信息系統(tǒng)等級保護測評指標(二級與三級)

1、1.信息系統(tǒng)等級保護測評指標信息系統(tǒng)等級保護測評指標等級保護的測評技術指標至少覆蓋各系統(tǒng)等保二級、等級保三級的全部指標1.1.1.1.等級保護二級測評基本指標等級保護二級測評基本指標分類分類子類子類基本要求基本要求物理位置的選擇（G2）機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內(nèi)機房出入口應安排專人值守，控制、鑒別和記錄進入的人員物理訪問控制（G2）需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍應將主要設備

2、放置在機房內(nèi)應將設備或主要部件進行固定，并設置明顯的不易除去的標記應將通信線纜鋪設在隱蔽處，可鋪設在地下或管道中應對介質(zhì)分類標識，存儲在介質(zhì)庫或檔案室中防盜竊和防破壞（G2）主機房應安裝必要的防盜報警設施機房建筑應設置避雷裝置防雷擊（G2）機房應設置交流電源地線防火（G2）機房應設置滅火設備和火災自動報警系統(tǒng)。水管安裝，不得穿過機房屋頂和活動地板下應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透防水和防潮（G2）應采取措施防止機房內(nèi)水蒸氣

3、結露和地下積水的轉(zhuǎn)移與滲透防靜電（G2）關鍵設備應采用必要的接地防靜電措施溫濕度控制（G2）機房應設置溫、濕度自動調(diào)節(jié)設施，使機房溫、濕度的變化在設備運行所允許的范圍之內(nèi)應在機房供電線路上配置穩(wěn)壓器和過電壓防護設備電力供應（A2）應提供短期的備用電力供應，至少滿足關鍵設備在斷電情況下的正常運行要求物理安全電磁防護（S2）電源線和通信線纜應隔離鋪設，避免互相干擾應保證關鍵網(wǎng)絡設備的業(yè)務處理能力具備冗余空間，滿足業(yè)務高峰期需要應保證接入網(wǎng)絡

4、和核心網(wǎng)絡的帶寬滿足業(yè)務高峰期需要應繪制與當前運行情況相符的網(wǎng)絡拓撲結構圖結構安全（G2）應根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段網(wǎng)絡安全訪問控制（G2）應在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能分類分類子類子類基本要求基本要求審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件審計記錄應包括事件的日期

5、、時間、類型、主體標識、客體標識和結果等應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等入侵防范（G2）操作系統(tǒng)應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫惡意代碼防范（G2）應支持防惡意代碼軟件的統(tǒng)一管理應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄應根據(jù)安全策略設置登錄終端的操作超時鎖定資源控制（A2）應限

6、制單個用戶對系統(tǒng)資源的最大或最小使用限度應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別應提供用戶身份標識唯一和鑒別信息復雜度檢查功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施身份鑒別（S2）應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關參數(shù)應提供訪問控制功能，依據(jù)安全策略控制用

7、戶對文件、數(shù)據(jù)庫表等客體的訪問訪問控制的覆蓋范圍應包括與資源訪問相關的主體、客體及它們之間的操作應由授權主體配置訪問控制策略，并嚴格限制默認帳戶的訪問權限訪問控制（S2）應授予不同帳戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計應保證無法刪除、修改或覆蓋審計記錄安全審計（G2）審計記錄的內(nèi)容至少應包括事件日期、時間、發(fā)起者信息、類型、描述和結果等通信完