《信息系统安全等级保护基本要求.doc》由会员分享，可在线阅读，更多相关《信息系统安全等级保护基本要求.doc（139页珍藏版）》请在三一办公上搜索。
1、信息系统安全等级保护基本要求Basic Requirements for Classified Security Protection of Information System（试用稿）公安部二五年十二月目 录1适用范围12规范性引用文件13术语和定义13.1.安全威胁 security threat13.2.安全目标 security objective13.3.安全保护能力 security protective ability14标记说明15基本概念25.1.信息系统概述25.2.信息系统的五个安全等级35.3.不同安全等级的安全保护能力35.4.技术要求和管理要求45.5.技术要求的
2、三种类型55.6.基本要求的选择56安全目标66.1.第1级安全目标66.1.1.技术目标76.1.2.管理目标76.2.第2级安全目标86.2.1.技术目标86.2.2.管理目标96.3.第3级安全目标116.3.1.技术目标116.3.2.管理目标136.4.第4级安全目标146.4.1.技术目标146.4.2.管理目标177第1级基本要求187.1.技术要求187.1.1.物理安全187.1.2.网络安全197.1.3.主机系统安全197.1.4.应用安全207.1.5.数据安全207.2.管理要求207.2.1.安全管理机构217.2.2.安全管理制度217.2.3.人员安全管理217
3、.2.4.系统建设管理227.2.5.系统运维管理238第2级基本要求258.1.技术要求258.1.1.物理安全258.1.2.网络安全268.1.3.主机系统安全278.1.4.应用安全298.1.5.数据安全308.2.管理要求318.2.1.安全管理机构318.2.2.安全管理制度328.2.3.人员安全管理328.2.4.系统建设管理338.2.5.系统运维管理359第3级基本要求389.1.技术要求389.1.1.物理安全389.1.2.网络安全409.1.3.主机系统安全429.1.4.应用安全449.1.5.数据安全469.2.管理要求479.2.1.安全管理机构479.2.2
4、.安全管理制度499.2.3.人员安全管理499.2.4.系统建设管理509.2.5.系统运维管理5310第4级基本要求5810.1.技术要求5810.1.1.物理安全5910.1.2.网络安全6010.1.3.主机系统安全6210.1.4.应用安全6510.1.5.数据安全6810.2.管理要求6910.2.1.安全管理机构6910.2.2.安全管理制度7010.2.3.人员安全管理7110.2.4.系统建设管理7210.2.5.系统运维管理7511第5级基本要求82A参考文献83B 威胁描述84B1.第1级对抗威胁84B2.第2级对抗威胁84B3.第3级对抗威胁86B4.第4级对抗威胁88
5、C 安全威胁与安全目标的关系91C1.一级91C2.二级93C3.三级95C4.四级98D 安全目标与基本要求的关系101D1.一级101D2.二级104D3.三级109D4.四级115E 基本要求与安全目标的关系122E1.一级122E2.二级124E3.三级127E4.四级1321 适用范围本文件规定了信息系统安全等级保护的基本要求，包括基本技术要求和基本管理要求，适用于不同安全保护等级的信息系统的安全保护。2 规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协
6、议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件，其最新版本适用于本标准。GB17859-1999计算机信息系统安全保护等级划分准则GB/T XXX-XXX信息系统安全保护等级定级指南3 术语和定义GB 17859-1999的下列术语适用于本标准：a) 主体；b) 客体。GB/T XXX-XXXX信息系统安全保护等级定级指南的下列术语适用于本标准：a) 信息系统；b) 业务子系统；c) 业务信息安全性；d) 业务服务保证性。3.1. 安全威胁 security threat可能对信息系统造成损害的不希望的事故或事件的潜在原因。3.2. 安全目标 security objecti
7、ve意在对抗确定的威胁，使信息系统达到特定安全保护等级的安全要求的简要陈述。3.3. 安全保护能力 security protective ability系统能够预防威胁并能够检测到威胁存在的能力和在遭到威胁破坏后，系统能够恢复之前各种状态（包括数据的各种属性、业务运行状态等）的能力。4 标记说明在第6章“安全目标”中对安全目标使用了标记，安全目标的标记包括三部分：标识、等级和序号，如下表所示。安全目标标记O1-1标识安全目标（O）等级1序号1O为安全目标标识；等级代表该目标对应的信息系统安全保护等级；序号是指该目标在该等级安全目标列表中的顺序编号。在第5章“基本概念”和后续的章节中对安全基本
8、要求使用了标记，标记如下表所示。安全标记S1A2G3关注方面业务信息安全性业务服务保证性通用安全保护安全等级123安全的关注方面包括业务信息安全性、业务服务保证性和通用安全保护等三个方面。其中业务信息安全性（简记为S）关注的是保护业务信息在存储、传输、处理过程中不被泄漏、破坏或未授权的修改；业务服务保证性（简记为A）关注的是保护系统连续正常的运行，免受对系统破坏或未授权的修改而导致系统不可用；通用安全保护（简记为G）既关注保护业务信息的安全，同时也关注保护系统的可用。标记中的等级对应于其所适用的信息系统的安全保护等级。在附录B“威胁描述”对安全威胁使用了标记，安全威胁的标记包括三部分：标识、等
9、级和序号，如下表所示。安全威胁标记T1-1标识安全威胁（T）等级1序号1T为安全威胁标识；等级是指需要对抗该威胁的信息系统安全保护等级；序号是指该威胁在该类威胁列表中的顺序编号。5 基本概念5.1. 信息系统概述信息系统是指基于计算机和计算机网络，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。信息系统是由软件、硬件、操作人员及系统所承载的信息等几部分组成。软件包括计算机系统软件、网络软件和应用软件等，这些软件对系统硬件进行管理并为按需求进行信息处理等应用提供必要的支持；硬件包括计算机硬件、网络硬件及其配套硬件设备等，它们是信息的载体，信息系统的基础；人是信息系
10、统最终使用者，也是在信息系统整个生命周期中，如规划设计、建设实施、运行维护等过程中的参与者和管理者，人的因素是保证信息系统正常工作不可缺少的重要部分。信息系统面临多种威胁，可能面临自然、环境和技术故障等非人为因素的威胁，也可能面临人员失误和恶意攻击等人为因素的威胁，威胁可能引起不希望的安全事件，对信息系统的业务信息安全性或业务服务保证性造成损害。不同的信息系统所承载的业务和处理的数据重要程度不同、不同的信息系统所处在位置和环境有所不同，对信息系统的保护要求也会不同。5.2. 信息系统的五个安全等级信息系统划分为以下五个安全等级：第一级为自主保护级，主要对象为一般的信息系统，其受到破坏后，会对公
11、民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益。第二级为指导保护级，主要对象为一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害。第三级为监督保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害。第四级为强制保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成严重损害。第五级为专控保护级，主要对象为涉及国
12、家安全、社会秩序、经济建设和公共利益的重要信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害。一个组织机构内可能运行一个或多个信息系统，这些信息系统完成不同使命、承载不同业务、处理不同数据，不同的信息系统可能具有相同的安全等级或不同的安全等级；一个组织机构拥有的、由相同安全等级或不同安全等级的多个信息系统互联构成了组织机构等级化的大型信息系统。5.3. 不同安全等级的安全保护能力不同级别的信息系统应具备不同的安全保护能力。不同级别的信息系统应具备的基本安全保护能力要求如下：1级安全保护能力：应具有能够对抗来自个人的、拥有很少资源（如利用公开可获取的工
13、具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度弱、持续时间很短、系统局部范围等）以及其他相当危害程度威胁的能力，并在威胁发生后，能够恢复部分功能。2级安全保护能力：应具有能够对抗来自小型组织的（如自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小（局部性）等）以及其他相当危害程度（无意失误、设备故障等）威胁的能力，并在威胁发生后，能够在一段时间内恢复部分功能。3级安全保护能力：应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富
14、资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。4级安全保护能力：应具有能够对抗来自敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广（多地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的严重故障等）威胁的能力，并在威胁发生后，能够迅速恢复所有功能。上述对不同等级的信息系统的基本安全保护能力要求是一种整体和抽象的描述，本文件的其余
15、大部分内容是对基本安全保护能力的具体化。每一级别的信息系统所应该具有的基本安全保护能力将通过体现基本安全保护能力的安全目标的提出以及实现安全目标的具体技术要求和管理要求的描述得到具体化。5.4. 技术要求和管理要求信息系统的安全等级保护是依据信息系统的安全等级情况保证它们具有相应等级的基本安全保护能力，不同安全等级的信息系统要求具有不同的安全保护能力。实现基本安全保护能力将通过选用合适的安全措施或安全控制来保证，在本文件中可以使用的安全措施或安全控制表现为安全基本要求，依据实现方式的不同，信息系统等级保护的安全基本要求分为技术要求和管理要求两大类。技术类安全要求通常与信息系统提供的技术安全机制
16、有关，主要是通过在信息系统中部署软硬件并正确的配置其安全功能来实现；管理类安全要求通常与信息系统中各种角色参与的活动有关，主要是通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。基本技术要求从物理安全、网络安全、主机系统安全、应用安全和数据安全几个层面提出安全要求；基本管理要求从安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理几个方面提出安全要求。在本文件中，物理安全是指包括支撑设施、硬件设备、存储介质等在内的信息系统相关支持环境的安全；网络安全是指包括路由器、交换机、通信线路等在内的信息系统网络环境的安全；主机系统安全是指包括服务器、终端/工作
17、站以及安全设备/系统在内的计算机设备在操作系统及数据库系统层面的安全；应用安全是指支持业务处理的业务应用系统的安全；数据安全是指信息系统中数据的采集、传输、处理和存储过程中的安全。此外，在本文件的数据安全部分将包括在信息系统遭到破坏时能够恢复数据以及业务系统运行的内容。技术要求与管理要求是确保信息系统安全不可分割的两个部分，两者之间既互相独立，又互相关联，在一些情况下，技术和管理能够发挥它们各自的作用；在另一些情况下，需要同时使用技术和管理两种手段，实现安全控制或更强的安全控制；大多数情况下，技术和管理要求互相提供支撑以确保各自功能的正确实现。5.5. 技术要求的三种类型技术类安全要求提出了信
18、息系统应提供的技术安全机制，这些安全机制将通过在信息系统中部署软硬件并正确的配置其安全功能来实现。根据安全机制的保护侧重点，技术类安全要求又进一步细分为业务信息安全类（简记为S）、业务服务保证类（简记为A类）和通用安全保护类（简记为G类）三类。业务信息安全类（S类）安全要求关注的是保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改；业务服务保证类（A类）安全要求关注的是保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用；通用安全保护类（G类）安全要求是没有明显的侧重，既关注保护业务信息的安全性，同时也关注保护系统的连续可用性。5.6. 基本要求的选择信息系统由于
19、承载的业务不同，对其的安全关注点会有所不同，有的更关注数据的安全性，即更关注对盗窃、搭线窃听、假冒用户等可能导致信息泄密、非法篡改等威胁的对抗；有的更关注业务的连续性，即更关注保证系统连续正常的运行，免受对系统未授权的修改、破坏而导致系统不可用引起业务中断。不同安全等级的信息系统，其对业务信息的安全性要求和业务服务的连续性要求是有差异的；即使相同安全等级的信息系统，其对业务信息的安全性要求和业务服务的连续性要求也有差异。信息系统的安全等级由各个业务子系统的业务信息安全性等级和业务服务保证性等级较高者决定（参见信息系统安全保护等级定级指南），因此，对某一个定级后的信息系统的保护要求可以有多种组合
20、。不同安全等级的信息系统可以选择的保护要求组合如下表所示：表：各等级信息系统保护要求组合安全等级信息系统保护要求的组合第一级S1A1G1第二级S1A2G2,S2A2G2,S2A1G2第三级S1A3G3,S2A3G3,S3A3G3,S3A2G3,S3A1G3第四级S1A4G4,S2A4G4,S3A4G4,S4A4G4,S4A3G4,S4A2G4,S4A1G4本文件的每一个安全保护等级的基本要求按照业务信息安全性等级和业务服务保证性等级相同的情况组织，也就是每一个安全保护等级的基本要求针对S1A1G1、S2A2G2、S3A3G3和S4A4G4情况给出。对基本要求进行选择的过程如下：首先，基本要求的
21、选择由信息系统的安全等级确定，基本要求包括技术要求和管理要求。一级系统应该选择第一级的基本要求，二级系统应该选择第二级的基本要求，三级系统应该选择第三级的基本要求，四级系统应该选择第四级的基本要求。其次，可以根据信息系统保护要求的组合对技术要求进行调整。对业务信息安全性等级高于业务服务保证性等级的系统，业务服务保证类（A类）技术要求可以根据业务服务保证性等级选择相应等级的业务服务保证类（A类）技术要求；对业务服务保证性等级高于业务信息安全性等级的系统，业务信息安全类（S类）技术要求可以根据业务信息安全性等级选择相应等级的业务信息安全类（S类）技术要求。最后，由于各种原因对基本要求项有调整需求的
22、，应针对需要调整的基本要求项逐项进行风险分析，在保证不降低整体安全保护强度的前提下，对基本要求项进行调整，并形成书面的调整理由进行说明。对于涉密的信息系统，在确定安全保护等级后，除应按照本文件规定的相应安全等级的基本要求进行保护外，还应按照国家保密工作部门和国家密码管理部门的相关规定进行要求和保护。6 安全目标6.1. 第1级安全目标第一级信息系统应实现以下目标。6.1.1. 技术目标O1-1. 应具有防雷击的能力O1-2. 应具有防水和防潮的能力O1-3. 应具有灭火的能力O1-4. 应具有温湿度检测和控制的能力O1-5. 应具有防止电压波动的能力O1-6. 应具有对传输和存储数据进行完整性
23、检测的能力O1-7. 应具有系统软件、应用软件容错的能力O1-8. 应具有合理使用和控制系统资源的能力O1-9. 应具有设计合理、安全网络结构的能力O1-10. 应具有控制机房进出的能力O1-11. 应具有防止设备、介质等丢失的能力O1-12. 应具有控制接触重要设备、介质的能力O1-13. 应具有发现网络协议、操作系统、应用系统等重要漏洞并及时修补的能力 O1-14. 应具有对网络、系统和应用的访问进行控制的能力O1-15. 应具有对数据、文件或其他资源的访问进行控制的能力O1-16. 应具有对用户进行标识和鉴别的能力O1-17. 应具有保证鉴别数据传输和存储保密性的能力O1-18. 应具有
24、对恶意代码的检测、阻止和清除能力O1-19. 应具有重要数据恢复的能力6.1.2. 管理目标O1-20. 应确保配备了足够数量的管理人员，支持信息系统的管理工作O1-21. 应确保建立了基本的安全管理制度，并保证安全管理制度的有效性O1-22. 应确保对信息系统进行合理定级O1-23. 应确保能控制信息安全相关事件的授权与审批O1-24. 应确保建立恰当可靠的联络渠道，以便安全事件发生时能得到支持O1-25. 应确保对人员的行为进行控制O1-26. 应确保安全产品的可信度和产品质量O1-27. 应确保自行开发过程和工程实施过程中的安全O1-28. 应确保能顺利地接管和维护信息系统O1-29.
25、应确保安全工程的实施质量和安全功能的准确实现O1-30. 应确保机房具有良好的运行环境O1-31. 应确保对信息资产进行安全管理O1-32. 应确保对各种软硬件设备的选型、采购、发放、使用和保管等过程进行控制O1-33. 应确保对网络、操作系统、数据库管理系统和应用系统进行安全管理O1-34. 应确保用户具有鉴别信息使用的安全意识O1-35. 应确保定期地对通信线路进行检查和维护O1-36. 应确保硬件设备、存储介质存放环境安全，并对其的使用进行控制和保护O1-37. 应确保对支撑设施、硬件设备、存储介质进行日常维护和管理O1-38. 应确保系统中使用的硬件、软件产品的质量O1-39. 应确保
26、各类人员具有与其岗位相适应的技术能力O1-40. 应确保对各类人员进行相关的技术培训O1-41. 应确保提供的足够的使用手册、维护指南等资料O1-42. 应确保内部人员具有安全方面的常识和意识O1-43. 应确保对信息安全事件进行报告和处置6.2. 第2级安全目标第二级信息系统应实现以下目标。6.2.1. 技术目标O2-1. 应具有抵抗一般强度地震、台风等自然灾难造成破坏的能力O2-2. 应具有防止雷击事件导致重要设备被破坏的能力O2-3. 应具有防水和防潮的能力O2-4. 应具有灭火的能力O2-5. 应具有检测火灾和报警的能力O2-6. 应具有温湿度自动检测和控制的能力O2-7. 应具有防止
27、电压波动的能力O2-8. 应具有对抗短时间断电的能力O2-9. 应具有防止静电导致重要设备被破坏的能力O2-10. 具有基本的抗电磁干扰能力O2-11. 应具有对传输和存储数据进行完整性检测的能力O2-12. 应具有对硬件故障产品进行替换的能力O2-13. 应具有系统软件、应用软件容错的能力O2-14. 应具有软件故障分析的能力O2-15. 应具有合理使用和控制系统资源的能力O2-16. 应具有记录用户操作行为的能力O2-17. 应具有对用户的误操作行为进行检测和报警的能力O2-18. 应具有控制机房进出的能力O2-19. 应具有防止设备、介质等丢失的能力O2-20. 应具有控制机房内人员活动
28、的能力O2-21. 应具有控制接触重要设备、介质的能力O2-22. 应具有对传输和存储中的信息进行保密性保护的能力O2-23. 应具有对通信线路进行物理保护的能力O2-24. 应具有限制网络、操作系统和应用系统资源使用的能力O2-25. 应具有能够检测对网络的各种攻击并记录其活动的能力O2-26. 应具有发现所有已知漏洞并及时修补的能力 O2-27. 应具有对网络、系统和应用的访问进行控制的能力O2-28. 应具有对数据、文件或其他资源的访问进行控制的能力O2-29. 应具有对资源访问的行为进行记录的能力O2-30. 应具有对用户进行唯一标识的能力O2-31. 应具有对用户产生复杂鉴别信息并进
29、行鉴别的能力O2-32. 应具有对恶意代码的检测、阻止和清除能力O2-33. 应具有防止恶意代码在网络中扩散的能力O2-34. 应具有对恶意代码库和搜索引擎及时更新的能力 O2-35. 应具有保证鉴别数据传输和存储保密性的能力O2-36. 应具有对存储介质中的残余信息进行删除的能力O2-37. 应具有非活动状态一段时间后自动切断连接的能力O2-38. 应具有网络边界完整性检测能力O2-39. 应具有重要数据恢复的能力6.2.2. 管理目标O2-40. 应确保建立了安全职能部门，配备了安全管理人员，支持信息安全管理工作O2-41. 应确保配备了足够数量的管理人员，对系统进行运行维护O2-42.
30、应确保对主要的管理活动进行了制度化管理O2-43. 应确保建立并不断完善、健全安全管理制度O2-44. 应确保能协调信息安全工作在各功能部门的实施O2-45. 应确保能控制信息安全相关事件的授权与审批O2-46. 应确保建立恰当可靠的联络渠道，以便安全事件发生时能得到支持O2-47. 应确保对人员的行为进行控制O2-48. 应确保对人员的管理活动进行了指导O2-49. 应确保安全策略的正确性和安全措施的合理性O2-50. 应确保对信息系统进行合理定级O2-51. 应确保安全产品的可信度和产品质量O2-52. 应确保自行开发过程和工程实施过程中的安全O2-53. 应确保能顺利地接管和维护信息系统
31、O2-54. 应确保安全工程的实施质量和安全功能的准确实现O2-55. 应确保机房具有良好的运行环境O2-56. 应确保对信息资产进行标识管理O2-57. 应确保对各种软硬件设备的选型、采购、发放、使用和保管等过程进行控制O2-58. 应确保各种网络设备、服务器正确使用和维护O2-59. 应确保对网络、操作系统、数据库管理系统和应用系统进行安全管理O2-60. 应确保用户具有鉴别信息使用的安全意识O2-61. 应确保定期地对通信线路进行检查和维护O2-62. 应确保硬件设备、存储介质存放环境安全，并对其的使用进行控制和保护O2-63. 应确保对支撑设施、硬件设备、存储介质进行日常维护和管理O2
32、-64. 应确保系统中使用的硬件、软件产品的质量O2-65. 应确保各类人员具有与其岗位相适应的技术能力O2-66. 应确保对各类人员进行相关的技术培训O2-67. 应确保提供的足够的使用手册、维护指南等资料O2-68. 应确保内部人员具有安全方面的常识和意识O2-69. 应确保具有设计合理、安全网络结构的能力O2-70. 应确保密码算法和密钥的使用符合国家有关法律、法规的规定O2-71. 应确保任何变更控制和设备重用要申报和审批，并对其实行制度化的管理O2-72. 应确保在事件发生后能采取积极、有效的应急策略和措施O2-73. 应确保信息安全事件实行分等级响应、处置6.3. 第3级安全目标第
33、三级信息系统应实现以下目标。6.3.1. 技术目标O3-1. 应具有对抗中等强度地震、台风等自然灾难造成破坏的能力O3-2. 应具有防止雷击事件导致大面积设备被破坏的能力O3-3. 应具有防水和防潮的能力O3-4. 应具有对水患检测和报警的能力O3-5. 应具有自动灭火的能力O3-6. 应具有检测火灾和报警的能力O3-7. 应具有防止火灾蔓延的能力O3-8. 应具有温湿度自动检测和控制的能力O3-9. 应具有防止电压波动的能力O3-10. 应具有对抗较长时间断电的能力O3-11. 应具有防止静电导致大面积设备被破坏的能力O3-12. 应具有对重要设备和介质进行电磁屏蔽的能力O3-13. 应具有
34、防止强电磁场、强震动源和强噪声源等污染影响系统正常运行的能力O3-14. 应具有监测通信线路传输状况的能力O3-15. 应具有及时恢复正常通信的能力O3-16. 应具有对传输和存储数据进行完整性检测和纠错的能力O3-17. 应具有系统软件、应用软件容错的能力O3-18. 应具有软件故障分析的能力O3-19. 应具有软件状态监测和报警的能力O3-20. 应具有自动保护当前工作状态的能力O3-21. 应具有合理使用和控制系统资源的能力O3-22. 应具有按优先级自动分配系统资源的能力O3-23. 应具有对软件缺陷进行检查的能力O3-24. 应具有记录用户操作行为和分析记录结果的能力O3-25. 应
35、具有对用户的误操作行为进行检测、报警和恢复的能力O3-26. 应具有严格控制机房进出的能力O3-27. 应具有防止设备、介质等丢失的能力O3-28. 应具有严格控制机房内人员活动的能力O3-29. 应具有实时监控机房内部活动的能力O3-30. 应具有对物理入侵事件进行报警的能力O3-31. 应具有控制接触重要设备、介质的能力O3-32. 应具有对通信线路进行物理保护的能力O3-33. 应具有使重要通信线路及时恢复的能力O3-34. 应具有限制网络、操作系统和应用系统资源使用的能力O3-35. 应具有合理分配、控制网络、操作系统和应用系统资源的能力O3-36. 应具有能够检测、分析、响应对网络和
36、重要主机的各种攻击的能力O3-37. 应具有发现所有已知漏洞并及时修补的能力 O3-38. 应具有对网络、系统和应用的访问进行严格控制的能力O3-39. 应具有对数据、文件或其他资源的访问进行严格控制的能力O3-40. 应具有对资源访问的行为进行记录、分析并响应的能力O3-41. 应具有对恶意代码的检测、阻止和清除能力O3-42. 应具有防止恶意代码等在网络中扩散的能力O3-43. 应具有对恶意代码库和搜索引擎及时更新的能力O3-44. 应具有保证鉴别数据传输和存储保密性的能力O3-45. 应具有对用户进行唯一标识的能力O3-46. 应具有对同一个用户产生多重鉴别信息并进行多重鉴别的能力O3-
37、47. 应具有对硬件设备进行唯一标识的能力O3-48. 应具有对硬件设备进行合法身份确定的能力O3-49. 应具有检测非法接入设备的能力O3-50. 应具有对存储介质中的残余信息进行删除的能力O3-51. 应具有对传输和存储中的信息进行保密性保护的能力O3-52. 应具有防止加密数据被破解的能力O3-53. 应具有路由选择和控制的能力O3-54. 应具有信息源发的鉴别能力O3-55. 应具有通信数据完整性检测和纠错能力O3-56. 应具有对关键区域进行电磁屏蔽的能力O3-57. 应具有持续非活动状态一段时间后自动切断连接的能力O3-58. 应具有基于密码技术的抗抵赖能力O3-59. 应具有防止
38、未授权下载、拷贝软件或者文件的能力O3-60. 应具有网络边界完整性检测能力O3-61. 应具有切断非法连接的能力O3-62. 应具有重要数据和程序进行完整性检测和纠错能力O3-63. 应具有对敏感信息进行标识的能力O3-64. 应具有对敏感信息的流向进行控制的能力O3-65. 应具有及时恢复重要数据的能力O3-66. 应具有保证重要业务系统及时恢复运行的能力6.3.2. 管理目标O3-67. 应确保建立了安全职能部门，配备了安全管理人员，支持信息安全管理工作O3-68. 应确保配备了足够数量的管理人员，对系统进行运行维护O3-69. 应确保对管理活动进行了制度化管理O3-70. 应确保建立并
39、不断完善、健全安全管理制度O3-71. 应确保能协调信息安全工作在各功能部门的实施O3-72. 应确保能控制信息安全相关事件的授权与审批O3-73. 应确保建立恰当可靠的联络渠道，以便安全事件发生时能得到支持O3-74. 应确保对人员的行为进行控制和规范O3-75. 应确保对人员的管理活动进行了指导O3-76. 应确保安全策略的正确性和安全措施的合理性O3-77. 应确保对信息系统进行合理定级，并进行备案管理O3-78. 应确保安全产品的可信度和产品质量O3-79. 应确保自行开发过程和工程实施过程中的安全O3-80. 应确保能顺利地接管和维护信息系统O3-81. 应确保安全工程的实施质量和安
40、全功能的准确实现O3-82. 应确保机房具有良好的运行环境O3-83. 应确保对信息资产进行分类标识管理O3-84. 应确保对各种软硬件设备的选型、采购、发放、使用和保管等过程进行控制O3-85. 应确保各种网络设备、服务器正确使用和维护O3-86. 应确保对网络、操作系统、数据库系统和应用系统进行安全管理O3-87. 应确保用户具有鉴别信息使用的安全意识O3-88. 应确保定期地对通信线路进行检查和维护O3-89. 应确保硬件设备、存储介质存放环境安全，并对其进行控制和保护O3-90. 应确保对支撑设施、硬件设备、存储介质进行日常维护和管理O3-91. 应确保系统中使用的硬件、软件产品的质量
41、O3-92. 应确保各类人员具有与其岗位相适应的技术能力O3-93. 应确保对各类人员进行相关的技术培训O3-94. 应确保提供的足够的使用手册、维护指南等资料O3-95. 应确保内部人员具有安全方面的常识和意识O3-96. 应确保具有设计合理、安全网络结构的能力O3-97. 应确保对软硬件的分发过程进行控制O3-98. 应确保软硬件中没有后门程序O3-99. 应确保密码算法和密钥的使用符合国家有关法律、法规的规定O3-100. 应确保任何变更控制和设备重用要申报和审批，并对其实行制度化的管理O3-101. 应确保在事件发生后能采取积极、有效的应急策略和措施O3-102. 应确保信息安全事件实
42、行分等级响应、处置6.4. 第4级安全目标第四级信息系统应实现以下目标。6.4.1. 技术目标O4-1. 应具有对抗中等强度地震、台风等自然灾难造成破坏的能力O4-2. 应具有防止雷击事件导致大面积设备被破坏的能力O4-3. 应具有防水和防潮的能力O4-4. 应具有对水患检测和报警的能力O4-5. 应具有自动灭火的能力O4-6. 应具有检测火灾和报警的能力O4-7. 应具有防止火灾蔓延的能力O4-8. 应具有温湿度自动检测和控制的能力O4-9. 应具有防止电压波动的能力O4-10. 应具有对抗较长时间断电的能力O4-11. 应具有防止静电导致大面积设备被破坏的能力O4-12. 应具有检测静电和
43、消除静电的能力O4-13. 应具有对机房电磁屏蔽的能力O4-14. 应具有防止强电磁场、强震动源和强噪声源等污染影响系统正常的能力O4-15. 应具有监测通信线路传输状况的能力O4-16. 应具有系统软件、应用软件容错的能力O4-17. 应具有软件故障分析的能力O4-18. 应具有软件状态监测和报警的能力O4-19. 应具有自动保护当前工作状态的能力O4-20. 应具有自动恢复到故障前工作状态的能力O4-21. 应具有合理使用和控制系统资源的能力O4-22. 应具有按优先级自动分配系统资源的能力O4-23. 应具有对传输和存储数据进行完整性检测和纠错的能力O4-24. 应具有对软件缺陷进行检查
44、的能力O4-25. 应具有记录用户操作行为和分析记录结果的能力O4-26. 应具有对用户的误操作行为进行检测、报警和恢复的能力O4-27. 应具有安全机制失效的自动检测和报警能力O4-28. 应具有检测到安全机制失效后恢复安全机制的能力O4-29. 应具有严格控制机房进出的能力O4-30. 应具有防止设备、介质等丢失的能力O4-31. 应具有严格控制机房内人员活动的能力O4-32. 应具有实时监控机房内部活动的能力O4-33. 应具有对物理入侵事件进行报警的能力 O4-34. 应具有控制接触重要设备、介质的能力O4-35. 应具有对通信线路进行物理保护的能力O4-36. 应具有使重要通信线路及
45、时恢复的能力O4-37. 应具有限制网络、操作系统和应用系统资源使用的能力O4-38. 应具有能够检测、集中分析、响应、阻止对网络和所有主机的各种攻击的能力 O4-39. 应具有合理分配、控制网络、操作系统和应用系统资源的能力 O4-40. 应具有发现所有已知漏洞并及时修补的能力 O4-41. 应具有对网络、系统和应用的访问进行严格控制的能力O4-42. 应具有对数据、文件或其他资源的访问进行严格控制的能力O4-43. 应具有对资源访问的行为进行记录、集中分析并响应的能力O4-44. 应具有对恶意代码的检测、集中分析、阻止和清除能力O4-45. 应具有防止恶意代码在网络中扩散的能力O4-46. 应具有对恶意代码库和搜索引擎及时更新的能力O4-47. 应具有保证鉴别数据传输和存储保密性的能力O4-48. 应具有对用户进行唯一标识的能力O4-49. 应具有对同一个用户产生多重鉴别信息，其中一个是不可伪造的鉴别信息并进行多重鉴别的能力O4-50. 应具有对硬件设备进行唯一标识的能力O4-51. 应具有对硬件设备进行合法身份确定的能力O4-52. 应具有
