最全等保测评权重表.docx

《最全等保测评权重表.docx》由会员分享，可在线阅读，更多相关《最全等保测评权重表.docx（59页珍藏版）》请在第一文库网上搜索。

1、等保测评权重表格一级系统权重列表分析序号安全类或层面安全控制点第一级第一级权重1安全物理环境物理位置选择23物理访问控制机房出入口应安排专人值守或 配置电子门禁系统，控制、鉴 别和记录进入的人员。关键45防盗窃和防破 坏应将设备或主要部件进行固 定，并设置明显的不易除去的 标识。一般678防雷击应将各类机柜、设施和设备等 通过接地系统安全接地。重要910防火机房应设置灭火设备。重要111213防水和防潮应采取措施防止雨水通过机房 窗户、屋顶和墙壁渗透。重要141516防静电1718温湿度控制应设置必要的温湿度调节设 施，使机房温湿度的变化在设 备运行所允许的范围之内。重要19电力供应应在机房供

2、电线路上配置稳压 器和过电压防护设备。重要20212223电磁防护2425安全通信网络网络架构262728293031通信传输应采用校验技术保证通信过程 中数据的完整性。重要32333435可信验证可基于可信根对通信设备的系 统引导程序、系统程序等进行 可信验证，并在检测到其可信 性受到破坏后进行报警。一般36安全区域边界边界防护应保证跨越边界的访问和数据 流通过边界设备提供的受控接 口进行通信。关键373839404142访问控制a）应在网络边界根据访问控制 策略设置访问控制规则，默认 情况下除允许通信外受控接口 拒绝所有通信：关键43b）应删除多余或无效的访问控 制规则，优化访问控制列表，

3、 并保证访问控制规则数量最小 化；重要44c）应对源地址、目的地址、源 端口、目的端口和协议等进行 检查，以允许/拒绝数据包进 出。重要45464748入侵防范49505152恶意代码和垃 圾邮件防范5354安全审计55565758可信验证可基于可信根对边界设备的系 统引导程序、系统程序等进行 可信验证，并在检测到其可信 性受到破坏后进行报警。一般59安全计算环境身份鉴别a）应对登录的用户进行身份标 识和鉴别，身份标识具有唯一 性，身份鉴别信息具有复杂度 要求并定期更换；重要60b）应具有登录失败处理功能， 应配置并启用结束会话、限制 非法登录次数和当登录连接超 时自动退出等相关措施。重要61

4、6263访问控制a）应对登录的用户分配账户和 权限；重要64b）应重命名或删除默认账户， 修改默认账户的默认口令：重要65c）应及时删除或停用多余的、 过期的账户，避免共享账户的 存在。重要6667686970安全审计71727374入侵防范a）应遵循最小安装的原则，仅 安装需要的组件和应用程序；重要75b）应关闭不需要的系统服务、 默认共享和高危端口。关键7677787980恶意代码防范应安装防恶意代码软件或配置 具有相应功能的软件，并定期 进行升级和更新防恶意代码 库。重要81可信验证可基于可信根对计算设备的系 统引导程序、系统程序等进行 可信验证，并在检测到其可信 性受到破坏后进行报警。

5、一般82数据完整性应采用校验技术保证重要数据 在传输过程中的完整性。重要838485数据保密性8687数据备份恢复应提供重要数据的本地数据备 份与恢复功能。关键88899091剩余信息保护9293个人信息保护9495安全管理中心系统管理9697审计管理9899安全管理IOO101集中管控102103104105106107108安全管理制度安全策略109管理制度应建立日常管理活动中常用的 安全管理制度。重要HO111112制定和发布113114评审和修订115安全管理机构岗位设置116应设立系统管理员等岗位，并 定义各个工作岗位的职责。关键117118人员配备应配备一定数量的系统管理 员。重要

6、119120121授权和审批应根据各个部门和岗位的职责 明确授权审批事项、审批部门 和批准人等。一般122123124沟通和合作125126127审核和检查128129130安全管理人员人员录用应指定或授权专门的部门或人 员负责人员录用。一般131132133134人员离岗应及时终止离岗人员的所有访 问权限，取回各种身份证件、 钥匙、徽章等以及机构提供的 软硬件设备。重要135136安全意识教育 和培训应对各类人员进行安全意识教 育和岗位技能培训，并告知相 关的安全责任和惩戒措施。重要137138139外部人员访问 管理应保证在外部人员访问受控区 域前得到授权或审批。重要14014114214

7、3144安全建设管理定级和备案应以书面的形式说明保护对象 的安全保护等级及确定等级的 方法和理由。重要145146147148安全方案设计应根据安全保护等级选择基本 安全措施，依据风险分析的结 果补充和调整安全措施。重要149150151产品采购和使 用应确保网络安全产品采购和使 用符合国家的有关规定。关键152153154155自行软件开发156157158159160161162外包软件开发163164165工程实施应指定或授权专门的部门或人 员负责工程实施过程的管理。一般166167168测试验收应进行安全性测试验收。一般169170系统交付a）应制定交付清单，并根据交 付清单对所交接的

8、设备、软件 和文档等进行清点：一般171b）应对负责运行维护的技术人 员进行相应的技能培训。一般172173等级测评174175176服务供应商选择a）应确保服务供应商的选择符 合国家的有关规定；重要177b）应与选定的服务供应商签订 与安全相关的协议，明确约定 相关责任。重要178179安全运维管理环境管理a）应指定专门的部门或人员负 责机房安全，对机房出入进行 管理，定期对机房供配电、空 调、温湿度控制、消防等设施 进行维护管理；重要180b）应对机房的安全管理做出规 定，包括物理访问、物品进出 和环境安全等方面。重要181182183资产管理184185186介质管理应将介质存放在安全的

9、环境 中，对各类介质进行控制和保 护，实行存储环境专人管理， 并根据存档介质的目录清单定 期盘点。一般187188设备维护管理应对各种设备（包括备份和冗 余设备）、线路等指定专门的 部门或人员定期进行维护管 理。一般189190191192漏洞和风险管理应采取必要的措施识别安全漏 洞和隐患，对发现的安全漏洞 和隐患及时进行修补或评估可 能的影响后进行修补。重要193194网络和系统安 全管理a）应划分不同的管理员角色进 行网络和系统的运维管理，明 确各个角色的责任和权限；重要195b）应指定专门的部门或人员进 行账户管理，对申请账户、建 立账户、删除账户等进行控 制。一般19619719819

10、9200201202203204恶意代码防范 管理a）应提高所有用户的防恶意代 码意识，对外来计算机或存储 设备接入系统前进行恶意代码 检查等：重要205b）应对恶意代码防范要求做出 规定，包括防恶意代码软件的 授权使用、恶意代码库升级、 恶意代码的定期查杀等。重要206207配置管理208209密码管理210211212变更管理213214215备份与恢复管理a）应识别需要定期备份的重要 业务信息、系统数据及软件系 统等；一般216b）应规定备份信息的备份方 式、备份频度、存储介质、保 存期等。一般217218安全事件处置a）应及时向安全管理部门报告 所发现的安全弱点和可疑事件；一般219b

11、）应明确安全事件的报告和处 置流程，规定安全事件的现场 处理、事件报告和后期恢复的 管理职责。重要220221222223应急预案管理224225226227228外包运维管理229230231二级系统权重列表分析序号全或面 安类层安全控制 点第二级1安全 物理 环境物理位置 选择a）机房场地应选择在具有防震、防风和防雨等能力的建筑 内：2b）机房场地应避免设在建筑物的顶层或地下室，否则应加强 防水和防潮措施。3物理访问 控制机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别 和记录进入的人员。45防盗窃和 防破坏a）应将设备或主要部件进行固定，并设置明显的不易除去的 标识；6b）应将通信线缆铺设在防蔽安