机房建设等级保护二级要求[精选多篇]

第一篇：机房建设等级保护二级要求

机房环境建设等级保护二级要求

依据国家等级保护要求，等级保护二级的机房环境应满足以下要求：

1)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。

2)具备防盗窃和防破坏能力：

a)主要设备放置在机房内，并将设备或主要部件进行固定，设置明显的不易除去的标记；

b)通信线缆铺设在隐蔽处，可铺设在地下或管道中；

c)主机房应安装必要的防盗报警设施。

3)机房建筑应设置避雷装置，并为机房内所有交流电源接地防静电措施。

4)机房应设置灭火设备和火灾自动报警系统。

5)具备防水和防潮能力：

a)机房内水管安装不得穿过机房屋顶和活动地板下；

b)窗户、屋顶和墙壁等具有防雨水渗透能力；

c)机房应具备防止水蒸气结露和地下积水的转移与渗透。

6)机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。

7)机房供电线路上配置稳压器和过电压防护设备，并提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。

8)电源线和通信线缆应隔离铺设，避免互相干扰。

第二篇：等级保护-中心机房管理制度

Iyunke信息化管理制度

中心机房管理制度

为科学、有效地管理中心机房，保证网络系统安全、高效运行和使用，结合本局网络结构及运行情况，特制定如下制度，请遵照执行。

一、机房日常管理

1.管理目标是保证中心机房设备与信息的安全，保障机房具有良好的运行环境和工作环境。

2.机房日常管理指定专人负责。

3.机房钥匙要严格保管，不得随意转借，一旦丢失要及时报告并积极寻找，并采取有效措施予以补救。

4.无关人员未经批准不得进入机房，更不得动用机房设备、物品和资料，确因工作需要，相关人员需要进入机房操作必须经过批准方可在管理人员的指导或协同下进行。

5.机房应保持清洁、卫生，温度、湿度适可，机房内严禁吸烟，严禁携带无关物品尤其是易燃、易爆物品及其他危险品进入机房。

6.消防物品要放在指定位置，任何人不得随意挪动；机房工作人员要掌握防火技能，定期检查消防设施是否正常。出现异常情况应立即采取切断电源、报警、使用灭火设备等正确方式予以处理。

7.硬件设备要注意维护和保养，做到设备物卡相符、设备使

Iyunke信息化管理制度

用状态记录完整。

8.建立机房登记制度，对本地局域网、广域网的运行情况建立档案。未发生故障或故障隐患时，网管人员不可对中继、光纤、网线及各种设备进行任何调试，对所发生的故障、处理过程和结果等要做好详细记录。

9.网管人员应做好网络安全工作，严格保密服务器的各种帐号，监控网络上的数据流，从中检测出攻击的行为并给予响应和处理。

10.网管人员要对数据实施严格的安全与保密管理，防止系统数据的非法生成、变更、泄露、丢失及破坏。网管人员应在数据库的系统认证、系统授权、系统完整性、补丁和修正程序方面实时修改。

二、设备管理

1.网管人员对各种网络设备的使用需按操作程序或使用说明书进行。

2.经常对硬件设备进行检查、测试和修理，确保其运行完好。3.所有贵重设备均由专人保管，专人使用，不得外借或由非专业人员单独操作。

4.中心机房的所有设备未经许可一律不得挪用和外借，特殊情况经批准后办理借用手续，借用期间如有损坏由借用单位或使用人员负责赔偿。

5.硬件设备发生损坏、丢失等事故，应及时上报，填写报告

Iyunke信息化管理制度

单并按有关规定处理。

6.中心机房及其附属设备的管理（登记）与维修由网管人员负责。设备管理人员每半年要核准一次设备登记情况。

7.中心机房主机（系统服务器）、网络服务器及其外围设备由网管人员每周进行一次例行检查和维护，尤其是设备供电、运行状态是否正常等要时常检查和维护。

三、系统软件、应用软件管理

1.软件要定期进行系统维护与备份，备份至少保持一式两套，并存放在温度湿度适宜的磁介质库存中。

2.应用软件、应用数据应根据运行频率进行定期或不定期的备份工作，备份软件和数据亦应存放于的磁介质库存中。

3.应用软件的源程序除了在磁介质上备份以外，网管员应自己进行备份，以防应用程序发生意外，难以恢复。

4.为了便于对系统软件进行应用与管理，机房中须备有与系统软件有关的使用手册和各种指南等资料，以便维护人员查阅。其资料未经许可，任何人不得拿出机房。

5.应用软件人员应将项目的调研资料、各阶段的设计说明书、图表、源程序、应用系统运行流程图等进行分类归档，以便查阅。

6.当应用软件修改时，具体的功能修改、逻辑修改、程序变动等，都应有相应的文档记录，以备查阅。

7.为确保软件系统的安全，磁介质除了应有专人管理外，还

Iyunke信息化管理制度

应配备防火器具，确立防磁、防静电、防灰尘等有效措施（建筑上保证），磁介质保管要明确责任，遵守出入库制度。

四、计算机病毒防范管理

1.网管人员应有较强的病毒防范意识，定期进行病毒检测（特别是服务器），发现病毒应立即处理。

2.采用国家许可的正版防病毒软件并及时更新软件版本。3.未经领导许可，网管人员不得在服务器上安装新软件，若确实需要安装，安装前应进行病毒例行检测。

4.经远程通信传送的程序或数据，必须经过检测确认无病毒后方可使用。

五、数据保密及数据备份

1.根据数据的保密规定和用途，确定使用人员的存取权限、存取方式和审批手续。

2.禁止泄露、外借和转移专业数据信息。3.未经批准不得随意更改业务数据。

4.网管人员制作数据的备份要异地存放，确保系统一旦发生故障时能够快速恢复，备份数据不得更改。

5.业务数据必须定期、完整、真实、准确地转储到不可更改的介质上，并要求集中和异地保存，保存期限至少2年。

6.备份的数据由网管人员负责保管，备份的数据应在指定的数据保管室或指定的场所保管。

7.备份数据资料保管地点应有防火、防热、防潮、防尘、防

Iyunke信息化管理制度

磁、防盗设施。

六、安全检查管理

1.中心机房安全是关系到行业安全的一件大事，是保证各个业务系统正常工作的前提条件，因此必须坚持定期安全检查。

2.中心机房自检每年进行一次，且须认真做好检查记录。3.对检查中发现的问题将进行限期整改。

附1：网络管理员职责

1.主要负责全市网络（包含局域网、广域网、城域网）的系统安全性及正常运行。

2.负责日常操作系统、网管系统、邮件系统的安全补丁、漏洞检测及修补、病毒防治等工作。

3.应经常保持对最新技术的掌握，实时了解INTERNET的动向，做到病毒预防为主。

4.良好周密的日志记录以及细致的分析是预测攻击，定位攻击，以及遭受攻击后追查攻击者的有力武器。察觉到网络处于被攻击状态后，网管员应确定其身份，并对其发出警告，提前制止可能的网络犯罪，若对方不听劝告，在保护系统安全的情况下可做善意阻击并向主管领导汇报。

5.对机房进行管理，严格按照机房制度执行日常维护。6.每月管理人员应向主管领导提交当月值班及事件记录，并对系统记录文件保存收档，以备查阅。具体文件及方法见附

Iyunke信息化管理制度

件。

7.严格控制进入机房人员，不允许私自带他人入内。8.要定期检查机房及各种安全设备，做好记录确保安全。9.对机房各种设备均应建立技术档案，认真填写、妥善保管登记备案。

10.定期对机器进行维护，保证机器正常运行。

11.负责对门、窗、灯、电源、机器的安全情况进行全面检查、管理，全面保证机房的安全无误。

12.搞好机房卫生，保持一个良好的环境。

13.不允许私自将机房内的设备、工具、部件等带出机房，借物须办理借物手续。

14.对因责任心不强而造成事故和严重后果的，要追究责任。

附2：计算机使用和管理制度

信息中心电脑管理和维护由专职管理人员负责，并完整保存计算机及其相关设备的驱动程序、保修卡及重要随机文件。

1.未经许可，不准随便动用电脑设备。

2.未经许可，任何人不准更换电脑硬件和软件，拒绝使用来历不明的软件和光盘。

3.严格按规定程序开启和关闭电脑系统。(1)开机流程：

Iyunke信息化管理制度

接通电源→打开显示器、打印机等外设→开通电脑主机→按显示菜单提示，键入规定口令或密码→在权限内对工作任务进行操作。

(2)关机流程：

退出应用程序、各个子目录→关断主机→关闭显示器、打印机等外设→切断电源。

4.使用人员如发现计算机系统运行异常应及时与管理员联系，非专业管理人员不得擅自拆开计算机调换设备配件。

5.外请人员对电脑进行维修时，单位应有人自始至终地陪同，电脑维修维护过程中，首先确保对单位信息进行拷贝，防止遗失。

6.凡因个人使用不当所造成的电脑维护费用和损失，使用者是否赔偿由单位视情决定。

7.计算机及其相关设备的报废需经过本局办公室或专职人员鉴定，确认不符合使用要求后方可申请报废。

Iyunke信息化管理制度

本制度提供各单位专门用于机房内部，作为机房工作人员的日常行为规范。

一、机房人员日常行为准则

1、必须注意环境卫生。禁止在机房、办公室内吃食物、抽烟、随地吐痰；对于意外或工作过程中弄污机房地板和其它物品的，必须及时采取措施清理干净，保持机房无尘洁净环境。

2、必须注意个人卫生。工作人员仪表、穿着要整齐、谈吐文雅、举止大方。

3、机房用品要各归其位，不能随意乱放。

4、机房应安排人员值日，负责机房的日常整理和行为督导。

5、进出机房必须换鞋，雨具、鞋具等物品要按位摆放整齐。

6、注意检查机房的防晒、防水、防潮，维持机房环境通爽，注意天气对机房的影响，下雨天时应及时主动检查和关闭窗户、检查去水通风等设施。

7、机房内部不应大声喧哗、注意噪音/音响音量控制、保持安静的工作环境。

8、坚持每天下班之前将桌面收拾干净、物品摆放整齐。

二、机房保安制度

1、出入机房应注意锁好防盗门。对于有客人进出机房，机房相关的工作人员应负责该客人的安全防范工作。最后离开机房的人员必须自觉检查和关闭所有机房门窗、锁定防盗装置。应主动拒绝陌生人进出机房。

2、工作人员离开工作区域前，应保证工作区域内保存的重要文件、资料、设备、数据处于安全保护状态。如检查并锁上自己工作柜枱、锁定工作电脑、并将桌面重要资料和数据妥善保存等等。

3、工作人员、到访人员出入应登记。

4、外来人员进入必须有专门的工作人员全面负责其行为安全。

5、未经主管领导批准，禁止将机房相关的钥匙、保安密码等物品和信息外借或透露给其它人员，同时有责任对保安信息保密。对于遗失钥匙、泄露保安信息的情况要即时上报，并积极主动采取措施保证机房安全。

6、机房人员对机房保安制度上的漏洞和不完善的地方有责任及时提出改善建议。

Iyunke信息化管理制度

7、禁止带领与机房工作无关的人员进出机房。

8、绝不允许与机房工作无关的人员直接或间接操纵机房任何设备。

9、出现机房盗窃、破门、火警、水浸、110报警等严重事件时，机房工作人员有义务以最快的速度和最短的时间到达现场，协助处理相关的事件。

三、机房用电安全制度

1、机房人员应学习常规的用电安全操作和知识，了解机房内部的供电、用电设施的操作规程。

2、机房人员应经常实习、掌握机房用电应急处理步骤、措施和要领。

3、机房应安排有专业资质的人员定期检查供电、用电设备、设施。

4、不得乱拉乱接电线，应选用安全、有保证的供电、用电器材。

5、在真正接通设备电源之前必须先检查线路、接头是否安全连接以及设备是否已经就绪、人员是否已经具备安全保护。

6、严禁随意对设备断电、更改设备供电线路，严禁随意串接、并接、搭接各种供电线路。

7、如发现用电安全隐患，应即时采取措施解决，不能解决的必须及时向相关负责人员提出解决。

8、机房人员对个人用电安全负责。外来人员需要用电的，必须得到机房管理人员允许，并使用安全和对机房设备影响最少的供电方式。

9、机房工作人员需要离开当前用电工作环境，应检查并保证工作环境的用电安全。

10、最后离开机房的工作人员，应检查所有用电设备，应关闭长时间带电运作可能会产生严重后果的用电设备。

11、禁止在无人看管下在机房中使用高温、炽热、产生火花的用电设备。

12、在使用功率超过特定瓦数的用电设备前，必须得到上级主管批准，并在保证线路保险的基础上使用。

Iyunke信息化管理制度

13、在危险性高的位置应张贴相应的安全操作方法、警示以及指引，实际操作时应严格执行。

14、在外部供电系统停电时，机房工作人员应全力配合完成停电应急工作。

15、应注意节约用电。

四、机房消防安全制度

1、机房工作人员应熟悉机房内部消防安全操作和规则，了解消防设备操作原理、掌握消防应急处理步骤、措施和要领。

2、任何人不能随意更改消防系统工作状态、设备位置。需要变更消防系统工作状态和设备位置的，必须取得主管领导批准。工作人员更应保护消防设备不被破坏。

3、应定期进行消防演习、消防常识培训、消防设备使用培训。

4、如发现消防安全隐患，应即时采取措施解决，不能解决的应及时向相关负责人员提出解决。

5、应严格遵守张贴于相应位置的操作和安全警示及指引。

6、最后离开的机房工作人员，应检查消防设备的工作状态，关闭将会带来消防隐患的设备，采取措施保证无人状态下的消防安全。

五、机房用水制度

1、禁止将供水管道和设施安装在机房内。

2、应格遵守张贴于相应位置的安全操作、警示以及安全指引。

六、机房硬件设备安全使用制度

1、机房人员必须熟知机房内设备的基本安全操作和规则。

2、应定期检查、整理硬件物理连接线路，定期检查硬件运作状态（如设备指示灯、仪表），定期调阅硬件运作自检报告，从而及时了解硬件运作状态。

3、禁止随意搬动设备、随意在设备上进行安装、拆卸硬件、或随意更改设备连线、禁止随意进行硬件复位。

Iyunke信息化管理制度

4、禁止在服务器上进行试验性质的配置操作，需要对服务器进行配置，应在其它可进行试验的机器上调试通过并确认可行后，才能对服务器进行准确的配置。

5、对会影响到全局的硬件设备的更改、调试等操作应预先发布通知，并且应有充分的时间、方案、人员准备，才能进行硬件设备的更改。

6、对重大设备配置的更改，必须首先形成方案文件，经过讨论确认可行后，由具备资格的技术人员进行更改和调整，并应做好详细的更改和操作记录。对设备的更改、升级、配置等操作之前，应对更改、升级、配置所带来的负面后果做好充分的准备，必要时需要先准备好后备配件和应急措施。

7、不允许任何人在服务器、交换设备等核心设备上进行与工作范围无关的任何操作。未经上级允许，更不允许他人操作机房内部的设备，对于核心服务器和设备的调整配置，更需要小组人员的共同同意后才能进行。

8、要注意和落实硬件设备的维护保养措施。

七、软件安全使用制度

1、必须定期检查软件的运行状况、定期调阅软件运行日志记录，进行数据和软件日志备份。

2、禁止在服务器上进行试验性质的软件调试，禁止在服务器随意安装软件。需要对服务器进行配置，必须在其它可进行试验的机器上调试通过并确认可行后，才能对服务器进行准确的配置。

3、对会影响到全局的软件更改、调试等操作应先发布通知，并且应有充分的时间、方案、人员准备，才能进行软件配置的更改。

4、对重大软件配置的更改，应先形成方案文件，经过讨论确认可行后，由具备资格的技术人员进行更改，并应做好详细的更改和操作记录。对软件的更改、升级、配置等操作之前，应对更改、升级、配置所带来的负面后果做好充分的准备，必要时需要先备份原有软件系统和落实好应急措施。

5、不允许任何人员在服务器等核心设备上进行与工作范围无关的软件调试和操作。未经上级允许，不允许带领、指示他人进入机房、对网络及软件环境进行更改和操作。

6、应严格遵守张贴于相应位置的安全操作、警示以及安全指引。

八、机房资料、文档和数据安全制度

1、资料、文档、数据等必须有效组织、整理和归档备案。

Iyunke信息化管理制度

2、禁止任何人员将机房内的资料、文档、数据、配置参数等信息擅自以任何形式提供给其它无关人员或向外随意传播。

3、对于牵涉到网络安全、数据安全的重要信息、密码、资料、文档等等必须妥善存放。外来工作人员的确需要翻阅文档、资料或者查询相关数据的，应由机房相关负责人代为查阅，并只能向其提供与其当前工作内容相关的数据或资料。

4、重要资料、文档、数据应采取对应的技术手段进行加密、存储和备份。对于加密的数据应保证其可还原性，防止遗失重要数据。

九、机房财产登记和保护制度

1、机房的日常物品、设备、消耗品等必须有清晰的数量、型号登记记录，对于公共使用的物品和重要设备，必须建立一套较为完善的借取和归还制度进行管理。

2、机房工作人员应有义务安全和小心使用机房的任何设备、仪器等物品，在使用完毕后，应将物品归还并存放于原处，不应随意摆放。

3、对于使用过程中损坏、消耗、遗失的物品应汇报登记，并对责任人追究相关责任。

4、未经主管领导同意，不允许向他人外借或提供机房设备和物品。

十、团队精神和相互协作

1、机房工作小组人员应树立团队协作精神。

2、任何将要发生的给其他人员工作和安排产生影响的事情，或需要与其他工作人员互相协调的事情，应先提出和协调一致，禁止个人独断独行的作风。

3、工作分工要明确，责任要到位、工作计划要清晰，工作总结要具体。

4、小组人员有义务服从工作安排，并有义务对工作安排提出更加合理化建议和意见。

5、营造民主协作的工作环境，任何人员有权利和义务组织、联络其他小组成员、主管领导等展开讨论、开展会议、及时反映问题、做到相互沟通、协同工作。

第三篇：机房安全等级和分区保护

第十八条机房安全等级和分区保护：

（一）市级联社的主机房定为Ｃ级；重要业务系统的微机房定为Ｄ级；县联社管理的机房定为Ｄ级。

（二）机房内部划分为核心区、生产区、辅助区，各区之间应为物理割断。Ｃ级机房划分为核心区和辅助区；Ｄ级机房划分为生产区和辅助区。

●核心区是指安装有主计算机、主通信机、网络通信及控制设备、磁盘机、光盘机等数据存储设备、数据存储介质库、系统操作室等机房要害区域。允许计算机安全管理员、系统管理员或系统值班员等两人以上同时进出，其他人员进入核心区须经部门领导批准并由以上人员之一全程陪同；

●生产区是指信用社业务前端设备操作室、打印机室、数据资料室、介质交接室、运行值班室等金融业务运作区域和各部门或县级联社的微机房。允许经业务部门领导批准的业务操作人员进出，系统开发人员不得进入生产区；维护人员进出须有业务操作人员陪同。在非工作时间进入生产区，必须经主管领导批准，至少有两人同行；

●辅助区划分为三类：第一类包括供电设备用房，如配电室、不间断电源（ＵＰＳ）室、发电机室等；第二类包括消防、空调设备用房，如火警监控室、空调监控室等；第三类包括机房工作人员共用房间，如办公室、卫生间等。允许从事该项工作的人员进出。

第四篇：信息安全等级保护(二级)

信息安全等级保护(二级)

备注：其中黑色字体为信息安全等级保护第二级系统要求，蓝色字体为第三级系统等保要求。

一、物理安全

1、应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施）

2、应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录

3、应配置电子门禁系统(三级明确要求)；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录

4、主要设备或设备的主要部件上应设置明显的不易除去的标记

5、介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放

6、应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录；

7、应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录

8、应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测；

9、应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告

10、应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品

11、应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录

12、应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录

13、应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录

14、应具有短期备用电力供应设备（如UPS）；短期备用电力供应设备的运行记录、定期检查和维护记录

15、应具有冗余或并行的电力电缆线路（如双路供电方式）

16、应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录

二、安全管理制度

1、应具有对重要管理操作的操作规程，如系统维护手册和用户操作规程

2、应具有安全管理制度的制定程序：

3、应具有专门的部门或人员负责安全管理制度的制定（发布制度具有统一的格式，并进行版本控制）

4、应对制定的安全管理制度进行论证和审定，论证和审定方式如何（如召开评审会、函审、内部审核等），应具有管理制度评审记录

5、应具有安全管理制度的收发登记记录，收发应通过正式、有效的方式（如正式发文、领导签署和单位盖章等）----安全管理制度应注明发布范围，并对收发文进行登记。

6、信息安全领导小组定期对安全管理制度体系的合理性和适用性进行审定，审定周期多长。（安全管理制度体系的评审记录）

7、系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时应对安全管理制度进行检查，对需要改进的制度进行修订。（应具有安全管理制度修订记录）

三、安全管理机构

1、应设立信息安全管理工作的职能部门

2、应设立安全主管、安全管理各个方面的负责人

3、应设立机房管理员、系统管理员、网络管理员、安全管理员等重要岗位（分工明确，各司其职），数量情况（管理人员名单、岗位与人员对应关系表）

4、安全管理员应是专职人员

5、关键事物需要配备2人或2人以上共同管理，人员具体配备情况如何。

6、应设立指导和管理信息安全工作的委员会或领导小组（最高领导是否由单位主管领导委任或授权的人员担任）

7、应对重要信息系统活动进行审批（如系统变更、重要操作、物理访问和系统接入、重要管理制度的制定和发布、人员的配备和培训、产品的采购、外部人员的访问等），审批部门是何部门，审批人是何人。审批程序：

8、应与其它部门之间及内部各部门管理人员定期进行沟通（信息安全领导小组或者安全管理委员会应定期召开会议）

9、应组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，定期：

10、信息安全管理委员会或领导小组安全管理工作执行情况的文件或工作记录（如会议记录/纪要，信息安全工作决策文档等）

11、应与公安机关、电信公司和兄弟单位等的沟通合作（外联单位联系列表）

12、应与供应商、业界专家、专业的安全公司、安全组织等建立沟通、合作机制。

13、聘请信息安全专家作为常年的安全顾问（具有安全顾问名单或者聘请安全顾问的证明文件、具有安全顾问参与评审的文档或记录）

14、应组织人员定期对信息系统进行安全检查（查看检查内容是否包括系统日常运行、系统漏洞和数据备份等情况）

15、应定期进行全面安全检查（安全检查是否包含现行技术措施有效性和管理制度执行情况等方面、具有安全检查表格，安全检查报告，检查结果通告记录）

四、人员安全管理

1、何部门/何人负责安全管理和技术人员的录用工作（录用过程）

2、应对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，技能考核文档或记录

3、应与录用后的技术人员签署保密协议（协议中有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容）

4、应设定关键岗位，对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议。

5、应及时终止离岗人员的所有访问权限（离岗人员所有访问权限终止的记录）

6、应及时取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等（交还身份证件和设备等的登记记录）

7、人员离岗应办理调离手续，是否要求关键岗位调离人员承诺相关保密义务后方可离开（具有按照离岗程序办理调离手续的记录，调离人员的签字）

8、对各个岗位人员应定期进行安全技能考核；具有安全技能考核记录，考核内容要求包含安全知识、安全技能等。

9、对关键岗位人员的安全审查和考核与一般岗位人员有何不同，审查内容是否包括操作行为和社会关系等。

10、应对各类人员（普通用户、运维人员、单位领导等）进行安全教育、岗位技能和安全技术培训。

11、应针对不同岗位制定不同的培训计划，并按照计划对各个岗位人员进行安全教育和培训（安全教育和培训的结果记录，记录应与培训计划一致）

12、外部人员进入条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员进入的访问控制（由专人全程陪同或监督等）

13、应具有外部人员访问重要区域的书面申请

14、应具有外部人员访问重要区域的登记记录（记录描述了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等）

五、系统建设管理

1、应明确信息系统的边界和安全保护等级（具有定级文档，明确信息系统安全保护等级）

2、应具有系统建设/整改方案

3、应授权专门的部门对信息系统的安全建设进行总体规划，由何部门/何人负责

4、应具有系统的安全建设工作计划（系统安全建设工作计划中明确了近期和远期的安全建设计划）

5、应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定（配套文件的论证评审记录或文档）

6、应对总体安全策略、安全技术框架、安全管理策略等相关配套文件应定期进行调整和修订

7、应具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本

8、应按照国家的相关规定进行采购和使用系统信息安全产品

9、安全产品的相关凭证，如销售许可等，应使用符合国家有关规定产品

10、应具有专门的部门负责产品的采购

11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单

12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）

13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册

14、对程序资源库的修改、更新、发布应进行授权和批准

15、应具有程序资源库的修改、更新、发布文档或记录

16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测

17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品

18、应具有软件设计的相关文档和使用指南

19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档

20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制

21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案

22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）

23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）

24、应具有测试验收报告

25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）

26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）

27、应具有系统交付时的技术培训记录

28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。

29、应指定部门负责系统交付工作

30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容

31、选定的安全服务商应提供一定的技术培训和服务

32、应与安全服务商签订的服务合同或安全责任合同书

六、系统运维管理

1、应指定专人或部门对机房的基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责。

2、应具有机房基础设施的维护记录，空调、温湿度控制等机房设施定期维护保养的记录

3、应指定部门和人员负责机房安全管理工作

4、应对办公环境保密性进行管理（工作人员离开座位确保终端计算机退出登录状态、桌面上没有包含敏感信息的纸档文件）

5、应具有资产清单（覆盖资产责任人、所属级别、所处位置、所处部门等方面）

6、应指定资产管理的责任部门或人员

7、应依据资产的重要程度对资产进行标识

8、介质存放于何种环境中，应对存放环境实施专人管理（介质存放在安全的环境（防潮、防盗、防火、防磁，专用存储空间））

9、应具有介质使用管理记录，应记录介质归档和使用等情况（介质存放、使用管理记录）

10、对介质的物理传输过程应要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制

11、应对介质的使用情况进行登记管理，并定期盘点（介质归档和查询的记录、存档介质定期盘点的记录）

12、对送出维修或销毁的介质如何管理，销毁前应对数据进行净化处理。（对带出工作环境的存储介质是否进行内容加密并有领导批准。对保密性较高的介质销毁前是否有领导批准）（送修记录、带出记录、销毁记录）

13、应对某些重要介质实行异地存储，异地存储环境是否与本地环境相同（防潮、防盗、防火、防磁，专用存储空间）

14、介质上应具有分类的标识或标签

15、应对各类设施、设备指定专人或专门部门进行定期维护。

16、应具有设备操作手册

17、应对带离机房的信息处理设备经过审批流程，由何人审批（审批记录）

18、应监控主机、网络设备和应用系统的运行状况等

19、应有相关网络监控系统或技术措施能够对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警 20、应具有日常运维的监控日志记录和运维交接日志记录

21、应定期对监控记录进行分析、评审

22、应具有异常现象的现场处理记录和事后相关的分析报告

23、应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等相关事项进行集中管理

24、应指定专人负责维护网络安全管理工作

25、应对网络设备进行过升级，更新前应对现有的重要文件是否进行备份（网络设备运维维护工作记录）

26、应对网络进行过漏洞扫描，并对发现的漏洞进行及时修补。

27、对设备的安全配置应遵循最小服务原则，应对配置文件进行备份（具有网络设备配置数据的离线备份）

28、系统网络的外联种类（互联网、合作伙伴企业网、上级部门网络等）应都得到授权与批准，由何人/何部门批准。应定期检查违规联网的行为。

29、对便携式和移动式设备的网络接入应进行限制管理

30、应具有内部网络外联的授权批准书，应具有网络违规行为（如拨号上网等）的检查手段和工具。

31、在安装系统补丁程序前应经过测试，并对重要文件进行备份。

32、应有补丁测试记录和系统补丁安装操作记录

33、应对系统管理员用户进行分类（比如：划分不同的管理角色，系统管理权限与安全审计权限分离等）

34、审计员应定期对系统审计日志进行分析（有定期对系统运行日志和审计数据的分析报告）

35、应对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本（对员工的恶意代码防范教育的相关培训文档）

36、应指定专人对恶意代码进行检测，并保存记录。

37、应具有对网络和主机进行恶意代码检测的记录

38、应对恶意代码库的升级情况进行记录（代码库的升级记录），对各类防病毒产品上截获的恶意代码是否进行分析并汇总上报。是否出现过大规模的病毒事件，如何处理

39、应具有恶意代码检测记录、恶意代码库升级记录和分析报告 40、应具有变更方案评审记录和变更过程记录文档。

41、重要系统的变更申请书，应具有主管领导的批准

42、系统管理员、数据库管理员和网络管理员应识别需定期备份的业务信息、系统数据及软件系统（备份文件记录）

43、应定期执行恢复程序，检查和测试备份介质的有效性

44、应有系统运维过程中发现的安全弱点和可疑事件对应的报告或相关文档

45、应对安全事件记录分析文档

46、应具有不同事件的应急预案

47、应具有应急响应小组，应具备应急设备并能正常工作，应急预案执行所需资金应做过预算并能够落实。

48、应对系统相关人员进行应急预案培训（应急预案培训记录）

49、应定期对应急预案进行演练（应急预案演练记录）50、应对应急预案定期进行审查并更新

51、应具有更新的应急预案记录、应急预案审查记录。

第五篇：计算机信息系统等级保护二级基本要求

第二级基本要求 1.1 技术要求 1.1.1 物理安全

1.1.1.1 物理位置的选择（G2）

机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。1.1.1.2 物理访问控制（G2）

本项要求包括：

a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；

b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。1.1.1.3 防盗窃和防破坏（G2）

本项要求包括：

a)应将主要设备放置在机房内；

b)应将设备或主要部件进行固定，并设置明显的不易除去的标记； c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d)应对介质分类标识，存储在介质库或档案室中； e)主机房应安装必要的防盗报警设施。1.1.1.4 防雷击（G2）

本项要求包括：

a)机房建筑应设置避雷装置； b)机房应设置交流电源地线。1.1.1.5 防火（G2）

机房应设置灭火设备和火灾自动报警系统。1.1.1.6 防水和防潮（G2）

本项要求包括：

a)水管安装，不得穿过机房屋顶和活动地板下； b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。1.1.1.7 防静电（G2）

关键设备应采用必要的接地防静电措施。1.1.1.8 温湿度控制（G2）

机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。

1.1.1.9 电力供应（A2）

本项要求包括：

a)应在机房供电线路上配置稳压器和过电压防护设备；

b)应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。1.1.1.10 电磁防护（S2）电源线和通信线缆应隔离铺设，避免互相干扰。1.1.2 网络安全

1.1.2.1 结构安全（G2）

本项要求包括：

a)应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； b)应保证接入网络和核心网络的带宽满足业务高峰期需要； c)应绘制与当前运行情况相符的网络拓扑结构图；

d)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。

1.1.2.2 访问控制（G2）

本项要求包括：

a)应在网络边界部署访问控制设备，启用访问控制功能；

b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级。

c)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；

d)应限制具有拨号访问权限的用户数量。1.1.2.3 安全审计（G2）

本项要求包括：

a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。

1.1.2.4 边界完整性检查（S2）

应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查。1.1.2.5 入侵防范（G2）

应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。1.1.2.6 网络设备防护（G2）

本项要求包括：

a)应对登录网络设备的用户进行身份鉴别； b)应对网络设备的管理员登录地址进行限制； c)网络设备用户的标识应唯一；

d)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； e)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；

f)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。

1.1.3 主机安全 1.1.3.1 身份鉴别（S2）

本项要求包括：

a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；

b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。

1.1.3.2 访问控制（S2）

本项要求包括：

a)应启用访问控制功能，依据安全策略控制用户对资源的访问； b)应实现操作系统和数据库系统特权用户的权限分离；

c)应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令； d)应及时删除多余的、过期的帐户，避免共享帐户的存在。1.1.3.3 安全审计（G2）

本项要求包括：

a)审计范围应覆盖到服务器上的每个操作系统用户和数据库用户；

b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； d)应保护审计记录，避免受到未预期的删除、修改或覆盖等。1.1.3.4 入侵防范（G2）

操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。1.1.3.5 恶意代码防范（G2）

本项要求包括：

a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库； b)应支持防恶意代码软件的统一管理。1.1.3.6 资源控制（A2）

本项要求包括：

a)应通过设定终端接入方式、网络地址范围等条件限制终端登录； b)应根据安全策略设置登录终端的操作超时锁定； c)应限制单个用户对系统资源的最大或最小使用限度。1.1.4 应用安全

1.1.4.1 身份鉴别（S2）本项要求包括：

a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；

b)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

c)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； d)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

1.1.4.2 访问控制（S2）

本项要求包括：

a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问； b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作； c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

d)应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。

1.1.4.3 安全审计（G2）

本项要求包括：

a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计； b)应保证无法删除、修改或覆盖审计记录；

c)审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。1.1.4.4 通信完整性（S2）

应采用校验码技术保证通信过程中数据的完整性。1.1.4.5 通信保密性（S2）

本项要求包括：

a)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证； b)应对通信过程中的敏感信息字段进行加密。1.1.4.6 软件容错（A2）

本项要求包括：

a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；

b)在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施。1.1.4.7 资源控制（A2）

本项要求包括：

a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；

b)应能够对应用系统的最大并发会话连接数进行限制； c)应能够对单个帐户的多重并发会话进行限制。1.1.5 数据安全及备份恢复 1.1.5.1 数据完整性（S2）应能够检测到鉴别信息和重要业务数据在传输过程中完整性受到破坏。1.1.5.2 数据保密性（S2）

应采用加密或其他保护措施实现鉴别信息的存储保密性。1.1.5.3 备份和恢复（A2）

本项要求包括：

a)应能够对重要信息进行备份和恢复；

b)应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性。1.2 管理要求 1.2.1 安全管理制度 1.2.1.1 管理制度（G2）

本项要求包括：

a)应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；

b)应对安全管理活动中重要的管理内容建立安全管理制度；

c)应对安全管理人员或操作人员执行的重要管理操作建立操作规程。1.2.1.2 制定和发布（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责安全管理制度的制定； b)应组织相关人员对制定的安全管理制度进行论证和审定； c)应将安全管理制度以某种方式发布到相关人员手中。1.2.1.3 评审和修订（G2）

应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订。1.2.2 安全管理机构 1.2.2.1 岗位设置（G2）

本项要求包括：

a)应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责； b)应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责。1.2.2.2 人员配备（G2）

本项要求包括：

a)应配备一定数量的系统管理员、网络管理员、安全管理员等； b)安全管理员不能兼任网络管理员、系统管理员、数据库管理员等。1.2.2.3 授权和审批（G2）

本项要求包括：

a)应根据各个部门和岗位的职责明确授权审批部门及批准人，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批； b)应针对关键活动建立审批流程，并由批准人签字确认。1.2.2.4 沟通和合作（G2）

本项要求包括： a)应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通；

b)应加强与兄弟单位、公安机关、电信公司的合作与沟通。1.2.2.5 审核和检查（G2）

安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。1.2.3 人员安全管理 1.2.3.1 人员录用（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责人员录用；

b)应规范人员录用过程，对被录用人员的身份、背景和专业资格等进行审查，对其所具有的技术技能进行考核；

c)应与从事关键岗位的人员签署保密协议。1.2.3.2 人员离岗（G2）

本项要求包括：

a)应规范人员离岗过程，及时终止离岗员工的所有访问权限； b)应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备； c)应办理严格的调离手续。1.2.3.3 人员考核（G2）

应定期对各个岗位的人员进行安全技能及安全认知的考核。1.2.3.4 安全意识教育和培训（G2）

本项要求包括：

a)应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训； b)应告知人员相关的安全责任和惩戒措施，并对违反违背安全策略和规定的人员进行惩戒；

c)应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训。1.2.3.5 外部人员访问管理（G2）

应确保在外部人员访问受控区域前得到授权或审批，批准后由专人全程陪同或监督，并登记备案。1.2.4 系统建设管理 1.2.4.1 系统定级（G2）

本项要求包括：

a)应明确信息系统的边界和安全保护等级；

b)应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由； c)应确保信息系统的定级结果经过相关部门的批准。1.2.4.2 安全方案设计（G2）

本项要求包括： a)应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；

b)应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案；

c)应对安全方案进行细化，形成能指导安全系统建设、安全产品采购和使用的详细设计方案；

d)应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施。

1.2.4.3 产品采购和使用（G2）

本项要求包括：

a)应确保安全产品采购和使用符合国家的有关规定；

b)应确保密码产品采购和使用符合国家密码主管部门的要求； c)应指定或授权专门的部门负责产品的采购。1.2.4.4 自行软件开发（G2）

本项要求包括：

a)应确保开发环境与实际运行环境物理分开；

b)应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则； c)应确保提供软件设计的相关文档和使用指南，并由专人负责保管。1.2.4.5 外包软件开发（G2）

本项要求包括：

a)应根据开发要求检测软件质量；

b)应确保提供软件设计的相关文档和使用指南； c)应在软件安装之前检测软件包中可能存在的恶意代码；

d)应要求开发单位提供软件源代码，并审查软件中可能存在的后门。1.2.4.6 工程实施（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责工程实施过程的管理； b)应制定详细的工程实施方案，控制工程实施过程。1.2.4.7 测试验收（G2）

本项要求包括：

a)应对系统进行安全性测试验收；

b)在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；

c)应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。1.2.4.8 系统交付（G2）

本项要求包括：

a)应制定系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； b)应对负责系统运行维护的技术人员进行相应的技能培训； c)应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。1.2.4.9 安全服务商选择（G2）

本项要求包括：

a)应确保安全服务商的选择符合国家的有关规定；

b)应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；

c)应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同。1.2.5 系统运维管理 1.2.5.1 环境管理（G2）

本项要求包括：

a)应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理；

b)应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理； c)应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定；

d)应加强对办公环境的保密性管理，包括工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等。

1.2.5.2 资产管理（G2）

本项要求包括：

a)应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；

b)应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。

1.2.5.3 介质管理（G2）

本项要求包括：

a)应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理；

b)应对介质归档和查询等过程进行记录，并根据存档介质的目录清单定期盘点； c)应对需要送出维修或销毁的介质，首先清除其中的敏感数据，防止信息的非法泄漏；

d)应根据所承载数据和软件的重要程度对介质进行分类和标识管理。1.2.5.4 设备管理（G2）

本项要求包括：

a)应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；

b)应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理； c)应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备（包括备份和冗余设备）的启动/停止、加电/断电等操作；

d)应确保信息处理设备必须经过审批才能带离机房或办公地点。1.2.5.5 网络安全管理（G2）

本项要求包括：

a)应指定人员对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；

b)应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定；

c)应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份；

d)应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补； e)应对网络设备的配置文件进行定期备份； f)应保证所有与外部系统的连接均得到授权和批准。1.2.5.6 系统安全管理（G2）

本项要求包括：

a)应根据业务需求和系统安全分析确定系统的访问控制策略； b)应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补；

c)应安装系统的最新补丁程序，在安装系统补丁前，应首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装；

d)应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定；

e)应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作； f)应定期对运行日志和审计数据进行分析，以便及时发现异常行为。1.2.5.7 恶意代码防范管理（G2）

本项要求包括：

a)应提高所有用户的防病毒意识，告知及时升级防病毒软件，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查；

b)应指定专人对网络和主机进行恶意代码检测并保存检测记录；

c)应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定。1.2.5.8 密码管理（G2）

应使用符合国家密码管理规定的密码技术和产品。1.2.5.9 变更管理（G2）

本项要求包括：

a)应确认系统中要发生的重要变更，并制定相应的变更方案； b)系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员通告。

1.2.5.10 备份与恢复管理（G2）

本项要求包括：

a)应识别需要定期备份的重要业务信息、系统数据及软件系统等； b)应规定备份信息的备份方式、备份频度、存储介质、保存期等；

c)应根据数据的重要性及其对系统运行的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法。

1.2.5.11 安全事件处置（G2）

本项要求包括：

a)应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点； b)应制定安全事件报告和处置管理制度，明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责；

c)应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对本系统计算机安全事件进行等级划分；

d)应记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生。

1.2.5.12 应急预案管理（G2）

本项要求包括：

a)应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容； b)应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次。