2022年安全等级保护级和级等保要求 .pdf
《2022年安全等级保护级和级等保要求 .pdf》由会员分享,可在线阅读,更多相关《2022年安全等级保护级和级等保要求 .pdf(18页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、管理要求项安全管理机构岗位设置人员配备授权和审批沟通和合作审核和检查安全管理制度管理制度制定和发布名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页,共 18 页 - - - - - - - - - 制定和发布评审和修订人员安全管理人员录用人员离岗人员考核安全意识教育和培训第三方人员访问管理系统定级安全方案设计名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页,共
2、18 页 - - - - - - - - - 系统建设管理产品采购自行软件开发外包软件开发工程实施测试验收系统交付系统备案安全测评名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页,共 18 页 - - - - - - - - - 安全服务商选择环境管理资产管理介质管理设备管理名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页,共 18 页 - - - - - -
3、- - - 系统运维管理监控管理网络安全管理系统安全管理恶意代码防范管理名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 5 页,共 18 页 - - - - - - - - - 密码管理应急预案管理变更管理备份与恢复管理安全事件处置名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 6 页,共 18 页 - - - - - - - - - 二级等保1) 应设立信息安全管理工作的
4、职能部门,设立安全主管人、安全管理各个方面的负责人岗位,定义各负责人的职责;2) 应设立系统管理人员、网络管理人员、安全管理人员岗位,定义各个工作岗位的职责;3) 应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。1) 应配备一定数量的系统管理人员、网络管理人员、安全管理人员等;2)安全管理人员不能兼任网络管理员、系统管理员、数据库管理员等。1) 应授权审批部门及批准人,对关键活动进行审批;2) 应列表说明须审批的事项、审批部门和可批准人。1) 应加强各类管理人员和组织内部机构之间的合作与沟通,定期或不定期召开协调会议,共同协助处理信息安全问题;2) 信息安全职能部门应定期或不定
5、期召集相关部门和人员召开安全工作会议,协调安全工作的实施;3) 应加强与兄弟单位、公安机关、电信公司的合作与沟通,以便在发生安全事件时能够得到及时的支持。1) 应制定信息安全工作的总体方针、政策性文件和安全策略等,说明机构安全工作的总体目标、范围、方针、原则、责任等;2) 应对安全管理活动中重要的管理内容建立安全管理制度,以规范安全管理活动,约束人员的行为方式;3)应对要求管理人员或操作人员执行的重要管理操作,建立操作规程,以规范操作行为,防止操作失误。1) 应在信息安全职能部门的总体负责下,组织相关人员制定;2) 应保证安全管理制度具有统一的格式风格,并进行版本控制;3) 应组织相关人员对制
6、定的安全管理进行论证和审定;1) 应由安全管理人员定期进行安全检查,检查内容包括用户账号情况、系统漏洞情况、系统审计情况等。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 7 页,共 18 页 - - - - - - - - - 4)安全管理制度应经过管理层签发后按照一定的程序以文件形式发布。1) 应保证被录用人具备基本的专业技术水平和安全管理知识;2) 应对被录用人的身份、背景、专业资格和资质等进行审查;3) 应对被录用人所具备的技术技能进行考核;4) 应对被录用人说明其角色和职责
7、;5)应签署保密协议。1) 应立即终止由于各种原因即将离岗的员工的所有访问权限;2) 应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;3)应经机构人事部门办理严格的调离手续,并承诺调离后的保密义务后方可离开。1) 应定期对各个岗位的人员进行安全技能及安全认知的考核;2) 应对关键岗位的人员进行全面、严格的安全审查;3)应对违背安全策略和规定的人员进行惩戒1) 应对各类人员进行安全意识教育;2) 应告知人员相关的安全责任和惩戒措施;3) 应制定安全教育和培训计划,对信息安全基础知识、岗位操作规程等进行培训;4)应对安全教育和培训的情况和结果进行记录并归档保存。1) 第三方人员应在访问前
8、与机构签署安全责任合同书或保密协议;2) 对重要区域的访问,必须经过有关负责人的批准,并由专人陪同或监督下进行,并记录备案。1) 应明确信息系统划分的方法;2) 应确定信息系统的安全等级;3) 应以书面的形式定义确定了安全等级的信息系统的属性,包括使命、业务、网络、硬件、软件、数据、边界、人员等;4) 应确保信息系统的定级结果经过相关部门的批准。1) 应根据系统的安全级别选择基本安全措施,依据风险分析的结果补充和调整安全措施;2) 应以书面的形式描述对系统的安全保护要求和策略、安全措施等内容,形成系统的安全方案;3) 应对安全方案进行细化,形成能指导安全系统建设和安全产品采购的详细设计方案;4
9、) 应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定;5) 应确保安全设计方案必须经过批准,才能正式实施。1) 应确保安全产品的使用符合国家的有关规定;1)应定期对安全管理制度进行评审和修订,对存在不足或需要改进的安全管理制度进行修订。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 8 页,共 18 页 - - - - - - - - - 2) 应确保密码产品的使用符合国家密码主管部门的要求;3)应指定或授权专门的部门负责产品的采购。1) 应确保开发环境与
10、实际运行环境物理分开;2) 应确保提供软件设计的相关文档和使用指南;3)应确保系统开发文档由专人负责保管,系统开发文档的使用受到控制。1) 应与软件开发单位签订协议,明确知识产权的归属和安全方面的要求;2) 应根据协议的要求检测软件质量;3) 应在软件安装之前检测软件包中可能存在的恶意代码;4) 应确保提供软件设计的相关文档和使用指南。1) 应与工程实施单位签订与安全相关的协议,约束工程实施单位的行为;2) 应指定或授权专门的人员或部门负责工程实施过程的管理;3)应制定详细的工程实施方案控制实施过程。1) 应对系统进行安全性测试验收;2) 应在测试验收前根据设计方案或合同要求等制订测试验收方案
11、,测试验收过程中详细记录测试验收结果,形成测试验收报告;3) 应组织相关部门和相关人员对系统测试验收报告进行审定,没有疑问后由双方签字。1) 应明确系统的交接手续,并按照交接手续完成交接工作;2) 应由系统建设方完成对委托建设方的运维技术人员的培训;3) 应由系统建设方提交系统建设过程中的文档和指导用户进行系统运行维护的文档;4) 应由系统建设方进行服务承诺,并提交服务承诺书,确保对系统运行维护的支持。无无名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 9 页,共 18 页 - -
12、- - - - - - - 1) 应确保安全服务商的选择符合国家的有关规定。1) 应对机房供配电、空调、温湿度控制等设施指定专人或专门的部门定期进行维护管理;2) 应配备机房安全管理人员,对机房的出入、服务器的开机或关机等工作进行管理;3) 应建立机房安全管理制度,对有关机房物理访问,物品带进、带出机房和机房环境安全等方面的管理作出规定;4) 应对机房来访人员实行登记、备案管理,同时限制来访人员的活动范围;5) 加强对办公环境的保密性管理,包括如工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等。1) 应建立资产安全管理制度,规定信息系统资产管理的责任人员或责任部门;2) 应编
13、制并保存与信息系统相关的资产、资产所属关系、安全级别和所处位置等信息的资产清单;3) 应根据资产的重要程度对资产进行定性赋值和标识管理,根据资产的价值选择相应的管理措施。1) 应确保介质存放在安全的环境中,并对各类介质进行控制和保护,以防止被盗、被毁、被未授权的修改以及信息的非法泄漏;2) 应有介质的存储、归档、登记和查询记录,并根据备份及存档介质的目录清单定期盘点;3) 对于需要送出维修或销毁的介质,应首先清除介质中的敏感数据,防止信息的非法泄漏;4) 应根据所承载数据和软件的重要程度对介质进行分类和标识管理,并实行存储环境专人管理。1) 应对信息系统相关的各种设施、设备、线路等指定专人或专
14、门的部门定期进行维护管理;2) 应对信息系统的各种软硬件设备的选型、采购、发放或领用等过程建立基于申报、审批和专人负责的管理规定;3) 应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理;4) 应对带离机房或办公地点的信息处理设备进行控制;5) 应按操作规程实现服务器的启动/ 停止、加电 / 断电等操作,加强对服务器操作的日志文件管理和监控管理,应按安全策略的要求对网络及设备进行配置,并对其定期进行检查。应了解服务器的CPU 、内存、进程、磁盘使用情况。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师
15、精心整理 - - - - - - - 第 10 页,共 18 页 - - - - - - - - - 1) 应指定专人对网络进行管理,负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作;2) 应建立网络安全管理制度,对网络安全配置和日志等方面作出规定;3) 应根据厂家提供的软件升级版本对网络设备进行更新,并在更新前对现有的重要文件进行备份;4) 应进行网络系统漏洞扫描,对发现的网络系统安全漏洞进行及时的修补;5) 应保证所有与外部系统的连接均应得到授权和批准;6) 应对网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志等方面做出具体要求;7) 应规定网络审计日志的保
16、存时间以便为可能的安全事件调查提供支持。1) 应指定专人对系统进行管理,删除或者禁用不使用的系统缺省账户;2) 应制度系统安全管理制度,对系统安全配置、系统账户以及审计日志等方面作出规定;3) 应定期安装系统的最新补丁程序,并根据厂家提供的可能危害计算机的漏洞进行及时修补,并在安装系统补丁前对现有的重要文件进行备份;4) 应根据业务需求和系统安全分析确定系统的访问控制策略,系统访问控制策略用于控制分配信息系统、文件及服务的访问权限;5) 应对系统账户进行分类管理,权限设定应当遵循最小授权要求;6) 应对系统的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志等方面做出具体要求;7) 应
17、规定系统审计日志的保存时间以便为可能的安全事件调查提供支持;8) 应进行系统漏洞扫描,对发现的系统安全漏洞进行及时的修补。1) 应提高所用用户的防病毒意识,告知及时升级防病毒软件;2) 应在读取移动存储设备(如软盘、移动硬盘、光盘)上的数据以及网络上接收文件或邮件之前,先进行病毒检查,对外来计算机或存储设备接入网络系统之前也要进行病毒检查;3) 应指定专人对网络和主机的进行恶意代码检测并保存检测记录;4) 应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确管理规定。1) 应了解服务器的 CPU 、内存、进程、磁盘使用情况。名师资料总结 - - -精品资料欢迎下载 - - - -
18、- - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 11 页,共 18 页 - - - - - - - - - 1) 密码算法和密钥的使用应符合国家密码管理规定。2) 确认系统中要发生的变更,并制定变更方案;3) 建立变更管理制度,重要系统变更前,应向主管领导申请,审批后方可实施变更;4) 系统变更情况应向所有相关人员通告。1) 应识别需要定期备份的重要业务信息、系统数据及软件系统等;2) 应规定备份信息的备份方式(如增量备份或全备份等)、备份频度(如每日或每周等)、存储介质、保存期等;3) 应根据数据的重要性和数据对系统运行的影响,制定数据的
19、备份策略和恢复策略,备份策略应指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法;4) 应指定相应的负责人定期维护和检查备份及冗余设备的状况,确保需要接入系统时能够正常运行;5) 根据备份方式,规定相应设备的安装、配置和启动的流程。1) 所有用户均有责任报告自己发现的安全弱点和可疑事件,但任何情况下用户均不应尝试验证弱点;2) 应制定安全事件报告和处置管理制度,规定安全事件的现场处理、事件报告和后期恢复的管理职责;3) 应分析信息系统的类型、网络连接特点和信息系统用户特点,了解本系统和同类系统已发生的安全事件,识别本系统需要防止发生的安全事件,事件可能来自攻击、错误、故障
20、、事故或灾难;4) 应根据国家相关管理部门对计算机安全事件等级划分方法,根据安全事件在本系统产生的影响,将本系统计算机安全事件进行等级划分;5) 应记录并保存所有报告的安全弱点和可疑事件,分析事件原因,监督事态发展,采取措施避免安全事件发生。1) 应在统一的应急预案框架下制定不同事件的应急预案,应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程和事后教育和培训等内容;2) 应对系统相关的人员进行培训使之了解如何及何时使用应急预案中的控制手段及恢复策略,对应急预案的培训至少每年举办一次。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - -
21、 - - - - 名师精心整理 - - - - - - - 第 12 页,共 18 页 - - - - - - - - - 三级等保1) 应设立信息安全管理工作的职能部门,设立安全主管人、安全管理各个方面的负责人岗位,定义各负责人的职责;2) 应设立系统管理人员、网络管理人员、安全管理人员岗位,定义各个工作岗位的职责;3) 应成立指导和管理信息安全工作的委员会或领导小组,其最高领导应由单位主管领导委任或授权;4) 应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。1) 应配备一定数量的系统管理人员、网络管理人员、安全管理人员等;2) 应配备专职安全管理人员,不可兼任;3) 关键岗
22、位应定期轮岗。1) 应授权审批部门及批准人,对关键活动进行审批;2) 应列表说明须审批的事项、审批部门和可批准人;3) 应建立各审批事项的审批程序,按照审批程序执行审批过程;4) 应建立关键活动的双重审批制度;5) 不再适用的权限应及时取消授权;6) 应定期审查、更新需授权和审批的项目;7)应记录授权过程并保存授权文档。1) 应加强各类管理人员和组织内部机构之间的合作与沟通,定期或不定期召开协调会议,共同协助处理信息安全问题;2) 信息安全职能部门应定期或不定期召集相关部门和人员召开安全工作会议,协调安全工作的实施;3) 信息安全领导小组或者安全管理委员会定期召开例会,对信息安全工作进行指导、
23、决策;4) 应加强与兄弟单位、公安机关、电信公司的合作与沟通,以便在发生安全事件时能够得到及时的支持;5) 应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通,获取信息安全的最新发展动态,当发生紧急事件的时候能够及时得到支持和帮助;6) 应文件说明外联单位、合作内容和联系方式;7) 聘请信息安全专家,作为常年的安全顾问,指导信息安全建设,参与安全规划和安全评审等。1) 应由安全管理人员定期进行安全检查,检查内容包括用户账号情况、系统漏洞情况、系统审计情况等;2) 应由安全管理部门组织相关人员定期进行全面安全检查,检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全
24、管理制度的执行情况等;3) 应由安全管理部门组织相关人员定期分析、评审异常行为的审计记录,发现可疑行为,形成审计分析报告,并采取必要的应对措施;4) 应制定安全检查表格实施安全检查,汇总安全检查数据,形成安全检查报告,并对安全检查结果进行通报;5) 应制定安全审核和安全检查制度规范安全审核和安全检查工作,定期按照程序进行安全审核和安全检查活动。1) 应制定信息安全工作的总体方针、政策性文件和安全策略等,说明机构安全工作的总体目标、范围、方针、原则、责任等;2) 应对安全管理活动中的各类管理内容建立安全管理制度,以规范安全管理活动,约束人员的行为方式;3) 应对要求管理人员或操作人员执行的日常管
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 2022年安全等级保护级和级等保要求 2022 安全 等级 保护 要求
限制150内