网络安全等级保护

等保定级

根据等级保护对象在国家安全、经济建设、社会生活中的重要程度，以及一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度等因素，等级保护对象的安全保护等级分为以下五级：

第一级，等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成损害，但不危害国家安全、社会秩序和公共利益；
第二级，等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全；
第三级，等级保护对象受到破坏后，会对社会秩序和公共利益造成严重危害，或者对国家安全造成危害；
第四级，等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害；
第五级，等级保护对象受到破坏后，会对国家安全造成特别严重危害。

安全保护等级初步确定为第二级及以上的，定级对象的网络运营者需组织网络安全专家和业务专家对定级结果的合理性进行评审，并出具专家评审意见。有行业主管（监管）部门的，还需将定级结果报请行业主管（监管）部门核准，并出具核准意见。最后，网络运营者按照相关管理规定，将定级结果提交公安机关进行备案审核。审核不通过，其网络运营者需组织重新定级；审核通过后最终确定定级对象的安全保护等级。对于通信网络设施、云计算平台／系统等定级对象，需根据其承载或将要承载的等级保护对象的重要程度确定其安全保护等级，原则上不低于其承载的等级保护对象的安全保护等级。对于数据资源，综合考虑其规模、价值等因素，及其遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度确定其安全保护等级。涉及大量公民个人信息以及为公民提供公共服务的大数据平台／系统，原则上其安全保护等级不低于第三级。

县级重要的信息系统，地市级和省级的一般信息系统，不涉及敏感信息、重要信息的信息系统，这些系统都可以定为二级系统；

省级门户网站和地市级及以上重要的业务网站需要定为三级，地市级及以上内部涉及到工作秘密、敏感信息、重要信息的办公系统，管理系统需要定到三级，跨省的用于生产、调度、管理、指挥等在省、市的分支系统需要定为三级，跨省联结的网络系统要定为三级(这个一般都是全国运营的专网系统）。

根据信息覆盖的数量建议调整定级. 例如某区一个系统里面存储了全区上百万的人口信息，住房信息等等敏感信息，这样的系统就得定到三级。如果行业有要求需要按照行业要求来进行定级,

信息系统涉及到工作秘密、敏感信息的，信息泄露出去或者被非法篡改、破坏后造成比较大的影响的系统，建议定到三级，其他系统定到二级。当然涉及到国家安全的特别是全国性的系统要定四级。

安全要求概述

第一级安全保护能力：应能够防护免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的关键资源损害，在自身遭到损害后，能够恢复部分功能。

第二级安全保护能力：应能够防护免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和处置安全事件，在自身遭到损害后，能够在一段时间内恢复部分功能。

第三级安全保护能力：应能够在统一安全策略下防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难，以及其他相当危害程度的威胁所造成的主要资源损害，能够及时发现、监测攻击行为和处置安全事件，在自身遭到损害后，能够较快恢复绝大部分功能。

第四级安全保护能力：应能够在统一安全策略下防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难，以及其他相当危害程度的威胁所造成的资源损害，能够及时发现、监测发现攻击行为和安全事件，在自身遭到损害后，能够迅速恢复所有功能。

第五级安全保护能力：略。

等保二级要求

安全物理环境

机房场地应选择在具有防震、防风和防雨等能力的建筑内；
机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施
机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人
应将设备或主要部件进行固定，并设置明显的不易除去的标识
应将通信线缆铺设在隐蔽安全处
应将各类机柜、设施和设备等通过接地系统安全接地。
机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；
机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。
应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；
应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。
应采用防静电地板或地面并采用必要的接地防静电措施
应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内
应在机房供电线路上配置稳压器和过电压防护设备
应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求
电源线和通信线缆应隔离铺设，避免互相干扰

安全通信网

应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；
应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。
通信传输应采用校验技术保证通信过程中数据的完整性。
可信验证可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

安全区域边界

边界防护应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；
应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许／拒绝数据包进出；
应能根据会话状态信息为进出数据流提供明确的允许／拒绝访问的能力。
入侵防范应在关键网络节点处监视网络攻击行为。
恶意代码防范 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新。
安全审计 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计
安全审计审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
安全审计 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等
可信验证 可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

安全计算环境

身份鉴别应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；
身份鉴别应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；
身份鉴别当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。(使用SSL)
访问控制 应对登录的用户分配账户和权限；
访问控制 应重命名或删除默认账户，修改默认账户的默认口令；
访问控制 应及时删除或停用多余的、过期的账户，避免共享账户的存在；
访问控制 应授予管理用户所需的最小权限，实现管理用户的权限分离
安全审计 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
安全审计审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
安全审计 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等
入侵防范 应遵循最小安装的原则，仅安装需要的组件和应用程序；
入侵防范 应关闭不需要的系统服务、默认共享和高危端口；
入侵防范 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；
入侵防范 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；
入侵防范 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞
恶意代码防范 应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
可信验证 可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。
数据完整性应采用校验技术保证重要数据在传输过程中的完整性。
数据备份恢复 应提供重要数据的本地数据备份与恢复功能；
数据备份恢复应提供异地数据备份功能，利用通信网络将重要数据定时批量传送至备用场地。
剩余信息保护应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除。
个人信息保护 应仅采集和保存业务必需的用户个人信息；
个人信息保护 应禁止未授权访问和非法使用用户个人信息。

安全管理中心

应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计；
应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。
应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计；
应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等

安全管理制度

应对安全管理活动中的主要管理内容建立安全管理制度；
应对管理人员或操作人员执行的日常管理操作建立操作规程
应指定或授权专门的部门或人员负责安全管理制度的制定；
安全管理制度应通过正式、有效的方式发布，并进行版本控制
应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责
应设立系统管理员、审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责
应配备一定数量的系统管理员、审计管理员和安全管理员等
应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等；
应针对系统变更、重要操作、物理访问和系统接入等事项执行审批过程
应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会议，共同协作处理网络安全问题；
应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通；
应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息。
审核和检查应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况

安全管理人员

应指定或授权专门的部门或人员负责人员录用；
应对被录用人员的身份、安全背景、专业资格或资质等进行审查
人员离岗应及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。
安全意识教育和培训应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施
应在外部人员物理访问受控区域前先提出书面申请，批准后由专人全程陪同，并登记备案；
应在外部人员接入受控网络访问系统前先提出书面申请，批准后由专人开设账户、分配权限，并登记备案；
外部人员离场后应及时清除其所有的访问权限

安全建设管理

定级和备案应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由；
定级和备案应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定；
定级和备案应保证定级结果经过相关部门的批准；
定级和备案应将备案材料报主管部门和相应公安机关备案。
安全方案设计应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；
安全方案设计应根据保护对象的安全保护等级进行安全方案设计；
安全方案设计应组织相关部门和有关安全专家对安全方案的合理性和正确性进行论证和审定，经过批准后才能正式实施。
产品采购使用应确保网络安全产品采购和使用符合国家的有关规定；
产品采购使用应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求。
自主软件开发应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制；
自主软件开发应在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测。
外包软件开发应在软件交付前检测其中可能存在的恶意代码；
外包软件开发应保证开发单位提供软件设计文档和使用指南。
工程实施应指定或授权专门的部门或人员负责工程实施过程的管理；
工程实施应制定安全工程实施方案控制工程实施过程。
测试验收应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告；
测试验收 应进行上线前的安全性测试，并出具安全测试报告。
系统交付应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；
系统交付应对负责运行维护的技术人员进行相应的技能培训；
系统交付应提供建设过程文档和运行维护文档。
等级测评应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改；
等级测评应在发生重大变更或级别发生变化时进行等级测评；
等级测评 应确保测评机构的选择符合国家有关规定。
服务供应商选择应确保服务供应商的选择符合国家的有关规定；
服务供应商选择应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务。

安全运维管理

环境管理 应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理；
环境管理应对机房的安全管理做出规定，包括物理访问、物品进出和环境安全等；
环境管理 应不在重要区域接待来访人员，不随意放置含有敏感信息的纸档文件和移动介质等。
资产管理应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。
介质管理 应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质的目录清单定期盘点；
介质管理应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录
设备维护管理 应对各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；
设备维护管理 应对配套设施、软硬件维护管理做出规定，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等。
漏洞和风险管理 应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补。
网络和系统安全管理 应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限；
网络和系统安全管理 应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制；
网络和系统安全管理应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定；
网络和系统安全管理 应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等；
网络和系统安全管理 应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容。
恶意代码防范管理 应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等；
恶意代码防范管理应对恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期查杀等；
恶意代码防范管理应定期检查恶意代码库的升级情况，对截获的恶意代码进行及时分析处理。
配置管理应记录和保存基本配置信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等。
密码管理 应遵循密码相关国家标准和行业标准；
密码管理应使用国家密码管理主管部门认证核准的密码技术和产品。
变更管理应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施。
备份与恢复管理应识别需要定期备份的重要业务信息、系统数据及软件系统等；
备份与恢复管理 应规定备份信息的备份方式、备份频度、存储介质、保存期等；
备份与恢复管理应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。
安全事件处置 应及时向安全管理部门报告所发现的安全弱点和可疑事件；
安全事件处置应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等；
安全事件处置 应在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训。
应急预案管理 应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容,
应急预案管理 应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练。
外包运维管理 应确保外包运维服务商的选择符合国家的有关规定；
外包运维管理 应与选定的外包运维服务商签订相关的协议，明确约定外包运维的范围、工作内容。

软件系统整改总结

创建审计管理员,能够查看每个系统用户的登录时间,IP,操作内容.审计内容只允许查看不允许修改
通讯全部使用HTTPS协议
采用双因素认证,三级要求其中一个因子必须是密码（访问可控）
用户登录超时小于2小时
用户连续错误登录5次，锁定30半小时
加密算法采用SM系列算法,SM3替代MD5

网络和硬件

需要部署的安全服务产品

云防火墙
堡垒机(使用jumpserver)
数据库审计（ELK）
杀毒软件
服务器日志第三方存储（ELK）

参考

「真诚赞赏，手留余香」