 覆 盖到 服务器 上的每 个操作 系统 用户和 数据库 用户； b) 审计内 容 应 包 括重 要用户 行为、 系统 资源的 异常 使用 和重要 系统命 令的 使用等 系统内 重要的 安 全相关 事件； c) 审计记录 应包括 事件的 日期 、时 间、类 型、 主体标 识、客 体标识 和结 果等； d) 应 保护 审计记 录 ， 避免受 到未预 期的删 除
45、、 修改或 覆盖等 。 GB/T 222392008 10 6.1.3.4 入侵防 范（G2） 操作系 统应 遵循 最小 安装 的原则 ， 仅安 装需 要的 组件和应 用程 序， 并 通过设 置升级 服务器 等方 式 保 持系统 补丁 及时 得到 更新 。 6.1.3.5 恶意代 码防 范（G2） 本项要 求包 括： a) 应安装 防恶 意代 码软 件， 并及时 更新 防恶 意代 码软 件版本 和恶 意代 码库 ； b) 应支持 防恶意 代码 软件的 统一管 理。 6.1.3.6 资源控 制（A2） 本项要 求包 括： a) 应通过 设定终 端接 入方式 、网络 地址范 围等 条件限 制终端
46、登录； b) 应根据 安全策 略设 置登录 终端的 操作超 时锁 定； c) 应限制 单个用 户对 系统资 源的最 大或最 小使 用限度 。 6.1.4 应用安 全 6.1.4.1 身份鉴 别（S2） 本项要 求包 括： a) 应提供 专用 的登 录控 制模 块对登 录用 户进 行身 份标 识和鉴 别； b) 应提供 用户身 份标 识唯一 和鉴别 信息复 杂度 检查功 能， 保 证应 用系统 中不 存在 重复用 户身份 标 识，身 份鉴别 信息 不易被 冒用 ； c) 应提供 登录 失败 处理 功能 ，可采 取结 束会 话、 限制 非法登 录次 数和 自动 退出 等措施 ； d) 应启用 身份
47、 鉴别 、 用户身 份标识 唯一 性 检查 、 用户 身份鉴 别信息 复杂 度检查 以及登 录失 败处 理 功能， 并根 据安 全策 略配 置相关 参数 。 6.1.4.2 访问控 制（S2） 本项要 求包 括： a) 应提供 访问 控制 功能 ， 依据安全 策略控 制用 户对文 件、数 据库表 等客 体的访 问 ； b) 访问控 制的覆 盖范 围应包 括与 资 源访问 相关 的主体 、客体 及它们 之间 的操作 ； c) 应由授 权主 体 配 置访 问控 制策略 ，并 严格 限制 默认 帐户的 访问 权限 ； d) 应授予 不同帐 户为 完成各 自承担 任务所 需的 最小权 限，并 在它们
48、之间 形成相 互制约 的关系。 6.1.4.3 安全审 计（G2） 本项要 求包 括： a) 应提供 覆盖到 每个 用户的 安全审 计功能 ，对 应用系 统重要 安全事 件进 行审计 ； b) 应保证 无法删 除、 修改或 覆盖审 计记录 ； c) 审计记 录的内 容至 少应包 括事件 日期、 时间 、发起 者信息 、类型 、描 述和结 果等。 6.1.4.4 通信完 整性 （S2 ） 应采用 校验码 技术 保证通 信过程 中数据 的完 整性。 6.1.4.5 通信保 密性 （S2 ） 本项要 求包 括： a) 在通信 双方建 立连 接之前 ，应用 系统应 利用 密码技 术进行 会话初 始化
49、验证； b) 应对通 信过程 中的 敏感信 息字段 进行加 密。 GB/T 222392008 11 6.1.4.6 软件容 错（A2） 本项要 求包 括： a) 应提供 数据 有效 性检 验功 能， 保 证通过人 机接 口输 入或通过 通信 接口 输入 的数 据格式 或长 度符 合系统 设定 要求 ； b) 在故障 发生时 ，应 用系统 应能够 继续提 供一 部分功 能，确 保能够 实施 必要的 措施。 6.1.4.7 资源控 制（A2） 本项要 求包 括： a) 当应用 系统的 通信 双方中 的一方 在一段 时间 内未作 任何响 应，另 一方 应能够 自动结 束会话 ； b) 应能够 对应用 系统 的最大 并发会 话连接 数进 行限制 ； c) 应能够 对单个 帐户 的多重 并发会 话进行 限制 。 6.1.5 数据安 全及备份 恢复 6.1.5.1 数据完 整性 （S2 ） 应能够 检测到 鉴别 信息和 重要业 务数据 在传 输过程 中完整 性受到 破坏 。 6.1.5.2 数据保 密性 （S2 ）
