logo资料库

网络安全等级保护测评高风险判定指引(2020稿).pdf

发布时间：2022-06-26 发布人：admin 分类：说明书 资料大小：0.75M 资料格式：pdf 举报 版权申诉
第1页 / 共76页
第2页 / 共76页
第3页 / 共76页
第4页 / 共76页
第5页 / 共76页
第6页 / 共76页
第7页 / 共76页
第8页 / 共76页
资料共76页，剩余部分请下载后查看
    网络安全等级保护测评 高风险判定指引 2020 年 2 月
    目 录 1 适用范围 ........................................................................................................................................................................ 1 2 术语和定义 ................................................................................................................................................................... 1 3 参考依据 ........................................................................................................................................................................ 2 4 安全物理环境 .............................................................................................................................................................. 2 4.1 物理访问控制 ................................................................ 2 4.1.1 机房出入口控制措施 .................................................... 2 4.2 防盗窃和防破坏 .............................................................. 3 4.2.1 机房防盗措施 .......................................................... 3 4.3 防火 ........................................................................ 4 4.3.1 机房防火措施 .......................................................... 4 4.4 温湿度控制 .................................................................. 5 4.4.1 机房温湿度控制措施 .................................................... 5 4.5 电力供应 .................................................................... 5 机房短期的备用电力供应措施 ............................................ 5 4.5.1 机房电力线路冗余措施 .................................................. 6 4.5.2 4.5.3 机房应急供电措施 ...................................................... 7 4.6 电磁防护 .................................................................... 7 4.6.1 机房电磁防护措施 ...................................................... 7 5 安全通信网络 .............................................................................................................................................................. 8 5.1 网络架构 .................................................................... 8 网络设备业务处理能力 .................................................. 8 5.1.1 5.1.2 网络区域划分 .......................................................... 9 网络访问控制设备不可控 ............................................... 10 5.1.3 互联网边界访问控制 ................................................... 10 5.1.4 5.1.5 不同区域边界访问控制 ................................................. 11 5.1.6 关键线路、设备冗余 ................................................... 12 5.2 通信传输 ................................................................... 13 5.2.1 传输完整性保护 ....................................................... 13 传输保密性保护 ....................................................... 13 5.2.2 6 安全区域边界 ............................................................................................................................................................ 14 6.1 边界防护 ................................................................... 14 互联网边界访问控制 ................................................... 14 6.1.1 网络访问控制设备不可控 ............................................... 15 6.1.2 6.1.3 违规内联检查措施 ..................................................... 16 违规外联检查措施 ..................................................... 16 6.1.4 6.1.5 无线网络管控措施 ..................................................... 17 6.2 访问控制 ................................................................... 18 互联网边界访问控制 ................................................... 18 6.2.1 6.2.2 通信协议转换及隔离措施 ............................................... 19
    6.3 入侵防范 ................................................................... 19 外部网络攻击防御 ..................................................... 19 6.3.1 6.3.2 内部网络攻击防御 ..................................................... 20 6.4 恶意代码和垃圾邮件防范 ..................................................... 21 6.4.1 网络层恶意代码防范 ................................................... 21 6.5 安全审计 ................................................................... 22 6.5.1 网络安全审计措施 ..................................................... 22 7 安全计算环境 ............................................................................................................................................................ 22 7.1.4 7.1.3 7.1.2 7.1 网络设备、安全设备、主机设备等 ............................................. 22 7.1.1 身份鉴别 ............................................................. 22 7.1.1.1 设备弱口令 ........................................................... 22 7.1.1.2 远程管理防护 ......................................................... 23 7.1.1.3 双因素认证 ........................................................... 24 访问控制 ............................................................. 25 7.1.2.1 默认口令处理 ......................................................... 25 安全审计 ............................................................. 26 7.1.3.1 设备安全审计措施 ..................................................... 26 入侵防范 ............................................................. 27 7.1.4.1 不必要服务处置 ....................................................... 27 7.1.4.2 管理终端管控措施 ..................................................... 28 7.1.4.3 已知重大漏洞修补 ..................................................... 28 7.1.4.4 测试发现漏洞修补 ..................................................... 29 恶意代码防范 ......................................................... 30 7.1.5.1 操作系统恶意代码防范 ................................................. 30 7.2 应用系统 ................................................................... 31 7.2.1 身份鉴别 ............................................................. 31 7.2.1.1 口令策略 ............................................................. 31 7.2.1.2 弱口令 ............................................................... 32 7.2.1.3 登录失败处理 ......................................................... 33 7.2.1.4 双因素认证 ........................................................... 34 访问控制 ............................................................. 35 7.2.2.1 登录用户权限控制 ..................................................... 35 7.2.2.2 默认口令处理 ......................................................... 36 7.2.2.3 访问控制策略 ......................................................... 36 安全审计 ............................................................. 37 7.2.3.1 安全审计措施 ......................................................... 37 入侵防范 ............................................................. 38 7.2.4.1 数据有效性检验功能 ................................................... 38 7.2.4.2 已知重大漏洞修补 ..................................................... 39 7.2.4.3 测试发现漏洞修补 ..................................................... 39 数据完整性 ........................................................... 40 7.2.5.1 传输完整性保护 ....................................................... 40 数据保密性 ........................................................... 41 7.2.6.1 传输保密性保护 ....................................................... 41 7.2.5 7.2.6 7.1.5 7.2.2 7.2.3 7.2.4
    7.2.7 7.2.6.2 存储保密性保护 ....................................................... 42 数据备份恢复 ......................................................... 42 7.2.7.1 数据备份措施 ......................................................... 42 7.2.7.2 异地备份措施 ......................................................... 43 7.2.7.3 数据处理冗余措施 ..................................................... 44 7.2.7.4 异地灾难备份中心 ..................................................... 44 剩余信息保护 ......................................................... 45 7.2.8.1 鉴别信息释放措施 ..................................................... 45 7.2.8.2 敏感数据释放措施 ..................................................... 46 个人信息保护 ......................................................... 46 7.2.9.1 个人信息采集、存储 ................................................... 46 7.2.9.2 个人信息访问、使用 ................................................... 47 7.2.8 7.2.9 8 安全区域边界 ............................................................................................................................................................ 48 8.1 集中管控 ................................................................... 48 运行监控措施 ......................................................... 48 8.1.1 日志集中收集存储 ..................................................... 49 8.1.2 8.1.3 安全事件发现处置措施 ................................................. 49 9 安全管理制度 ............................................................................................................................................................ 50 9.1 管理制度 ................................................................... 50 管理制度建设 ......................................................... 50 9.1.1 10 安全管理机构 ............................................................................................................................................................ 51 10.1 岗位设置 ................................................................... 51 网络安全领导小组建立 ................................................. 51 10.1.1 11 安全建设管理 ............................................................................................................................................................ 51 11.1 产品采购和使用 ............................................................. 51 网络安全产品采购和使用 ............................................... 51 11.1.1 11.1.2 密码产品与服务采购和使用 ............................................. 52 11.2 外包软件开发 ............................................................... 53 11.2.1 外包开发代码审计 ..................................................... 53 11.3 测试验收 ................................................................... 54 11.3.1 上线前安全测试 ....................................................... 54 12 安全运维管理 ............................................................................................................................................................ 55 12.1 漏洞和风险管理 ............................................................. 55 12.1.1 安全漏洞和隐患的识别与修补 ........................................... 55 12.2 网络和系统安全管理 ......................................................... 56 重要运维操作变更管理 ................................................. 56 12.2.1 12.2.2 运维工具的管控 ....................................................... 57 12.2.3 运维外联的管控 ....................................................... 58 12.3 恶意代码防范管理 ........................................................... 59 12.3.1 外来接入设备恶意代码检查 ............................................. 59 12.4 变更管理 ................................................................... 59 12.4.1 需求变更管理 ......................................................... 59
    12.5 备份与恢复管理 ............................................................. 60 12.5.1 数据备份策略 ......................................................... 60 12.6 应急预案管理 ............................................................... 61 12.6.1 应急预案制定 ......................................................... 61 应急预案培训演练 ..................................................... 62 12.6.2 附件 基本要求与判例对应表 ........................................................................................................................................ 63
    网络安全等级保护测评高风险判定指引 1 适用范围 本指引是依据GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》有关 条款，对测评过程中所发现的安全性问题进行风险判断的指引性文件。指引内容包括对 应要求、判例内容、适用范围、补偿措施、整改建议等要素。 需要指出的是，本指引无法涵盖所有高风险案例，测评机构须根据安全问题所实际 面临的风险做出客观判断。 本指引适用于网络安全等级保护测评活动、安全检查等工作。信息系统建设单位亦 可参考本指引描述的案例编制系统安全需求。 2 术语和定义 1、 可用性要求较高的系统 指出现短时故障无法提供服务，可能对社会秩序、公共利益等造成严重损害的系统， 即可用性级别大于等于 99.9%，年度停机时间小于等于 8.8 小时的系统；一般包括但不 限于银行、证券、非金融支付机构、互联网金融等交易类系统，提供公共服务的民生类 系统、工业控制类系统等。 2、 核心网络设备 指部署在核心网络节点的关键设备，一般包括但不限于核心交换机、核心路由器、 核心边界防火墙等。 云等保 www.yundengbao.com 1
    3、 数据传输完整性要求较高的系统 指数据在传输过程中遭受恶意破坏或篡改，可能造成较大的财产损失，或造成严重 破坏的系统，一般包括但不限于银行、证券、非金融支付机构、互联网金融等交易类系 统等。 4、 不可控网络环境 指互联网、公共网络环境、内部办公环境等无管控措施，可能存在恶意攻击、数据 窃听等安全隐患的网络环境。 5、 可被利用的漏洞 指可被攻击者用来进行网络攻击，可造成严重后果的漏洞，一般包括但不限于缓冲 区溢出、提权漏洞、远程代码执行、严重逻辑缺陷、敏感数据泄露等。 3 参考依据 GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求 GB/T 28448-2019 信息安全技术 网络安全等级保护测评要求 GB/T 25069-2010 信息安全技术术语 4 安全物理环境 4.1 物理访问控制 4.1.1 机房出入口控制措施 对应要求：机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。 云等保 www.yundengbao.com 2
    判例内容：机房出入口区域无任何访问控制措施，机房无电子或机械门锁，机房入 口也无专人值守；办公或外来人员可随意进出机房，无任何管控、监控措施，存在较大 安全隐患，可判高风险。 适用范围：所有系统。 满足条件（同时）： 1、机房出入口区域无任何访问控制措施； 2、机房无电子或机械门锁，机房入口也无专人值守； 3、办公或外来人员可随意进出机房，无任何管控、监控措施。 补偿措施：如机房无电子门禁系统，但有其他防护措施，如机房出入配备24小时专 人值守，采用摄像头实时监控等，可酌情降低风险等级。 整改建议：机房出入口配备电子门禁系统，通过电子门禁鉴别、记录进入的人员信 息。 4.2 防盗窃和防破坏 4.2.1 机房防盗措施 对应要求：应设置机房防盗报警系统或设置有专人值守的视频监控系统。 判例内容：机房无防盗报警系统，也未设置有专人值守的视频监控系统，出现盗窃 事件无法进行告警、追溯的，可判高风险。 适用范围：3级及以上系统。 满足条件（同时）： 1、3级及以上系统所在机房； 2、机房无防盗报警系统； 云等保 www.yundengbao.com 3
    分享到：
    赞 收藏

    相关推荐

    资料库

    安全技术

    共收录1285份资料，累计4个分类，关注成员有19位，主要包括：网络攻防,系统安全,其它,网络安全

    热门标签

    网络攻防 系统安全 其它 网络安全

    最新资料